Разбираем прошлую задачку🤔 Большинство ответило правильно😃 Внутри локальной сети устройства находят друг друга не по IP, а по MAC-адресам. IP нужен, чтобы дойти до нужной сети через интернет. А внутри своей сети кадр едет от карты к карте по MAC. Но твой комп знает только IP шлюза. Чтобы отправить кадр, ему нужен MAC шлюза. Эту связку «IP → MAC» делает ARP:

— Хост: «У кого IP 192.168.1.1? Скажи свой MAC»
— Шлюз: «Это я, мой MAC — aa:bb:cc...»

Ответ записывается в ARP-кэш, и дальше кадры летят на этот MAC. ⚠️ Дыра в том, что ARP никого не проверяет. Кто ответил — тому и верят. Можно без спроса сказать жертве «шлюз теперь по моему MAC» — и она поверит. Атака: Атакующий врёт обеим сторонам: — жертве: «шлюз — это мой MAC» — шлюзу: «жертва — это мой MAC» Теперь весь трафик жертвы идёт через атакующего. Он его читает и передаёт дальше, оставаясь незаметным. Это и есть MITM. 🎯 Почему именно L2: IP-адреса не меняются, сессии не рвутся, приложение ничего не замечает. Меняется только одно — на чью сетевую карту попадает кадр. Чистая механика канального уровня. Почему только в локалке: ARP-запросы широковещательные, а через роутер они не проходят. Значит, атаковать можно только из своего сегмента — надо быть в той же сети (тот же коммутатор или Wi-Fi). 🛡 Защита (тоже на L2): статические ARP-записи, Dynamic ARP Inspection, port security. Плюс TLS — перехват не остановит, но данные сделает нечитаемыми. 📌 Главное: атака всегда привязана к уровню. Знаешь уровень — знаешь и её границы (только локалка), и почему верхние уровни её не видят, и где ставить защиту. #network #теория #ad

🧩 Что такое ARP и зачем он нужен в сети? Чтобы отправить данные устройству в локальной сети, компьютеру нужен его MAC-адрес. Но обычно мы знаем IP-адрес. Здесь помогает ARP (Address Resolution Protocol) — протокол, который находит соответствие между IPv4-адресом и MAC-адресом. Как это работает: Компьютер проверяет ARP-кэш — возможно, нужный адрес уже известен. Если записи нет, он рассылает в локальную сеть запрос: «Кому принадлежит этот IP?» Устройство с таким адресом отвечает своим MAC-адресом. Компьютер сохраняет соответствие в кэше и отправляет данные. ⚠️ У ARP есть слабое место: протокол не проверяет подлинность ответов. Поэтому в локальной сети возможна ARP-подмена — когда устройство получает ложное соответствие IP и MAC. Это может позволить перехватывать или перенаправлять трафик. 📌 ARP работает с IPv4. В IPv6 для похожих задач используется Neighbor Discovery Protocol (NDP). #network

🎉 Праздник праздником, а разбор задачки — по расписанию, как и договаривались 😄 Большинство выбрало netdiscover, и это очень радует. Значит, тема разведки в локальной сети уже начинает хорошо укладываться 👌 Напомню вопрос:

Вы подключились к локальной сети и хотите быстро понять, какие устройства находятся в вашем сегменте. Что использовать?

✅ Правильный ответ — netdiscover Почему именно он? Netdiscover использует ARP-запросы и помогает быстро найти активные устройства в локальном сегменте сети. Например: sudo netdiscover -r 192.168.1.0/24 В результате можно увидеть: — IP-адреса устройств; — MAC-адреса; — производителя сетевого интерфейса. То есть логика здесь простая:

Подключились к сети
        ↓
Нужно понять, кто рядом
        ↓
Netdiscover
        ↓
Получили список хостов
        ↓
Дальше уже Nmap и анализ сервисов

А остальные варианты были отвлекающими: whoami — покажет текущего пользователя; ipconfig — сетевые настройки Windows; tasklist — список запущенных процессов. Так что большинство ответило правильно 🔥 И отдельный приятный момент — практически сразу после этой задачки нас стало уже 7 000. Совпадение? Возможно 😄 Но мне нравится думать, что практика действительно заходит. Будем продолжать: короткая теория → мини-задача → разбор. #разбор #викторина #netdiscover #arp #network #pentest

🛰 Что такое Netdiscover?

Netdiscover — это небольшая утилита для обнаружения устройств в локальной сети с помощью ARP-запросов.

Чаще всего её используют на этапе внутренней разведки, когда нужно быстро понять: — какие устройства есть в сети; — какие IP-адреса активны; — какие MAC-адреса им принадлежат; — кто производитель сетевого интерфейса. Обычно Netdiscover применяют в одной локальной сети или VLAN, потому что ARP не маршрутизируется через роутеры. Базовый запуск

sudo netdiscover

Утилита начнёт искать устройства в доступном сетевом сегменте. Можно указать конкретную подсеть:

sudo netdiscover -r 192.168.1.0/24

Пример результата:

IP              MAC Address         Vendor

192.168.1.1     aa:bb:cc:11:22:33   MikroTik

192.168.1.10    00:11:22:33:44:55   Dell

192.168.1.25    08:00:27:aa:bb:cc   PCS Systemtechnik

Так быстро видно, какие хосты сейчас отвечают в сети. Пассивный режим Есть ещё интересный вариант:

sudo netdiscover -p

В этом режиме Netdiscover сам не рассылает активные ARP-запросы, а слушает ARP-трафик в сети. Это полезно, когда нужно минимизировать активность. Почему Netdiscover удобен Он хорошо подходит для самого первого шага:

Подключились к сети

        ↓

Netdiscover

        ↓

Нашли живые хосты

        ↓

Nmap

        ↓

Определили порты и сервисы

        ↓

Дальнейшая разведка

Например, Netdiscover показал:

192.168.1.10    

192.168.1.25

После этого уже можно точечно изучать их через Nmap:

nmap -sV 192.168.1.25

Netdiscover и Nmap — это не одно и то же Netdiscover в первую очередь отвечает на вопрос:

Кто находится рядом со мной в локальной сети?

А Nmap:

Какие сервисы и порты работают на этих устройствах?

Поэтому эти инструменты хорошо дополняют друг друга. #netdiscover #arp #network #recon #nmap #pentest #infra

🌐 Что такое ARP? Допустим, ваш компьютер знает IP-адрес другого устройства:

192.168.1.15

Но возникает вопрос: 👉 Как ему найти именно этот компьютер в локальной сети? Ответ — ARP.

📌 ARP (Address Resolution Protocol) — это протокол, который определяет, какой MAC-адрес соответствует определённому IP-адресу.

Проще говоря, он помогает устройствам "найти друг друга" внутри локальной сети. 🧠 Представьте, что IP-адрес — это адрес дома. А MAC-адрес — имя конкретного человека, который в нём живёт. Чтобы доставить посылку, нужно знать не только адрес дома, но и кому именно её передать. Именно этим и занимается ARP. ⚡️ Как это работает? Компьютер хочет отправить данные на:

192.168.1.15

Он отправляет широковещательный запрос:

«Кто использует IP-адрес 192.168.1.15?»

Устройство с этим IP отвечает:

«Это я. Вот мой MAC-адрес.»

После этого компьютеры могут обмениваться данными напрямую. 💀 Почему ARP интересен пентестеру? Потому что именно на нём основаны многие этапы разведки и атаки в локальной сети. Например: — поиск живых устройств (Netdiscover) — ARP Spoofing — Man-in-the-Middle (MITM) — анализ сети через Wireshark 📌 Именно поэтому после попадания в локальную сеть одним из первых шагов становится изучение ARP. Он помогает быстро понять: — какие устройства находятся в сети; — какие IP-адреса используются; — какие хосты активны. 🧠 Без понимания ARP сложно разобраться, как работают многие атаки на локальную сеть. Именно поэтому с него обычно начинается изучение инфраструктурного пентеста. #infra #ad #arp