arp_spoof

Network Infrastructure

공격 Flow

1. BroadCast를 날려 Sender의 MAC 주소 확보

2. Sender가 자신의 MAC 주소 Reply

3. Attacker가 감염된 ARP Reply 전송 -> Sender이 ARP Table 오염됨

4. Sender가 오염된 ARP Table에 따라 모든 통신 내용을 Attacker에게 보냄

5. Attacker는 Sender가 보낸 패킷에서 src mac과 checksum만 바꿔서 Target에게 Relay해줌

6. Target을 통해 Attacker에게 들어오는 응답들은 src ip와 checksum을 변경해서 Sender에게 Relay 해줌

7. Sender가 unicast로 ARP 확인을 위해 ARP Request를 날릴경우 Attack에게 오므로 바로 감염된 ARP Reply 패킷을 unicast로 Sender에게 재전송-> 오염된 ARP Table 유지

8. Target의 ARP Table 제한시간이 다될경우 Sender에게 ARP Request를 날릴 경우 Sender의 ARP Table이 복구되고 공격은 실패(Attacker는 이것은 탐지 못함)

9. Attacker는 양쪽에게 모두 ARP 감염 패킷을 주기적으로 보내 ARP Table이 오염된 상태를 유지하게 해야함

10. 공격 중지시 양쪽 모두에게 정상 ARP Reply 패킷을 보내서 오염된 ARP Table을 복구한후 공격종료(네트워크 정상화)