PDA

Просмотр полной версии : Весь веб за несколько секунд (MiTM) + ByPass TLS

Filipp
11.02.2016, 11:19
Всем Hi. Недавно решил поспуфить парочку ресурсов и нашел очень интересную методу получения кук всех нужных сайтов.

Теория​Суть сего метода заключается в мини-баге браузеров и не совсем безопасного назначения политики кук.

Допустим у нас есть цель, defcon.ru. Работает он только на https. Однако, еслиобратиться к нему сайту по http, то браузер сольет все данные, а мы легко сможем посмотреть что там внутри.

Рассмотрим на примере. Нам нужно заставить браузер зайти на нужный сайт по http. Делается это без дополнительных трудностей:

http://s020.radikal.ru/i704/1602/5c/82a5c8e4e235.png

Теперь заглянем в head запроса:

http://s011.radikal.ru/i316/1602/c7/20e671a5eb10.png​Как видим, все успешно отправилось до момента установки шифрованного соединения

PoC

В реальной атаке нужно просто подождать пока жертва зайдет на какой-нибудь сайт без SSL'я, проинжектить ответ и заставить браузер обратиться к нужным ресурсам, дальше дело в шляпе. Перехватом заголовков http-запросов занимается любая MiTM тулза.

Defend​Покопавшись в этом деле, я нашел защиту от подобных дел, только ней почти никто не пользуется. Можно присвоить кукам опцию "Только по SSL".
Isis
11.02.2016, 13:14
Это не баг.
psihoz26
11.02.2016, 14:29
Filipp said:
↑ (https://antichat.live/posts/3951548/)
"Только по SSL".​


Флаг Secure.

Это баг если на сессионных Куках не стоит этот флаг а сайт поддерживает https​
Filipp
11.02.2016, 14:56
Isis said:
↑ (https://antichat.live/posts/3951578/)
Это не баг.


Может ошибся в формулировке. Но это явно недоработка.


psihoz26 said:
↑ (https://antichat.live/posts/3951603/)
Флаг Secure.

Это баг если на сессионных Куках не стоит этот флаг а сайт поддерживает https​


Ну я об этом и говорю
Chrome~
11.02.2016, 16:40
Содержание статьи совсем не соответствует заголовку...
Filipp
11.02.2016, 17:39
Chrome~ said:
↑ (https://antichat.live/posts/3951649/)
Содержание статьи совсем не соответствует заголовку...


А смысл мне расписывать на примере? Я дал идею, а как это сделать гуглиться без особой сложности.
Chrome~
11.02.2016, 18:05
Filipp said:
↑ (https://antichat.live/posts/3951667/)
А смысл мне расписывать на примере? Я дал идею, а как это сделать гуглиться без особой сложности.


Имею ввиду, что "кукисы только для https" никак не сопоставляются с "Весь веб за несколько секунд (MiTM) + ByPass TLS".
Filipp
11.02.2016, 18:12
Chrome~ said:
↑ (https://antichat.live/posts/3951676/)
Имею ввиду, что "кукисы только для https" никак не сопоставляются с "Весь веб за несколько секунд (MiTM) + ByPass TLS".


Эмм, мож я где-то не догоняю. Все что есть в браузере можно слить описанным способом не ожидая пока жертва зайдет на нужный веб-ресурс. Инжектишь десяток сайтов через тот же и получаешь все что нужно. Видимо все таки писатель из меня не очень..
BabaDook
11.02.2016, 18:27
Просто удали из название темы

Весь веб за несколько секунд. А то пристали тут старикашки
blackbox
11.02.2016, 18:30
Filipp said:
↑ (https://antichat.live/posts/3951548/)
Всем Hi. Недавно решил поспуфить парочку ресурсов и нашел очень интересную методу получения кук всех нужных сайтов.
Теория​
Суть сего метода заключается в мини-баге браузеров и не совсем безопасного назначения политики кук.

Допустим у нас есть цель, defcon.ru. Работает он только на https. Однако, еслиобратиться к нему сайту по http, то браузер сольет все данные, а мы легко сможем посмотреть что там внутри.

Рассмотрим на примере. Нам нужно заставить браузер зайти на нужный сайт по http. Делается это без дополнительных трудностей:
http://s020.radikal.ru/i704/1602/5c/82a5c8e4e235.png

Теперь заглянем в head запроса:

http://s011.radikal.ru/i316/1602/c7/20e671a5eb10.png​
Как видим, все успешно отправилось до момента установки шифрованного соединения
PoC

В реальной атаке нужно просто подождать пока жертва зайдет на какой-нибудь сайт без SSL'я, проинжектить ответ и заставить браузер обратиться к нужным ресурсам, дальше дело в шляпе. Перехватом заголовков http-запросов занимается любая MiTM тулза.

Defend​
Покопавшись в этом деле, я нашел защиту от подобных дел, только ней почти никто не пользуется. Можно присвоить кукам опцию "Только по SSL".


Как форсировать пользователя зайти на нужный сайт?
Filipp
11.02.2016, 18:48
blackbox said:
↑ (https://antichat.live/posts/3951686/)
Как форсировать пользователя зайти на нужный сайт?


Нужно в ответ какого-либо сайта работающего по http добавить к примеру "]/'>[/URL], и браузер обратиться к нему, слив все куки. Можно добавить кучу сайтов и получить куки.

Мда, вижу что статья херовая, раз никто ничего не понял. Тогда допишу на днях как положено, с примерами.
blackbox
11.02.2016, 21:00
Filipp said:
↑ (https://antichat.live/posts/3951695/)
Нужно в ответ какого-либо сайта работающего по http добавить к примеру "]/'>[/URL]
, и браузер обратиться к нему, слив все куки. Можно добавить кучу сайтов и получить куки.
Мда, вижу что статья херовая, раз никто ничего не понял. Тогда допишу на днях как положено, с примерами.


Я в общем-то и спрашивал как в подменить ответ, например. В том же intercepter-ng можно трафик подменять но там свои ограничения. С примерами, конечно, интереснее будет.
BabaDook
11.02.2016, 21:07
mitmf. Мустанг не дописывай, статья и так полная, не нарушай традиции