ARP spoofing

[gabell]

tcpdump -i em1:

Код: Выделить всё

17:16:29.507658 arp who-has 192.168.0.1 (Broadcast) tell 192.168.0.1

ifconfig:

Код: Выделить всё

em0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
    options=9b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM>
    ether 00:1b:21:01:32:4e
    inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255
    media: Ethernet 1000baseTX <full-duplex>
    status: active
em1: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> metric 0 mtu 1500
    options=9b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM>
    ether 00:1b:21:01:32:4f
    inet 84.52.94.230 netmask 0xfffffff0 broadcast 84.52.94.239
    media: Ethernet autoselect (100baseTX <full-duplex>)
    status: active

em1 - интерфейс, смотрящий в сеть провайдера.
em0 - во внутреннюю сеть.

Вопрос: эти ARP-запросы исходящие или входящие?

[sash-kan]

эти ARP-запросы исходящие или входящие?

сопоставьте с тем, что происходит на другом интерфейсе.

PROMISC

а это вам зачем?

[gabell]

эти ARP-запросы исходящие или входящие?

сопоставьте с тем, что происходит на другом интерфейсе.

На внутреннем интерфейсе я этих пакетов не вижу. Но это, как мне кажется, не показатель.

PROMISC

а это вам зачем?

tcpdump

[sash-kan]

17:16:29.507658 arp who-has 192.168.0.1 (Broadcast) tell 192.168.0.1

посмотрите расшифровку кадра. там же адрес источника должен присутствовать.

[gabell]

17:16:29.507658 arp who-has 192.168.0.1 (Broadcast) tell 192.168.0.1

посмотрите расшифровку кадра. там же адрес источника должен присутствовать.

Да, спасибо, так и сделал. Физический адрес не совпадает ни с одним из моих адресов. В сегменте провайдера оказалось много приватных адресов, в том числе и 192.168.0.1. Почему этот хост рассылает broadcast arp ответы с такой настойчивостью никто разбираться не хочет. Отсюда вопрос: какие могут быть у меня неприятности из-за этого, кроме захламленных логов, и что делать?

[Frank]

Если я не ошибаюсь, этими запросами чей-то 192.168.0.1, подключенный к провайдерской сети (например, через свич с ещё одним, "реальным" компом), хочет выснять, нет ли конфликта айпи с кем-то ещё.

[sash-kan]

Если я не ошибаюсь, этими запросами чей-то 192.168.0.1, подключенный к провайдерской сети (например, через свич с ещё одним, "реальным" компом), хочет выснять, нет ли конфликта айпи с кем-то ещё.

или там стоит кривое п.о. (например, одна очень распространённая о.с.).
в зависимости от степени кривизны может вытворять и не такое.