ARP-спуфинг. Взлом, защита и описание технологии

Уязвимости, взломы и способы защиты. Вирусы здесь не обсуждаются

Модераторы: Tim308, phantom

Ответить

nhroot
Новичок
Сообщения: 2
Зарегистрирован: 04 сен 2015, 14:33
Репутация: 0
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение nhroot » 04 сен 2015, 14:46


Добрый день. Как я понимаю, редирект порта с 80 на xxxx, и sslstrip -l xxxx , больше не перехватывают пароли для mail.ru , vk.com, facebook.com и т.д.
Наткнулся на недавно выложенное видео, от 3 июня 2015 года http://www.youtube.com/watch?v=8yZ9Q_Miio0 , по создание AP и последующем arp spoofing-е. Там поднимается AP, dhcp сервер и также включается прероутинг и т.д. через iptables. После действий, которые были выполнены на видео, удается узнать логин, пароль от fb. Собственно вопрос, можно ли, без настройки AP, а сразу ARP Spoofing-ом подобным образом обходить защиту? Можно ли спроецировать действия, которые были выполнены на видео в Ваш метод? Спасибо.

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 04 сен 2015, 15:15


nhroot писал(а):Источник цитаты Как я понимаю, редирект порта с 80 на xxxx, и sslstrip -l xxxx , больше не перехватывают пароли

Редирект с 80 порта делать не обязательно, так просто удобнее. sslstrip по прежнему успешно работает с сайтами которые не перешли на SSL полностью.

Видео по ссылке смотреть не стал, так что ничего сказать не могу.


nhroot
Новичок
Сообщения: 2
Зарегистрирован: 04 сен 2015, 14:33
Репутация: 0
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение nhroot » 04 сен 2015, 15:29


Как я понимаю, mail.ru, vk.com, и fb.com перешли на SSL полностью. Так как Ваш метод для них не работает, хотя даже для ebay.com - работает. На видео показано как добыть пароль от fb.com при помощи спуфинга. Если будет время, при возможности, посмотрите пожалуйста видео, самая интересная часть в середине, непосредственно на настройке iptables (я так думаю). Спасибо за ответ.

Аватара пользователя

Tim308
Модератор
Модератор
Сообщения: 143
Зарегистрирован: 26 июл 2014, 22:24
Есть ответ: 1
Репутация: 30
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение Tim308 » 07 сен 2015, 10:17


DesignerMix, Получилось получить куки не прописывая в терминале команду echo.
Тогда зачем она нужна? :thinking:

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 07 сен 2015, 10:39


Tim308, форвардинг пакетов предлагается включить для того, что-бы производить маршрутизацию транзитных пакетов, так как по умолчанию эта функция отключена. Возможно у вас просто эта функция по умолчанию была включена или вы включили ее раньше.

Если интересно то подробности можете найти здесь - http://gentoo.theserverside.ru/book/ar68s16.html

Аватара пользователя

Tim308
Модератор
Модератор
Сообщения: 143
Зарегистрирован: 26 июл 2014, 22:24
Есть ответ: 1
Репутация: 30
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение Tim308 » 07 сен 2015, 10:44


DesignerMix писал(а):Источник цитаты Tim308, форвардинг пакетов предлагается включить для того, что-бы производить маршрутизацию транзитных пакетов, так как по умолчанию эта функция отключена. Возможно у вас просто эта функция по умолчанию была включена или вы включили ее раньше.

Если интересно то подробности можете найти здесь - http://gentoo.theserverside.ru/book/ar68s16.html

у меня сложилась в голове такая картина: я,прописывая команду echo,пропускаю весь трафик через свой нетбук.Потом решил поэкспериментировать и все сделал как на видео, но только без команды echo и все тоже само получилось, и первоначальная картинка в голове развалилась, и я запутался :D
теперь вот сижу разбираюсь более глубоко


trex
Новичок
Сообщения: 4
Зарегистрирован: 08 сен 2015, 01:55
Репутация: 0
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение trex » 08 сен 2015, 02:01


Здравствуйте! Все проделал как на видео, но после подключения Mitm((чек-бокс выбран на Snif remote connections) и запуска сниифинга, на атакуемом компьютере не открывается ни одна страница в интернете. Ответ выдается - сервер не найден. Вся последовательность проделана в соответствии с действиями в ролике. Используемый модем D-Link 2750B. В чем может быть причина? :?:

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 08 сен 2015, 08:43


trex, убедитесь что форвардинг пакетов включен так как проблема скорее всего в этом.

Еще раз выполните команду:

Код: Выделить всё

echo "1" > /proc/sys/net/ipv4/ip_forward


Если проблема не в этом, то проверьте как с атакуемого компьютера проходят пакеты выполнив на нем команду:

Код: Выделить всё

tracert google.ru


Выполните ее до атаки и во время атаки, а затем сравните где теряется пакет и сделайте выводы.

PS: Кстати у вас IP-адрес и DNS-сервер на атакуемом ПК получается по DHCP или прописан вручную?


trex
Новичок
Сообщения: 4
Зарегистрирован: 08 сен 2015, 01:55
Репутация: 0
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение trex » 08 сен 2015, 14:21


Благодарю за ответ!
Мой IP-адрес и DNS-сервер на атакуемом ПК получается по DHCP.
Выполнил команду tracert google.ru до атаки:

Код: Выделить всё

Трассировка маршрута к google.ru [173.194.40.15]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2     *        *        *     Превышен интервал ожидания для запроса.
  3   154 ms    33 ms    84 ms  host185-230-static.44-88-b.business.telecomitali
a.it [88.44.230.185]
  4    52 ms    46 ms    46 ms  80.17.209.207
  5    40 ms   123 ms    38 ms  172.19.242.70
  6     *        *        *     Превышен интервал ожидания для запроса.
  7    91 ms    96 ms    81 ms  72.14.196.141
  8    44 ms    39 ms    41 ms  209.85.249.54
  9    46 ms    49 ms    39 ms  64.233.174.245
 10    39 ms    39 ms    44 ms  mil02s06-in-f15.1e100.net [173.194.40.15]

Трассировка завершена


Во время атаки

Код: Выделить всё

Microsoft Windows [Version 6.1.7601]
(c) Корпорация Майкрософт (Microsoft Corp.), 2009. Все права защищены.

C:Usersинал>tracert google.ru
Не удается разрешить системное имя узла google.ru.


Отправлено спустя 1 минуту 54 секунды:
Еще раз выполнил команду

Код: Выделить всё

echo "1" > /proc/sys/net/ipv4/ip_forward

Результат тот же - на атакуемом компе не отрываются страницы в интернете

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 08 сен 2015, 14:32


trex писал(а):Источник цитаты C:Usersинал>tracert google.ru
Не удается разрешить системное имя узла google.ru.

То есть проблема явно связана с DNS либо с общей проблемой трансляции трафика. А если обратиться к сайту по IP вместо доменного имени то заходит?

Кстати современные браузеры научились "видеть" подобные атаки (хотя обычно браузер реагирует не так как у вас). Что будет если использовать старый браузер?


trex
Новичок
Сообщения: 4
Зарегистрирован: 08 сен 2015, 01:55
Репутация: 0
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение trex » 08 сен 2015, 15:17


Пробовал зайти на сайт по IP... тот же эффект. Моя проблема может быть связана с особенностью модем -роутера D-Link DSL 2750B. У него в опциях есть функции межсетового экрана http://www.dlink.ru/ru/products/3/1829_b.html

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 08 сен 2015, 15:23


trex, у моего, который использовался в ролике, также есть эта функция, но она никак не влияет на защиту от ARP-спуфинга. У вас ведь на атакуемом компьютере меняется MAC-адрес связанный с IP-адресом роутера? Если да, то роутер никак не должен влиять на прохождение трафика. А у вас там прокси на атакуемом ПК случайно не настроен?


trex
Новичок
Сообщения: 4
Зарегистрирован: 08 сен 2015, 01:55
Репутация: 0
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение trex » 08 сен 2015, 15:27


DesignerMix писал(а):trex, у моего, который использовался в ролике, также есть эта функция, но она никак не влияет на защиту от ARP-спуфинга. У вас ведь на атакуемом компьютере меняется MAC-адрес связанный с IP-адресом роутера? Если да, то роутер никак не должен влиять на прохождение трафика. А у вас там прокси на атакуемом ПК случайно не настроен?

Да, на атакуемом компьютере меняется МАС-адрес, связанный с IP-адресом роутера, прокси не установлен...буду ковыряться дальше.


fenomenalno88
Новичок
Сообщения: 1
Зарегистрирован: 16 окт 2015, 13:06
Репутация: 0
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение fenomenalno88 » 16 окт 2015, 13:14


Автору спасибо за видео. Очень понравилось. У самого была также самая проблема что и вышеотписавшегося человека. Как только включал mitm на компе который слушаю пропадал инет. Решилась эта проблема командой "ifconfig eth0 down" видимо как-то некорректно шёл форвардинг пакетов из-за того что одновременно и wlan и eth соединения были задействованы.

Аватара пользователя

Михайло Гавеля
Новичок
Сообщения: 4
Зарегистрирован: 16 дек 2015, 13:31
Репутация: 0
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение Михайло Гавеля » 16 дек 2015, 13:35


уже долго решаю проблему, есть какие то соображения по этому поводу? :thinking:
Логи
sslstrip 0.9 by Moxie Marlinspike running...
Unhandled Error
Traceback (most recent call last):
File "/usr/bin/sslstrip", line 105, in main
reactor.run()
File "/usr/lib/python2.7/dist-packages/twisted/internet/base.py", line 1192, in run
self.mainLoop()
File "/usr/lib/python2.7/dist-packages/twisted/internet/base.py", line 1204, in mainLoop
self.doIteration(t)
File "/usr/lib/python2.7/dist-packages/twisted/internet/epollreactor.py", line 396, in doPoll
log.callWithLogger(selectable, _drdw, selectable, fd, event)
--- <exception caught here> ---
File "/usr/lib/python2.7/dist-packages/twisted/python/log.py", line 88, in callWithLogger
return callWithContext({"system": lp}, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/log.py", line 73, in callWithContext
return context.call({ILogContext: newCtx}, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/context.py", line 118, in callWithContext
return self.currentContext().callWithContext(ctx, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/context.py", line 81, in callWithContext
return func(*args,**kw)
File "/usr/lib/python2.7/dist-packages/twisted/internet/posixbase.py", line 627, in _doReadOrWrite
self._disconnectSelectable(selectable, why, inRead)
File "/usr/lib/python2.7/dist-packages/twisted/internet/posixbase.py", line 260, in _disconnectSelectable
selectable.connectionLost(f)
File "/usr/lib/python2.7/dist-packages/twisted/internet/tcp.py", line 484, in connectionLost
self._commonConnection.connectionLost(self, reason)
File "/usr/lib/python2.7/dist-packages/twisted/internet/tcp.py", line 298, in connectionLost
protocol.connectionLost(reason)
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 474, in connectionLost
self.handleResponseEnd()
File "/usr/share/sslstrip/sslstrip/ServerConnection.py", line 119, in handleResponseEnd
HTTPClient.handleResponseEnd(self)
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 485, in handleResponseEnd
self.handleResponse(b)
File "/usr/share/sslstrip/sslstrip/ServerConnection.py", line 133, in handleResponse
self.client.write(data)
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 962, in write
raise RuntimeError('Request.write called on a request after '
exceptions.RuntimeError: Request.write called on a request after Request.finish was called.
Unhandled Error
Traceback (most recent call last):
File "/usr/lib/python2.7/dist-packages/twisted/python/log.py", line 88, in callWithLogger
return callWithContext({"system": lp}, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/log.py", line 73, in callWithContext
return context.call({ILogContext: newCtx}, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/context.py", line 118, in callWithContext
return self.currentContext().callWithContext(ctx, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/context.py", line 81, in callWithContext
return func(*args,**kw)
--- <exception caught here> ---
File "/usr/lib/python2.7/dist-packages/twisted/internet/posixbase.py", line 614, in _doReadOrWrite
why = selectable.doRead()
File "/usr/lib/python2.7/dist-packages/twisted/internet/tcp.py", line 214, in doRead
return self._dataReceived(data)
File "/usr/lib/python2.7/dist-packages/twisted/internet/tcp.py", line 220, in _dataReceived
rval = self.protocol.dataReceived(data)
File "/usr/lib/python2.7/dist-packages/twisted/protocols/basic.py", line 578, in dataReceived
why = self.rawDataReceived(data)
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 522, in rawDataReceived
self.handleResponseEnd()
File "/usr/share/sslstrip/sslstrip/ServerConnection.py", line 119, in handleResponseEnd
HTTPClient.handleResponseEnd(self)
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 485, in handleResponseEnd
self.handleResponse(b)
File "/usr/share/sslstrip/sslstrip/ServerConnection.py", line 134, in handleResponse
self.shutdown()
File "/usr/share/sslstrip/sslstrip/ServerConnection.py", line 154, in shutdown
self.client.finish()
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 930, in finish
"Request.finish called on a request after its connection was lost; "
exceptions.RuntimeError: Request.finish called on a request after its connection was lost; use Request.notifyFinish to keep track of this.
Unhandled Error
Traceback (most recent call last):
File "/usr/lib/python2.7/dist-packages/twisted/python/log.py", line 88, in callWithLogger
return callWithContext({"system": lp}, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/log.py", line 73, in callWithContext
return context.call({ILogContext: newCtx}, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/context.py", line 118, in callWithContext
return self.currentContext().callWithContext(ctx, func, *args, **kw)
File "/usr/lib/python2.7/dist-packages/twisted/python/context.py", line 81, in callWithContext
return func(*args,**kw)
--- <exception caught here> ---
File "/usr/lib/python2.7/dist-packages/twisted/internet/posixbase.py", line 614, in _doReadOrWrite
why = selectable.doRead()
File "/usr/lib/python2.7/dist-packages/twisted/internet/tcp.py", line 214, in doRead
return self._dataReceived(data)
File "/usr/lib/python2.7/dist-packages/twisted/internet/tcp.py", line 220, in _dataReceived
rval = self.protocol.dataReceived(data)
File "/usr/lib/python2.7/dist-packages/twisted/protocols/tls.py", line 422, in dataReceived
self._flushReceiveBIO()
File "/usr/lib/python2.7/dist-packages/twisted/protocols/tls.py", line 392, in _flushReceiveBIO
ProtocolWrapper.dataReceived(self, bytes)
File "/usr/lib/python2.7/dist-packages/twisted/protocols/policies.py", line 120, in dataReceived
self.wrappedProtocol.dataReceived(data)
File "/usr/lib/python2.7/dist-packages/twisted/protocols/basic.py", line 578, in dataReceived
why = self.rawDataReceived(data)
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 522, in rawDataReceived
self.handleResponseEnd()
File "/usr/share/sslstrip/sslstrip/ServerConnection.py", line 117, in handleResponseEnd
self.shutdown()
File "/usr/share/sslstrip/sslstrip/ServerConnection.py", line 154, in shutdown
self.client.finish()
File "/usr/lib/python2.7/dist-packages/twisted/web/http.py", line 930, in finish
"Request.finish called on a request after its connection was lost; "
exceptions.RuntimeError: Request.finish called on a request after its connection was lost; use Request.notifyFinish to keep track of this.
Последний раз редактировалось DesignerMix 16 дек 2015, 13:45, всего редактировалось 1 раз.
Причина: Убрал логи под спойлер

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 16 дек 2015, 13:48


Михайло Гавеля, пробовали дать программе права через sudo?

Аватара пользователя

Михайло Гавеля
Новичок
Сообщения: 4
Зарегистрирован: 16 дек 2015, 13:31
Репутация: 0
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение Михайло Гавеля » 16 дек 2015, 15:06


root@kali:~# sudo sslstrip -l 8080
как то так

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 16 дек 2015, 15:21


Михайло Гавеля, Ну? Это не помогло или как?

Вообще вопрос у вас очень размыт т.к. мне неизвестно ни то, на каком Linux'е вы запускаете SSLStip (вроде как Kali но какой версии неясно) ни то, обновлялся-ли пакет и как он устанавливался... Я не могу вам ничем помочь пока не узнаю ситуацию подробнее. А так да, писать вопросы без подробностей ведь несложно правда.

Аватара пользователя

Михайло Гавеля
Новичок
Сообщения: 4
Зарегистрирован: 16 дек 2015, 13:31
Репутация: 0
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение Михайло Гавеля » 16 дек 2015, 15:27


Извините сейчас поподробней.
Linux - Kali
SSLStip - 0.9 [был установлен]
повторял все на ubuntu 64, та же проблема... [установил 0.9 через sudo apt-get]
Kali запустил с live режима на флешке.

Аватара пользователя

Автор темы
DesignerMix
Администратор
Администратор
Сообщения: 4486
Зарегистрирован: 25 апр 2014, 10:51
Есть ответ: 172
Репутация: 550
Откуда: Белгород
Контактная информация:
Статус: Не в сети

ARP-спуфинг. Взлом, защита и описание технологии

Сообщение DesignerMix » 16 дек 2015, 15:40


Михайло Гавеля, а попробуйте выполнить установку на ubuntu не из репозитория а скачав sslstrip с сайта автора данной утилиты и используя инструкцию которую он предлагает. Скачать SSLStrip в виде tar.gz и найти инструкцию можно на этом сайте - http://www.thoughtcrime.org/software/sslstrip/ (перед первым запуском SSLStrip нужно выполнить другие команды описанные в инструкции)