Hola.

En este articulo les enseñaré como descubrir el dispositivo que tantas peticiones  broadcast esta generando y tanto dolor de cabeza nos esta creando.

No vamos a utilizar ningún software milagroso ni nada excepciónal, nos valdremos de nuestro entorno bash, tcpdump y algo de ingenio con bash scripting…..

1 – Nuestro primer objetivo es ver el tráfico arp de nuestra red con tcpdump…

# tcpdump -i eth0 -n net 192.168.16.0/24
Ejecutaremos tcpdump para escuchar en la interfaz »eth0» y la red 192.168.16.0 con máscara de subred 255.255.255.0…

Seguidamente nos empezará a escupir resultados:
02:43:59.781831 arp who-has 192.168.16.18 tell 192.168.16.17
02:43:59.857333 arp who-has 192.168.16.18 tell 192.168.16.66
02:43:59.967977 arp who-has 192.168.16.18 tell 192.168.16.42
02:44:00.220114 arp who-has 192.168.16.18 tell 192.168.16.74
02:44:00.308751 arp who-has 192.168.16.13 tell 192.168.16.9
02:44:00.332418 arp who-has 192.168.16.13 tell 192.168.16.42
02:44:00.374803 arp who-has 192.168.16.13 tell 192.168.16.74

Aqui tenemos una parte de la salida de tcpdump, con el que observamos varias peticiones ARP para averiguar la dirección MAC de las ips: 192.168.16.18 & 192.168.16.13. Dichas peticiones generadas por distintos equipos dentro de la red.

Hasta ahi estaria todo correcto y podriamos dejarlo funcional con lo anterior. Pero nosotros buscamos algo más de simplicidad en los resultados para poder detectar el malhechor dentro de nuestra red con más fácilidad.

Vamos a seguir utilizando tcpdump pero lo combinaremos con algo de bash script «sencillo y bonito bash scripting… :)»..

2 – Evaluando los campos que nos interesan

Esta es la primera linea del segmento de tcpdump publicado más arriba..

02:43:59.781831 arp who-has 192.168.16.18 tell 192.168.16.17

Nosotros buscamos obtener solamente la ip del que genera dicha solicitud ARP y que la solucitud sea solamente del tipo »who-has».

Como podemos observar el que generá dicha consulta ARP en este caso es 192.168.16.17 (tell 192.168.16.17).

Trabajaremos con »head» para realizar un máximo de registros a capturar..

ej: head-50 # Guardara 50 registros..

En todo momento tcpdump nos dará la ip del que origina la consulta ARP en último lugar en cada linea, con lo que podriamos quedarnos con el último valor de una forma sencilla…

tcpdump -i eth0 -n net 192.168.16.0/24 | head -50 |  egrep ‘arp who-has’ | awk ‘ { print $NF }

– Con (egrep ‘arp who-has’ mostramos solo los registros con el texto ‘arp who-has’

– Con head -50 mostramos solamente HASTA 50 registros.

– Una vez tengamos solamente los registros con la petición arp who-has, mostramos el útimo campo (la ip que origina la consulta ARP).

Con esto ya simplificariamos bastante la salida, con lo que solo nos mostraria las ips de nuestra red que generan la consulta ARP…(pego las 5 primeras lineas a modo de ejemplo)

192.168.16.9
192.168.16.42
192.168.16.10
192.168.16.9
192.168.16.42

De esta forma nuestro objetivo estaria »casi» cumplido.

tcpdump -i eth0 -n net 192.168.16.0/24 | head -50 | egrep ‘arp who-has’ | awk ‘ { print $NF } ‘

3 – Ordenar Resultados

Podemos dar un paso más allá, podemos ordenar esos registros para una mejor localización. Podemos lograr ese objetivo con »sort».

tcpdump -i eth0 -n net 192.168.16.0/24 | head -50 | egrep ‘arp who-has’ | awk ‘ { print $NF } ‘ | head -50 | sort

4 – Eliminar registros repetidos

Lo último que podriamos hacer para que sea realmente fácil localizar un dispositivo generador de tráfico ARP, seria eliminar las ips repetidas y mostrar cuantas veces se han repetido.

Lo podemos hacer con uniq seguido del flag ‘-c‘.

uniq elimina registros repetidos y con el flag -c podemos mostrar el número de veces que se han repetido.

**especial atención que estoy mostrando solamente 5 registros (head -5)

tcpdump -i eth0 -n net 192.168.16.0/24 | head -5 | egrep ‘arp who-has’ | awk ‘ { print $NF } ‘|sort | uniq -c

Con esto obtendriamos una salida similar a esta:

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
1 192.168.16.17
1 192.168.16.26
2 192.168.16.89
1 192.168.16.9
135 packets captured
135 packets received by filter
0 packets dropped by kernel

Habriamos llegado hasta nuestro objetivo, ahora podemos dejar nuestro pc encendido un buen rato, para desvelar quien es el que genera tantas peticiones ARP…

tcpdump -i eth0 -n net 192.168.16.0/24 | head -1000 | egrep ‘arp who-has’ | awk ‘ { print $NF } ‘|sort | uniq -c

*** Preste especial atención. Mostraremos 1000 ips (head -1000).

Imprimiendo hasta 1000 registros, podemos ver claramente que equipos estan generando tráfico ARP a montones. Tardará un poco, tomensé un buen café y disfruten.

Saludos.

By  ZaPa.

Fuentes:

http://everythingsysadmin.com/2004/10/whos-infected.html