Ataque D.O.S

Ataque D.O.S. ARP Injection & ARP Poisoning

Saludos, Hoy aprenderán y comprenderán un Ataque muy muy muy fácil de Hacer (En éste Caso), y aprenderán cómo Defenderse de éste tipo de ataques, (Sólo de éste).

¿Qué es un Ataque D.O.S.?

D.O.S. son las siglas de "Denial Of Service" ó "Denegación De servicio", éste tipo de Ataques consiste en hacer "Inaccesible" un servicio para otros usuarios, colapsando, Saturando y/ó Sobrecargando el Servicio y puede provocar la caída total del Sistema (Víctima por supuesto), ó Simplemente causar que no se pueda hacer uso del Servicio, de una ú otra forma.

El Ataque de hoy será un D.O.S. en una Red Local (LAN), Envenenaremos las Tablas ARP de un Ordenador a través de ARP Injection, en el Paquete que inyectaremos arbitrariamente, cambiaremos la dirección MAC del Router por una Inexistente, por lo que la máquina víctima fracasará en el intento de encontrarla, con ésto conseguiremos que el Ordenador de nuestra víctima se quede sin Internet (Sin acceso al servicio) por el tiempo que nosotros querramos.

Bien, primero que nada, necesitamos un Inyector de ARP, para ésta práctica utilizaremos a Némesis, uno bastante bueno, el cuál pueden descargar directamente de Aquí.
En caso de que tengamos una versión nueva de Winpcap, necesitaremos Desinstalarla e instalar la versión 2.3 ó 3.0 que son las compatibles con Némesis, pueden conseguir la 2.3 Aquí, y la 3.0 Aquí.

Desinstalamos la Versión Nueva de Winpcap, Instalamos la Vieja y descomprimimos Némesis en una Carpeta, de otra forma nos dará un error, ya que nos informará que no encuentra la librería "Packet.dll".
Nota: La librería LibnetNT.dll debe estar Obligatoriamente en el Directorio donde se encuentre Némesis.

Bien, sigamos, Némesis funciona bajo Shells, Por lo tanto, vamos a Abrir una y a dirigirnos hacia el Directorio donde se encuentra Némesis, una vez ahí escribimos:

C:\Némesis\>nemesis.exe

Esto nos mostrará la sintáxis del programa y los Comandos posibles, a nosotros nos Insteresa "ARP", bien, para ver la ayuda escribamos:

C:\Némesis\>nemesis.exe arp help

Y nos mostrará la Sintáxis y los modos de Inyección de paquetes,

Hasta acá todo bien, empecemos el Ataque, primero que nada debemos saber la Dirección mac del Router de la red, para eso escribamos en nuestra shell el siguiente comando:

C:\>arp -a

Interfaz: 192.168.0.25 ---0x2
Dirección IP Dirección Física Tipo
192.168.0.1 00-09-45-e3-6f-31 Dinámico <

Ésto nos mostrará nuestra tabla caché de ARP, en ella se encuentra la asociación de la Dirección IP del Router con su MAC, bien, He subrayado el tipo de la asociación porque ahí se encuentra la vulnerabilidad a éste ataque, aparece como "Dinámico" lo que significa que en un lapso de tiempo se Actualizará, es decir, que la podemos Cambiar a nuestro antojo, ya que sabemos nuestras direcciones, ahora necesitamos saber la Dirección MAC de la Víctima, pero no aparece en nuestra Tabla ARP, para que aparezca debemos hacerle un ping a la víctima, para eso hagamos lo siguiente:

C:\>Ping IPVICTIMA

Listo, ahora nuestra tabla caché deberá haberse actualizado con la dirección IP y MAC de nuestra víctima, Veamos:

C:\>arp -a

Interfaz: 192.168.0.25 ---0x2
Dirección IP Dirección Física Tipo
192.168.0.1 00-09-45-e3-6f-31 Dinámico
182.168.0.50 01-F4-65-83-09-51 Dinámico

Listo, ya sabemos las direcciones Necesarias, ahora podemos realizar el Ataque, para eso escribamos el siguiente comando desde el directorio de nuestro Inyector ARP, Némesis:

C:\Némesis\>nemesis arp -D IP.Víctima -S IP.Router -H Fake.MAC.Router

En mi Caso:

C:\Némesis\>nemesis arp -D 192.168.0.50 -S 192.168.0.1 -H 00:01:02:03:04:05
ARP Packet Injected

A ver si entendemos, con ésto le diremos a la Tabla de (IP.Víctima) que la dirección IP (IP.Router) pertenece a la dirección MAC (Fake.Mac.Router), es decir, le estamos indicando que la Dirección MAC de su router es una inexistente, por lo que no lo encontrará y perderá el servicio de Internet XD , MOMENTANEAMENTE :cry:

¿Por qué Momentaneamente?
Recordemos que las Tablas caché ARP dinámicas se "Actualizan" cada cierto tiempo (Como un minuto más ó menos), por lo que la Tabla arp de la víctima se actualizará y encontrará la verdadera dirección MAC del Router.

¿Entonces perdí el Tiempo? Tú me habías dicho que conseguiría quitarle el Internet el tiempo que quisiera, me mentiste @#|€€#€¬!!

NO, ésto sucede porque la Inyección de ARP no es constante, simplemente Inyectamos un Packete y ya, hasta ahí llegó Némesis, pero ¿Qué pasaria si Némesis se mantuviera Inyectando constantemente?
Exactamente lo que estás pensando.. eso mísmo.. la Víctima quedaría sin Internet hasta que la Inyección terminara... ¿Interesante No?

Para hacer una Inyección Constante de ARP, necesitaremos hacer un Bucle, para eso escribamos el Siguiente comando:

C:\Némesis\>FOR /L %i IN (1,1,6500) DO nemesis arp -D 192.168.0.50 -S 192.168.0.1 -H 00:01:02:03:04:05

Y con ésto conseguimos que Némesis se mantenga constantemente Inyectando Paquetes maliciosos en la Víctima... hasta que acabe el Bucle...

¿Cómo me Protejo de éste Ataque?

Fácil, te expliqué que las Tablas ARP eran Dinámicas ¿Cierto? Pues.. eso se puede cambiar, Si conseguimos que nuestra tabla se actualice, pero que no actualice alguna dirección IP en específico (La del Gateway) No seremos vulnerables, veamos cómo "Inmunizarnos" :badgrin:

Para lograr ésto debemos indicarle a la Shell qué dirección IP con su respectiva dirección MAC no debe Actualizarse, para eso escribamos lo siguiente:

C:\>arp -s IP.Router MAC.Router

En mi caso:

C:\>arp -s 192.168.0.1 00:f5:57:a1:a0:70

Lísto, ya no soy Vulnerable

Nota Recuerden que la Seguridad es Relativa y constantemente vulnerable... estamos seguros "Por ahora", pero nada quita que alguien consiga una Shell remota de tu Ordenador y escriba:

C:\>arp -d IP.Router MAC-Router

En mi caso:
C:\>arp -d 192.168.0.1 00:f5:57:a1:a0:70

Con eso se borraría la entrada Estática y volvería a ser Dinámica, es decir, VULNERABLES.

Espero que les haya gustado y ayudado, ¡Saludos!