ARP / MAC / IP Hilfe!

[2fast4u]

Hi.

Ich habe seit gestern ein Problem mit meinem Netzwerk... Erstmal kurz zum Aufbau:

Internet-Router: 192.168.1.1 - der ist nur für die Internerverbindung zuständig
Wlan-Router: 192.168.1.100 - hier hängen alle PCs dran (LAN und W-lan)
PC1 (mein PC): 192.168.1.101 - über LAN angeschlossen
PC2: 192.168.1.102 - über WLAN
PC3: 192.168.1.103 - über WLAN

usw.

IPs sind bis zur 106 vergeben. DHCP ist überall aus und die Router waren auch alle korrekt eingestellt, hat auch alles super funktioniert.

Jetzt zum Problem:
Habe gestern von einem Kumpel ein Tool gezeigt bekommen, mit dem man ARP-Spoofing betreiben kann. Ich wollte darauf hin mal mein Netzwerk auf Sicherheit testen und hab daraufhin von meinem Laptop meinen PC gesnifft. Das Ergebnis war folgendes, das ich tatsächlich über meinen Laptop die Passwörter (E-Mail usw.) über den Laptop ausspähen konnte.

Ok, habe darauf nach Lösungen gegooglet und mir das Programm "Xarp" installiert. Dieses hat auch sofort Warnmeldungen gezeigt. Ok, soweit so gut. Als ich das Spoofing-Programm vom Laptop beendet habe, sind auch die Fehlermeldungen von "Xarp" verschwunden, was ja auch logisch ist, da kein Spoofing mehr stattfindet.

Später wollte ich das ganze mal meinem Bruder vorführen. Selbes Szenario wie oben, nur das ich diesmal das ARP-Spoofing-Prog vom Laptop nicht beendet habe, sondern einfahc den LAN-Stecker raus gezogen habe (war wohl ein Fehler).
Jedenfalls meldet "Xarp" jetzt immer noch, dass ARP-Spoofing stattfindet, obwohl kein Rechner im Netz ist, außer mein PC eben.

Ich habe auch keinen Zugriff mehr auf den Router bzw. ins Internet. Von allen anderen PCs im Netzwerk geht es einwandfrei!

Jetzt vermute ich, dass es irgendwas mit dem ARP-Zeugs bei mir zerschossen hat. Ich habe dann mit dem Befehl "arp -d *" bei mir die ARP-Tabelle zurück gesetzt (oder sowas in der Art). Seit dem komme ich wieder auf den Router und alles scheint zu funktionieren. Nur wenn ich "Xarp" starte, meldet dies immernoch Fehler (auch wenn kein Spoofing stattfindet) und sagt etwas von einer geänderten MAC-Adresse des Routers...

Kann mir da jemand weiterhelfen? Zeitweise hatte laut ARP-Tabelle auch beide Router die gleiche MAC

Ich bin echt überfordert. Kennt sich da jemand aus? Router hab ich schon resettet und die alte Config drauf geladen, aber daran scheints wohl nicht zu liegen, sondern wirklich an meinem PC.

 

[Hummerman]

Deinstallier Xarp einfach und den Mailverkehr verschlüsselt du per SSL/TLS ist eh sicherer.

 

[2fast4u]

Danke erstmal für die Antwort.

Ja könnt ich klar machen, aber irgendwas scheint ja jetzt an der ARP-Tabelle oder sonst wo geändert worden zu sein.
Mail-Verkehr hab ich ja verschlüsselt, aber trotzdem ist es mit dem Tool ein Leichtes, auch Passwörter von Foren/Homepages usw. beim einloggen zu bekommen.
Ich möchte einfach einen Schutz davor haben. Meine Brüder kennen dieses Tool jetzt auch. Ich muss ständig mit der Angst leben, dass sie meine Passwörter auspionieren können.

Oder anderes Szenario: Ich geh öfters mal auf LANs, egal ob öffentlich oder privat. Bis jetzt war ich mir der Gefahr nicht bewusst, aber jeder auf dieser LAN könnte meine Passwörter spoofen.

Ich versteh einfach nicht, warum Xarp sich quasi das Spoofen von gestern "gemerkt" hat. Es kommt folgende Meldung: "Change Filter: Mac adress for IP 192.168.1.1 changed from xx-xx-yy-xx-xx-xx to xx-yy-xx-xx-xx-xx.

Hab die MAC jetzt mal unkenntlich gemacht. Ich versteh nur die Tatsache dahinter nicht. Wurde meine MAC vom Internetrouter jetzt tatsächlich geändert? Geht doch eigentlich gar nicht oder? Oder wie kommt diese Fehlermeldung zustande, obwohl das Spoofing-Tool am Laptop gar nicht mehr läuft?

Ich hab schon beide Router resettet, beim betroffenen Internetrouter sogar ein Firmwareupdate gemacht. Nichts hilft :-(

 

[Hummerman]

Gut, das ist natürlich ein Argument, aber wenn du irgendwas wichtiges/privates auf einer Lan erledigen willst, würde ich eh über einen VPN-Server gehen.

Hast du mal die MAC-Adresse der Netzwerkkarten und die vom Router überprüft?

 

[2fast4u]

Hmm mit VPN-Server kenn ich mich gar nicht aus, wie man sowas macht?!? Gibts da irgendwo ein Tutorial?

Was meinst du mit Mac-Adresse für Netzwerkkarte und Router überprüfen?
Sind beides unterschiedliche MACs. Oder was meinst du genau?

 

[ara1]

kenne Xarp jetzt zwar nicht direkt, vermute aber mal es wird wie arpwatch unter Linux arbeiten. In dem Fall hat es eine Datenbank in der der "Ausgangszustand" gespeichert ist, also MAC->IP. Ändert sich nun diese Zuordnung schlägt er Alarm. In deinem Fall hat er wohl das gespoofte als "Normalzustand" gespeichert, und meckert daher jetzt wenn nichtsmehr gespooft wird.

 

[2fast4u]

Ok, das wäre eine Möglichkeit, aber ich habe es auch schon deinstalliert und wieder neu installiert - ohne Erfolg :-(

Sobald ich den Internetrouter abstecke, kommt kein Fehler mehr. Schließe ich ihn an, meckert es sofort wieder rum.

Kann irgendwo im Router selbst eine Art ARP-Cache sein? Oder woher weiß Xarp, dass da irgendwann mal was verändert wurde? Selbst wenn ich es auf einem anderen PC installiere meckert es. Also muss es sich diese Infos ja vom Router holen und nicht aus einer eigenen Datenbank haben?!

 

[Hummerman]

Hmm mit VPN-Server kenn ich mich gar nicht aus, wie man sowas macht?!? Gibts da irgendwo ein Tutorial?

Tutorial findet man meist bei den Anbietern, ist nicht kostenlos. Dafür fast 100%ig sicher.

 

[2fast4u]

Achso ok. Müsste ich mir vielleicht mal anschauen.

Jetzt müsste ich nur wissen, warum das Xarp bei mir immer rummeckert. Ich bekomms halt einfach nicht weg.
Ich denke, dass die Idee von ara1 oben stimmen könnte. Nur macht es dann keinen Sinn, dass es selbst nach der Deinstallation und Neuinstallation immer noch meckert. Die Registry hab ich auch schon durchsucht und mögliche Xarp-Einträge gelöscht :-(

Und was noch viel wichtiger wäre:
Wie kann ich mich gegen so ARP-Spoofing schützen? Wie handhabt ihr das? Oder ist das für euch kein Thema? Ich meine, im Prinzip kann man so übers (W)-Lan ohne Probleme Passwörter ausspähen. Wenn man alleine das Netzwerk nutzt, ist es ja kein Risiko, aber gerade bei mehreren Teilnehmern (auch wenn es Familienmitglieder sind), ist das Riskiko ja sehr hoch. Ich jedenfalls möchte nicht, dass meine Brüder sehen auf welchen Homepages ich gerade surfe und vielleicht sogar noch die Logindaten sehen.

 

[sabermaul]

Die Registry hab ich auch schon durchsucht und mögliche Xarp-Einträge gelöscht :-(

Auch den Installationsordner sowie dein Benutzerkonto durchsucht? Vielleicht speichert es die Zustände ja dort.

 

[2fast4u]

Leider bin ich da auch nicht fündig geworden :-(
Und wie schon gesagt, installier ich es auf einem völlig anderen PC neu, meckert es ja gleich wieder. Also müssen die Infos wo anders her kommen.

Kennt jemand den Befehl "netsh interface ip delete arpcache"?
Ich komm mit der Syntax nicht so ganz klar. Was setz ich z.B. für "interface" ein? Und welche IP? Die eigene? Die vom Router?