Re: ARP Poisoning

At 11.19 30-08-2002, you wrote:

>La domanda è:
>Quali metodi si possono usare per capire se qualche utente utilizza
>questa tecnica?
>Soprattutto se la LAN utilizza DHCP, è abbastanza laborioso tenere
>traccia delle coppie IPaddress-MACaddress.

potresti usare arpwatch... magari modificandolo per controllare gli scambi 
dovuti al DHCP.

>Sia dal punto di vista di un utente (capire se la tua macchina è
>arp-poisoned),

se usano arpspoof di dsniff con tracepath vedi un hop in piu'...
ma se usano ettercap tracepath non ti dira' nulla di utile.

l'unica e' settare l'arp statica per il gw e controllare le altre con arpwatch

>sia dal punto di vista del sysadmin (capire se e chi stà
>ARPspooofando-sniffando).

se trovi chi sta ARP-poisonando, controlla il mac address verso cui e' 
rediretto il traffico.
se non e' spoofato (se lo switch non e' settato con port security) lo 
becchi diretto.

bye

    --==> ALoR <==---------------------- -  -   -

There are only 10 types of people in this world...
those who understand binary, and those who don't.


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List