ANTICHAT - Mitm атака с bettercap, apache2 и фейкововым оновлением

ANTICHAT (https://forum.antichat.xyz/index.php)

- Беспроводные технологии/Wi-Fi/Wardriving (https://forum.antichat.xyz/forumdisplay.php?f=113)

- - Mitm атака с bettercap, apache2 и фейкововым оновлением (https://forum.antichat.xyz/showthread.php?t=571763)

На форуме есть статья по внедрению само-подписанного сертификата, я новичок и у меня ничего не выйшло но идея хорошая, можно так внедрять полезну нагрузку.
Тепер вопрос, как сделать так чтобы при переходе на страницу автоматически сакачувалась нагрузка, или же при нажатии на кнопку (страница ошипкы хрома).
Может где-то кто-то видел подробную статью а лутче видео для чайников.
P.S. статья хорошая но расчитана она по крайней мере для самоваров

Цитата:

PhantomFox сказал(а):

На форуме есть статья по внедрению само-подписанного сертификата, я новичок и у меня ничего не выйшло но идея хорошая, можно так внедрять полезну нагрузку.
Тепер вопрос, как сделать так чтобы при переходе на страницу автоматически сакачувалась нагрузка, или же при нажатии на кнопку (страница ошипкы хрома).
Может где-то кто-то видел подробную статью а лутче видео для чайников.
P.S. статья хорошая но расчитана она по крайней мере для самоваров

Почитай это и выучи сначала. Читать невозможно

Грамматический словарь | Возможности программы Rhymes

Хотите узнать как склоняется или спрягается слово, выполнить морфологический анализ, поискать однокоренные слова? Скачайте Грамматический словарь.

rifmovnik.ru

Цитата:

автоматически - никак. вернее, только если внедрить эксплоит для браузера или какого-то плагина в этом браузере. например флеш-плеера.
при нажатии на кнопку - внедрить, собственно говоря, в страницу кнопку при нажатии на которую скачивается файл с нагрузкой.

сделать это можно в случае если там http, либо если там сработал sslstrip.

есть плагин у беттеркапа hstshijacking - он внедряет скрипты.

Цитата:

swagcat228 сказал(а):

автоматически - никак. вернее, только если внедрить эксплоит для браузера или какого-то плагина в этом браузере. например флеш-плеера.
при нажатии на кнопку - внедрить, собственно говоря, в страницу кнопку при нажатии на которую скачивается файл с нагрузкой.

сделать это можно в случае если там http, либо если там сработал sslstrip.

есть плагин у беттеркапа hstshijacking - он внедряет скрипты.

Привіт
В статті за допомогою Bettercap блокують доступ до доменів і перенаправляють на фейкову сторінку де є кнопка скачування сертифікату. Нажаль на разі підміна DNS відповідей у bettercap не працює, точніше браузери не ведуться на це. Я думаю щоб вдалась підміна DNS потрібно створити точну копію сайту включно з доменом (наприклад facebook.com) на власному VDS сервері. Чи насправді це так, незнаю. Гуглив - статті за попередні роки, створював теми на форумах - ніхто не відповідає.

Є інший спосіб підкинути сертифікат, той який Ви пропонуєте. Sslstrip у bettercap працює, не з соцмережами звісно, але новинні сайти, онлай кінотеатри і тп. Читав про sslstrep+ кажуть він ефективніший, але поки що руки недіійшли. Далі за допомогою Beef можна підкинуть під виглядом фейкового оновлення, або ж перекинуть на фейковий сайт із сертифікатом чи фішинговий (setoolkit + Ngrok). Також можна заблокувати доступ до доменів (arp.ban) доки жертва зайде в налаштування роутера (192.168.0.1) а звіти вже перекинути на куди потрібно за допомогою beef.

Ідей багато, але для реалізації не вистачає досвіду.

Цитата:

Це щось накшталт Вашої статті про доставку payload на смартфон під андроїд.

Ох, лучше с ошибками пиши, но на русском (английском)

Цитата:

PhantomFox сказал(а):

Привіт
В статті за допомогою Bettercap блокують доступ до доменів і перенаправляють на фейкову сторінку де є кнопка скачування сертифікату. Нажаль на разі підміна DNS відповідей у bettercap не працює, точніше браузери не ведуться на це. Я думаю щоб вдалась підміна DNS потрібно створити точну копію сайту включно з доменом (наприклад facebook.com) на власному VDS сервері. Чи насправді це так, незнаю. Гуглив - статті за попередні роки, створював теми на форумах - ніхто не відповідає.

Є інший спосіб підкинути сертифікат, той який Ви пропонуєте. Sslstrip у bettercap працює, не з соцмережами звісно, але новинні сайти, онлай кінотеатри і тп. Читав про sslstrep+ кажуть він ефективніший, але поки що руки недіійшли. Далі за допомогою Beef можна підкинуть під виглядом фейкового оновлення, або ж перекинуть на фейковий сайт із сертифікатом чи фішинговий (setoolkit + Ngrok). Також можна заблокувати доступ до доменів (arp.ban) доки жертва зайде в налаштування роутера (192.168.0.1) а звіти вже перекинути на куди потрібно за допомогою beef.

Ідей багато, але для реалізації не вистачає досвіду.

evilsocket - разботчик беттеркап, когда-то сказал:

Код:

Код:

SSL Stripping



SSL stripping is a technique introduced by Moxie Marlinspike during BlackHat DC 2009, the website description of this technique goes like:



    It will transparently hijack HTTP traffic on a network, watch for HTTPS links and redirects, then map those links into either look-alike HTTP links or homograph-similar HTTPS links.



Long story short, this technique will replace every https link in webpages the target is browsing with http ones so, if a page would normally look like:

... Login ...



During a SSL stripping attack its HTML code will be modified as:



... Login ...



Being the man in the middle, this allow us to sniff and modify pages that normally we wouldn't be able to even see.

в двух словах: первая версия sslstrip просто перенаправляла запрос хттпс на хттп и все.
а потом, на следующий год, то есть в 2010 появился HTST

Код:

Код:

HSTS Bypass



SSL stripping worked quite well until 2010, when the HSTS specification was introduced, Wikipedia says:



    HTTP Strict Transport Security (HSTS) is a web security policy mechanism which helps to protect websites against protocol downgrade attacks and cookie hijacking. It allows web servers to declare that web browsers (or other complying user agents) should only interact with it using secure HTTPS connections, and never via the insecure HTTP protocol. HSTS is an IETF standards track protocol and is specified in RFC 6797.



Moreover HSTS policies have been prebuilt into major browsers meaning that now, even with a SSL stripping attack running, the browser will connect to HTTPS anyway, even if the http:// schema is specified, making the attack itself useless.

то бишь HSTS вмонтирован в большинство современных браузеров. то есть ломится исключительно на https, если оно предусмотрено. даже если мы отправляем запрос http.

по этому в 2014 году появился sslstrip2

Код:

Код:

For this reason, Leonardo Nve Egea presented sslstrip+ ( or sslstrip2 ) during BlackHat Asia 2014. This tool was an improvement over the original Moxie's version, specifically created to bypass HSTS policies. Since HSTS rules most of the time are applied on a per-hostname basis, the trick is to downgrade HTTPS links to HTTP and to prepend some custom sub domain name to them. Every resulting link won't be valid for any DNS server, but since we're MITMing we can resolve these hostnames anyway.



Let's take the previous example page:



... Login ...



A HSTS bypass attack will change it to something like:



... Login ...



Notice that https has been downgraded to http and www replaced with wwww ).



When the "victim" will click on that link, no HSTS rule will be applied ( since there's no rule for such subdomain we just created ) and the MITM software ( BetterCap in our case ^_^ ) will take care of the DNS resolution, allowing us to see and alter the traffic we weren't supposed to see.

смысл атаки в том, что в ту долю секунды, когда понижается протокол до хттп - происходит подмена доменного имени.

Код:

(кстати, тут прошу камрадов пояснить - это дсн спуффинг или обычный редирикт?)

так вот, и жертва посещает уже не

Код:

www.facebook.com

, а

Код:

[COLOR=rgb(226, 80, 65)]w[/COLOR]www.facebook.com

, который не существует во внешнем интернете, но существует у нас на локалке. А на локалке у нас зеркало фейсбука. По сути жертва идет к нам на сервер (на атакующую машину) по поддельному адресу и видит там поддельный (зеркалированный) сайт. Отправляет запрос к нам на ПК, мы его видим, включая содержимое, и перенаправляем на реальный сервер. Устанавливаем с реальным сервером сессию ssl, все как надо, все как положенно. Сервер выдает нам ответ, открытым текстом (для нас открытым, так как мы имеет ключ для расшифровки). И мы в свою очередь возвращаем это все дело жертве уже по хттп. уже на фейковом домене, который крутится у нас на атакующей машине.

Код:

снова вопрос камрадам форума: с помощью какого, чер-возьми, инструмента зеркалировать фейсбук в режиме реального времени?! КАК?

на сегодняшний дей существует еще одно решение данного вопроса: sslsplit

Код:

Код:

SSLsplit is designed to transparently terminate connections that are redirected to it using a network address translation engine. SSLsplit then terminates SSL/TLS and initiates a new SSL/TLS connection to the original destination address, while logging all data transmitted. Besides NAT based operation, SSLsplit also supports static destinations and using the server name indicated by SNI as upstream destination. SSLsplit is purely a transparent proxy and cannot act as a HTTP or SOCKS proxy configured in a browser.



SSLsplit supports plain TCP, plain SSL, HTTP and HTTPS connections over both IPv4 and IPv6. It also has the ability to dynamically upgrade plain TCP to SSL in order to generically support SMTP STARTTLS and similar upgrade mechanisms. SSLsplit fully supports Server Name Indication (SNI) and is able to work with RSA, DSA and ECDSA keys and DHE and ECDHE cipher suites. Depending on the version of OpenSSL built against, SSLsplit supports SSL 3.0, TLS 1.0, TLS 1.1 and TLS 1.2, and optionally SSL 2.0 as well.



For SSL and HTTPS connections, SSLsplit generates and signs forged X509v3 certificates on-the-fly, mimicking the original server certificate’s subject DN, subjectAltName extension and other characteristics. SSLsplit has the ability to use existing certificates of which the private key is available, instead of generating forged ones. SSLsplit supports NULL-prefix CN certificates but otherwise does not implement exploits against specific certificate verification vulnerabilities in SSL/TLS stacks.

смысл в том, что это прозрачный прокси, который принимает на себя запрос хттпс, разрывает его, вклинивается в алгоритм, и устанавливает новое ssl подключение с обеих сторон. на сколько я понимаю, я могу ошибаться.

а еще у него большой обвес возможностей и функционала. типа ipv6 и так далее.

инструмент поддерживается, имеет частично закрытый код, и доступен на гитхабе

GitHub - droe/sslsplit: Transparent SSL/TLS interception

Transparent SSL/TLS interception. Contribute to droe/sslsplit development by creating an account on GitHub.

github.com

Цитата:

PhantomFox сказал(а):

Це щось накшталт Вашої статті про доставку payload на смартфон під андроїд.

по сути постом выше я сам себе обозначил каркас для продолжения моей статьи по митму.
Иначе говоря - мы можем делать что угодно с траффиком жертвы, если он не зашифрован, либо если мы умеем его расшифровывать на лету. (включая всякие кнопочки с пэйлоадами, включая внедрение скриптов для того, что бы обрубить предупреждения от браузеров)

вопрос в том, как добиться этого.

Цитата:

swagcat228 сказал(а):

evilsocket - разботчик беттеркап, когда-то сказал:

Код:

Код:

SSL Stripping



SSL stripping is a technique introduced by Moxie Marlinspike during BlackHat DC 2009, the website description of this technique goes like:



    It will transparently hijack HTTP traffic on a network, watch for HTTPS links and redirects, then map those links into either look-alike HTTP links or homograph-similar HTTPS links.



Long story short, this technique will replace every https link in webpages the target is browsing with http ones so, if a page would normally look like:

... Login ...



During a SSL stripping attack its HTML code will be modified as:



... Login ...



Being the man in the middle, this allow us to sniff and modify pages that normally we wouldn't be able to even see.

Код:

HSTS Bypass



SSL stripping worked quite well until 2010, when the HSTS specification was introduced, Wikipedia says:



    HTTP Strict Transport Security (HSTS) is a web security policy mechanism which helps to protect websites against protocol downgrade attacks and cookie hijacking. It allows web servers to declare that web browsers (or other complying user agents) should only interact with it using secure HTTPS connections, and never via the insecure HTTP protocol. HSTS is an IETF standards track protocol and is specified in RFC 6797.



Moreover HSTS policies have been prebuilt into major browsers meaning that now, even with a SSL stripping attack running, the browser will connect to HTTPS anyway, even if the http:// schema is specified, making the attack itself useless.

Код:

For this reason, Leonardo Nve Egea presented sslstrip+ ( or sslstrip2 ) during BlackHat Asia 2014. This tool was an improvement over the original Moxie's version, specifically created to bypass HSTS policies. Since HSTS rules most of the time are applied on a per-hostname basis, the trick is to downgrade HTTPS links to HTTP and to prepend some custom sub domain name to them. Every resulting link won't be valid for any DNS server, but since we're MITMing we can resolve these hostnames anyway.



Let's take the previous example page:



... Login ...



A HSTS bypass attack will change it to something like:



... Login ...



Notice that https has been downgraded to http and www replaced with wwww ).



When the "victim" will click on that link, no HSTS rule will be applied ( since there's no rule for such subdomain we just created ) and the MITM software ( BetterCap in our case ^_^ ) will take care of the DNS resolution, allowing us to see and alter the traffic we weren't supposed to see.

Код:

(кстати, тут прошу камрадов пояснить - это дсн спуффинг или обычный редирикт?)

так вот, и жертва посещает уже не

Код:

www.facebook.com

, а

Код:

[COLOR=rgb(226, 80, 65)]w[/COLOR]www.facebook.com

Код:

снова вопрос камрадам форума: с помощью какого, чер-возьми, инструмента зеркалировать фейсбук в режиме реального времени?! КАК?

на сегодняшний дей существует еще одно решение данного вопроса: sslsplit

Код:

Код:

SSLsplit is designed to transparently terminate connections that are redirected to it using a network address translation engine. SSLsplit then terminates SSL/TLS and initiates a new SSL/TLS connection to the original destination address, while logging all data transmitted. Besides NAT based operation, SSLsplit also supports static destinations and using the server name indicated by SNI as upstream destination. SSLsplit is purely a transparent proxy and cannot act as a HTTP or SOCKS proxy configured in a browser.



SSLsplit supports plain TCP, plain SSL, HTTP and HTTPS connections over both IPv4 and IPv6. It also has the ability to dynamically upgrade plain TCP to SSL in order to generically support SMTP STARTTLS and similar upgrade mechanisms. SSLsplit fully supports Server Name Indication (SNI) and is able to work with RSA, DSA and ECDSA keys and DHE and ECDHE cipher suites. Depending on the version of OpenSSL built against, SSLsplit supports SSL 3.0, TLS 1.0, TLS 1.1 and TLS 1.2, and optionally SSL 2.0 as well.



For SSL and HTTPS connections, SSLsplit generates and signs forged X509v3 certificates on-the-fly, mimicking the original server certificate’s subject DN, subjectAltName extension and other characteristics. SSLsplit has the ability to use existing certificates of which the private key is available, instead of generating forged ones. SSLsplit supports NULL-prefix CN certificates but otherwise does not implement exploits against specific certificate verification vulnerabilities in SSL/TLS stacks.

Это капец, это как нужно понимать работу протоколов чтобы находить такие пути их обхода.
Вы на самом деле много знаете. Буду осваивать фрамеворк и читать литературу по теме. Спасибо за подсказку
А Вы что-то знаете о подмене DNS ответов?

Цитата:

swagcat228 сказал(а):

по сути постом выше я сам себе обозначил каркас для продолжения моей статьи по митму.
Иначе говоря - мы можем делать что угодно с траффиком жертвы, если он не зашифрован, либо если мы умеем его расшифровывать на лету. (включая всякие кнопочки с пэйлоадами, включая внедрение скриптов для того, что бы обрубить предупреждения от браузеров)

вопрос в том, как добиться этого.

если правда научиться эффективно обходить https то только фантазия ограничивает