Привет!
Пожалуй, начнем.
Провел я эксперимент на тему сниффинга HTTPS-трафика с подсовыванием своего, самоподписанного сертификата. Сразу предупрежу - все нижеизложенное не сработает на браузере Firefox. У него своя база сертификатов и ему надо подсовывать сертификат отдельно.
Ну и некоторые моменты касаемо настроек тоже остались за кадром, их в инете много.
Итак, каков был порядок действий:
И, самое плохое, в том, что если жертва введет логин/пароль и нажмет "Войти", то вы-то получите эти данные... А вот жертва будет все время получать вот эту картинку и никуда с этого экрана не уйдет:
Таким образом, оптимальной была признана команда, подобранная опытно-экспериментальным путем:
В этом случае залогиненные пользователи даже после принудительного перелогина нормально проскальзывают на настоящий сайт.
Так же хочу предупредить о том, что все это работает достаточно вариативно и нестабильно, особенно в части уже залогиненных пользователей - bettercap будет пытаться впарить им устаревание куки и разлогинить, но работает это не всегда. Так что наберитесь терпения и ждите.
Так же хочу отметить, что, зачастую, у жертвы наблюдаются жуткие тормоза при заходе на подобный сайт с логинами и паролями. С чем это связано - непонятно, закономерностей не увидел.
В общем-то это все.....
Надеюсь, кому-то окажется полезным!
Пожалуй, начнем.
Провел я эксперимент на тему сниффинга HTTPS-трафика с подсовыванием своего, самоподписанного сертификата. Сразу предупрежу - все нижеизложенное не сработает на браузере Firefox. У него своя база сертификатов и ему надо подсовывать сертификат отдельно.
Ну и некоторые моменты касаемо настроек тоже остались за кадром, их в инете много.
Итак, каков был порядок действий:
- На атакующей машине с Kali Linux (192.168.3.143) генерируем самоподписанный сертификат, настраиваем Apache на работу по SSL. Это хорошо описано здесь:
Ссылка скрыта от гостей.
- Копию полученного сертификат переименовываем (хотя, этого можно и не делать) из формата *.pem в *.crt и на флешке уносим с собой
Дальше наша задача подсунуть этот сертификат жертве в хранилище "Доверенные корневые центры сертификации". Вариантов много, но это оставим за кадром. Я тестировал именно работу всего комплекса, поэтому воспользовался правами админа своей локалки и применил читерский ход - подсунул сертификат с помощью доменных политик AD. - Проверяем с "жертвы" (192.168.3.210):
- Прошу обратить внимание на то, что для успешной работы bettercap надо полученные на шаге 1 открытый и закрытый ключи сертификатов (в моем случае это pentest.pem и pentest.key) слить в единый файл. Это легко делается командой cat на атакующем компе:
Полученный сертификат скопируйте в домашний каталог (в моем случае - root).Код:cat pentest.key pentest.pem > pentest_full.pem
Далее на атакующем компе запускаем такую команду:
В данном случае я использовал и HTTP-прокси + SSLStrip, и HTTPS- прокси. Позже объясню, почему так делать не надо. Ну и адреса соответствуют моей сети.Код:bettercap -X -G 192.168.3.2 -T 192.168.3.210 --proxy --proxy-https --proxy-pem ~/pentest_full.pem --log out.log
- Пробуем с жертвы зайти на VK.COM и ввести какие-нибудь логин/пароль:
- Нажимаем войти и, естественно, не попадаем никуда:
- В это же время на атакующем компе видим вожделенные данные (они же есть в файле out.log):
- Вуаля! Цель достигнута.
И, самое плохое, в том, что если жертва введет логин/пароль и нажмет "Войти", то вы-то получите эти данные... А вот жертва будет все время получать вот эту картинку и никуда с этого экрана не уйдет:
Таким образом, оптимальной была признана команда, подобранная опытно-экспериментальным путем:
Код:
bettercap -X -G 192.168.3.2 -T 192.168.3.210 --proxy-pem ~/pentest_full.pem --log out.logВ этом случае залогиненные пользователи даже после принудительного перелогина нормально проскальзывают на настоящий сайт.
Так же хочу предупредить о том, что все это работает достаточно вариативно и нестабильно, особенно в части уже залогиненных пользователей - bettercap будет пытаться впарить им устаревание куки и разлогинить, но работает это не всегда. Так что наберитесь терпения и ждите.
Так же хочу отметить, что, зачастую, у жертвы наблюдаются жуткие тормоза при заходе на подобный сайт с логинами и паролями. С чем это связано - непонятно, закономерностей не увидел.
В общем-то это все.....
Надеюсь, кому-то окажется полезным!
