hub-switches sejam vulneraveis a esse tipo de ataque.Uma das ferramentas mais usadas e o macof, um pequeno utilitario que faz parte da suite dsniff (que roda sobre o Linux), cujo codigo fonte esta disponivel no:http://www.monkey.org/~dugsong/dsniff/O dsniff tambem pode ser encontrado nos repositorios de muitas distribuicoes, o que facilita a instalacao. Nas distribuicoes derivadas do Debian, voce pode instala-lo via apt-get:Citacao:# apt-get install dsniffUma vez que o dsniff foi instalado, usar o macof e bastante simples: basta especificar a interface de saida, usando a opcao -i, e especificar o numero de pacotes forjados a serem enviados, usando a opcao -n, como em:Citacao:# macof -i eth0 -n 100000A maioria dos hub-switchs sao capazes de armazenar entre 1000 e 8000 enderecos MAC na memoria, de forma que bombardeando o hub-switch com 100000 enderecos MAC diferentes (o que demora cerca de um minuto e meio em uma rede de 100 megabits) voce consegue chavear qualquer aparelho vulneravel para modo failopen. A partir dai, basta lancar o Wireshark e passar a capturar todo o trafego da rede. Note que, em alguns casos, rodar o comando vai fazer o switch travar, derrubando toda a rede ate que voce o reinicie manualmente, o que nos modelos mais simples e feito desconectando e reconectando o cabo de energia.O dsniff inclui tambem um utilitario para ARP poisoning, o arpspoof. Ao usa-lo, voce deve especificar a interface de rede local e tambem o endereco IP do host de destino dos pacotes que voce deseja capturar. Especificando o endereco do gateway da rede (o uso mais comum), voce pode capturar todos os pacotes destinados a Internet.Para usa-lo, o primeiro passo e ativar o encaminhamento de pacotes na configuracao do Kernel, o que e feito usando o comando abaixo:Citacao:# echo 1 > /proc/sys/net/ipv4/ip_forwardA partir dai, voce pode ativar o arpspoof, especificando o endereco de destino dos pacotes que deseja capturar, como em:Citacao:# arpspoof -i eth0 192.168.1.1Com isso, o arpspoof passara a enviar pacotes de broadcast para toda a rede, avisando todos os micros que o novo endereco MAC do 192.168.1.1 e o endereco da sua maquina. Isso fara com que ela passe a receber o trafego destinado a ele, permitindo que voce o capture usando o Wireshark.Naturalmente, o trafego nao poderia simplesmente ser desviado para a sua maquina, caso contrario, os pacotes deixariam de ir ate o gateway da rede e os micros nao conseguiriam mais acessar a Internet. Para evitar isso, o arpspoof reencaminha automaticamente todos os pacotes recebidos ao endereco correto (justamente por isso precisamos ativar o ip_forward no Kernel), fazendo com que, apesar do desvio, o trafego continue fluindo, como se nada estivesse acontecendo:Para fazer um DNS spoofing vamos precisar do endereco de um servidor da internetCitacao:# www.yahoo.com.brServer: 189.5.128.5Address: 189.5.128.5#53Non-authoritative answer:www.yahoo.com.br canonical name = frontpage.americas.fy5.b.yahoo.com.Name: frontpage.americas.fy5.b.yahoo.comAddress: 200.152.161.132 depois criaremos um arquivo chamado dnsspoof.confCitacao:#vim dnsspoof.confe colocaremos as seguintes configuracoesCitacao:200.152.161.132 www.google.com.bre agora executaremos o comando do dnsspoofCitacao:#dnsspoof -i eth0 -f dnsspoof.confcom este comando envenenaremos o cache dns, fazendo com isso que todas as maquinas que tentem acessar o endereco do google ira eventualmente acessar o yahoo. Pois o aqui entramos no verdadeiro ideal