MITMf - SSLstrip and HSTS bypass 2018

[karencho]

Привет всем, ребята очень интересна эта тема, на даный момент я использовал эту програму на своей сети, для обхода ссл, но у браузеров просто ноль реакций... никакого ссл стрипа нету, не на одном сайте, про HSTS я вообще молчу)). Так вот мне интересно в 2018 году возможен ли ссл стрип или HSTS Bypass, если да то как может кто помочь?

 

[Underwood]

Доброго дня,
Ssl strip и ssl strip2 и подобные атаки на протокол, уже давно утратили актуальность,
В двух словах, суть атаки обхода hsts - даунгрейд ssl/tls до http версии сайта, то есть отключить шифрование и фактически заставить использовать открытый протокол, но грамотная конфигурация tls и новый браузер у пользователя - делают эти атаки бесполезными.

 

[karencho]

ну и какая альтернатива? то есть все, невозможно обойти защиту? а еще вопросик, возможно ли юзера заставить записать сертификат? ну то есть, допустим проходит по сайту, там выходит сообщение бла бла бла.. и надо нажать да или нет... в обоих случаях чтоб подгружался сертификат mimtproxy после чего можно и не парится про HSTS, или такое невозможно?

 

[Underwood]

ну и какая альтернатива? то есть все, невозможно обойти защиту? а еще вопросик, возможно ли юзера заставить записать сертификат? ну то есть, допустим проходит по сайту, там выходит сообщение бла бла бла.. и надо нажать да или нет... в обоих случаях чтоб подгружался сертификат mimtproxy после чего можно и не парится про HSTS, или такое невозможно?

Описанный вариант - подмена сертификата, используя СИ, одна из самых эффективных и универсальных публичных методик, так же есть другие приватные решения, но суть большинства сводится к эксплуатации ошибок администрирования устаревших версий tls.

 

[pr0phet]

суть атаки hsts

Если я не ошибаюсь - HSTS не позволяет провести атаку даунгрейда и возможность установить самоподписанный серт (случай с sslstrip)
То есть HSTS - не атака, а наоборот механизм противодействия атаке.

 

[karencho]

По HSTS где то в 2016 если не ошибаюсь, было создано приложение, которое позволяло атакуемой машине менять дату и время на victim машине, что в свое время обнуляло preload list HSTS, как раз это и позволяло обойти hsts, но это было возможно не на всех машинах, я даже не знаю вообще актуальна ли эта программа сейчас, она называлась Dolorean(может и ошибаюсь), по моему программа использовала свой NTP сервер, но я в этом не профи))), а можно по подробней о подмене сертификатов, может где дайте статейку прочитать, спасибо

 

[Underwood]

То есть HSTS - не атака, а наоборот механизм противодействия атаке

Все верно, имел ввиду обход hsts, благодарю.