LAB 01 - ACTIVE SNIFFING

TUJUAN
Setelah praktikum dilaksanakan, peserta praktikum diharapkan memiliki kemampun :
1.
2.
3.
4.

Melakukan Active Sniffing pada lingkungan Wireless maupun Cable

Melakukan ARP Spoofing / ARP Poison Routing (APR) / ARP Poisoning menggunakan Cain & Abel
Melakukan MAC Flooding menggunakan EtherFlood
Melakukan penanggulangan (coutermeasure) Active Sniffing

KONFIGURASI

Access Point

Server
Target
Sniffer
Praktek Active Sniffing dapat dilakukan di lingkungan Wireless (broadcast) ataupun lingkungan kabel
menggunakan Switch.
PC Sniffer ataupun PC Target mengunakan IP Address satu jaringan 192.168.1.xxx/24 (xxx diganti dengan
nomor komputer masing-masing)

PERALATAN
Berikut beberapa perangkat lunak yang dibutuhkan untuk proses praktikum :
1. KpyM Telnet/SSH Server (kts119c.exe)
2. XAMPP Web Server (xampp.exe)
3. Putty (putty.exe)
4. NetStumbler v0.4.0 (netstumblerinstaller_0_4_0.exe)
5. Cain & Abel v4.9.56 (CainAbel_4_9_56.exe)
6. EtherFlood v1.1 (etherflood.zip)
7. Wireshark v1.1.20 (WiresharkPortable-1.12.0.paf.exe)
8. XArp v2.2.2 (xarp-2.2.2-win.exe)
9. ARPFreeze v0.0.1 (arpfreeze.zip / arpfreezeng.zip)

PERSIAPAN
Pastikan PC Sniffer tersambung dengan PC Target, gunakan ping untuk melakukan tes sambungan.

LANGKAH PRAKTIKUM
BAGIAN 1 : PRAKTEK ACTIVE SNIFFING DI LINGKUNGAN WIRELESS
1.

Konfigurasi yang digunakan untuk praktek di lingkungan Wireless (menggunakan Access Point)

Access Point

Server
Target
Sniffer
2.

Menggunakan Netstumbler untuk mencari AP yang tersedia

a. Netstumbler dapat digunakan untuk mencari Access Point yang ada di sekeliling PC Sniffer
b. Instal Netstumbler
c. Jalankan Netstumbler (jika menggunakan Windows Vista atau Windows 7, pastikan jalankan
dengan mode Run-as-administrator)
d. Dari tampilan Netstumbler dapat dilihat beberapa informasi yang berguna mengenai Access
Point, seperti SSID, MAC Address, Vendor Name dan Filter Profile

3.

Menggunakan Cain & Abel untuk melakukan ARP Poison Routing (APR) langsung pada Host Target
a. Instal Cain & Abel
b. Sebelum menjalankan Cain & Abel, matikan Firewall pada Windows agar program dapat bekerja
dengan lancar
c. Jalankan Cain & Abel (jika menggunakan Windows Vista atau Windows 7, pastikan jalankan
dengan mode Run-as-administrator)
d. Konfigurasi Cain & Abel untuk Active Sniffing password
i. Pilih Interface yang akan digunakan untuk sniffing

ii. Start Sniffer dan scan Host Target pada jaringan

iii. Pilih jalur komunikasi dari Host Target yang akan dikenai APR (biasanya Active Sniffing
dilakukan dengan mencegat data dari Host Target ke Gateway agar terlebih dahulu bisa
diendus datanya)

iv. Jalankan ARP Poison Routing terhadap Host Target

v. Pantau aktivitas target dengan memantau tab Sniffer-Password untuk mendapatkan

data yang berhasil didapat

BAGIAN 2 : PRAKTEK ACTIVE SNIFFING DI LINGKUNGAN CABLE

1.

Konfigurasi yang digunakan untuk praktek di lingkungan Cable (menggunakan Switch)

Switch

Target
Sniffer

2.
3.

Menggunakan Cain & Abel untuk melakukan ARP Poison Routing langsung pada Host Target (langkah
detail persis sama dengan praktek di lingkungan Wireless)
Menggunakan EtherFlood untuk melakukan MAC Flooding pada Switch agar menjadi bersifat broadcast
a. EtherFlood Introduction (http://ntsecurity.nu/toolbox/etherflood/)
EtherFlood floods a switched network with Ethernet frames with random hardware addresses. The
effect on some switches is that they start sending all traffic out on all ports so you can sniff all traffic
on the network.

b.

EtherFlood Installation
i. Extract etherflood.zip ke folder C:\ef

ii. Tambahkan protocol baru pada Interface LAN

iii. Jalankan EtherFlood.exe pada command prompt, dan pilih Interface untuk ARP Flooding

iv. Menggunakan Wireshark pada Host Target, akan terlihat proses flooding

v. Jika Switch tidak kebal terhadap serangan ARP Flooding, maka Switch akan mulai
mengirim data secara broadcast (menjadi mirip dengan Access Point di lingkungan
Wireless) sehingga bisa diendus datanya menggunakan Wireshark dengan promiscuous
mode
c.

EtherFlodd Q&A (http://ntsecurity.nu/toolbox/etherflood/)

i. Q: When I double-click on the exe file a window comes up and disappears immediately.
What's wrong?
A: You must run the file from a Command Prompt.
ii. Q: Why doesn't EtherFlood work?
A: Perhaps your switch isn't vulnerable to this attack. If all the LED's on the switch are
blinking rapidly but you still don't see all network traffic the switch is probably immune.

iii. Q: How do I install the driver in Windows 2000?

A: Right-click on My Network Places and select Properties. Right-click on one of the Local
Area Connections and select Properties. Click on Install, then Protocol and Add. Click on
Have Disk, then Browse. Find the directory where the unzipped files are located and
double-click on the EthDrv.inf file. From there things should be obvious.
iv. Q: How do I install the driver in Windows XP?
A: Click Start, then Control Panel, Network and Internet Connections, and Network
Connections. Right-click on one of the Local Area Connections and select Properties. Click
Install, Protocol, then Add. Click Have disk and then Browse. Find the directory where the
unzipped files are located and double-click on the EthDrv.inf file. From there things should
be obvious.

BAGIAN 3 : PRAKTEK PENANGGULANGAN ACTIVE SNIFFING

1.

Menggunakan arpfreeze untuk membuat static map IP-ARP di Host Target

a. Mapping IPaddress-MACaddress biasanya dilakukan secara dynamic oleh ARP dengan cara
mendengar broadcast dari jaringan, dengan arpfreeze dapat dilakukan mapping IPaddressMACaddress secara manual/static pada Host Target agar tidak terkena ARP Poisoning dari
Sniffer
a. Extract arpfreeze.zip
b. Jalankan arpfreeze.exe (jika menggunakan Windows Vista atau Windows 7, pastikan jalankan
dengan mode Run-as-administrator)
c. Mulai dari Windows Vista, perintah untuk static ARP efektif menggukanan netsh dibandingkan
dengan arp s pada versi windows pendahulunya

d.

Pilih interface dengan menulis bagian Idx

e.

Konfirmasi static mapping IPaddress-MACaddress yang akan dibuat

f.

Buka arpstaticscript.bat pada folder arpfreeze dan copy bagian perintah static arp
Contoh :
Pada Windows XP (arp -s)
o arp -s 192.168.1.1 00-30-0a-8e-d9-88
Pada Windows Vista dan Windows 7 (netsh)
o netsh -c "interface ipv4" set neighbors 12 "192.168.1.1" "00-30-0a-8e-d9-88"

2.

g.

Paste dan eksekusi perintah pada command prompt (jika menggunakan Windows Vista atau
Windows 7, pastikan jalankan dengan mode Run-as-administrator)

h.

Cek ulang apakah mapping IPaddress-MACaddress yang diinginkan sudah berubah menjadi
static

Menggunakan XArp untuk mendeteksi adanya ARP Poison Routing

a. What is XArp (http://www.chrismc.de/development/xarp/what_is_xarp.html)
i. XArp is a security application that uses advanced techniques to detect ARP based attacks.
ARP attacks allow an attacker to silently eavesdrop or manipulate all your data that is sent
over the network. This include documents, emails and VoiceIP conversations. ARP
spoofing attacks are undetected by firewalls and operating system security features:
firewalls don't protect you against ARP based attack! XArp has been developed to
target this problem: it uses advanced techniques to detect ARP attacks and thus helps you
to keep your data private
ii. XArp has been desinged for the sole purpose of detecting ARP attacks. As such it is a highly
specialized application intended for users and administrators. The detection mechanism is
based on two techniques: inspection modules and discoverers. Inspection modules look at
each ARP packet, check its correctness and validity in respect to databases they built up.
Discoverers actively validate IP-MAC mappings and help to detect attackers actively.
iii. XArp helps users to detect ARP attacks and keep their data private. Administrators can use
XArp to monitor whole subnets for ARP attacks. Different security levels and fine tuning
possibilities allow normal and power user to efficiently use XArp to detect ARP attacks.

b.

Instal XArp dan jalankan XArp pada Host Target

c.
d.

Lakukan APR melalui Cain & Abel dari Host Sniffer untuk menguji kemampuan XArp
Peringatan yang diberikan XArp jika ada serangan ARP pada Host Target

e.

Aktifkan menu View-Advanced View untuk pengaturan Filters