"OLFATEAR EN SWITCHS"
                  "MAC-FLOODING" 
Una practica comun en las auditorias de seguridad es el sniffeo de los paquetes de redes , pero que pasa cuando esto no puede ocurrir,  es decir cuando no podemos obtener el trafico destinado a los demas si no solo el nuestro?, pues tenemos que hacer a como de lugar que el trafico pase por nosotros, una practica tan antigua como el hacking mismo es que el switch se comporte como un hub, un hub era un dispositivo que re-transmitia todos los paquetes de red de un puerto en todos los puertos es decir enviaba una tormenta de broadcast, este dispositivo quedo en desuso porque generaba muchos paquetes malformados, retransmisiones, y consumia mucho ancho de banda, por lo cual rapidamente fue sustituido por los switchs quienes son mas inteligentes y tienen incorporada una memoria para guardar los registros de las computadoras conectadas por sus diferentes puertos.

los switchs son mas inteligentes e incorporan una tabla llamada  "CAM" que es la responsable de guardar en buffer los puertos y las direcciones fisicas conectadas al switch,  pero aqui ocurrre un problema grave y el principal fallo de seguridad:
esta memoria es limitada.

El switch no aprende las direcciones por si solo, si no que,  las aprende cada vez que detecta una interfaz conectada y como sus paquetes pasan por este mismo.

a continuacion se muestra una imagen de un switch y un hub.
como vemos no hay notables diferencias fisicas, excepto por su funcionamiento:

 Como podemos observar el hub es solo una interfaz electronica que retransmite todo lo que conecta a su paso, es decir regenera todo lo que pasa a traves de el , no tiene nada de "inteligencia", contrario el switch tiene un ancho de banda dedicado y el trafico pasa unica y exclusivamente por ese puerto dedicado especifico.

Aqui se muestran imagenes breves de la tabla mac:


Lo que sucede con esta tabla es que llega un momento en el que no puede soportar mas direcciones fisicas(MAC) e inicia su transmision en un Modo De Repeticion similar a un hub, al crear este escenario ahoar si es posible sniffear todo lo que pase a traves del switch, pero claro esta, primero deberemos investigar muy bien la direccion de red del switch para poder efectuar este ataque,  tendremos que hacer una buena enumeracion para investigar los posibles switchs dentro de la empresa o a la victima que estemos auditando en ese momento.

Y como sabemos que estamos frente a un switch?
pues es facil, al estar dentro de la red que atacaremos ,el trafico no pasara delante de nosotros, aun asi, si lo ponemos en modo promiscuo, al estar en esta situacion tendremos que efectuar una enumeracion como lo anterior dicho y descubrir cual es verdaderamente la direccion de red del switch de la subred.

Funcionamiento del ataque:
1._cuando el switch debe aprender una direccion mac este envia un paquete ARP-BROADCAST
es decir un paquete con la direccion FFFF:FFFF:FFFF:FFFF y dice quien tiene esta ip? 192.168.0.2?
2._ El Host A envía una trama con dirección de destino bbbb.bbbb.bbbb. Esta trama es recibida por el Switch.
3.: El Switch lee la dirección de destino de la trama y la busca en su tabla de MACs. La dirección bbbb.bbbb.bbbb está asociada a la interfaz Fa0/2.
3.: El Switch reenvía la trama únicamente a través de la interfaz Fa0/2 y esta es recibida por el Host B.