Сниффинг всё?

Vander · 14.11.2016

torquemada163 сказал(а):
Приветствую всех участников форума!

Я только недавно начал осваивать пентестинг и проверку уязвимостей. Это я к тому, что не ругайтесь сильно, если будут идиотские высказывания.

Итак, начал я копать в эту сторону и, честно говоря, если рассматривать сниффинг как инструмент именно перехватов паролей, то как-то все грустно получается....
Я админю сетку своей конторы, так что поле для экспериментов есть. Если взять простую реализацию спуффинга:

Код:

sudo bettercap -I eth0 -X --proxy -T 192.168.3.14-189

то, теоритически, клиентов разворачивает на HTTP-трафик и получите пароли. Но это только теория. Работает это только в одном случае - если клиент вводит адрес в адресной строке браузера руками. Но на практике происходит то, что в нашем мире уже, практически, не осталось людей, которые могут ввести адрес руками Все используют или закладки, или поисковую страницу, которая автоматом врубается на новых вкладках браузера. Да еще и до кучи клиенты залогинены и их перекидывает по куки сразу дальше.......
Можно попробовать поступить жестче:

Код:

sudo bettercap -I eth0 -X --proxy --proxy-https -T 192.168.3.14-189

Но тогда мы получаем жуткие вопли всех браузеров, что их пытаются засунуть в непонятное SSL-соединение, они ему не верят и нафиг туда не хотят. Есть костыль, в виде описанной на сайте bettercap возможности присунуть свой сертификат. Но это уже пошло глобальное читерство - хорошо, что я админ своей сетки, я могу либо через доменные политики, либо руками засунуть клиенту этот сертификат в Винду. Да и то - тому же Firefox его надо прям в браузер засунуть....

Таким образом, для меня назрел вывод, что сниффинг трафика, в контексте умыкнуть логин/пароль, ныне себя исчерпал.
Так ли это? Или, может быть, я, в силу неопытности, банально не понимаю, как этим всем нормально пользоваться?

Подскажите, пожалуйста!
Заранее большое спасибо!

Привет, я тоже в силу проф. деятельности, совсем недавно пробовал подобную реализацию сниффинга, на своей сети. Результаты примерно такие же, было бы интересно узнать мнение экспертов) Может найдутся таковые на форуме.

<~DarkNode~> · 14.11.2016

Без Соц.Инженерии врят ли получится впарить ssl сертификат жертве. Хотя как вариант собрать бинарник или тот же hta с павершелом который будет выкачивать и устанавливать сертификат прозрачно для жертвы(если речь идет об Windows системах)
Если речь об андроид устройствах то погуглить в сторону установки ssl сертифатов через adb shell и т.д И реализовать атаки которые уже описаны на форуме (stagefright,webview exploit etc...)
Вот один из примеров с использованием interceptor-ng

kot-gor · 15.11.2016

Если использовать чистый снифинг,для получения пароля, то сейчас врят ли что получиться,может только на древних сайтах которые работают по http и вводят данные методом POST .Снифинг хорошо использовать можно в связке или для получения предварительной информации каким софтом пользуется жертва, что бы допустим потом налету пропатчить обновление.

<~DarkNode~> · 15.11.2016

что бы допустим потом налету пропатчить обновление.

Если ты про BackDoor Factory то он умеет патчить только при http... Врят ли получится при https-е что то на лету споймать...

kot-gor · 15.11.2016

<<-D4rkN0d3_Falc0m->> сказал(а):
Если ты про BackDoor Factory то он умеет патчить только при http... Врят ли получится при https-е что то на лету споймать...

Я про BackDoor Factory и аналогичные... согласен, патчит http.Но на первоначальном этапе для сбора информации снифинг полезен.многий софт еще обновляется и по http, да и не только можно обновления рассматривать..жертва допустим может с сети софт выкачивать какой либо, вариантов уйма.

torquemada163 · 15.11.2016

Спасибо большое за информацию!
Значит, я был прав по поводу чистого снифинга.

Если вас не затруднит, в этом же разделе форума я выложил сообщение по поводу связки bettercap+setoolkit, прокомментируйте, пожалуйста.

kot-gor · 15.11.2016

Снифинг с добавлением своего сертификата, как и днс спуфинг с редиктом на страницу клон, скоро изживут себя...Не возможно будет просматривать данные добавив жертве свой сертификат., вопрос пару лет и он сейчас активно прорабатывается...

torquemada163 · 15.11.2016

И какой выход из ситуации?

kot-gor · 15.11.2016

torquemada163 сказал(а):
И какой выход из ситуации?

время покажет...)однако как в Казахстане пытались сделать добавив государственный сертификат что бы мониторить трафик пользователей, уже не получиться.

fear · 21.11.2016

А ssl strip пробовали ? Он подменяет https на http и можно снифать. Кстати, в части тулз он есть встроенный.

Первый пример с ютуба который нашел

вроде были там и примеры с вк, но нужно искать в дебрях. Сам не пробовал, только смотрел, как то руки не доходили и особой надобности небыло. Кто протестит расскажите)

torquemada163 · 21.11.2016

fear сказал(а):
А ssl strip пробовали ?

Пробовал - все это, без валидного сертификата, просто фигня! SSLSTRIP завернет HTTPS в HTTP только в том случае, если набрать адрес руками, а если прыгнуть через поисковик или, не дай бог, уже быть залогиненым - ничего он тогда не сделает.....
Единственный, пока, более-менее рабочий вариант - соц. инженерия типа SETOOLKIT, и в той проблемы наблюдаются. FB, OK, Mail.ru и пр. пока получается редиректнуть сквозным путем на оригинальный сайт, а вот VK уже обломись..... Тоже сертификат нужен.

kot-gor · 21.11.2016

torquemada163 сказал(а):
Пробовал - все это, без валидного сертификата, просто фигня! SSLSTRIP завернет HTTPS в HTTP только в том случае, если набрать адрес руками, а если прыгнуть через поисковик или, не дай бог, уже быть залогиненым - ничего он тогда не сделает.....
Единственный, пока, более-менее рабочий вариант - соц. инженерия типа SETOOLKIT, и в той проблемы наблюдаются. FB, OK, Mail.ru и пр. пока получается редиректнуть сквозным путем на оригинальный сайт, а вот VK уже обломись..... Тоже сертификат нужен.

А вы пробовали жертве подсунуть свой сгенерированный сертификат? скажем через инъекцию.

torquemada163 · 22.11.2016

Да я хочу проще сделать - доменными политиками раздать ))))
Вопрос в том, что потерял статью о том, как сделать на Линукс-машине самоподписанный сертификат, конвертировать его в виндовый вариант (*.cer) и потом установить везде. Помню, что в статье по пунктам было - как установить в саму винду, как в Firefox и пр. Все закладки перерыл :-(

kot-gor · 23.11.2016

Скачиваем инсталлятор openssl с сайта openssl.org (для Windows). Устанавливаем openssl, если при установке openssl на Windows он потребует Microsoft Redistributables Package, то предварительно, скачиваем и устанавливаем соответствующий пакет.
Например, на данный момент доступна версия openssl v1.0.1c и соответствующий ему Visual C++ 2008 Redistributables (x86/x64) по следующим ссылкам: ~~link removed~~ и Redistributables
После установки openssl запускаем командную строку cmd и выполняем следующие команды, предварительно перейдя в каталог bin установленного openssl (по умолчанию c:\OpenSSL-Win32\bin):
- Указываем путь к конфигурации openssl:
  set OPENSSL_CONF=C:\OpenSSL-Win32\bin\openssl.cfg ;
- Генерируем приватный ключ (в процессе генерации приватного ключа необходимо задать пароль):
  openssl genrsa -des3 -out c:\certificate\private.key 2048 ;
- Генерируем запрос на сертификат:
  openssl req -new -key c:\certificate\private.key -out c:\certificate\csr.csr
  В процессе генерации запроса будут запрошены параметры для сертификата, которые необходимо вводить в латинской раскладке.
  Достаточными являются:
  - Country Name (2 letter code) [AU] - страна регистрации организации, для которой готовим сертификат (для Росcии - RU)
  - State or Province Name (full name) [Some-State] - область, регион регистрации организации (Москва - Moscow)
  - Locality Name (eg, city) [] - город регистрации организации (Москва - Moscow)
  - Organization Name (eg, company) [Internet Widgits Pty Ltd] - наименование организации
  - Common Name (e.g. server FQDN or YOUR name) [] - доменное имя, для которого генерируется сертификат (в данном случае может не совпадать с действительным доменным именем) (localhost, companyname.com)
- Генерируем сам сертификат сроком на 365 дней (можно больше или меньше):
  openssl x509 -req -days 365 -in c:\certificate\csr.csr -signkey c:\certificate\private.key -out c:\certificate\certificate.pem
В результате в каталоге c:\certificate будет создан приватный ключ (private.key) и сертификат (certificate.pem), который, в случае самостоятельно генерируемого сертификата, будет являться и сертификатом центра сертификации.
Для того чтобы браузер не выдавал предупреждения по поводу недостоверности сертификата, можно установить сертификат (certificate.pem) в систему (предварительно поменяв его расширение на.crt) или в браузер, если он использует собственное хранилище сертификатов.

torquemada163 · 23.11.2016

Ага, спасибо. Я уже сделал сертификат на самой атакующей машине с Кали. Втянул его в "Доверенные корневые центры сертификации" в подопытном экземпляре Винды. При dns-спуффинге и пропускании жерты через фишинговый сайт все работает отлично - в браузере жерты (если только это не Firefox) HTTPS работает без предупреждений. В случае Firefox все плохо - надо непосредственно в браузер запихивать исключение.

В случае сниффинга трафика и SSLSTRIP пока не готов сказать, чую, я намудрил с bettercap.... Завтра еще раз попробую, напишу результат вместе со скринами

kot-gor · 23.11.2016

Здравствуйте. Каким образом втягивали в доверенные корневые центры на жертве?

torquemada163 · 23.11.2016

ну так как я админ своей сетки, то втянул сертификат путем раздачи доменными политиками ))))))
это пока "тепличные условия". могу хоть руками его туда поставить. я просто хочу проверить, как будут себя проявлять компы-жертвы в разных режимах, чтобы потом уже определятся с механизмом атаки. поэтому решил пока не ставить себе палки в колеса в виде "боевой имитации" впихивания сертификата )))))

kot-gor · 23.11.2016

У каждого браузера есть свои особенности,самая большая проблемы это потом впихнуть этот сертификат удаленно..Если не сложно поделитесь своими результатами с народом на форуме, я думаю всем будет интересно.

torquemada163 · 23.11.2016

Да, завтра погоняю bettercap в режиме сниффинга с sslstrip на тестовой жертве, где установлен сертификат. После этого отпишу по результатам в любом случае.

Сниффинг всё?

Комментарии

Ещё по теме