ARP Spoofing(recover 시점 파악, packet relay)

1. sender에서 infect가 풀리는(recover가 되는) 시점을 정확히 파악하여 재감염 시키기

 

첫번째 경우

sender에서 arp request를 보내는 경우 -> target이 arp reply를 보내면 감염 풀림

=> arp request는 broadcast니까 attacker에게도 오기 때문에 탐지 가능

=> 다시 공격하면 됨

 

두번째 경우

target이 arp request를 보내는 경우 -> sender가 arp reply를 보내면 감염 풀림

=> arp request는 broadcast니까 attacker에게도 오기 때문에 탐지 가능

=> 다시 공격하면 됨

 

세번째 경우 (arp poll)

요즘은 캐시 만료 몇 초 전에 arp table에 있는 주소로 unicast  확인 arp request를 보냄

=> arp table에는 감염돼서 target mac이 내걸로 돼있으니까 어차피 패킷 잡힘

=> 다시 공격

 

target이 unicast로 물어보는 경우는 못 잡음

=> 그래서 양쪽을 다 속여야 됨

 

=> 얘네 모두 sender나 target에서 arp request를 보내기만 하면 다시 감염시키면 되나? 

 

 

+>  미지의 원인(ex packet loss) 등으로 감염이 풀리는 경우가 있으므로 주기적으로 감염 로직 추가

 

2. Relay spoofed IP Packet

Src Mac Dst Mac [Src IP Dst IP] => 이거 두개는 건드릴 필요 없음

 

Src Mac에 attacker인 본인의 Mac 주소를 입력해서 패킷 보내주면 됨