El envenenamiento de ARP consiste en modificar la tabla de Relación IP -> MAC de equipos en la red por alguna que nosotros queramos.
De este modo si tenemos:

– Cliente Legitimo  con IP (192.168.1.130)
– Servidor Web             (192.168.1.129)
– Atacante                 (192.168.1.128) MAC: 00:80:5a:60:ee:71

Lo que nos interesa en este punto es poder interceptar la comunicación entre: Cliente Legitimo -> Servidor Web. Para ell utilizaremos arpspoof para hacer creer al Servidor que la MAC del cliente será el ATACANTE y al CLIENTE, que la MAC del servidor será ATACANTE. Con esto, obtendriamos la comunicación en los 2 sentidos.

1. Activamos el ip_forwarding en la máquina del atacante para reenviar paquetes.

# echo 1 > /proc/sys/net/ipv4/ip_forwarding

2. Realizamos el envenenamiento de la tabla ARP con arpspoof:

# arpspoof -i eth0 -t 172.16.1.130 172.16.1.129       Comunicación: Cliente legitimo -> Servidor Web
# arpspoof -i eth0 -t 172.16.1.129 172.16.1.130       Comunicación: Servidor web -> Cliente legitimo

De esta forma, hemos realizado el envenamientamiento ARP para las 2 vías de comunicación.

Si comprbamos ahora la tabla arp tanto en el CLIENTE LEGITIMO como en el SERVIDOR con arp -a, veremos que la MAC que ahora aparece es la del atacante: 00:80:5a:60:ee:71

3. Se podria realizar este mismo ataque pero con la IP de la puerta de enlace (router). De esta forma podriamos capturar todo el tráfico que pasa por él. Con tcpdump, wireshark o cualquier sniffer de red.