ARP ve DNS zehirlenmesi izleri

ARP, yerel ağda IP adresini fiziksel MAC adresine çeviren protokoldür. Bir cihaz paket göndermeden önce hedefin MAC adresini bilmek zorundadır, bunu ARP isteğiyle sorar. Yanıtı alan her cihaz bu eşleşmeyi kısa süreli bir önbellekte tutar. Protokolün tasarımında kimlik doğrulama yoktur; herhangi bir cihaz, hiç sorulmadan bile bir ARP yanıtı yayınlayabilir ve alıcı bunu sorgusuz kabul eder. Saldırgan bu boşluğu ARP zehirlenmesinde kullanır: ağ geçidinin IP adresine kendi MAC adresini bağlayan sahte yanıtlar yayınlar. Kurbanın önbelleği güncellenince trafik artık saldırganın cihazı üzerinden akar, kurban hata görmez çünkü paketler sonunda gerçek ağ geçidine ulaşır.

Meşru bir cihaz da bazen istenmeden ARP yanıtı yayınlar, buna gerekçeli (gratuitous) ARP denir ve genelde yük devretme ya da adres çakışma denetimi için kullanılır. Ayırt edici işaret sıklık ve kalıcılıktır. Aynı IP adresinin kısa bir pencerede iki farklı MAC adresine bağlandığını ve bu ikinci eşleşmenin kalıcı hale geldiğini görmek, saldırının en güvenilir izidir. Anahtarlarda Dinamik ARP Denetimi açıksa, cihaz DHCP kayıt tablosuyla eşleşmeyen her ARP yanıtını ağa girmeden reddeder ve bu iz hiç oluşmaz.

DNS çözümlemesi benzer bir güven zincirine dayanır. İstemci önce yerel çözücüye sorar, çözücü sırayla kök, üst düzey alan ve yetkili sunucuya danışıp yanıtı taşır. Zehirlenme bu zincirin ortasına sahte bir yanıt sokmakla olur: saldırgan, gerçek yetkili sunucunun cevabı yetişmeden önce tahmin ettiği işlem numarasıyla sahte bir yanıt gönderir ve çözücü bunu gerçek sanıp önbelleğe yazar.

Şema zincirin her durağını gösterir. Sahte yanıt zincirin sonunda, istemciye ulaşan cevapta fark edilir: beklenmedik kısa TTL, aynı ad için kısa sürede birbirinden farklı IP adresleri ya da hiç sorulmamış bir sorunun cevabının gelmesi, üçü de zehirlenmenin izidir.