Просмотр полной версии : Сниффинг всё?
torquemada163 сказал(а):
Приветствую всех участников форума!
Я только недавно начал осваивать пентестинг и проверку уязвимостей. Это я к тому, что не ругайтесь сильно, если будут идиотские высказывания.
Итак, начал я копать в эту сторону и, честно говоря, если рассматривать сниффинг как инструмент именно перехватов паролей, то как-то все грустно получается....
Я админю сетку своей конторы, так что поле для экспериментов есть. Если взять простую реализацию спуффинга:
Код:
sudo bettercap -I eth0 -X --proxy -T 192.168.3.14-189
то, теоритически, клиентов разворачивает на HTTP-трафик и получите пароли. Но это только теория. Работает это только в одном случае - если клиент вводит адрес в адресной строке браузера руками. Но на практике происходит то, что в нашем мире уже, практически, не осталось людей, которые могут ввести адрес руками Все используют или закладки, или поисковую страницу, которая автоматом врубается на новых вкладках браузера. Да еще и до кучи клиенты залогинены и их перекидывает по куки сразу дальше.......
Можно попробовать поступить жестче:
Код:
sudo bettercap -I eth0 -X --proxy --proxy-https -T 192.168.3.14-189
Но тогда мы получаем жуткие вопли всех браузеров, что их пытаются засунуть в непонятное SSL-соединение, они ему не верят и нафиг туда не хотят. Есть костыль, в виде описанной на сайте bettercap возможности присунуть свой сертификат. Но это уже пошло глобальное читерство - хорошо, что я админ своей сетки, я могу либо через доменные политики, либо руками засунуть клиенту этот сертификат в Винду. Да и то - тому же Firefox его надо прям в браузер засунуть....
Таким образом, для меня назрел вывод, что сниффинг трафика, в контексте умыкнуть логин/пароль, ныне себя исчерпал.
Так ли это? Или, может быть, я, в силу неопытности, банально не понимаю, как этим всем нормально пользоваться?
Подскажите, пожалуйста!
Заранее большое спасибо!
Привет, я тоже в силу проф. деятельности, совсем недавно пробовал подобную реализацию сниффинга, на своей сети. Результаты примерно такие же, было бы интересно узнать мнение экспертов) Может найдутся таковые на форуме.
<~DarkNode~>
15.11.2016, 00:06
Без Соц.Инженерии врят ли получится впарить ssl сертификат жертве. Хотя как вариант собрать бинарник или тот же hta с павершелом который будет выкачивать и устанавливать сертификат прозрачно для жертвы(если речь идет об Windows системах)
Если речь об андроид устройствах то погуглить в сторону установки ssl сертифатов через adb shell и т.д И реализовать атаки которые уже описаны на форуме (stagefright,webview exploit etc...)
Вот один из примеров с использованием interceptor-ng
Если использовать чистый снифинг,для получения пароля, то сейчас врят ли что получиться,может только на древних сайтах которые работают по http и вводят данные методом POST .Снифинг хорошо использовать можно в связке или для получения предварительной информации каким софтом пользуется жертва, что бы допустим потом налету пропатчить обновление.
<~DarkNode~>
15.11.2016, 01:24
что бы допустим потом налету пропатчить обновление.
Если ты про BackDoor Factory то он умеет патчить только при http... Врят ли получится при https-е что то на лету споймать...
> сказал(а):
Если ты про BackDoor Factory то он умеет патчить только при http... Врят ли получится при https-е что то на лету споймать...
Я про BackDoor Factory и аналогичные... согласен, патчит http.Но на первоначальном этапе для сбора информации снифинг полезен.многий софт еще обновляется и по http, да и не только можно обновления рассматривать..жертва допустим может с сети софт выкачивать какой либо, вариантов уйма.
Снифинг с добавлением своего сертификата, как и днс спуфинг с редиктом на страницу клон, скоро изживут себя...Не возможно будет просматривать данные добавив жертве свой сертификат., вопрос пару лет и он сейчас активно прорабатывается...
torquemada163 сказал(а):
И какой выход из ситуации?
время покажет...)однако как в Казахстане пытались сделать добавив государственный сертификат что бы мониторить трафик пользователей, уже не получиться.
torquemada163 сказал(а):
Пробовал - все это, без валидного сертификата, просто фигня! SSLSTRIP завернет HTTPS в HTTP только в том случае, если набрать адрес руками, а если прыгнуть через поисковик или, не дай бог, уже быть залогиненым - ничего он тогда не сделает.....
Единственный, пока, более-менее рабочий вариант - соц. инженерия типа SETOOLKIT, и в той проблемы наблюдаются. FB, OK, Mail.ru и пр. пока получается редиректнуть сквозным путем на оригинальный сайт, а вот VK уже обломись..... Тоже сертификат нужен.
А вы пробовали жертве подсунуть свой сгенерированный сертификат? скажем через инъекцию.
Скачиваем инсталлятор openssl с сайта openssl.org(для Windows). Устанавливаем openssl, если при установке openssl на Windows он потребует Microsoft Redistributables Package, то предварительно, скачиваем и устанавливаем соответствующий пакет.
Например, на данный момент доступна версия openssl v1.0.1c и соответствующий ему Visual C++ 2008 Redistributables (x86/x64) по следующим ссылкам: link removed и Redistributables
После установки openssl запускаем командную строку cmd и выполняем следующие команды, предварительно перейдя в каталог bin установленного openssl (по умолчанию c:\OpenSSL-Win32\bin):
Указываем путь к конфигурации openssl:
set OPENSSL_CONF=C:\OpenSSL-Win32\bin\openssl.cfg ;
Генерируем приватный ключ (в процессе генерации приватного ключа необходимо задать пароль):
openssl genrsa -des3 -out c:\certificate\private.key 2048 ;
Генерируем запрос на сертификат:
openssl req -new -key c:\certificate\private.key -out c:\certificate\csr.csr
В процессе генерации запроса будут запрошены параметры для сертификата, которые необходимо вводить в латинской раскладке.
Достаточными являются:
- Country Name (2 letter code) [AU] - страна регистрации организации, для которой готовим сертификат (для Росcии - RU)
- State or Province Name (full name) [Some-State] - область, регион регистрации организации (Москва - Moscow)
- Locality Name (eg, city) [] - город регистрации организации (Москва - Moscow)
- Organization Name (eg, company) [Internet Widgits Pty Ltd] - наименование организации
- Common Name (e.g. server FQDN or YOUR name) [] - доменное имя, для которого генерируется сертификат (в данном случае может не совпадать с действительным доменным именем) (localhost, companyname.com)
Генерируем сам сертификат сроком на 365 дней (можно больше или меньше):
openssl x509 -req -days 365 -in c:\certificate\csr.csr -signkey c:\certificate\private.key -out c:\certificate\certificate.pem
В результате в каталоге c:\certificate будет создан приватный ключ (private.key) и сертификат (certificate.pem), который, в случае самостоятельно генерируемого сертификата, будет являться и сертификатом центра сертификации.
Для того чтобы браузер не выдавал предупреждения по поводу недостоверности сертификата, можно установить сертификат (certificate.pem) в систему (предварительно поменяв его расширение на.crt) или в браузер, если он использует собственное хранилище сертификатов.
Здравствуйте. Каким образом втягивали в доверенные корневые центры на жертве?
У каждого браузера есть свои особенности,самая большая проблемы это потом впихнуть этот сертификат удаленно..Если не сложно поделитесь своими результатами с народом на форуме, я думаю всем будет интересно.
попробуйте еще в режиме прокси с сертификатом...только вам нужно подхватить тот сертификат который вы сгенерировали....
--proxy-pem FILE
(это из официальной документации)
у меня получилось провести данный вид атаки только по отношению к компьютеру, с мобильным телефоном не проходит.
большая часть атак митм не работает на мобильных телефонах...Да и по впариванию сертификата, и не только..) рассмотрите связку beef+bettercap..там все очень легко...разберетесь.
Можно впарить любой файл,скажем под видом обновления...делаете допустим с помощью Veil frameworkвредонос( очень много толкового материала у нас на форуме по этому фраемворку) и дальше используя связку beef и bettecap впариваете.(мне нравиться обновления флэш плеер).Правда связка beef и bettercap работает только в локальном сегменте..
насчет антивира , чем хорошо Veil framework,это то что очень низкий детект вредоноса, только не прогоняйте файл через вирус тотал...На форуме есть ветка, по этому поводу. Почитайте паблики нашего форумчанина https://codeby.net/members/vander.66083/ (https://forum.antichat.xyz/members/566083/). все очень доходчиво и подробно описано.
все что угодно можете подсунуть..все зависит от вашей фантазии и навыков..)
Будут какие то вопросы обращайтесь.
Не нужно там ничего качать.У меня в свое время была похожая ситуация.помогла переустановка кали.
Здравствуйте в настройках роутера через веб интерфейс заметил очень любопытную вещицу.Сертификаты ЦА доверенные сертификаты и т д. скажите пожалуйста, допустим я подключен к wi fi сети соседа а сосед у меня тру хацкер он добавляет свой сертификат (допустим для сайта яндекс или гугла без разницы) Будет ли работать таким способом этот сертификат на моем компьютере если я подключен к его сети? или эта фича немножко иначе задумывалась?
Merkif сказал(а):
Здравствуйте в настройках роутера через веб интерфейс заметил очень любопытную вещицу.Сертификаты ЦА доверенные сертификаты и т д. скажите пожалуйста, допустим я подключен к wi fi сети соседа а сосед у меня тру хацкер он добавляет свой сертификат (допустим для сайта яндекс или гугла без разницы) Будет ли работать таким способом этот сертификат на моем компьютере если я подключен к его сети? или эта фича немножко иначе задумывалась?
Уточните, куда добавляет сосед сертификат?
Domino-Designer
19.01.2017, 16:29
Вы уверенны, что это руотер? А не, допустим, холодильник с Wi-Fi?
/me не придумал, зачем роутеру центр сертификации...
kot-gor сказал(а):
Уточните, куда добавляет сосед сертификат?
Здравствуйте.
В роутерах от sagemcom f@st в дополнительных настройках можно добавлять сертификаты доверенного ЦА и локальные сертификаты.
Вот я и подумал если он добавит свой сертификат на роутер тем самым он может прослушивать https трафик? подцепив этот самый сертификат в bettercap
Это чисто в теории, но на практике такое ведь может прокатить?/
И мне тоже интересно стало зачем нужны там сертификаты и как они могут работать.
Domino-Designer
19.01.2017, 17:25
Merkif сказал(а):
он может прослушивать https трафик?
Да, только понимать ничего не будет.
Merkif сказал(а):
Здравствуйте.
В роутерах от sagemcom f@st в дополнительных настройках можно добавлять сертификаты доверенного ЦА и локальные сертификаты.
Вот я и подумал если он добавит свой сертификат на роутер тем самым он может прослушивать https трафик? подцепив этот самый сертификат в bettercap
Это чисто в теории, но на практике такое ведь может прокатить?/
И мне тоже интересно стало зачем нужны там сертификаты и как они могут работать.
В роутерах фича с сертификатами для других нужд...Если вы добавите сертификат в роутер вы не сможете прослушивать трафик.
vBulletin® v3.8.14, Copyright ©2000-2026, vBulletin Solutions, Inc. Перевод: zCarot