Da MAC Address a IP Address

[ryan79]

Ciao a tutti!
C'è un modo che consenta di ricavare l'indirizzo IP partendo dall'indirizzo MAC?

Devo trovare l'IP di un host nella lan. Ho utilizzato Angry IP Scanner, ma nell'intervallo di scansione che comprende tutti gli altri ip della rete non si trova l'host 'fantasma'! Mi viene il sospetto che qualcuno abbia modificato l'IP inserendo un 'tipo' di indirizzo diverso da quello della LAN.

[Harry_Callahan]

Originariamente inviato da ryan79

Ciao a tutti!
C'è un modo che consenta di ricavare l'indirizzo IP partendo dall'indirizzo MAC?

hai l'accesso al router della rete?

[Gennarino]

Prova con CAIN (www.oxid.it)

[nuovoUtente86]

Le vie sono diverse, più o meno pratiche, più o meno efficienti.
Ti è stato già consigliato uno sniffer (meglio wireshark), ma funziona (senza altri armeggi) solo su reti hubbed. L' altra soluzione è costituita dal protocollo rarp che permette da risoluzione inversa di mac in IP. Ora non mi sovvengono software in grado di operare con tale protocollo, perchè io preferisco una terza via, ovvero l' utilizzo dei raw socket con scanner della rete.

[OUTATIME]

Originariamente inviato da nuovoUtente86

Le vie sono diverse, più o meno pratiche, più o meno efficienti.
Ti è stato già consigliato uno sniffer (meglio wireshark), ma funziona (senza altri armeggi) solo su reti hubbed. L' altra soluzione è costituita dal protocollo rarp che permette da risoluzione inversa di mac in IP. Ora non mi sovvengono software in grado di operare con tale protocollo, perchè io preferisco una terza via, ovvero l' utilizzo dei raw socket con scanner della rete.

Non basterebbe wireshark con i 3/4 pacchettini che la scheda di rete invia in broadcast all'accensione?
Questo ovviamente se la rete non e suddivisa in sezioni e se il nostro amico sa l'ora di accensione del PC da trovare....

[ryan79]

Originariamente inviato da Harry_Callahan

hai l'accesso al router della rete?

Sì.

[Harry_Callahan]

Originariamente inviato da ryan79

Sì.

cerca l'host nell'ARP Table

[ryan79]

Grazie a tutti per le informazioni, ho provato con wireshark, ma non trova niente.

[lupin 3rd]

apri wireshark,avvia lo sniffer,fai un ping all'indirizzo ip dell' host(ovviamente l' indirizzo ip dev' essere presente nella tua stessa rete altrimenti vedresti l' ip del router gateway)e dopo aver ricevuto il pacchetto di risposta vedi il source mac....

[Harry_Callahan]

Originariamente inviato da lupin 3rd

fai un ping all'indirizzo ip dell' host

leggi bene la richiesta dell'utente

lui vuole ricavare l'IP partendo dal MAC

se ha l'accesso al router basta verificare l'ARP Table(logicamente l'host deve avere il router come gateway). Se l'host è in una rete diversa si può provare a vedere il MAC address table(router permettendo)

[lupin 3rd]

Originariamente inviato da Harry_Callahan

leggi bene la richiesta dell'utente

lui vuole ricavare l'IP partendo dal MAC

se ha l'accesso al router basta verificare l'ARP Table(logicamente l'host deve avere il router come gateway). Se l'host è in una rete diversa si può provare a vedere il MAC address table(router permettendo)

già ho capito male...deve accedere al gateway...oppure per un pò di tempo(mezza giornata),siccome l' aggiornamento della tabella arp è frequente,deve aspettare che il pc anonimo invii una richiesta "who has xxx.yyy.zzz.kkk?tell to xx.yy.zz.jj.kk.ww" (chiaramente l' altro pc deve avere wireshark attivo)solo che non so se questa richiesta va solo al router oppure a tutti gli host della rete...

[nuovoUtente86]

Originariamente inviato da lupin 3rd

già ho capito male...deve accedere al gateway...oppure per un pò di tempo(mezza giornata),siccome l' aggiornamento della tabella arp è frequente,deve aspettare che il pc anonimo invii una richiesta "who has xxx.yyy.zzz.kkk?tell to xx.yy.zz.jj.kk.ww" (chiaramente l' altro pc deve avere wireshark attivo)solo che non so se questa richiesta va solo al router oppure a tutti gli host della rete...

mezza giornata per un rarp....noooooooo
I pacchetti in unicast, inoltre viaggiano su tutte le porte solo nel momento in cui la mac table non ha una entry.

[nuovoUtente86]

Originariamente inviato da OUTATIME

Non basterebbe wireshark con i 3/4 pacchettini che la scheda di rete invia in broadcast all'accensione?
Questo ovviamente se la rete non e suddivisa in sezioni e se il nostro amico sa l'ora di accensione del PC da trovare....

no perchè vedrebbe come source ip 0.0.0.0. Una soluzione è il traffico netbios,ma se il pc è malevolo, ovviamente è disabilitato.

[lupin 3rd]

Originariamente inviato da nuovoUtente86

mezza giornata per un rarp....noooooooo
I pacchetti in unicast, inoltre viaggiano su tutte le porte solo nel momento in cui la mac table non ha una entry.

al router che ho io,wireshark non sniffa mai pacchetti rarp ma solo arp ad intervalli di 5 minuti..poi il router deve supportare e dev' essere abilitato sul router il rarp...se lo supporta si potrebbe creare un pacchetto con programmi tipo colasoft packet builder per esempio(mi sa ke nn supporta rarp) che generi il pacchetto rarp,ma il router deve rispondere alla richiesta...

l' altenativa(poco intelligente però) è quella di trovare la subnetmask oppure cercare il range della propria rete,fare un bel file .bat con tante istruzioni ping per ogni indirizzo ip della rete,sniffare il tutto con wireshark ed abilitare il filtro su wireshark in base all' indirizzo mac che possiede...

altrimenti semplicemente avvia wireshark dalla mattina,imposta un filtro con il mac come ho detto prima,ad intervalli di mezz' ora se non trova l' ip cancella la cache(perchè questa occupa ram) e tiene wireshark in ascolto fino a quando l' host sconosciuto non comunica con l' host suo...

[nuovoUtente86]

Originariamente inviato da lupin 3rd

al router che ho io,wireshark non sniffa mai pacchetti rarp ma solo arp ad intervalli di 5 minuti..poi il router deve supportare e dev' essere abilitato sul router il rarp...se lo supporta si potrebbe creare un pacchetto con programmi tipo colasoft packet builder per esempio(mi sa ke nn supporta rarp) che generi il pacchetto rarp,ma il router deve rispondere alla richiesta...

In tutto questo discorso il router non c' entra nulla : è una questione host- to -host e del tipo di rete che sta in mezzo (nel caso un centro-stella, alias uno switch), cosi come non c' entra il supporta rarp : rarp è un protocollo ietf (rfc 903) e come tale chiunque implementi uno stack tcp/ip deve renderlo disponibile : eventualmente lo si inibisce a livello firewall, ma è un altro discorso.Quello che tu sniffi è una richiesta gateway, ma ha poco a che fare con questo discorso, essendo un pacchetto unicast.

l' altenativa(poco intelligente però) è quella di trovare la subnetmask oppure cercare il range della propria rete,fare un bel file .bat con tante istruzioni ping per ogni indirizzo ip della rete,sniffare il tutto con wireshark ed abilitare il filtro su wireshark in base all' indirizzo mac che possiede...

se qualcuno ha interesse a nascondere la propria identità, disabilità icmp.

altrimenti semplicemente avvia wireshark dalla mattina,imposta un filtro con il mac come ho detto prima,ad intervalli di mezz' ora se non trova l' ip cancella la cache(perchè questa occupa ram) e tiene wireshark in ascolto fino a quando l' host sconosciuto non comunica con l' host suo...

a quel punto basterebbe guardare la cache arp del proprio host, ma funziona solo nel caso in cui l' host cercato abbia interesse a comunicare con il computer specifico.

[lupin 3rd]

Originariamente inviato da nuovoUtente86

In tutto questo discorso il router non c' entra nulla : è una questione host- to -host e del tipo di rete che sta in mezzo (nel caso un centro-stella, alias uno switch), cosi come non c' entra il supporta rarp : rarp è un protocollo ietf (rfc 903) e come tale chiunque implementi uno stack tcp/ip deve renderlo disponibile : eventualmente lo si inibisce a livello firewall, ma è un altro discorso.Quello che tu sniffi è una richiesta gateway, ma ha poco a che fare con questo discorso, essendo un pacchetto unicast.

non è obbligatorio rendere disponibile il rarp...dal pc si può provare ad inviare la richiesta rarp,ma bisogna trovare un buon costruttore di pacchetti chepermetta di creare pacchetti rarp

Originariamente inviato da nuovoUtente86

se qualcuno ha interesse a nascondere la propria identità, disabilità icmp.

non è detto che questo qualcuno sia esperto a disabilitare icmp...non solo,se è l' unico della rete che lo abbia disabilitato è cmq facile risalire al suo ip visto che è stato l' unico che non ha risposto al ping

Originariamente inviato da nuovoUtente86

a quel punto basterebbe guardare la cache arp del proprio host, ma funziona solo nel caso in cui l' host cercato abbia interesse a comunicare con il computer specifico.

dove si trova la cache arp nel proprio host?io sapevo che la tabella di corrispondenza è presente solo nel router.
E' chiaro che se non c'è e non ci potrà essere alcuna comunicazione diretta tra il pc di ryan79 e il pc anonimo,l' unica strada percorribile rimarrebbe quella di risalire all' ip tramite l' accesso al router(sempre che il router disponga della funzionalità di visualizzazione della tabella)

[nuovoUtente86]

Originariamente inviato da lupin 3rd

non è obbligatorio rendere disponibile il rarp...dal pc si può provare ad inviare la richiesta rarp,ma bisogna trovare un buon costruttore di pacchetti chepermetta di creare pacchetti rarp

conosci il significato di rendere disponibile un protocollo e di rfc per chi implementa uno stack. Non mi pare, comunque, per farla breve sta a significare che chiunque partli TCP/IP, ha l' obbligo di trattare richieste effettuate attraverso determinati protocolli, ed rarp è uno di questi. Quello che poi si può fare a livello firewall è un' altra cosa.

non è detto che questo qualcuno sia esperto a disabilitare icmp...non solo,se è l' unico della rete che lo abbia disabilitato è cmq facile risalire al suo ip visto che è stato l' unico che non ha risposto al ping

basta il piu scarso dei firewall per inibire icmp. Inoltre per avere la certazza di cui parli, è necessario che tutto il range ip, meno 1, sia saturo ma a quel punto è banale sapere l' ip senza neppure accendere un pc.

dove si trova la cache arp nel proprio host?io sapevo che la tabella di corrispondenza è presente solo nel router.
E' chiaro che se non c'è e non ci potrà essere alcuna comunicazione diretta tra il pc di ryan79 e il pc anonimo,l' unica strada percorribile rimarrebbe quella di risalire all' ip tramite l' accesso al router(sempre che il router disponga della funzionalità di visualizzazione della tabella)

prova a dare il comando arp-a e poi ne riparliamo (esiste un ulteripre modo, su macchine windows). Guardacaso, anche i router hanno tale cache (riferita ovviamente alle richieste gateway), e sai perchè...semplicemente perchè un router è un dispositivo ip, esattamente come un pc.

[lupin 3rd]

Originariamente inviato da nuovoUtente86

conosci il significato di rendere disponibile un protocollo e di rfc per chi implementa uno stack. Non mi pare, comunque, per farla breve sta a significare che chiunque partli TCP/IP, ha l' obbligo di trattare richieste effettuate attraverso determinati protocolli, ed rarp è uno di questi. Quello che poi si può fare a livello firewall è un' altra cosa.

non ho parlato di firewall,sto dicendo che rarp non è obbligatorio;il router memorizza la corrispondenza tra indirizzo ip e mac per vedere a quale pc inviare i frame.

Originariamente inviato da nuovoUtente86

basta il piu scarso dei firewall per inibire icmp. Inoltre per avere la certazza di cui parli, è necessario che tutto il range ip, meno 1, sia saturo ma a quel punto è banale sapere l' ip senza neppure accendere un pc.

hai ragione che per fare una cosa del genere tutto il range sia saturo,ma supponendo che sia saturo come fai a sapere l' ip senza neppure accendere un pc?

Originariamente inviato da nuovoUtente86

prova a dare il comando arp-a e poi ne riparliamo (esiste un ulteripre modo, su macchine windows). Guardacaso, anche i router hanno tale cache (riferita ovviamente alle richieste gateway), e sai perchè...semplicemente perchè un router è un dispositivo ip, esattamente come un pc.

non c' entra:il protocollo ip è di livello rete (3o livello nello stack iso/osi) mentre il protocollo rarp e arp sono di livello datalink(2o livello nello stack iso/osi);e poi ci sono router e router,il mio router che possiede anche la porta usb per rendere una stampante accessibile a tutti dalla rete locale o per condividere un hard disk usb supporta anche il protocollo di alto livello ipp e smb.

[nuovoUtente86]

Originariamente inviato da lupin 3rd

non ho parlato di firewall,sto dicendo che rarp non è obbligatorio;il router memorizza la corrispondenza tra indirizzo ip e mac per vedere a quale pc inviare i frame.

ancora, qui di router non se ne parla, perchè non c' entra nulla. Il protocollo rarp,che fa parte del livello datalink, è obbligatorio per chiunque implementi uno stack TCP/IP, in quanto costituisce il mezzo inverso alla risoluzione arp. Poi che un client abbia un modo più o meno agevole (a livello applicativo) di fare tale richiesta, non importa (cosi come non importa che la risposta sia droppata a livello firewall). Le specifiche ci dicono che se un host dialoga IP, deve essere in grado di accettare e processare richieste arp/rarp.

hai ragione che per fare una cosa del genere tutto il range sia saturo,ma supponendo che sia saturo come fai a sapere l' ip senza neppure accendere un pc?

perchè se il range è saturo, si avrà un piano di indirizzamento statico o al più basta controllare le entry del dhcp server.

non c' entra:il protocollo ip è di livello rete (3o livello nello stack iso/osi) mentre il protocollo rarp e arp sono di livello datalink(2o livello nello stack iso/osi);

certo, è un protocollo di mappatura ip-indirizzo fisico, trasportato direttamente a livello datalink, ma non capisco dove sia il problema, visto che ogni dispostivio IP, deve essere in grado di tradurre tale indirizzo logico in uno valido nel proprio dominio fisico. Hai detto che non era possibile conoscere la cache Arp da un host, e ti ho dimostrato il contrario. Vogliamo continuare?
e poi ci sono router e router,il mio router che possiede anche la porta usb per rendere una stampante accessibile a tutti dalla rete locale o per condividere un hard disk usb supporta anche il protocollo di alto livello ipp e smb.[/quote]
e quindi? la definizione di dispositivo Ip è rigorosa e riguarda qualunque dispositivo sia in grado di trattare almeno il livello rete: se scrivo uno stack in grado di elaborare Ip su una macchinetta del caffe, sarà sempre un dispositivo Ip, in grado di fare anche un ottimo caffe, ma ciò poco importa.

[lupin 3rd]

Originariamente inviato da nuovoUtente86

ancora, qui di router non se ne parla, perchè non c' entra nulla. Il protocollo rarp,che fa parte del livello datalink, è obbligatorio per chiunque implementi uno stack TCP/IP, in quanto costituisce il mezzo inverso alla risoluzione arp. Poi che un client abbia un modo più o meno agevole (a livello applicativo) di fare tale richiesta, non importa (cosi come non importa che la risposta sia droppata a livello firewall). Le specifiche ci dicono che se un host dialoga IP, deve essere in grado di accettare e processare richieste arp/rarp.

come di router non se ne parla?forse non ti è molto chiara la comunicazione all' interno di una rete come avviene:nel momento in cui devo comunicare con un pc all' interno della rete locale devo sapere il suo indirizzo mac perchè il sistema operativo dovrà partire dal livello più alto fino a quello data-link in cui metterà l'indirizzo mac di destinazione...dopo di che consegnerà i frame data-link alla scheda di rete che si occuperà di trasmetterli tramite il cavo di rete in segnali binari;quando i pacchetti arrivano al router questo prende l' indirizzo ip di destinazione e fa il confronto con la subnetmask,in particolare fa l' operazione di end fra i bit...se il valore dell' end è lo stesso della subnet mask convertita in binario,allora l' ip di destinazione appartiene alla rete locale,viene trovata la corrispondenza nella arp cache ,il router converte in frame e questi vengono inviati al pc di destinazione;se invece l'ip non appartiene alla rete locale,il router(nel caso di una rete domestica)invia il pacchetto al router dell' isp e poi questo verrà instradato in base agli algoritmi di routing;lo scopo del pc di sapere il mac del pc di destinazione è quello nel caso in cui in una rete non c'è un router ma solo uno switch;in questo caso lo switch legge il mac di destinazione del frame e lo inoltra alla rispettiva porta;è cosi che funziona soprattutto perchè in molti casi per risparmiare il lavoro ai router nelle reti locali vengono usati gli switch come smistatori(in modo che al router giungano solo i pacchetti destinati all' esterno)...adesso,a parte il fatto che io ho provato ad avviare wireshark sul pc fisso e ad inviare un file al portatile e ho sniffato solo pacchetti smb e arp e quindi nessun pacchetto rarp,mi spieghi poi a cosa servirebbe in tutto il discorso che ti ho detto il protocollo rarp?

Originariamente inviato da nuovoUtente86

perchè se il range è saturo, si avrà un piano di indirizzamento statico o al più basta controllare le entry del dhcp server.

e anche avendo un piano di indirizzamento statico mi spieghi come faresti a risalire al mac anche a pc spenti? al max potresti usare le entry del dhcp server sempre che questo renda visualizzabile l' associazione ip locale-mac