ARP Spoofing

BENJELLOUN Zineb
FIKRI Noussair
 Introduction
 Fonctionnement du protocole ARP
 ARP Poisoning
 Attaque Man-In-The-Middle [MITM]
 Outils :
 Kali Linux
 Ettercap
 SE Toolkit
 Un ordinateur connecté à un canal IP/Ethernet
dispose de deux adresses
◦ Une adresse de carte réseau (adresse MAC)
◦ Une adresse IP ( Internet Protocol )
 Le Protocole IP communique en produisant
des paquets dit IP

 Les paquets sont délivrés par Ethernet
 Quand une trame Ethernet est généré à partir d’un
paquet IP, il n’a aucune indication sur quelle
adresse MAC il doit être adresser.
 La seule information disponible est l’adresse de
destination IP.
 Il est nécessaire de pouvoir renseigner au protocole
Ethernet l’adresse MAC de la machine de

destination à partir de l’adresse IP.
 Ceci est le rôle du protocole ARP, Address
Resolution Protocol.
Encapsulation de l’entête ARP dans
la trame Ethernet
1. Récupération l’adresse IP de la destination
2. Création d’une requête ARP
– Remplissage de l’adresse Physique de l’émetteur
– Remplissage de l’adresse IP de l’émetteur
– Remplissage de l’adresse IP du destinataire
– L’adresse physique MAC de la destination est mise
à0
3. Le message est passé à la couche liaisons de données
qui est encapsulé dans une trame
– L’adresse Source : adresse physique de l’émetteur
– L’adresse destination : Adresse Broadcast
4. Chaque machine connectée au réseau LAN
reçoit la trame
– Toutes les machines le transfèrent à l’ARP
– Toutes les machines hors mis la machine
ciblée rejettent le paquet.
5. La machine cible réponds avec un message
ARP qui contient sa propre adresse physique
– Le message est de type unicast et parvient
uniquement à l’émetteur de la requête.
6. L’émetteur reçoit le message réponse et
obtient l’adresse physique de la machine
ciblée
◦ Pour éviter d’envoyer la requête ARP pour chaque
émission de paquet, une machine peut garder dans
son cache une table de correspondance contenant
chaque adresse IP et l’adresse MAC correspondante
dans le réseau.
◦ On l’appelle la table ARP (ARP cache)
◦ Chaque enregistrement de la table ARP est
temporaire de telle façon que le contenu soit effacé
si aucune activité n’est enregistrée à partir dune
certaine période
◦ Quand l’ordinateur reçoit une réponse ARP, il
remet à jour son cache ARP.
 Construire des réponses pour usurper l’identité du
véritable émetteur
 Un ordinateur cible pourrait être convaincu d'envoyer
trames destinées à l'ordinateur A à la place aller à

l'ordinateur B.
 Un ordinateur A ne remarquera en aucun cas que cette
redirection a eu lieu.
 Ce processus de mise à jour le cache ARP d'un
ordinateur cible est appelé « ARP Poisoning ».

 Un pirate introduit son ordinateur dans le canal de
communication des deux ordinateurs cibles
 Le pirate redirige les trames entre les deux ordinateurs
cible interrompant ainsi leurs communication

 De ce fait, tous les paquets envoyés de A à l'intention
de B iront à la machine du pirate.

 L’attaque se traduit par les étape suivante :
◦ Supposons que X est l’ordinateur du Pirate
◦ T1 sont T2 sont les cibles de l’attaque
1. X corrompe le cache ARP de T1 et T2.
2. T1 associe l’@ IP de T2 à l’@ MAC de X.
3. T2 associe l’@ IP de T1 à l’@ MAC de X.
4. Tout le trafic entre T1 et T2 sera rediriger
vers X dans un premier temps, au lieu que
la communication soit établi directement
entre T1 et T2.
Réponse ARP usurpée Réponse ARP usurpée
IP:10.0.0.2 IP:10.0.0.2
MAC:cc:cc:cc:cc MAC:cc:cc:cc:cc
switch
Réponse ARP usurpée
MAC:cc:cc:cc:cc
IP:10.0.0.2
T1 T2 Pirate
IP:10.0.0.1 IP:10.0.0.2 IP:10.0.0.3
MAC:aa:aa:aa:aa MAC:bb:bb:bb:bb MAC:cc:cc:cc:cc
ARP cache ARP cache

IP MAC IP MAC
10.0.0.2 bb:bb:bb:bb 10.0.0.1 aa:aa:aa:aa
switch
T1 T2 Pirate
IP:10.0.0.1 IP:10.0.0.2 IP:10.0.0.3
ARP cache ARP cache
IP MAC IP MAC
10.0.0.2 cc:cc:cc:cc 10.0.0.1 aa:aa:aa:aa
cache de T1 est corrompu

Réponse ARP
IP:10.0.0.1
MAC:cc:cc:cc:cc
switch
MAC:cc:cc:cc:cc
Réponse ARP
IP:10.0.0.1
T1 T2 Pirate
IP:10.0.0.1 IP:10.0.0.2 IP:10.0.0.3
ARP cache ARP cache

IP MAC IP MAC
10.0.0.2 cc:cc:cc:cc 10.0.0.1 aa:aa:aa:aa
switch
T1 T2 Pirate
IP:10.0.0.1 IP:10.0.0.2 IP:10.0.0.3
ARP cache ARP cache

IP MAC IP MAC
10.0.0.2 cc:cc:cc:cc 10.0.0.1 cc:cc:cc:cc
Cache de T2 est corrompu

Message à l’attention de T2
switch
Le pirate
transfère
Le message
T1 T2 Pirate
IP:10.0.0.1 IP:10.0.0.2 IP:10.0.0.3
ARP cache ARP cache

IP MAC IP MAC
Le pirate repondera au message
switch
Message à
l’attention
de T1
T1 T2 Pirate
IP:10.0.0.1 IP:10.0.0.2 IP:10.0.0.3
ARP cache ARP cache

IP MAC IP MAC

ARP Spoofing

Transféré par

Droits d'auteur :

Formats disponibles

ARP Spoofing

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

ARP Spoofing

Transféré par

Droits d'auteur :

Formats disponibles

BENJELLOUN Zineb

des paquets dit IP

Ethernet l’adresse MAC de la machine de

trames destinées à l'ordinateur A à la place aller à

ordinateur cible est appelé « ARP Poisoning ».

cible interrompant ainsi leurs communication

de B iront à la machine du pirate.

ARP cache ARP cache

ARP cache ARP cache

cache de T1 est corrompu

ARP cache ARP cache

ARP cache ARP cache

Cache de T2 est corrompu

ARP cache ARP cache

ARP cache ARP cache

Vous aimerez peut-être aussi