ARP-спуфинг. Взлом, защита и описание технологии

nhroot · Сообщение **nhroot** » 04 сен 2015, 14:46

Добрый день. Как я понимаю, редирект порта с 80 на xxxx, и sslstrip -l xxxx , больше не перехватывают пароли для mail.ru , vk.com, facebook.com и т.д.
Наткнулся на недавно выложенное видео, от 3 июня 2015 года http://www.youtube.com/watch?v=8yZ9Q_Miio0 , по создание AP и последующем arp spoofing-е. Там поднимается AP, dhcp сервер и также включается прероутинг и т.д. через iptables. После действий, которые были выполнены на видео, удается узнать логин, пароль от fb. Собственно вопрос, можно ли, без настройки AP, а сразу ARP Spoofing-ом подобным образом обходить защиту? Можно ли спроецировать действия, которые были выполнены на видео в Ваш метод? Спасибо.

YouTube · Сообщение **DesignerMix** » 04 сен 2015, 15:15

nhroot писал(а): Как я понимаю, редирект порта с 80 на xxxx, и sslstrip -l xxxx , больше не перехватывают пароли

Редирект с 80 порта делать не обязательно, так просто удобнее. sslstrip по прежнему успешно работает с сайтами которые не перешли на SSL полностью.

Видео по ссылке смотреть не стал, так что ничего сказать не могу.

nhroot · Сообщение **nhroot** » 04 сен 2015, 15:29

Как я понимаю, mail.ru, vk.com, и fb.com перешли на SSL полностью. Так как Ваш метод для них не работает, хотя даже для ebay.com - работает. На видео показано как добыть пароль от fb.com при помощи спуфинга. Если будет время, при возможности, посмотрите пожалуйста видео, самая интересная часть в середине, непосредственно на настройке iptables (я так думаю). Спасибо за ответ.

Сообщение **Tim308** » 07 сен 2015, 10:17

DesignerMix, Получилось получить куки не прописывая в терминале команду echo.
Тогда зачем она нужна?

YouTube · Сообщение **DesignerMix** » 07 сен 2015, 10:39

Tim308, форвардинг пакетов предлагается включить для того, что-бы производить маршрутизацию транзитных пакетов, так как по умолчанию эта функция отключена. Возможно у вас просто эта функция по умолчанию была включена или вы включили ее раньше.

Если интересно то подробности можете найти здесь - http://gentoo.theserverside.ru/book/ar68s16.html

Сообщение **Tim308** » 07 сен 2015, 10:44

DesignerMix писал(а): Tim308, форвардинг пакетов предлагается включить для того, что-бы производить маршрутизацию транзитных пакетов, так как по умолчанию эта функция отключена. Возможно у вас просто эта функция по умолчанию была включена или вы включили ее раньше.

Если интересно то подробности можете найти здесь - http://gentoo.theserverside.ru/book/ar68s16.html

у меня сложилась в голове такая картина: я,прописывая команду echo,пропускаю весь трафик через свой нетбук.Потом решил поэкспериментировать и все сделал как на видео, но только без команды echo и все тоже само получилось, и первоначальная картинка в голове развалилась, и я запутался

теперь вот сижу разбираюсь более глубоко

trex · Сообщение **trex** » 08 сен 2015, 02:01

Здравствуйте! Все проделал как на видео, но после подключения Mitm((чек-бокс выбран на Snif remote connections) и запуска сниифинга, на атакуемом компьютере не открывается ни одна страница в интернете. Ответ выдается - сервер не найден. Вся последовательность проделана в соответствии с действиями в ролике. Используемый модем D-Link 2750B. В чем может быть причина?

YouTube · Сообщение **DesignerMix** » 08 сен 2015, 08:43

trex, убедитесь что форвардинг пакетов включен так как проблема скорее всего в этом.

Еще раз выполните команду:

Код: Выделить всё

echo "1" > /proc/sys/net/ipv4/ip_forward

Если проблема не в этом, то проверьте как с атакуемого компьютера проходят пакеты выполнив на нем команду:

Код: Выделить всё

tracert google.ru

Выполните ее до атаки и во время атаки, а затем сравните где теряется пакет и сделайте выводы.

PS: Кстати у вас IP-адрес и DNS-сервер на атакуемом ПК получается по DHCP или прописан вручную?

trex · Сообщение **trex** » 08 сен 2015, 14:21

Благодарю за ответ!
Мой IP-адрес и DNS-сервер на атакуемом ПК получается по DHCP.
Выполнил команду tracert google.ru до атаки:

Код: Выделить всё

Трассировка маршрута к google.ru [173.194.40.15]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2     *        *        *     Превышен интервал ожидания для запроса.
  3   154 ms    33 ms    84 ms  host185-230-static.44-88-b.business.telecomitali
a.it [88.44.230.185]
  4    52 ms    46 ms    46 ms  80.17.209.207
  5    40 ms   123 ms    38 ms  172.19.242.70
  6     *        *        *     Превышен интервал ожидания для запроса.
  7    91 ms    96 ms    81 ms  72.14.196.141
  8    44 ms    39 ms    41 ms  209.85.249.54
  9    46 ms    49 ms    39 ms  64.233.174.245
 10    39 ms    39 ms    44 ms  mil02s06-in-f15.1e100.net [173.194.40.15]

Трассировка завершена

Во время атаки

Код: Выделить всё

Microsoft Windows [Version 6.1.7601]
(c) Корпорация Майкрософт (Microsoft Corp.), 2009. Все права защищены.

C:Usersинал>tracert google.ru
Не удается разрешить системное имя узла google.ru.

Отправлено спустя 1 минуту 54 секунды:
Еще раз выполнил команду

Код: Выделить всё

echo "1" > /proc/sys/net/ipv4/ip_forward

Результат тот же - на атакуемом компе не отрываются страницы в интернете

YouTube · Сообщение **DesignerMix** » 08 сен 2015, 14:32

trex писал(а): C:Usersинал>tracert google.ru
Не удается разрешить системное имя узла google.ru.

То есть проблема явно связана с DNS либо с общей проблемой трансляции трафика. А если обратиться к сайту по IP вместо доменного имени то заходит?

Кстати современные браузеры научились "видеть" подобные атаки (хотя обычно браузер реагирует не так как у вас). Что будет если использовать старый браузер?

trex · Сообщение **trex** » 08 сен 2015, 15:17

Пробовал зайти на сайт по IP... тот же эффект. Моя проблема может быть связана с особенностью модем -роутера D-Link DSL 2750B. У него в опциях есть функции межсетового экрана http://www.dlink.ru/ru/products/3/1829_b.html

YouTube · Сообщение **DesignerMix** » 08 сен 2015, 15:23

trex, у моего, который использовался в ролике, также есть эта функция, но она никак не влияет на защиту от ARP-спуфинга. У вас ведь на атакуемом компьютере меняется MAC-адрес связанный с IP-адресом роутера? Если да, то роутер никак не должен влиять на прохождение трафика. А у вас там прокси на атакуемом ПК случайно не настроен?

trex · Сообщение **trex** » 08 сен 2015, 15:27

DesignerMix писал(а):trex, у моего, который использовался в ролике, также есть эта функция, но она никак не влияет на защиту от ARP-спуфинга. У вас ведь на атакуемом компьютере меняется MAC-адрес связанный с IP-адресом роутера? Если да, то роутер никак не должен влиять на прохождение трафика. А у вас там прокси на атакуемом ПК случайно не настроен?

Да, на атакуемом компьютере меняется МАС-адрес, связанный с IP-адресом роутера, прокси не установлен...буду ковыряться дальше.

fenomenalno88

Автору спасибо за видео. Очень понравилось. У самого была также самая проблема что и вышеотписавшегося человека. Как только включал mitm на компе который слушаю пропадал инет. Решилась эта проблема командой "ifconfig eth0 down" видимо как-то некорректно шёл форвардинг пакетов из-за того что одновременно и wlan и eth соединения были задействованы.

Михайло Гавеля

уже долго решаю проблему, есть какие то соображения по этому поводу?

Логи

YouTube · Сообщение **DesignerMix** » 16 дек 2015, 13:48

Михайло Гавеля, пробовали дать программе права через sudo?

Михайло Гавеля

root@kali:~# sudo sslstrip -l 8080
как то так

YouTube · Сообщение **DesignerMix** » 16 дек 2015, 15:21

Михайло Гавеля, Ну? Это не помогло или как?

Вообще вопрос у вас очень размыт т.к. мне неизвестно ни то, на каком Linux'е вы запускаете SSLStip (вроде как Kali но какой версии неясно) ни то, обновлялся-ли пакет и как он устанавливался... Я не могу вам ничем помочь пока не узнаю ситуацию подробнее. А так да, писать вопросы без подробностей ведь несложно правда.

Михайло Гавеля

Извините сейчас поподробней.
Linux - Kali
SSLStip - 0.9 [был установлен]
повторял все на ubuntu 64, та же проблема... [установил 0.9 через sudo apt-get]
Kali запустил с live режима на флешке.

YouTube · Сообщение **DesignerMix** » 16 дек 2015, 15:40

Михайло Гавеля, а попробуйте выполнить установку на ubuntu не из репозитория а скачав sslstrip с сайта автора данной утилиты и используя инструкцию которую он предлагает. Скачать SSLStrip в виде tar.gz и найти инструкцию можно на этом сайте - http://www.thoughtcrime.org/software/sslstrip/ (перед первым запуском SSLStrip нужно выполнить другие команды описанные в инструкции)