• Открыта запись на вторую часть курса по анонимности и безопасности в сети интернет "Paranoid II" от команды codeby. Анонимные роутеры, Подъём, настройка и администрирование Tor-ноды, Работа с железом ПК, Удаление аппаратных закладок, Минимизация рисков, Авторские разработки и многое другое. Подробнее ...

Проблема В поисках истины/Подмена DNS роутера

Rollly

Rollly

Happy New Year
31.12.2017
111
127
Здравствуйте всем. Мучаюсь данным вопросом уже больше полугода. На данном форуме писалось немало статей по поводу подмены DNS, да и не только на это форуме, все сталкиваются с такими вопросом, как же все таки совершить подмену при переходе по "https" ссылке. Загвоздка в том, что при переходе по ссылке, сайт не открывался, сертификат ему нужен, сделали самоподписный сертификат, браузер ругаться будет на недоверенный серт. Остается одно, купить похожий домен на тот же, всеми любимый :) "vk.com", но похожего не найти, есть возможность использовать punycode, но чтобы не тратить время и силы, решил спросить у вас, сработает переход по "https" ссылке, купив домен, и установить сертификат на него путем использования lets ecnrypt. Прописав купленный домен похожий на "vk.com" в vestacp, и в dnschef, прописать домен который хотим подменить. Что из этого выйдет? Буду рад, если кто-нибудь даст на тест впску :)
 
T

tnAnGel

Подменишь центр сертификации -> получишь серт на свой поддельный vk.com. Нужно посмотреть на гите генерацию let's encrypt. В случае, если генерируется не полностью локально, то потребуется поставить уже любой свой серт на роутер, чтобы прокатило. Смотрим реализацию с сертом при митм атаке. Также, рекомендую подглядеть реализацию у fiddler`a.

Я бы проксировал весь трафик и уже на своей тачке обрабатывал, так будет проще.
 
Rollly

Rollly

Happy New Year
31.12.2017
111
127
Подменишь центр сертификации -> получишь серт на свой поддельный vk.com. Нужно посмотреть на гите генерацию let's encrypt. В случае, если генерируется не полностью локально, то потребуется поставить уже любой свой серт на роутер, чтобы прокатило. Смотрим реализацию с сертом при митм атаке. Также, рекомендую подглядеть реализацию у fiddler`a.

Я бы проксировал весь трафик и уже на своей тачке обрабатывал, так будет проще.
Каким вообще образом ставить сертификат на роутер?
 
T

tnAnGel

Покурите сами этот вопрос, это все же unix тачка, способов масса.
 
☠xrahitel☠

☠xrahitel☠

Happy New Year
09.12.2016
163
268
решил спросить у вас, сработает переход по "https" ссылке, купив домен :)
1- Если человек будет переходить на сайт именно по https://vk.com (а это в ~80% случаев так, именно с vk с остальными сайтами заявлеными в топике 99%) - то его перекинет на ваш ip с вашим фейком, но при этом человек увидит "красный" аллерт от хрома на весь экран предупреждающий о том что не пройдена проверка сертификата и сайт скорее всего фальшивый. Человек в данном случае может проигнорить сообщение нажав на незаметную кнопку "дополнительно" и "продолжить всё равно". (Вот скрин на аллерт

2- На всех других сайтах qiwi, yandex, mail, google и т.п. стоит защитный заголовок HSTS. Его обойти имея доступ только к днсу нету возможости никак и данная атака становится совсем бессмыслена. На примере - переходим мы один раз на (Это страница авторизации в гугл акк) и он отдаёт нам заголовок "strict-transport-security:max-age=31536000; includeSubDomains" как он работает - при всех последующих посещениях этого домена и всех его поддоменов даже если юзер вобьёт в адресную строку (именно http) то браузер всегда локально будет менять протокол на защишённый для этого домена и только потом делать запрос. Тем самым запрос будет сделан сразу на - и юзер увидит опять этот красный аллерт, только теперь у него не будет возможности его обойти нажав кнопку "подробнее" или "advance" т.к. в этом случае ВСЕ браузеры не предоставляют такой возможности из-за HSTS-а и юзер никак не увидит ваш фейк. Этот заголовок есть на всех популярных сервисах кроме vk. (У вк он есть на login.vk.com - но это защита сугубо от митма авторизации, а не атаки через подмену днса).

Возможность атакавать юзера через подмену днса есть только в двух случаях:
1- Если у сайта есть HSTS- то надежда только на то что юзер никогда этот домен не посещал со своего браузера прежде (Или посещал его давно, в зависимости от настроек самого HSTS - у гугла к примеру это 31536000 секунд - то есть год)
2- Если у даже сайта НЕТУ HSTS заголовка но он работает через HTTPS протокол (А сейчас 100% популярных ресурсов работают через него и вк тоже) то надежда либо на то что юзер вобьёт в адресную строку именноМобильная версия ВКонтакте, если юзер вобьёт просто vk.com то хром его автоматом редиректнит на https версию сразу (из-за истории если до этого он уже открывал этот домен с браузера), а если просто vk то юзер зайдёт на неё через поисковик - а они дают ссылку сразу на httpS версию сайта, но даже если юзер вобьёт именно http://vk.comон должен будет ещё проигнорить красные алерты браузеров во всё окно о том что вас атакуют и найти специально сделаную не заметную кнопку "подробнее" чтобы это обойти. И вы как атакующий на все эти процессы никак не можете повлиять.

© N1Tron1X
 
Rollly

Rollly

Happy New Year
31.12.2017
111
127
- Если человек будет переходить на сайт именно по https://vk.com (а это в ~80% случаев так, именно с vk с остальными сайтами заявлеными в топике 99%) - то его перекинет на ваш ip с вашим фейком, но при этом человек увидит "красный" аллерт от хрома на весь экран предупреждающий о том что не пройдена проверка сертификата и сайт скорее всего фальшивый. Человек в данном случае может проигнорить сообщение нажав на незаметную кнопку "дополнительно" и "продолжить всё равно". (Вот скрин на аллерт
Не уверен что сработает, но что если поставить на сервер, тот же sslstrip+ и dns2proxy, сработает ли?
 
Rollly

Rollly

Happy New Year
31.12.2017
111
127
Коротко, нет не сработает, в том числе по причинам озвученным выше:cool:
А вообще на днях стандартизировали , а тут все тот же sslstrip+
А есть другие варианты, кроме sslstrip?)
 
Mezantrop

Mezantrop

Happy New Year
20.03.2018
50
29
Покупаешь виртуальный сервер. На нем поднимаешь DNS сервер, ставишь PHP+MySQL.
В DNS прописываешь редирект на свой фейк, который установлен на твоем виртуальном сервере.
Там же ставишь свой бесплатный сертификат для этого фейка.
Ломаешь роутеры - доступ по вебке. Заходишь в АП роутера и меняешь DNS роутера (обычно гугловский 8.8.8.8) на свой DNS.
Для юзверя пофиг какой DNS там стоит, но как только он наберет адрес нужного тебе сайта его перекинет на твой фейк с твоим сертификатом и будет все норм.
 
Rollly

Rollly

Happy New Year
31.12.2017
111
127
Покупаешь виртуальный сервер. На нем поднимаешь DNS сервер, ставишь PHP+MySQL.
В DNS прописываешь редирект на свой фейк, который установлен на твоем виртуальном сервере.
Там же ставишь свой бесплатный сертификат для этого фейка.
Ломаешь роутеры - доступ по вебке. Заходишь в АП роутера и меняешь DNS роутера (обычно гугловский 8.8.8.8) на свой DNS.
Для юзверя пофиг какой DNS там стоит, но как только он наберет адрес нужного тебе сайта его перекинет на твой фейк с твоим сертификатом и будет все норм.
☠xrahitel☠, писал выше, что будет алерт хрома, при переходе по "https", что об этом скажешь?
 
Mezantrop

Mezantrop

Happy New Year
20.03.2018
50
29
☠xrahitel☠, писал выше, что будет алерт хрома, при переходе по "https", что об этом скажешь?
Какой алерт ? Если серт самоподписанный на твой фейк который на твоем серваке стоит.
 
Rollly

Rollly

Happy New Year
31.12.2017
111
127
Какой алерт ? Если серт самоподписанный на твой фейк который на твоем серваке стоит.
но при этом человек увидит "красный" аллерт от хрома на весь экран предупреждающий о том что не пройдена проверка сертификата и сайт скорее всего фальшивый. Человек в данном случае может проигнорить сообщение нажав на незаметную кнопку "дополнительно" и "продолжить всё равно". (Вот скрин на аллерт
Но если честно, я сам не понял почему @☠xrahitel☠ написал про алерт, ведь подписав домен тем же lets encrypt, сертификат будет валидным, а не самоподписанным на коленке.
 
Rollly

Rollly

Happy New Year
31.12.2017
111
127
Поднял сервер, создал самопальный сертификат, теперь при переходе на сайт Мобильная версия ВКонтакте идет алерт в браузере Firefox можно как пропустить, так и добавить в исключение, в хроме же другая ситуация, мешает HSTS, и сделать ничего невозможно. Накидывайте варианты, как это можно обойти?
 
nikos

nikos

Well-known member
25.12.2016
508
189
Единственно что приходит на ум это создание похожего домена по типу vh.сom gogle.ru в таком духе.
Если подменить жертве dns то можно настроить редирект с реальных доменов на фейковые и жертва при вводе vk.com будет кидатся на vh.com конечно домен будет другим но зато браузер не будет ругатся на сертификат)
Ну или пытатся спомощью той же подмены dns делать ридеректы со всех популярных доменов на страницу типа с "обновление" браузера и если жертва скачает получит троян или пытатся сделать перехват трафика приложний на компе жертвы и заставить их подумать что вышло обновление и опять же подвидом "обновления" кинуть троян модифицировать браузер жертвы и тогда на вашь vk.com ругатся он точно не будет)
Сам эти вопросом задавался и скажу что сейчас вариантов не очень много либо действовать на не внимательность или глупость либо пытатся сделать фейковое обновление и засунуть троянец. Раньше была возможность понижать до http но сейчас современные браузеры такого не позволяют(
Сам принцип работы тогоже sslscript сводился к понижению до http(не работает) или генерация похожих доменых имен на которые правила HSTS не расспостроняются.
А есть другие варианты, кроме sslstrip?)
Может и есть но принцип у них должен быть таким же либо понижение до http либо другой домен пока нечего "нового" нет.
 
Последнее редактирование:
nikos

nikos

Well-known member
25.12.2016
508
189
Подменишь центр сертификации -> получишь серт на свой поддельный vk.com. Нужно посмотреть на гите генерацию let's encrypt. В случае, если генерируется не полностью локально, то потребуется поставить уже любой свой серт на роутер, чтобы прокатило. Смотрим реализацию с сертом при митм атаке. Также, рекомендую подглядеть реализацию у fiddler`a.

Я бы проксировал весь трафик и уже на своей тачке обрабатывал, так будет проще.
Сомневаюсь что такое прокатит вроде вся эта система на стороне браузера работает и тут без доступа к хосту не как.
 
nikos

nikos

Well-known member
25.12.2016
508
189
Но если честно, я сам не понял почему @☠xrahitel☠ написал про алерт, ведь подписав домен тем же lets encrypt, сертификат будет валидным, а не самоподписанным на коленке.
Вроде если я не ошибаюсь просходит не только проверка подписи сертификата но и отношение этой подписи к этому домену. Подпись то валидная да она не для этого домена;)
 
Rollly

Rollly

Happy New Year
31.12.2017
111
127
Единственно что приходит на ум это создание похожего домена по типу vh.сom gogle.ru в таком духе.
Если подменить жертве dns то можно настроить редирект с реальных доменов на фейковые и жертва при вводе vk.com будет кидатся на vh.com конечно домен будет другим но зато браузер не будет ругатся на сертификат)
Ну или пытатся спомощью той же подмены dns делать ридеректы со всех популярных доменов на страницу типа с "обновление" браузера и если жертва скачает получит троян или пытатся сделать перехват трафика приложний на компе жертвы и заставить их подумать что вышло обновление и опять же подвидом "обновления" кинуть троян модифицировать браузер жертвы и тогда на вашь vk.com ругатся он точно не будет)
Сам эти вопросом задавался и скажу что сейчас вариантов не очень много либо действовать на не внимательность или глупость либо пытатся сделать фейковое обновление и засунуть троянец. Раньше была возможность понижать до http но сейчас современные браузеры такого не позволяют(
Сам принцип работы тогоже sslscript сводился к понижению до http(не работает) или генерация похожих доменых имен на которые правила HSTS не расспостроняются.

Может и есть но принцип у них должен быть таким же либо понижение до http либо другой домен пока нечего "нового" нет.
Допустим я купил домен очень схожий на vk.com, благо возможности позволяют) Но я не совсем понимаю, каким образом привязывать домен к DNS серверу. Как можно реализовать этот редирект?
 
Последнее редактирование:
Мы в соцсетях:  ТелеграмВконтактеДзенФейсбукТвиттерЮтуб