Νέες δυνατότητες του θρυλικού σαρωτή ασφαλείας Intercepter-NG. Πρόγραμμα εργασίας για χάκερ Intercepter-NG Installation στα Windows

Το Intercepter-NG θα σας επιτρέψει να προσδιορίσετε τη διεύθυνση MAC και τη διεύθυνση IP οποιουδήποτε χρήστη που είναι συνδεδεμένος σε δημόσιο δίκτυο. Επίσης, χρησιμοποιώντας το πρόγραμμα, μπορείτε να υποκλέψετε cookies, εξερχόμενη και εισερχόμενη κίνηση για παράνομους σκοπούς.

Χαρακτηριστικά

Το Intercepter-NG είναι μια πολυλειτουργική εφαρμογή που στα σωστά χέρια μετατρέπεται σε εργαλείο διεξαγωγής παράνομων συναλλαγών. Πρώτον, μπορεί να χρησιμοποιηθεί για την αναγνώριση όλων των συσκευών που είναι συνδεδεμένες σε ένα δημόσιο δίκτυο. Τα δεδομένα περιλαμβάνουν όχι μόνο τη διεύθυνση IP, αλλά και τη μοναδική διεύθυνση MAC της συσκευής.

Δεύτερον, η εφαρμογή σάς επιτρέπει να παρακολουθείτε την αμφίδρομη κίνηση του επιλεγμένου χρήστη, προβάλλοντας, χρησιμοποιώντας και ακόμη και αντικαθιστώντας αρχεία. Δεδομένου ότι το πρόγραμμα δεν περιέχει λεπτομερείς οδηγίες για τον τρόπο χρήσης της λειτουργικότητας, πρέπει να έχετε ελάχιστες γνώσεις. Σε αυτήν την περίπτωση, όχι μόνο θα ανακαλύψετε τη διεύθυνση IP ή MAC, αλλά θα μπορείτε επίσης να υποκλέψετε εύκολα cookies για να διαβάσετε την αλληλογραφία άλλων ανθρώπων και ακόμη και να εκτελέσετε ενέργειες για λογαριασμό του χρήστη.

Ιδιαιτερότητες

• Πρόσβαση ρίζας. Η συσκευή πρέπει να είναι root για να χρησιμοποιεί όλες τις λειτουργίες της εφαρμογής.
• Η δυνατότητα να μάθετε τη διεύθυνση IP και MAC οποιουδήποτε χρήστη που χρησιμοποιεί το ίδιο σημείο πρόσβασης με εσάς.
• Δυνατότητα υποκλοπής cookies για ανάγνωση αλληλογραφίας, ενέργειες με λογαριασμούς.
• Δυνατότητα υποκλοπής εξερχόμενης και εισερχόμενης κυκλοφορίας, αντικατάσταση αρχείων.

Μια μινιμαλιστική διεπαφή και σταθερή λειτουργία είναι μερικά ακόμη χαρακτηριστικά της εφαρμογής που την κάνουν δημοφιλή στους στενούς κύκλους.

Περιγραφή του Intercepter-NG

Το Intercepter-NG είναι ένα πολυλειτουργικό σύνολο εργαλείων δικτύου για ειδικούς πληροφορικής διαφόρων τύπων. Ο κύριος στόχος είναι η ανάκτηση ενδιαφέροντων δεδομένων από τη ροή του δικτύου και η εκτέλεση διαφόρων ειδών επιθέσεων man-in-the-middle (MiTM). Επιπλέον, το πρόγραμμα σάς επιτρέπει να ανιχνεύετε πλαστογράφηση ARP (μπορεί να χρησιμοποιηθεί για τον εντοπισμό επιθέσεων man-in-the-middle), τον εντοπισμό και την εκμετάλλευση ορισμένων τύπων τρωτών σημείων και τα διαπιστευτήρια σύνδεσης brute force για υπηρεσίες δικτύου. Το πρόγραμμα μπορεί να λειτουργήσει τόσο με μια ζωντανή ροή επισκεψιμότητας όσο και να αναλύσει αρχεία με καταγεγραμμένη επισκεψιμότητα για να εντοπίσει αρχεία και διαπιστευτήρια.

Το πρόγραμμα προσφέρει τις ακόλουθες λειτουργίες:

• Ανίχνευση κωδικών πρόσβασης/hashes των ακόλουθων τύπων: ICQ, IRC, AIM, FTP, IMAP, POP3, SMTP, LDAP, BNC, SOCKS, HTTP, WWW, NNTP, CVS, TELNET, MRA, DC++, VNC, MYSQL, ORACLE, NTL , KRB5 RADIUS
• Ανίχνευση μηνυμάτων συνομιλίας: ICQ, AIM, JABBER, YAHOO, MSN, IRC, MRA
• Ανακατασκευάστε αρχεία από: HTTP, FTP, IMAP, POP3, SMTP, SMB
• Διάφοροι τύποι σάρωσης όπως Promiscuous mode, ARP, DHCP, Gateway, Port και Smart scanning
• Λήψη πακέτων και επακόλουθη ανάλυση (εκτός σύνδεσης) / λειτουργία RAW (ακατέργαστη).
• Απομακρυσμένη λήψη κίνησης μέσω RPCAP daemon και PCAP Over IP
• NAT, ΚΑΛΤΣΕΣ, DHCP
• ARP, DNS μέσω ICMP, DHCP, SSL, SSLSTRIP, WPAD, ρελέ SMB, SSH MiTM
• SMB Hijack (interception), ρελέ LDAP, MySQL LOAD DATA injection
• ARP Watch, ARP Cage, HTTP injection, Heartbleed exploit, Kerberos Downgrade, Cookie Killer
• Παραπλάνηση DNS, NBNS, LLMNR
• Βάναυση δύναμη διαφόρων υπηρεσιών δικτύου

Η κύρια έκδοση τρέχει σε Windows, υπάρχει μια έκδοση κονσόλας για Linux και μια έκδοση για Android.

Άδεια: «ως έχει»

Λειτουργίες Intercepter-NG

Το Intercepter-NG έχει επτά κύριες λειτουργίες, οι οποίες αντιστοιχούν στον αριθμό των καρτελών του προγράμματος και στον αριθμό των κύριων κουμπιών:

Αυτοί είναι οι τρόποι:

• Αγγελιαφόροι
• Ανάσταση
• Κωδικοί πρόσβασης
• Σαρώσεις
• RAW (ακατέργαστο)

Βάλτε στην πρώτη θέση Λειτουργία Messenger(λογότυπο ICQ). Αυτό συνέβη για ιστορικούς λόγους - αρχικά το Intercepter-NG δημιουργήθηκε ως πρόγραμμα υποκλοπής μηνυμάτων ICQ και άλλων άμεσων μηνυμάτων.

Λειτουργία Ανάστασης(το λογότυπο στο κουμπί είναι το Phoenix) σημαίνει ανάκτηση αρχείων από μια ροή δικτύου. Αυτά μπορεί να είναι αρχεία εικόνων που προβάλλονται σε ιστότοπους, καθώς και αρχεία μεταφερθέντων αρχείων, εγγράφων και οποιωνδήποτε άλλων.

Κατά τη μετάβαση σε Λειτουργία κωδικού πρόσβασης(τρίτο κουμπί - μπρελόκ) θα δείτε τα διαπιστευτήρια που καταγράφηκαν από τη ροή δικτύου. Εμφανίζονται οι διευθύνσεις ιστοτόπων, τα στοιχεία σύνδεσης και οι κωδικοί πρόσβασης που έχουν εισαχθεί.

Όταν ξεκινήσει το πρόγραμμα, ανοίγει Λειτουργία σάρωσης(μεσαίο κουμπί - ραντάρ). Αυτή είναι η αρχική λειτουργία για την εκτόξευση επιθέσεων: η σάρωση, η επιλογή στόχων και η ρύθμιση άλλων παραμέτρων δικτύου πραγματοποιείται σε αυτήν την καρτέλα.

Αυτί MiTM(δέσμη καλωδίων ενημέρωσης κώδικα) περιέχει πεδία για την εισαγωγή ρυθμίσεων στόχου, πολλά από τα οποία συμπληρώνονται αυτόματα κατά τη σάρωση στην καρτέλα Σάρωση. Υπάρχουν επίσης κουμπιά για την εκτόξευση διαφόρων επιθέσεων MiTM.

Αυτί DHCPπεριέχει ορισμένες ρυθμίσεις δικτύου και διακομιστή DHCP.

Λειτουργία RAW (ακατέργαστη)εμφανίζει ακατέργαστες πληροφορίες σχετικά με δεδομένα που μεταδίδονται σε μια ροή δικτύου. Οι πληροφορίες παρουσιάζονται σε μορφή παρόμοια με .

Συμβουλές για τη χρήση του Intercepter-NG και την επίλυση προβλημάτων:

• Το Intercepter-NG απαιτεί το WinPcap για λειτουργία, αλλά δεν χρειάζεται να εγκατασταθεί ξεχωριστά, καθώς το Intercepter συνοδεύεται από φορητή έκδοση του WinPcap.
• Εάν δεν βλέπετε τον προσαρμογέα σας στη λίστα με τους προσαρμογείς, σημαίνει ότι το WinPcap δεν υποστηρίζει την κάρτα σας.
• Εάν δεν λειτουργεί τίποτα με την κάρτα WiFi, ακόμη και η χάραξη ARP, χρησιμοποιήστε το εικονίδιο NIC, το οποίο βρίσκεται στην αριστερή πλευρά της λίστας των προσαρμογέων, για να μεταβείτε στη λειτουργία WiFi. Βεβαιωθείτε επίσης ότι η Stealth IP έχει πρόσβαση στο Διαδίκτυο.
• Σε ορισμένες σπάνιες περιπτώσεις, η υπηρεσία BFE (Base Filtering Engine) ενδέχεται να αποκλείσει τις τοπικές θύρες Intercepter. Αυτό εκδηλώνεται ως εξής: Το ARP λειτουργεί, αλλά άλλες λειτουργίες MiTM δεν λειτουργούν (στα Windows 7 και νεότερες εκδόσεις). Προγράμματα προστασίας από ιούς όπως το Avast μπορούν επίσης να τα αποκλείσουν, ακόμη και αν η προστασία δικτύου είναι απενεργοποιημένη στον πίνακα ελέγχου. Ένας άλλος λόγος για αυτήν τη συμπεριφορά μπορεί να είναι η ταυτόχρονη λειτουργία μιας σύνδεσης WiFi και της υπηρεσίας Κοινή χρήση σύνδεσης στο Internet.
• Το Intercepter υποστηρίζει την ενθυλάκωση 802.11, ώστε να μπορείτε να χρησιμοποιείτε τα pcap dumps από προγράμματα και . Υποστηρίζονται επίσης PPPoE, GRE(PP2P) και πρόσθετες κεφαλίδες 802.11. Αυτό δεν σημαίνει ότι το Intercepter μπορεί να αναλύσει κρυπτογραφημένα δεδομένα, σημαίνει ότι το Intercepter μπορεί να αφαιρέσει τις κεφαλίδες ethernet\ip από πακέτα αυτού του τύπου και να τα αναλύσει.
• Λόγω περιορισμών πρωτοκόλλου, η πηγή και ο προορισμός UIN\MAIL\... ενδέχεται να μην εμφανίζονται στην καρτέλα μηνυμάτων συνομιλίας.
• Για να αντιγράψετε δεδομένα από τον πίνακα κωδικών πρόσβασης, κάντε κλικ στη γραμμή και πατήστε ctrl+c.
• Για να αποκρύψετε το παράθυρο του προγράμματος, χρησιμοποιήστε τη συντόμευση πληκτρολογίου Ctrl+Alt+S. Κάντε κλικ σε αυτό ξανά για να εμφανιστεί ξανά το παράθυρο.
• Το Intercepter μπορεί να εκτελεστεί ακόμη και σε win9x (98 και 95!), αλλά πρέπει να εγκαταστήσετε το WinPcap 3.1 ή το WinPcap 4.0beta2. Οι νέες εκδόσεις WinPcap δεν υποστηρίζουν win9x.
• Λειτουργία κονσόλας για ανάλυση εκτός σύνδεσης:

• Για να ενεργοποιήσετε το αυτόματο sniffing πρέπει να ανοίξετε ρυθμίσεις.cfgκαι επεξεργαστείτε" autorun". Η προεπιλεγμένη τιμή είναι 0 , αλλάξτε τον αριθμό της διεπαφής που πρόκειται να μυρίσετε.
• Το Intercepter μετατρέπει τις χωματερές pcap με ακατέργαστα ενθυλακωμένα δεδομένα IP σε ενθυλάκωση Ethernet (προσθήκη πληροφοριών κεφαλίδας ethernet).
• Το Intercepter μπορεί να διαβάσει μια νέα μορφή - pcapng. Δεδομένου ότι όλα τα αρχεία καταγραφής pcapng από το Wireshark χρησιμοποιούν μόνο τον τύπο "Enhanced Packet Block", το Intercepter υποστηρίζει μόνο αυτόν τον τύπο μπλοκ πακέτων. Επιπλέον, εμφανίζει σχόλια πακέτου.
• Στη λειτουργία raw (RAW) μπορείτε να ορίσετε τους δικούς σας κανόνες χρησιμοποιώντας φίλτρα pcap για να φιλτράρετε την κυκλοφορία. Δείτε τη σύνταξη φιλτραρίσματος pcap για λεπτομέρειες. Παράδειγμα:

σημαίνει να λαμβάνεις μόνο πακέτα από τη θύρα tcp 80 από τον πυρήνα.

Όχι θύρα 80

σημαίνει εξαίρεση πακέτων από τη θύρα 80

Μπορείτε να συνδυάσετε κανόνες:

Θύρα 80 και όχι θύρα 25

• Δεν θα πρέπει να εργάζεστε με τεράστιες αποθήκες σε κατάσταση raw, επειδή το Intercepter φορτώνει κάθε πακέτο στη μνήμη και δεν χρησιμοποιεί τον σκληρό δίσκο ως διαμέρισμα ανταλλαγής.

Συμβουλές επιλογής Intercepter-NG

Επιλογές Sniffer:

• Εάν πρόκειται να εκτελέσετε ανάλυση εκτός σύνδεσης ενός pcap dump, τότε για να επιταχύνετε τη διαδικασία, καταργήστε την επιλογή του " Επίλυση κεντρικών υπολογιστών”.
• Εάν τσεκάρετε την επιλογή " Κλείδωμα στο δίσκο", τότε κατά την επαναφορά ενός παραθύρου από το δίσκο θα σας ζητηθεί κωδικός πρόσβασης. Ο προεπιλεγμένος κωδικός πρόσβασης είναι " 4553 ". Μπορείτε να το αλλάξετε στο αρχείο ρυθμίσεις.cfg. Ο κωδικός πρόσβασης είναι κωδικοποιημένος στο base64.
• Επιλογή" Αποθήκευση συνεδρίας" σημαίνει ότι το Intercepter θα αποθηκεύσει όλα τα ληφθέντα πακέτα σε ένα αρχείο pcap. Αυτό το αρχείο μπορεί να χρησιμοποιηθεί για ανάλυση δεδομένων εκτός σύνδεσης. Είναι ένα είδος συνάρτησης εξαγωγής αποτελεσμάτων.
• Εάν εγκαταστήσετε Σύμμικτος, τότε το Intercepter ανοίγει τον προσαρμογέα δικτύου σε ακατάλληλη λειτουργία. Αυτό σημαίνει ότι θα διαβάζει όλα τα πακέτα, ακόμη και αυτά που δεν προορίζονται για τη συγκεκριμένη διεπαφή δικτύου. Εάν το πλαίσιο ελέγχου δεν είναι επιλεγμένο, θα διαβάζει μόνο πακέτα που αποστέλλονται στην καθορισμένη διεπαφή. Ορισμένες κάρτες Wi-Fi δεν υποστηρίζουν αυτήν τη λειτουργία.
• “Μοναδικά Δεδομένα” - εμφάνιση μόνο μοναδικών στοιχείων σύνδεσης και κωδικών πρόσβασης. Εκείνοι. εμφάνιση καταγεγραμμένων στοιχείων σύνδεσης και κωδικών πρόσβασης μόνο μία φορά - εάν ο χρήστης εισήγαγε ξανά τα ίδια στοιχεία σύνδεσης και κωδικό πρόσβασης, δεν θα εμφανιστεί.
• Αυτόματη αποθήκευση— όλες οι πληροφορίες κειμένου θα αποθηκεύονται κάθε 10 δευτερόλεπτα.
• Από προεπιλογή, το πλαίσιο ελέγχου είναι " Προβολή πλέγματος" Αυτό σημαίνει ότι οι κωδικοί πρόσβασης θα εμφανίζονται ως πλέγμα δεδομένων. Για να δείτε πλήρεις λεπτομερείς πληροφορίες, καταργήστε την επιλογή " Προβολή πλέγματος”.
• άκρο.Σε μια τυπική ροή εργασίας, ένα sniffer αναλύει προκαθορισμένες θύρες που σχετίζονται με συγκεκριμένα πρωτόκολλα. Αν λέμε http, εννοούμε τη θύρα 80 (ή 8080 ή οτιδήποτε άλλο είναι προκαθορισμένο στη λίστα των θυρών που σχετίζονται με το πρωτόκολλο http). Εκείνοι. Μόνο αυτές οι θύρες θα αναλυθούν. Εάν ορισμένες εφαρμογές χρησιμοποιούν διαφορετική θύρα, όπως το 1234, τότε ο ανιχνευτής δεν θα αναλύσει τα πακέτα που περνούν από αυτήν. Σε λειτουργία άκροΤο Intercepter θα αναλύσει όλα τα πακέτα TCP χωρίς να ελέγχει τις θύρες. Εκείνοι. ακόμα κι αν κάποια εφαρμογή χρησιμοποιεί μια απροσδιόριστη θύρα, το sniffer θα εξακολουθεί να σαρώνει αυτά τα πακέτα. Αν και αυτό επιβραδύνει την απόδοση (πολλές περισσότερες θύρες πρέπει να ελεγχθούν από το συνηθισμένο) και μπορεί να αποκαλύψει λανθασμένα δεδομένα ή να χάσει το σωστό πρωτόκολλο (για παράδειγμα, το FTP και το POP3 χρησιμοποιούν τον ίδιο τύπο εξουσιοδότησης), παρέχει τη δυνατότητα εύρεσης και υποκλοπής ενδιαφέροντα δεδομένα για μη αναγνωρισμένες θύρες. Χρησιμοποιήστε αυτήν τη λειτουργία με δική σας ευθύνη, μην εκπλαγείτε αν κάτι πάει στραβά όταν είναι ενεργοποιημένη η λειτουργία eXtreme.
• "Μόνο λήψη" σημαίνει ότι το Intercepter θα αποθηκεύει πακέτα μόνο σε ένα αρχείο dump χωρίς ανάλυση σε πραγματικό χρόνο. Αυτό είναι χρήσιμο για την αύξηση της απόδοσης όταν καταγράφετε πολλά δεδομένα δικτύου.
• Επιλογή Ανάστασησημαίνει ενεργοποίηση της λειτουργίας Resurrection, η οποία αναδομεί αρχεία από δεδομένα που μεταδίδονται σε μια ροή δικτύου.
• Θύρες IM
• HTTP. Θύρες που σχετίζονται με HTTP, δείτε την περιγραφή της επιλογής για λεπτομέρειες άκρο.
• ΚΑΛΤΣΕΣ
• IRC\BNC

Επιλογές επίθεσης Man-in-the-Middle (MiTM) στο Intercepter-NG

• Σε όλες τις επιθέσεις MiTM, το Intercepter χρησιμοποιεί πλαστογράφηση (αντικατάσταση) διευθύνσεων ip\mac (επιλογή Πλαστή IP\MAC). Εάν χρησιμοποιείτε διεπαφή Wi-Fi, τότε θα πρέπει να καταργήσετε την επιλογή αυτής της επιλογής, καθώς το 99% των προγραμμάτων οδήγησης wifi δεν επιτρέπουν την αποστολή πακέτων με πλαστό Mac. Αν και αποκαλύπτετε την πραγματική σας διεύθυνση, είστε τουλάχιστον ικανοί να εκτελέσετε οποιεσδήποτε επιθέσεις MiTM μέσω της διεπαφής wifi. Είναι καλύτερο από το τίποτα. Αντί να απενεργοποιήσετε την πλαστογράφηση στις ρυθμίσεις, χρησιμοποιήστε τη λειτουργία WIFI. Μπορείτε να αλλάξετε το Mac που εμφανίζεται στη λειτουργία Expert Mode.
• iOS Killerπροστέθηκε για το iCloud, καθώς και για το Instagram και το VK. Αυτή η λειτουργία (iOS Killer) επαναφέρει τις περιόδους λειτουργίας των καθορισμένων εφαρμογών και σας επιτρέπει να παρεμποδίσετε την εκ νέου εξουσιοδότηση.
• Υποβάθμιση Kerberos
• HSTS Spoofing. Παράκαμψη HSTS κατά τη διάρκεια SSL Strip. Η τεχνική παράκαμψης είναι σχετικά απλή, αλλά υπάρχουν ορισμένες δυσκολίες στην εφαρμογή, επομένως δεν πρέπει να περιμένετε ιδιαίτερα αποτελέσματα. Ας εξετάσουμε ένα παράδειγμα στο Yandex Mail χρησιμοποιώντας το πρόγραμμα περιήγησης Chrome. Εάν μεταβείτε στο ya.ru, τότε στην επάνω δεξιά γωνία θα υπάρχει ένας σύνδεσμος https "Σύνδεση στην αλληλογραφία", τον οποίο μπορεί εύκολα να χειριστεί το SSL Strip. Στη συνέχεια, θα ανοίξει μια φόρμα εξουσιοδότησης, όπου τα δεδομένα μεταφέρονται στο passport.yandex.ru χρησιμοποιώντας τη μέθοδο POST. Ακόμη και μετά την αφαίρεση του https, η εξουσιοδότηση θα γίνει μέσω SSL, επειδή το host passport.yandex.ru περιλαμβάνεται στην προφορτωμένη λίστα του chrome. Για να συνεχίσουμε να παρακολουθούμε τα δεδομένα, πρέπει να αντικαταστήσουμε το όνομα κεντρικού υπολογιστή passport.yandex.ru με κάτι άλλο, έτσι ώστε το πρόγραμμα περιήγησης να μην εντοπίσει ότι αυτός ο πόρος πρέπει να επισκέπτεται αυστηρά μέσω ασφαλούς σύνδεσης. Για παράδειγμα, μπορείτε να αντικαταστήσετε το passport.yandex.ru με το paszport.yandex.ru, σε αυτήν την περίπτωση τα δεδομένα θα σταλούν σε καθαρό κείμενο στο όνομα τομέα που άλλαξε. Επειδή όμως τέτοιος τομέας - paszport.yandex.ru δεν υπάρχει, τότε πρέπει επιπλέον να κάνετε DNS Spoofing, δηλ. Κατά τη μετατροπή του paszport.yandex.ru, ο πελάτης πρέπει να λάβει την αρχική διεύθυνση IP από το passport.yandex.ru ως απάντηση.

Αυτή η διαδικασία είναι αυτοματοποιημένη και δεν απαιτεί πρόσθετη παρέμβαση του χρήστη κατά την εκτέλεση μιας επίθεσης. Το μόνο που απαιτείται είναι να κάνετε πρώτα μια λίστα με τις αντικαταστάσεις misc\hsts.txt. Από προεπιλογή, υπάρχουν πολλές καταχωρήσεις για yandex, gmail, facebook, yahoo. Είναι σημαντικό να κατανοήσουμε ότι αυτή η τεχνική παράκαμψης δεν θα επιτρέψει την παρακολούθηση μιας περιόδου λειτουργίας ή εξουσιοδότησης εάν ο χρήστης εισέλθει στο facebook.com στο πρόγραμμα περιήγησης, επειδή το πρόγραμμα περιήγησης θα ανοίξει αμέσως την ασφαλή έκδοση του ιστότοπου. Σε αυτήν την περίπτωση, η επίθεση είναι δυνατή μόνο εάν ο σύνδεσμος στο facebook.com έχει ληφθεί από άλλο πόρο, για παράδειγμα, κατά την εισαγωγή του facebook στο google.com. Τα κύρια προβλήματα στην υλοποίηση μιας επίθεσης περιλαμβάνουν την απρόβλεπτη λογική του τρόπου με τον οποίο λειτουργούν οι ιστότοποι με τους υποτομείς τους και τα χαρακτηριστικά του κώδικα ιστού που μπορούν να ακυρώσουν τυχόν προσπάθειες παράκαμψης του HSTS. Γι' αυτό δεν πρέπει να προσθέσετε ιστότοπους στη λίστα, ακόμη και οι τομείς που υπάρχουν στο Intercepter-NG από προεπιλογή έχουν τα δικά τους χαρακτηριστικά και δεν λειτουργούν πάντα σωστά. Δεν θέλω πραγματικά να κάνω δεκανίκια για κάθε πόρο, ίσως στο μέλλον να γίνουν κάποιες καθολικές βελτιώσεις, αλλά προς το παρόν, όπως λένε, όπως είναι. Μια ακόμη απόχρωση, στην τρέχουσα υλοποίηση, για να πραγματοποιηθεί το DNS Spoofing, είναι απαραίτητο ο διακομιστής DNS να μην βρίσκεται στο τοπικό δίκτυο, ώστε να μπορείτε να δείτε αιτήματα DNS στην πύλη και να απαντήσετε σε αυτά όπως απαιτείται.

• Προώθηση IP. Ενεργοποιεί τη λειτουργία προώθησης καθαρής IP. Οι επιθέσεις MiTM δεν είναι διαθέσιμες σε αυτήν τη λειτουργία, αλλά σας επιτρέπει να ξεκινήσετε τη δηλητηρίαση arp σε καταστάσεις όπου δεν μπορείτε να χρησιμοποιήσετε Stealth IP. Αυτό είναι συνήθως απαραίτητο όταν η πύλη έχει μια λευκή λίστα με νόμιμους υπολογιστές στο δίκτυο, επομένως το NAT δεν μπορεί να λειτουργήσει σωστά.
• Cookie Killer— επαναφέρει τα cookies, αναγκάζοντας έτσι τον χρήστη να εξουσιοδοτήσει εκ νέου - εισαγάγετε τα στοιχεία σύνδεσης και τον κωδικό πρόσβασης, ώστε ο εισβολέας να μπορεί να τα υποκλέψει. Η λειτουργία Cookie Killer λειτουργεί επίσης για συνδέσεις SSL. Διατίθεται σε μαύρο χρώμα ( misc\ssl_bl.txt) και λευκές λίστες ( misc\ssl_wl.txt). Μπορούν να αποκλείσουν ή, αντίθετα, να καθορίζουν αυστηρά τις διευθύνσεις IP ή τους τομείς στους οποίους πρέπει ή δεν πρέπει να εφαρμόζεται το SSL MiTM. Όταν προσδιορίζετε επιπλέον θύρα ssl, δεν χρειάζεται να καθορίσετε τον τύπο ανάγνωσης/εγγραφής, απλώς καθορίστε τον αριθμό θύρας. Όλη η κίνηση είναι γραμμένη σε ssl_log.txt.
• Απομακρυσμένη λήψη (RPCAP).Το Libpcap καθιστά δυνατή την προώθηση δεδομένων δικτύου από έναν κεντρικό υπολογιστή στον άλλο μέσω του δικού του πρωτοκόλλου που ονομάζεται RPCAP. Εκείνοι. μπορείτε να εκτελέσετε τον δαίμονα rpcap στην πύλη σας και να δείτε όλη την κίνηση που περνά μέσα από αυτό. Μόλις εκτελεστεί ο δαίμονας, μπορείτε να αρχίσετε να καταγράφετε απομακρυσμένη κίνηση χρησιμοποιώντας το Intercepter. Εισαγάγετε το όνομα κεντρικού υπολογιστή ή την IP του δαίμονα στο πεδίο που παρέχεται και, στη συνέχεια, επιλέξτε τον προσαρμογέα από τη λίστα. Στη συνέχεια, πρέπει να ορίσετε ένα φίλτρο "μη φιλοξενίας IP", αντικαθιστώντας το "IP" με την πραγματική διεύθυνση IP που έχει εκχωρηθεί στην κάρτα ethernet σας (αυτό γίνεται για να αγνοηθεί η κίνηση rpcap μεταξύ εσάς και του δαίμονα).
• PCAP μέσω IP

Αυτή η λειτουργία σχετίζεται με την απομακρυσμένη καταγραφή κίνησης και αποτελεί εξαιρετική αντικατάσταση της παλιάς και προβληματικής υπηρεσίας rpcapd. Το όνομα μιλάει από μόνο του. Σχεδόν κάθε Unix έχει πάντα έναν συνδυασμό tcpdump και netcat, με τον οποίο μπορείτε να καταγράφετε την κυκλοφορία σε έναν απομακρυσμένο υπολογιστή λήψης. Σε αυτήν την περίπτωση, το Intercepter μπορεί να ανοίξει μια θύρα εν αναμονή μιας ροής δεδομένων στη μορφή libpcap και να την αναλύσει σε πραγματικό χρόνο.

Δεν υπάρχει θεμελιώδης διαφορά στην πηγή της κυκλοφορίας, επομένως, εκτός από το tcpdump, μπορείτε επίσης να χρησιμοποιήσετε το βοηθητικό πρόγραμμα cat για να διαβάσετε ένα ήδη υπάρχον αρχείο καταγραφής .pcap.

Ακολουθούν μερικά παραδείγματα χρήσης, από προεπιλογή το Intercepter ακούει στη θύρα 2002:

Tcpdump -i face -w - | nc IP 2002

εάν σκοπεύετε να μεταδώσετε κίνηση μέσω της ίδιας διεπαφής από την οποία πραγματοποιείτε λήψη, τότε πρέπει να προσθέσετε έναν κανόνα φιλτραρίσματος που αποκλείει την κυκλοφορία υπηρεσιών μεταξύ του διακομιστή και του Intercepter:

Tcpdump -i face -w - not port 2002 | nc IP 2002 cat log.pcap | nc IP 2002 dumpcap -i face -P -w - | nc IP 2002

Αυτό είναι ένα ανάλογο του tcpdump, το οποίο είναι μέρος του Flag -Πυποδεικνύει ότι τα πακέτα θα πρέπει να αποθηκευτούν στην τυπική μορφή libpcap και όχι στη νέα μορφή pcapng.

Ένας εναλλακτικός τρόπος προώθησης πακέτων χωρίς χρήση netcat:

Tcpdump > /dev/tcp/ip/port

Το WPAD σημαίνει "WebProxy Autodiscovering Protocol" που αντιστοιχεί στη λειτουργία "Αυτόματος εντοπισμός ρυθμίσεων" στα σύγχρονα προγράμματα περιήγησης. Αυτή η δυνατότητα επιτρέπει στο πρόγραμμα περιήγησης να αποκτήσει την τρέχουσα διαμόρφωση διακομιστή μεσολάβησης χωρίς παρέμβαση του χρήστη. Αυτή είναι μια απειλή ακόμη και σήμερα και ένας εισβολέας μπορεί εύκολα να εγκαταστήσει έναν κακόβουλο διακομιστή για να υποκλέψει την κυκλοφορία ιστού. Η κατάσταση επιδεινώνεται από το γεγονός ότι ο Internet Explorer (και ο Chrome επίσης) υποστηρίζει αυτή τη δυνατότητα από προεπιλογή.

Συνήθως το WPAD δεν έχει ρυθμιστεί στο δίκτυο, επομένως η συνήθης συμπεριφορά των προγραμμάτων περιήγησης είναι να κάνουν αιτήματα NetBios για το όνομα "WPAD" (παρακάμπτοντας τις μεθόδους DHCP και DNS). Εάν δεν ληφθεί απάντηση, το πρόγραμμα περιήγησης χρησιμοποιεί απλώς μια άμεση σύνδεση. Αλλά εάν ληφθεί μια απάντηση, το πρόγραμμα περιήγησης προσπαθεί να πραγματοποιήσει λήψη του αρχείου διαμόρφωσης από τη διεύθυνση http: /ip_of_wpad_host/wpad.dat.

Το Intercepter-NG θα ανταποκριθεί σε κάθε αίτημα και θα ζητήσει από τους πελάτες να χρησιμοποιήσουν τις δικές του ρυθμίσεις, έτσι ώστε να μπορεί να μυρίζει κίνηση μέσω του διακομιστή μεσολάβησης. Μπορείτε να διαμορφώσετε τη δική σας διαμόρφωση για οποιονδήποτε άλλο διακομιστή μεσολάβησης στο δίκτυο ή απλώς να επιλέξετε τον ενσωματωμένο διακομιστή μεσολάβησης. Ο ενσωματωμένος διακομιστής μεσολάβησης σάς επιτρέπει να χρησιμοποιήσετε τη δυνατότητα έγχυσης HTTP.

Επιλογές λειτουργίας Intercepter-NG Expert

• SSL Strip Timeout (δευτερόλεπτα)— Χρονικό όριο σε δευτερόλεπτα SSL Strip
• ARP Poison κάθε (δευτερόλεπτα)— Κάντε ARP etching κάθε... δευτερόλεπτα
• Χρονικό όριο σάρωσης ARP (δευτερόλεπτα)- Λήξη χρονικού ορίου σάρωσης ARP
• DNS Cache TTL (δευτερόλεπτα)— Διάρκεια ζωής στην κρυφή μνήμη DNS
• Παραπλάνηση MAC— Διεύθυνση MAC στην οποία θα αντικατασταθεί η διεύθυνση του εισβολέα
• MySQL LOAD DATA Injection
• Ρελέ LDAP DN: DC=xxx,DC=xxx
• Διακοπή εισβολής στο αίτημα NBNS
• Διακοπή σύνδεσης SSH μετά τον έλεγχο ταυτότητας— Επαναφέρετε τη σύνδεση SSH μετά την εξουσιοδότηση
• SMB Hijack -> SMB Relay
• Auto ARP Poison— Στην αυτόματη λειτουργία ποζόν, αρκεί να προσθέσετε μόνο 1 κεντρικό υπολογιστή στη λίστα στόχων και το ίδιο το Intercepter θα σαρώσει το δίκτυο σε ένα συγκεκριμένο διάστημα και θα προσθέσει αυτόματα νέους στόχους.
• Επαναφορά πίνακα ARP— Επαναφορά πίνακα ARP
• Προσαρμοσμένο ωφέλιμο φορτίο για SMB Hijack (μέγιστο 64 kb)
• Προσαρμοσμένο ωφέλιμο φορτίο για GP Hijack
• Εκτελέστε το Shell— Κέλυφος εκτόξευσης
• Εκτελέστε το HTTP NTLM Grabber

Τύποι σάρωσης

Η σάρωση είναι το πρώτο στάδιο, δηλαδή πολλές επιθέσεις MiTM ξεκινούν με αυτό. Για να εμφανίσετε το μενού σαρώσεων, μεταβείτε στην καρτέλα Λειτουργία MiTMκαι κάντε δεξί κλικ στον πίνακα.

• Έξυπνη σάρωση: Συνδυάζει σάρωση ARP και ανακάλυψη πύλης. Εκτός από τις συνήθεις πληροφορίες σχετικά με τις διευθύνσεις IP και MAC, τον κατασκευαστή της κάρτας δικτύου και το λειτουργικό σύστημα, συνάγεται το όνομα του υπολογιστή. Κατά την ίδια χρονική περίοδο, μπορείτε πλέον να μάθετε επιπλέον το όνομα ή το όνομα Netbios μιας συσκευής iOS. Για την επίλυση του τελευταίου, χρησιμοποιείται το πρωτόκολλο MDNS, βάσει του οποίου λειτουργεί το πρωτόκολλο Bonjour της Apple Όλα τα ληφθέντα ονόματα αποθηκεύονται πλέον σε ένα αρχείο προσωρινής μνήμης και εάν κατά τη διάρκεια των επόμενων σαρώσεων για κάποιο λόγο δεν ελήφθησαν δυναμικά πληροφορίες σχετικά με το όνομα του κεντρικού υπολογιστή. Θα ληφθεί από την κρυφή μνήμη Επιπλέον, αυτή η σάρωση εμφανίζει τη Stealth IP και ορίζει αυτόματα την IP της πύλης (αν εντοπίστηκε) και τη Stealth IP στα αντίστοιχα πεδία στην καρτέλα MiTM.
• Σάρωση ARP(ARP scan): απλώς ελέγχει το υποδίκτυο C-class που έχει εκχωρηθεί στον επιλεγμένο προσαρμογέα ethernet. Για παράδειγμα, εάν η IP σας είναι 192.168.0.10, τότε θα ελεγχθούν 255 διευθύνσεις IP στην περιοχή 192.168.0.1-255. Ξεκινώντας από την έκδοση 0.9.5, το πρόγραμμα ελέγχει τη μάσκα δικτύου για να σαρώσει σωστά όλα τα υποδίκτυα.
• Ανακάλυψη DHCP(DHCP Discovery): Στέλνει εκπομπές DHCP-Discovery και περιμένει απαντήσεις από διακομιστές DHCP. Εάν κάποιοι διακομιστές απαντήσουν, τους προσθέτει στη λίστα.
• Promisc Detection(Network card promiscuous discovery): Στέλνει ειδικά αιτήματα ARP στο δίκτυο. Οι οικοδεσπότες που απαντούν είναι προφανώς sniffers. Ορισμένες κάρτες Ethernet (3COM) ενδέχεται επίσης να ανταποκρίνονται, δηλαδή είναι πιθανά ψευδώς θετικά.
• Ανακάλυψη πύλης(ανακάλυψη πύλης): Στέλνει ένα πακέτο SYN μέσω όλων των κεντρικών υπολογιστών στο δίκτυο, εάν υπάρχει πύλη, μια απάντηση θα σταλεί πίσω.

Τεχνικές επίθεσης Man-in-the-Middle (MiTM) στο Intercepter-NG

Όταν πατάτε το κουμπί Διαμόρφωση MiTMΑνοίγει το πλαίσιο διαλόγου (καπέλο με μάτι). Επιθέσεις MiTM:

Περιέχει μια λίστα υποστηριζόμενων τεχνικών.

SSL MiTM

Αυτή είναι μια παλιά κλασική τεχνική πλαστογράφησης πιστοποιητικών. Σας επιτρέπει να παρακολουθείτε δεδομένα από οποιοδήποτε πρωτόκολλο που προστατεύεται από SSL. Υποστηρίζεται τυπικά: HTTPS, POP3S, SMTPS, IMAPS. Προαιρετικά, μπορείτε να καθορίσετε οποιαδήποτε πρόσθετη θύρα.

Κατά την υποκλοπή HTTPS, τα πιστοποιητικά δημιουργούνται εν κινήσει, αντιγράφοντας τις αρχικές πληροφορίες από τον πόρο που ζητήθηκε. Για όλες τις άλλες περιπτώσεις, χρησιμοποιείται στατικό πιστοποιητικό.

Φυσικά, όταν χρησιμοποιείτε αυτήν τη λειτουργία, οι προειδοποιήσεις από το πρόγραμμα περιήγησης και άλλο λογισμικό πελάτη είναι αναπόφευκτες.

Η νέα έκδοση έχει ξαναγράψει πλήρως τον κώδικα για το SSL MiTM. Τώρα λειτουργεί γρήγορα και σταθερά. Ο αλγόριθμος για τη δημιουργία πιστοποιητικών έχει επίσης αλλάξει, πρόσθετες εγγραφές DNS έχουν προστεθεί σε αυτές και όλα τα πιστοποιητικά υπογράφονται με ένα μόνο κλειδί ( διάφορος\διακομιστής). Αυτό σημαίνει ότι προσθέτοντας αυτό το αυτο-υπογεγραμμένο πιστοποιητικό στη λίστα των αξιόπιστων στον υπολογιστή του στόχου, θα είναι δυνατή η ακρόαση της κυκλοφορίας SSL σε οποιονδήποτε πόρο (όπου δεν υπάρχει καρφίτσωμα SSL). Λειτουργία Cookie Killerτώρα λειτουργεί για συνδέσεις SSL. Εμφανίστηκαν μαύροι ( misc\ssl_bl.txt) και λευκές λίστες ( misc\ssl_wl.txt). Μπορούν να αποκλείσουν ή, αντίθετα, να καθορίζουν αυστηρά τις διευθύνσεις IP ή τους τομείς στους οποίους πρέπει ή δεν πρέπει να εφαρμόζεται το SSL MiTM. Όταν καθορίζετε επιπλέον θύρα ssl, δεν χρειάζεται πλέον να καθορίσετε τον τύπο ανάγνωσης/εγγραφής, αρκεί να καθορίσετε τον αριθμό θύρας. Όλη η κίνηση γράφεται στο ssl_log.txt.

SSL Strip

Το SSL Strip είναι μια «αθόρυβη» τεχνική για την υποκλοπή συνδέσεων HTTPS. Για μεγάλο χρονικό διάστημα, η έκδοση εργασίας υπήρχε μόνο στο Unix, τώρα παρόμοιες ενέργειες μπορούν να πραγματοποιηθούν στο περιβάλλον NT. Το θέμα είναι το εξής: ο εισβολέας βρίσκεται «στη μέση», αναλύεται η κίνηση HTTP, εντοπίζονται όλοι οι σύνδεσμοι https:// και αντικαθίστανται με http://. Έτσι, ο πελάτης συνεχίζει να επικοινωνεί με τον διακομιστή χωρίς προστασία τρόπος. Όλα τα αιτήματα για αντικατασταθέντες συνδέσμους παρακολουθούνται και τα δεδομένα από τις αρχικές πηγές https παραδίδονται ως απάντηση.

Επειδή Δεν αντικαθίστανται πιστοποιητικά και δεν υπάρχουν προειδοποιήσεις. Για την προσομοίωση μιας ασφαλούς σύνδεσης, το εικονίδιο favicon αντικαθίσταται.

D.N.C.<>ICMP

Αυτή είναι μια εντελώς νέα τεχνική, που αναφέρθηκε προηγουμένως ή δεν εφαρμόστηκε. Βασίζεται στο ίδιο παλιό ICMP Redirect MiTM, αλλά ανοίγει έναν νέο τρόπο για την ανίχνευση δεδομένων. Το πρώτο βήμα αυτής της επίθεσης είναι παρόμοιο με μια κλασική ανακατεύθυνση ICMP, αλλά υπάρχει μια σημαντική διαφορά.

Η λεγόμενη «νέα καταχώρηση» είναι ο διακομιστής DNS του θύματος. Θα πάρουμε τον έλεγχο όλων των αιτημάτων DNS και θα κάνουμε κάποια μαγικά προτού το θύμα λάβει τις απαντήσεις.

Όταν επιλύουμε το somehost.com, το DNS μας στέλνει μια απάντηση που περιέχει μία ή περισσότερες απαντήσεις από την IP του somehost.com. Επιπλέον, μπορεί να περιέχει «έξτρα» απαντήσεις και θα φροντίσουμε και αυτές. Αφού ολοκληρωθεί το πρώτο μέρος της επίθεσης, το θύμα αρχίζει να στέλνει όλα τα αιτήματα DNS μέσω του κεντρικού υπολογιστή του εισβολέα (NAT). Όταν το NAT λαμβάνει μια απάντηση από το DNS, διαβάζει όλες τις IP και στη συνέχεια στέλνει μηνύματα ανακατεύθυνσης ICMP στο θύμα με τη μεταφρασμένη IP.

Έτσι, από τη στιγμή που το NAT στέλνει μια απάντηση DNS πίσω στο θύμα, ο πίνακας δρομολόγησης του έχει ήδη καταχωρήσεις για όλες τις μεταφρασμένες διευθύνσεις που οδηγούν στον οικοδεσπότη μας!

Αυτό σημαίνει ότι θα μυρίσουμε όχι μόνο το DNS του θύματος, αλλά όλα όσα επιλύθηκαν. Όλη η κίνηση θα πλαστογραφηθεί μέσω μιας ψεύτικης IP\MAC.

Αυτό το μέρος της επίθεσης εκτελείται στην πλευρά NAT, για αυτό το λόγο πρέπει να το ρυθμίσετε σωστά.

Επιλέξτε το πλαίσιο για "DNS μέσω ICMP" και, στη συνέχεια, συμπληρώστε:

• Η IP του δρομολογητή είναι η προεπιλεγμένη IP πύλης που χρησιμοποιείται από το θύμα.
• Η IP του πελάτη είναι η IP του θύματος Μπορείτε να προσθέσετε πολλούς στόχους, αλλά θυμηθείτε να ξεκινήσετε στέλνοντας ένα πακέτο ανακατεύθυνσης ICMP σε κάθε στόχο από το Intercepter.

Αφού προσθέσετε πελάτες, θα πρέπει να βάλετε την ελεύθερη/αχρησιμοποίητη IP στο πεδίο "New Gateway" και στο "Stealth IP".

Επιλέξτε τον προσαρμογέα, θα πρέπει να είναι ίδιοι αφού πρόκειται να δρομολογήσουμε την κυκλοφορία σε μία περιοχή ethernet.

Ξεκινήστε το NAT.

Όλες οι απαντήσεις DNS αποθηκεύονται σε μια ειδική λίστα και το NAT αποστέλλει τακτικά (σύμφωνα με τον χρόνο που ορίζεται στις ρυθμίσεις) ανακατευθύνσεις ICMP,

Στο τέλος πρέπει να κάνετε μια ακόμη ενέργεια. Δεν μπορείτε να απολυμάνετε τον πίνακα δρομολόγησης του θύματος (όπως με τη δηλητηρίαση ARP), επομένως πρέπει να καταργήσετε την επιλογή "DNS ↔ ICMP" για να αποτρέψετε την εκ νέου αποστολή ανακατευθύνσεων ICMP και να περιμένετε περίπου 10-15 λεπτά. Μετά από αυτό, δεν θα προστεθούν νέες καταχωρήσεις, αλλά οι παλιές θα λειτουργούν κανονικά μέσω NAT μέχρι να λήξουν.

WPAD MiTM

Για λεπτομέρειες, ανατρέξτε στην περιγραφή της επιλογής. Διαμόρφωση WPAD (PROXY:PORT).

SMB Hijack

SSH MiTM

Μπορείτε να υποκλέψετε δεδομένα ελέγχου ταυτότητας SSH (σύνδεση/κωδικός πρόσβασης) και να δείτε όλες τις εντολές που περνούν κατά τη διάρκεια μιας απομακρυσμένης συνεδρίας. Υποστηρίζονται 2 μηχανισμοί ελέγχου ταυτότητας: κωδικός πρόσβασης και διαδραστικός. Για να μυρίσουμε τα δεδομένα του θύματος πρέπει να ενεργούμε σαν πραγματικός sshd και παρέχουμε τα δικά μας κλειδιά rsa/dsa. Εάν το αρχικό κλειδί κεντρικού υπολογιστή αποθηκευτεί προσωρινά από το θύμα, τότε θα εμφανιστεί ένα προειδοποιητικό μήνυμα, εάν δεν αποθηκευτεί προσωρινά, τότε δεν θα υπάρχουν ενδείξεις επίθεσης από την πλευρά του πελάτη.

Μόλις το θύμα συνδεθεί, μπορεί να εργαστεί ως συνήθως, εκτελώντας εντολές και ψευδογραφικά προγράμματα όπως το midnight commander. Το Intercepter παρεμποδίζει WINDOW_CHANGE αιτήματα, επομένως εάν το θύμα αποφασίσει να αλλάξει το μέγεθος του παραθύρου, όλα θα επανασχεδιαστούν σωστά για να ταιριάζουν στο νέο μέγεθος παραθύρου.

Το πρόγραμμα λειτουργεί με απομακρυσμένη περίοδο λειτουργίας, αλλά δεν λειτουργεί με SFTP. Εάν το θύμα εκτελεί έναν πελάτη SFTP, τα δεδομένα ελέγχου ταυτότητας θα υποκλαπούν, αλλά η σύνδεση θα απορριφθεί και θα επισημανθεί. Στη συνέχεια, όταν το θύμα προσπαθήσει να επανασυνδεθεί, θα έχει πρόσβαση στον αρχικό διακομιστή ssh εκτός από το ψεύτικο sshd μας.

Θα πρέπει να αναφερθεί ότι ο εισβολέας συνδέεται στον απομακρυσμένο διακομιστή και αφήνει τη διεύθυνση IP του στα αρχεία καταγραφής. Στη λειτουργία ειδικού, μπορείτε να επιλέξετε την απόρριψη της σύνδεσης ssh μετά τη λήψη των διαπιστευτηρίων του θύματος. Η σύνδεση θα επισημανθεί και στην επόμενη προσπάθεια το πρόγραμμα θα επιτρέψει την πρόσβαση στον αρχικό διακομιστή.

G.P Hijack

Πρόσθετες δυνατότητες για επιθέσεις man-in-the-middle (MiTM) στο Intercepter-NG

Τα κουμπιά για τη χρήση αυτών των δυνατοτήτων βρίσκονται επίσης στην ενότητα Επιλογές MiTM(ζάρια, σύμβολο JDownloader, σύριγγα, ασπίδα και σύμβολο κινδύνου ακτινοβολίας ελεύθερης τοποθέτησης):

Traffic Changer (αλλαγή δεδομένων κειμένου στη ροή κυκλοφορίας δικτύου)

Μπορείτε να αντικαταστήσετε μόνο δεδομένα ίσου μεγέθους χωρίς να αλλάξετε το μήκος των πακέτων. Ας υποθέσουμε ότι το πρόγραμμα περιήγησης ανοίγει το site.com/file.txt, το οποίο περιέχει τη συμβολοσειρά "12345". Σε απόκριση σε ένα αίτημα GET, ο διακομιστής θα επιστρέψει μια κεφαλίδα HTTP που υποδεικνύει το μήκος των μεταδιδόμενων δεδομένων - Μήκος περιεχομένου: 5. Τι θα συμβεί αν αντικαταστήσουμε το "12345" με το "12356"; Το πρόγραμμα περιήγησης θα πραγματοποιήσει λήψη μόνο 5 byte, απορρίπτοντας το πρόσθετο "6" και αν μειώσουμε το μέγεθος δεδομένων αντικαθιστώντας το "12345" με το "1234", το πρόγραμμα περιήγησης θα λάβει μόνο 4 byte και θα περιμένει άλλο 1 byte από τον διακομιστή μέχρι η σύνδεση κλείνει λόγω χρονικού ορίου. Γι' αυτό έγινε αυτός ο περιορισμός μεγέθους. Μπορείτε να αλλάξετε τόσο κείμενο όσο και δυαδικά δεδομένα, η σύνταξη για τα δυαδικά μοτίβα είναι η ίδια όπως στο C - "\x01\x02\x03".

Εάν απαιτείται αντικατάσταση στην κίνηση HTTP, τότε στις ρυθμίσεις πρέπει να ενεργοποιήσετε την επιλογή «Απενεργοποίηση κωδικοποίησης gzip HTTP».

Παραπλάνηση

Η πλαστογράφηση σάς επιτρέπει να ανακατευθύνετε τους κεντρικούς υπολογιστές σε μια δεδομένη IP. Υποστηρίζονται πρωτόκολλα DNS, NBNS, LLMNR.

Με το DNS μπορείτε να καθορίσετε μια μάσκα για να ανακατευθύνετε επίσης όλους τους υποτομείς. Συνήθως θα δημιουργηθούν ζεύγη domain.com:IP, αλλά οι υποτομείς δεν θα πλαστογραφηθούν. Για να τα ανακατευθύνετε όλα, προσθέστε * (αστερίσκο) πριν από το όνομα τομέα: *host.com

Αναγκαστική λήψη και JS Inject

Και οι δύο καινοτομίες σχετίζονται με τη λειτουργία έγχυσης HTTP. Στα ρωσικά, η αναγκαστική λήψη μπορεί να μεταφραστεί ως "αναγκαστική λήψη", επειδή αυτό ακριβώς συμβαίνει στην πλευρά του στόχου κατά τη διάρκεια της περιήγησης στο διαδίκτυο. Κατά την είσοδο στον ιστότοπο, προσφέρεται η λήψη του αρχείου που καθορίζεται από τον εισβολέα, ανάλογα με τις ρυθμίσεις του προγράμματος περιήγησης, μπορεί να ληφθεί ανεξάρτητα και στη συνέχεια ο χρήστης θα επιλέξει αν θα το εκτελέσει ή όχι.

Όπως καταλαβαίνετε, μπορείτε να προσθέσετε ένα αρχείο .exe με αυθαίρετο περιεχόμενο στην αναγκαστική λήψη και η πηγή αυτού του αρχείου θα είναι ο ιστότοπος που επισκέπτεται αυτήν τη στιγμή ο χρήστης. Γνωρίζοντας ότι ο στόχος πρόκειται να ανοίξει το adobe.com, μπορείτε να εκδώσετε το flashplayer.exe και η πηγή αυτού του αρχείου θα αναφέρεται ως adobe.com ή ένας από τους υποτομείς του.

Μετά από μια εφάπαξ ένεση, ο εξαναγκασμός είναι απενεργοποιημένος για την εκ νέου ένεση, πρέπει να κάνετε ξανά κλικ στο αντίστοιχο πλαίσιο ελέγχου.

Το JS Inject δεν υπάρχει ρητά μεταξύ των στοιχείων ελέγχου, επειδή Στην πραγματικότητα, αυτή είναι η πιο κοινή ένεση http, αλλά με μια διαφορά. Όταν αντικαθιστάτε ένα αρχείο με ένα άλλο, για παράδειγμα, pictures.jpg με ένα δεδομένο, αυτό ακριβώς είναι η αντικατάσταση ενός περιεχομένου με ένα άλλο. Η αντικατάσταση ενός σεναρίου .js πιθανότατα μπορεί να διαταράξει τη λειτουργία του πόρου, επομένως στη νέα έκδοση το js inject δεν αντικαθιστά ένα σενάριο με άλλο, αλλά το προσθέτει στο υπάρχον, προσθέτοντας τη δυνατότητα εισαγωγής πρόσθετου κώδικα χωρίς να επηρεάζεται ο αρχικός .

Η λειτουργία FATE συνδυάζει δύο νέες λειτουργίες: FAke site και FAke update.

Ο βασικός στόχος του FAke SiTE είναι να αποκτήσει δεδομένα εξουσιοδότησης από οποιονδήποτε πόρο Ιστού, παρακάμπτοντας το SSL και άλλους μηχανισμούς ασφαλείας. Αυτό επιτυγχάνεται με την κλωνοποίηση της σελίδας εξουσιοδότησης και τη δημιουργία ενός προτύπου που θα φιλοξενείται στον ενσωματωμένο ψευδο-διακομιστή ιστού. Από προεπιλογή, το πρόγραμμα παρακολούθησης περιλαμβάνει ένα πρότυπο για το accounts.google.com, επειδή η αρχική σελίδα απαιτεί από εσάς να συμπληρώσετε ένα πεδίο με μια σύνδεση και στη συνέχεια έναν κωδικό πρόσβασης. Αυτό το πρότυπο έχει τροποποιηθεί ελαφρώς για να επιτρέπεται και τα δύο πεδία να είναι ενεργά ταυτόχρονα. Πριν από την επίθεση, πρέπει να καθορίσετε τον τομέα στον οποίο θα φιλοξενείται το πρότυπο. Μετά την έναρξη της επίθεσης, μια ανακατεύθυνση στον επιλεγμένο τομέα εγχέεται στην κυκλοφορία του στόχου και στη συνέχεια ο υποκλοπής θα πραγματοποιήσει αυτόματα πλαστογράφηση DNS στις απαιτούμενες διευθύνσεις. Ως αποτέλεσμα, η επιλεγμένη σελίδα εξουσιοδότησης θα ανοίξει στο πρόγραμμα περιήγησης.

Η λειτουργικότητα του FAke updateTE (ψευδείς ενημερώσεις) σημαίνει την εμφάνιση μηνυμάτων σχετικά με το λογισμικό που είναι εγκατεστημένο στο «θύμα» και τη λήψη ενός αρχείου ενημέρωσης, στο οποίο έχει προστεθεί το ωφέλιμο φορτίο. Η λίστα των υποστηριζόμενων λογισμικών είναι πολύ μικρή. Εάν θέλετε, μπορείτε να προσθέσετε τα δικά σας πρότυπα που μπορούν να προβληθούν σε διάφορες ενημερώσεις.

ARP Poison (ARP etching)

Μέρος της κλασικής επίθεσης man-in-the-middle. Αυτή η επίθεση ξεκινά με σάρωση κεντρικών υπολογιστών. Όταν ανακαλύπτονται οικοδεσπότες και ορισμένοι από αυτούς επιλέγονται ως στόχοι, αρχίζει η δηλητηρίαση ARP, με αποτέλεσμα οι οικοδεσπότες που επιτίθενται να αρχίσουν να προωθούν την κυκλοφορία τους όχι στην πύλη, αλλά στον εισβολέα. Ο εισβολέας μελετά (σνιφάρει) αυτή την κίνηση, εκτελεί άλλους χειρισμούς και τη στέλνει στον διακομιστή στόχο. Ο διακομιστής στόχος ανταποκρίνεται στον εισβολέα (ως η πηγή του αιτήματος), και αυτή η κίνηση οσφραίνεται, τροποποιείται και προωθείται στο θύμα. Ως αποτέλεσμα, δεν συμβαίνουν σημαντικές αλλαγές για το θύμα - είναι σαν να ανταλλάσσει δεδομένα με έναν απομακρυσμένο διακομιστή.

Πρόσθετα χαρακτηριστικά του Intercepter-NG

Τα κουμπιά για την εκκίνηση πρόσθετων λειτουργιών βρίσκονται σε ξεχωριστό τμήμα της δεξιάς στήλης στο παράθυρο του προγράμματος:

Το Intercepter-NG έχει τώρα το δικό του σαρωτή δικτύου, ο οποίος αντικαθιστά τον πρωτόγονο σαρωτή θυρών από προηγούμενες εκδόσεις. Οι κύριες λειτουργίες του:

1. Σαρώστε ανοιχτές θύρες και εντοπίστε ευρετικά τα ακόλουθα πρωτόκολλα: SSH, Telnet, HTTP\Proxy, Socks4\5, VNC, RDP.
2. Προσδιορίστε την παρουσία του SSL σε μια ανοιχτή θύρα, διαβάστε banner και διάφορες κεφαλίδες ιστού.
3. Εάν εντοπιστεί πληρεξούσιος ή sox, ελέγξτε ότι είναι ανοιχτά προς τα έξω.
4. Ελέγξτε την πρόσβαση χωρίς κωδικό πρόσβασης σε διακομιστές VNC, ελέγξτε το SSL στο HeartBleed. Διαβάστε το version.bind από το DNS.
5. Ελέγξτε τη βάση δεδομένων για σενάρια στον διακομιστή ιστού που είναι δυνητικά ευάλωτα στο ShellShock. Ελέγξτε τη βάση δεδομένων για μια λίστα καταλόγων και αρχείων με 200 OK, καθώς και μια λίστα καταλόγων από το robots.txt.
6. Προσδιορίστε την έκδοση του λειτουργικού συστήματος μέσω SMB. Εάν έχετε ανώνυμη πρόσβαση, λάβετε τοπική ώρα, χρόνο λειτουργίας, μια λίστα με κοινόχρηστους πόρους και τοπικούς χρήστες. Ξεκινά η αυτόματη αναζήτηση κωδικού πρόσβασης για τους χρήστες που βρέθηκαν.
7. Προσδιορίστε από την ενσωματωμένη λίστα χρηστών SSH μετρώντας τον χρόνο απόκρισης. Ξεκινά η αυτόματη αναζήτηση κωδικού πρόσβασης για τους χρήστες που βρέθηκαν. Εάν η απαρίθμηση δεν παράγει αποτελέσματα (δεν λειτουργεί σε όλες τις εκδόσεις), η αναζήτηση ξεκινά μόνο για root.
8. Αυτόματη ωμή δύναμη για HTTP Basic και Telnet. Δεδομένων των ιδιαιτεροτήτων του πρωτοκόλλου telnet, είναι πιθανά ψευδώς θετικά.

Μπορείτε να σαρώσετε οποιονδήποτε στόχο, τόσο στο τοπικό δίκτυο όσο και στο Διαδίκτυο. Μπορείτε να καθορίσετε μια λίστα θυρών για σάρωση: 192.168.1.1:80,443 ή το εύρος 192.168.1.1:100-200. Μπορείτε να καθορίσετε το εύρος διευθύνσεων για τη σάρωση: 192.168.1.1-192.168.3.255.

Για πιο ακριβές αποτέλεσμα, μόνο 3 κεντρικοί υπολογιστές μπορούν να σαρωθούν κάθε φορά. Κυριολεκτικά την τελευταία στιγμή, προστέθηκαν έλεγχοι για δεδομένα από πιστοποιητικά SSL, για παράδειγμα, εάν συναντηθεί η λέξη Ubiquiti και η θύρα 22 είναι ανοιχτή, τότε εκκινείται αυτόματα η ωμή δύναμη SSH του χρήστη ubnt. Το ίδιο ισχύει για ένα ζευγάρι υλικού Zyxel με τον διαχειριστή χρήστη. Για την πρώτη κυκλοφορία του σαρωτή υπάρχει αρκετή λειτουργικότητα και είναι καλά διορθωμένος.

HeartBleed Exploit

Ελέγχει εάν ο στόχος είναι ευάλωτος στο HeartBleed. Εάν ο στόχος είναι ευάλωτος, εκμεταλλεύεται αυτήν την ευπάθεια και αποκτά μέρος του περιεχομένου της μνήμης RAM του απομακρυσμένου κεντρικού υπολογιστή.

Λειτουργία Bruteforce

Οι επιθέσεις ωμής δύναμης (brute force, brute force) υποστηρίζονται για τα ακόλουθα πρωτόκολλα δικτύου:

• POP3 TLS
• SMTP TLS
• Βασικό HTTP
• HTTP Post
• TELNET
• VMware

Μπορείτε να ορίσετε τον αριθμό των νημάτων στα οποία θα ελέγχονται τα διαπιστευτήρια.

Όταν παρουσιαστεί ένα χρονικό όριο, το ενεργό νήμα επανεκκινείται από την ίδια θέση και η διαδικασία αναζήτησης συνεχίζεται.

Διαθέσιμος Single Mode, το οποίο υποδεικνύει ότι κάθε νέο ζεύγος σύνδεσης:κωδικός πρόσβασης πρέπει να ελέγχεται με τη δημιουργία μιας νέας σύνδεσης για ορισμένα πρωτόκολλα, αυτό επιτρέπει αυξημένη ταχύτητα. Το αρχείο καταγραφής λειτουργίας αποθηκεύεται brute.txt.

Λειτουργίες ARP

Εκτός από τη χάραξη ARP και τη σάρωση ARP, υπάρχουν πολλές άλλες λειτουργίες που σχετίζονται με το πρωτόκολλο ARP. Δύο από αυτά τοποθετούνται σε ξεχωριστά κουμπιά στη δεξιά στήλη στο παράθυρο του προγράμματος:

• Ρολόι ARP: Ενσωματωμένη προσωπική υπηρεσία παρακολούθησης ARP. Πρέπει να ξεκινήσετε εκτελώντας μια σάρωση ARP για να συμπληρώσετε τη λίστα των αξιόπιστων ("καθαρών") διευθύνσεων MAC. Εάν κάποιος προσπαθήσει να δηλητηριάσει την προσωρινή μνήμη arp σας, θα εμφανιστεί ένα προειδοποιητικό μήνυμα.
• Κλουβί ARP: Απομονώνει τη διεύθυνση IP προορισμού από άλλους τοπικούς κεντρικούς υπολογιστές πλαστογραφώντας καταχωρήσεις πίνακα arp.

Παραδείγματα εκτόξευσης Intercepter-NG

Πώς να εκτελέσετε το MiTM στο Intercepter-NG

Ξεκινήστε επιλέγοντας τον προσαρμογέα δικτύου σας ( Προσαρμογέας δικτύου):

Κάντε δεξί κλικ σε έναν κενό πίνακα και επιλέξτε Έξυπνη σάρωση:

Θα εμφανιστεί μια λίστα στόχων:

Προσθέστε αυτά που χρειάζεστε ως στόχους ( Προσθήκη ως στόχος):

Για να ξεκινήσετε να μυρίζετε, κάντε κλικ στο αντίστοιχο εικονίδιο:

Μεταβείτε στην καρτέλα Λειτουργία MiTM(πρόκειται για μια υδρόγειο σφαίρα με καλώδια ενημέρωσης κώδικα) και κάντε κλικ στο εικονίδιο ARP Poison(σύμβολο κινδύνου ακτινοβολίας):

Στην καρτέλα Λειτουργία κωδικού πρόσβασης(το σύμβολο είναι ένα μπρελόκ), θα εμφανιστούν τα καταγεγραμμένα διαπιστευτήρια:

Εργασία με Wi-Fi και εργασία με Ethernet

Δεν υπάρχουν διαφορές όταν εργάζεστε με Wi-Fi ή ενσύρματες συνδέσεις, αλλά πρέπει να μεταβείτε στην επιθυμητή λειτουργία κάνοντας κλικ στο εικονίδιο:

Ανάλυση εκτός σύνδεσης αρχείων καταγραφής pcap

Υπάρχουν πολλές επιλογές που μπορούν να επιβραδύνουν ή να επιταχύνουν τον χρόνο ανάλυσης.

1. Αρχικά, εάν πρέπει να διαβάσετε ένα μεγάλο αρχείο .pcap, απενεργοποιήστε την επιλογή " Αποφασίζω".
2. Εάν το .pcap σας περιέχει μεγάλα αρχεία και το Resurrection είναι ενεργοποιημένο, η ταχύτητα μπορεί να πέσει. Η λύση είναι να ορίσετε ένα όριο στο μέγιστο μέγεθος αρχείου για ανάκτηση.
3. Εάν δεν χρειάζεται να ανακατασκευάσετε τίποτα, απενεργοποιήστε αυτήν την επιλογή στις ρυθμίσεις. Η ταχύτητα θα αυξηθεί.
4. Εάν χρειάζεται να αναλύσετε μόνο ένα συγκεκριμένο πρωτόκολλο, για παράδειγμα, ICQ\AIM ή μόνο HTTP, ορίστε το κατάλληλο φίλτρο " φίλτρο pcap"από RAW MODE: tcp θύρα xxx, Πού xxxείναι ο αριθμός θύρας του πρωτοκόλλου σας.
5. Μπορείτε να φορτώσετε περισσότερες από μία λήψεις για ανάλυση. ΣΕ Άνοιγμα διαλόγουεπιλέξτε πολλά αρχεία, θα αναλυθούν όλα ένα προς ένα.

Εγκατάσταση Intercepter-NG

Εγκατάσταση σε Linux Kali

Για να εγκαταστήσετε και να εκτελέσετε το Intercepter-NG στο Kali Linux, εκτελέστε τις ακόλουθες εντολές:

Wget https://github.com/intercepter-ng/mirror/blob/master/wine_pcap_dlls.tar.gz?raw=true -O wine_pcap_dlls.tar.gz sudo apt εγκατάσταση libpcap-dev sudo dpkg --add-architecture i386 sudo apt update sudo apt install wine32 sudo apt install tcpdump:i386 wine --config tar xvzf wine_pcap_dlls.tar.gz sudo cp wpcap/wpcap.dll.so /usr/lib/i386-linux-gnu/wine sudo cp.packet dll.so /usr/lib/i386-linux-gnu/wine rm -rf wine_pcap_dlls.tar.gz wpcap/ packet/ sudo apt install winetricks winetricks cc580 sudo ethtool --offload eth0 rx off tx off # Load Intercepter-NG 0 και διαγράψτε τα αρχεία dll wpcap.dll και Packet.dll: wget https://github.com/intercepter-ng/mirror/blob/master/Intercepter-NG.v1.0.zip?raw=true -O Intercepter- NG .zip unzip Intercepter-NG.zip rm wpcap.dll rm Packet.dll sudo wine Intercepter-NG.exe

Εγκατάσταση σε Windows

Για να εγκαταστήσετε το Intercepter-NG στα Windows, μεταβείτε και κατεβάστε το αντίστοιχο αρχείο (χωρίς γράμματα C.E.). Το πρόγραμμα δεν απαιτεί εγκατάσταση, απλώς αποσυσκευάστε το αρχείο και εκτελέστε το αρχείο .exe.

Εγκατάσταση σε Android

Για να εγκαταστήσετε το Intercepter-NG στο Android, μεταβείτε και κατεβάστε το αρχείο apk. Για την επιτυχή εκκίνηση της εφαρμογής, απαιτούνται δικαιώματα root.

Στιγμιότυπα οθόνης Intercepter-NG

Μετά από 10 χρόνια ανάπτυξης (τόσο καιρό γεννήθηκε το έργο), ο δείκτης έκδοσης Intercepter-NG έφτασε τελικά στο 1,0. Σύμφωνα με την καθιερωμένη παράδοση, οι ενημερώσεις για τα Windows κυκλοφορούν μία φορά το χρόνο και η επετειακή κυκλοφορία ήταν πραγματικά επιτυχημένη. Θα ήθελα να ευχαριστήσω όλους τους ανθρώπους που όλα αυτά τα χρόνια βοήθησαν στις δοκιμές, παρείχαν λεπτομερή σχόλια και ιδεολογική έμπνευση. Ας ξεκινήσουμε την ανασκόπηση με τα μικρά πράγματα και στο τέλος θα δούμε το πιο νόστιμο χαρακτηριστικό του Intercepter-NG 1.0.

1. Στη λειτουργία RAW, είναι πλέον δυνατή η εξαγωγή επιλεγμένων πακέτων σε ένα αρχείο .pcap. Όταν είναι ενεργοποιημένη η αυτόματη αποθήκευση, τα πακέτα που περιέχουν δεδομένα εξουσιοδότησης θα εγγραφούν σε ξεχωριστό .pcap.

2. Στο πεδίο Extra SSL Ports, που σχετίζεται με το SSL MiTM, μπορείτε πλέον να εισάγετε πολλαπλές θύρες διαχωρισμένες με κόμμα.

3. Όταν επιτίθεται σε έναν αναμεταδότη LDAP σε έναν ελεγκτή τομέα με γλώσσα διαφορετική από τα αγγλικά, στις ρυθμίσεις ειδικών μπορείτε να καθορίσετε την απαραίτητη ομάδα για να προσθέσετε έναν χρήστη, για παράδειγμα, αντί για Διαχειριστές τομέα, καθορίστε το αντίστοιχο ρωσικό των Διαχειριστών τομέα.

4. Διορθώθηκε ένα σφάλμα στον χειριστή κατακερματισμών NTLMv2SSP που εμπόδισε τη σωστή εικασία του κωδικού πρόσβασης.

5. Πολλαπλές βελτιώσεις στη λειτουργία Bruteforce. Προστέθηκε: Υποστήριξη SSL για HTTP, υποστήριξη UTF8 για LDAP brute force, πρωτόκολλα VNC, Vmware Auth Daemon και RDP. Το RDP brute force λειτουργεί στα Windows 7/8/2008/2012. Το NLA και τα στοιχεία σύνδεσης και οι κωδικοί πρόσβασης υποστηρίζονται σε οποιαδήποτε γλώσσα. Το επίπεδο ασφαλείας RDP δεν υποστηρίζεται.

6. Προστέθηκε η επιλογή "Inject Reverse Shell" στις ενέσεις HTTP. Αυτή είναι μια αναγκαστική λήψη με ωφέλιμο φορτίο backconnect στο ενσωματωμένο κέλυφος αναχαίτισης.

7. Πολλαπλές βελτιώσεις και αλλαγές γενικότερα. Η πλαστογράφηση είναι πλέον απενεργοποιημένη από προεπιλογή.

ΜΟΙΡΑ

Η λειτουργία FATE συνδυάζει δύο νέες λειτουργίες: FAke site και FAke update.

Ο βασικός στόχος του FAke SiTE είναι να αποκτήσει δεδομένα εξουσιοδότησης από οποιονδήποτε πόρο Ιστού, παρακάμπτοντας το SSL και άλλους μηχανισμούς ασφαλείας. Αυτό επιτυγχάνεται με την κλωνοποίηση της σελίδας εξουσιοδότησης και τη δημιουργία ενός προτύπου που θα φιλοξενείται στον ενσωματωμένο ψευδο-διακομιστή ιστού. Πώς λειτουργεί αυτό αποδεικνύεται στο βίντεο στο τέλος της ανάρτησης. Από προεπιλογή, το πρόγραμμα παρακολούθησης περιλαμβάνει ένα πρότυπο για το accounts.google.com, επειδή η αρχική σελίδα απαιτεί από εσάς να συμπληρώσετε ένα πεδίο με ένα login και μετά έναν κωδικό πρόσβασης.

Αυτό το πρότυπο έχει τροποποιηθεί ελαφρώς για να επιτρέπεται και τα δύο πεδία να είναι ενεργά ταυτόχρονα. Πριν από την επίθεση, πρέπει να καθορίσετε τον τομέα στον οποίο θα φιλοξενείται το πρότυπο. Μετά την έναρξη της επίθεσης, μια ανακατεύθυνση στον επιλεγμένο τομέα εγχέεται στην κυκλοφορία του στόχου και στη συνέχεια ο υποκλοπής θα πραγματοποιήσει αυτόματα πλαστογράφηση DNS στις απαιτούμενες διευθύνσεις. Ως αποτέλεσμα, η επιλεγμένη σελίδα εξουσιοδότησης θα ανοίξει στο πρόγραμμα περιήγησης. Η διαδικασία κλωνοποίησης ενός ιστότοπου παρουσιάζεται επίσης στο βίντεο χρησιμοποιώντας το παράδειγμα του mail.yandex.ru.

Οι λάτρεις του Linux είναι εξοικειωμένοι με ένα εργαλείο που ονομάζεται Evilgrade, το οποίο σας επιτρέπει να εκμεταλλευτείτε τον μηχανισμό αυτόματης ενημέρωσης και να εφαρμόσετε ένα αυθαίρετο ωφέλιμο φορτίο. Στην πραγματικότητα, αυτό το διάνυσμα είναι πολύ υπερεκτιμημένο, πρώτον, η εντυπωσιακή λίστα των υποστηριζόμενων εφαρμογών στο Evilgrade είναι ως επί το πλείστον ξεπερασμένη και, δεύτερον, οι περισσότερες από τις πιο δημοφιλείς εφαρμογές ελέγχουν για ενημερώσεις με ασφαλή τρόπο.

Ωστόσο, όλοι έχουν ακούσει για τις ηχηρές παραλείψεις στους μηχανισμούς ενημέρωσης μεγάλων προμηθευτών και αυτό πιθανότατα θα συμβεί στο μέλλον, έτσι ένα ανάλογο του Evilgrade εμφανίστηκε στο Intercepter-NG, αλλά η λίστα με το υποστηριζόμενο λογισμικό είναι πολύ μέτρια. Εάν θέλετε, μπορείτε να προσθέσετε τα δικά σας πρότυπα που μπορούν να προβληθούν σε miscFATE ενημερώσεις. Στείλτε μας λογισμικό που ενημερώνεται ανοιχτά, θα ενημερώσουμε τη βάση δεδομένων.

X-Scan

Πριν από πολλά χρόνια μου άρεσε πολύ ένας σαρωτής ασφάλειας δικτύου από την κινεζική ομάδα της Xfocus που ονομάζεται X-Scan. Ελαφρύ, βολικό σχέδιο, καλή λειτουργικότητα. Στα μέσα της δεκαετίας του 2000, επέτρεψε να γίνουν πολλά, αλλά αργότερα η ανάπτυξή του σταμάτησε και στη σημερινή πραγματικότητα είναι ελάχιστα χρήσιμη. Για αυτόν τον λόγο, ήθελα να δημιουργήσω ένα μοντέρνο ανάλογο του, αλλά κατά κάποιο τρόπο δεν μου βγήκε... μέχρι πρόσφατα. Από παλιά αγάπη, με αυτό το όνομα εμφανίστηκε το Intercepter-NG με τον δικό του σαρωτή δικτύου, ο οποίος αντικατέστησε τον πρωτόγονο σαρωτή θυρών από προηγούμενες εκδόσεις. Τι μπορεί να κάνει λοιπόν;

1. Σαρώστε ανοιχτές θύρες και εντοπίστε ευρετικά τα ακόλουθα πρωτόκολλα: SSH, Telnet, HTTPProxy, Socks45, VNC, RDP.

2. Προσδιορίστε την παρουσία SSL σε μια ανοιχτή θύρα, διαβάστε banner και διάφορες κεφαλίδες web.

3. Εάν εντοπιστεί πληρεξούσιος ή sox, ελέγξτε ότι είναι ανοιχτά προς τα έξω.

4. Ελέγξτε την πρόσβαση χωρίς κωδικό πρόσβασης σε διακομιστές VNC, ελέγξτε το SSL στο HeartBleed. Διαβάστε το version.bind από το DNS.

5. Ελέγξτε τη βάση δεδομένων για σενάρια στον διακομιστή web που είναι δυνητικά ευάλωτα στο ShellShock. Ελέγξτε τη βάση δεδομένων για μια λίστα καταλόγων και αρχείων με 200 OK, καθώς και μια λίστα καταλόγων από το robots.txt.

6. Προσδιορίστε την έκδοση του λειτουργικού συστήματος μέσω SMB. Εάν έχετε ανώνυμη πρόσβαση, λάβετε τοπική ώρα, χρόνο λειτουργίας, μια λίστα με κοινόχρηστους πόρους και τοπικούς χρήστες. Ξεκινά η αυτόματη αναζήτηση κωδικού πρόσβασης για τους χρήστες που βρέθηκαν.

7. Προσδιορίστε από την ενσωματωμένη λίστα χρηστών SSH μετρώντας τον χρόνο απόκρισης. Ξεκινά η αυτόματη αναζήτηση κωδικού πρόσβασης για τους χρήστες που βρέθηκαν. Εάν η απαρίθμηση δεν παράγει αποτελέσματα (δεν λειτουργεί σε όλες τις εκδόσεις), η αναζήτηση ξεκινά μόνο για root.

8. Αυτόματη ωμή δύναμη για HTTP Basic και Telnet. Δεδομένων των ιδιαιτεροτήτων του πρωτοκόλλου telnet, είναι πιθανά ψευδώς θετικά.

Μπορείτε να σαρώσετε οποιονδήποτε στόχο, τόσο στο τοπικό δίκτυο όσο και στο Διαδίκτυο. Μπορείτε να καθορίσετε μια λίστα θυρών για σάρωση: 192.168.1.1:80,443 ή το εύρος 192.168.1.1:100-200. Μπορείτε να καθορίσετε το εύρος διευθύνσεων για τη σάρωση: 192.168.1.1-192.168.3.255.

Για πιο ακριβές αποτέλεσμα, μόνο 3 κεντρικοί υπολογιστές μπορούν να σαρωθούν κάθε φορά. Κυριολεκτικά την τελευταία στιγμή, προστέθηκαν έλεγχοι για δεδομένα από πιστοποιητικά SSL, για παράδειγμα, εάν συναντηθεί η λέξη Ubiquiti και η θύρα 22 είναι ανοιχτή, τότε εκκινείται αυτόματα η ωμή δύναμη SSH του χρήστη ubnt. Το ίδιο ισχύει για ένα ζευγάρι υλικού Zyxel με τον διαχειριστή χρήστη. Για την πρώτη κυκλοφορία του σαρωτή υπάρχει αρκετή λειτουργικότητα και είναι καλά διορθωμένος. Στείλτε μας τις ιδέες και τις επιθυμίες σας.

ps: η πρώτη έκδοση του εγχειριδίου στα ρωσικά θα εμφανιστεί στο εγγύς μέλλον.

Ιστότοπος: sniff.su
Καθρέφτης: github.com/intercepter-ng/mirror
Ταχυδρομείο: [email προστατευμένο]
Twitter: twitter.com/IntercepterNG
Φόρουμ: intercepterng.boards.net
Ιστολόγιο: intercepter-ng.blogspot.ru

Τι είναι το Intercepter-NG

Ας δούμε την ουσία του ARP χρησιμοποιώντας ένα απλό παράδειγμα. Ο υπολογιστής Α (διεύθυνση IP 10.0.0.1) και ο υπολογιστής Β (διεύθυνση IP 10.22.22.2) συνδέονται μέσω δικτύου Ethernet. Ο υπολογιστής Α θέλει να στείλει ένα πακέτο δεδομένων στον υπολογιστή Β γνωρίζει τη διεύθυνση IP του υπολογιστή Β. Ωστόσο, το δίκτυο Ethernet στο οποίο είναι συνδεδεμένα δεν λειτουργεί με διευθύνσεις IP. Επομένως, για να πραγματοποιήσει μετάδοση μέσω Ethernet, ο υπολογιστής Α πρέπει να γνωρίζει τη διεύθυνση του υπολογιστή Β στο δίκτυο Ethernet (διεύθυνση MAC με όρους Ethernet). Το πρωτόκολλο ARP χρησιμοποιείται για αυτήν την εργασία. Χρησιμοποιώντας αυτό το πρωτόκολλο, ο υπολογιστής Α στέλνει ένα αίτημα μετάδοσης που απευθύνεται σε όλους τους υπολογιστές στον ίδιο τομέα εκπομπής. Η ουσία του αιτήματος: "υπολογιστής με διεύθυνση IP 10.22.22.2, δώστε τη διεύθυνση MAC σας στον υπολογιστή με διεύθυνση MAC (για παράδειγμα, a0:ea:d1:11:f1:01)." Το δίκτυο Ethernet παραδίδει αυτό το αίτημα σε όλες τις συσκευές στο ίδιο τμήμα Ethernet, συμπεριλαμβανομένου του υπολογιστή Β. Ο υπολογιστής Β απαντά στον υπολογιστή Α στο αίτημα και αναφέρει τη διεύθυνση MAC του (π.χ. 00:ea:d1:11:f1:11) Τώρα, έχοντας έλαβε τη διεύθυνση MAC του υπολογιστή Β, ο υπολογιστής Α μπορεί να μεταδώσει οποιαδήποτε δεδομένα σε αυτόν μέσω του δικτύου Ethernet.

Για να αποφευχθεί η ανάγκη χρήσης του πρωτοκόλλου ARP πριν από κάθε αποστολή δεδομένων, οι ληφθείσες διευθύνσεις MAC και οι αντίστοιχες διευθύνσεις IP τους καταγράφονται στον πίνακα για κάποιο χρονικό διάστημα. Εάν πρέπει να στείλετε δεδομένα στην ίδια IP, τότε δεν χρειάζεται να κάνετε δημοσκόπηση συσκευών κάθε φορά για αναζήτηση του επιθυμητού MAC.

Όπως μόλις είδαμε, το ARP περιλαμβάνει ένα αίτημα και μια απάντηση. Η διεύθυνση MAC από την απάντηση γράφεται στον πίνακα MAC/IP. Όταν λαμβάνεται μια απάντηση, δεν ελέγχεται με κανέναν τρόπο για τη γνησιότητά της. Επιπλέον, δεν ελέγχει καν αν υποβλήθηκε το αίτημα. Εκείνοι. μπορείτε να στείλετε αμέσως μια απάντηση ARP στις συσκευές προορισμού (ακόμα και χωρίς αίτημα), με πλαστά δεδομένα, και αυτά τα δεδομένα θα καταλήξουν στον πίνακα MAC/IP και θα χρησιμοποιηθούν για μεταφορά δεδομένων. Αυτή είναι η ουσία της επίθεσης ARP-spoofing, η οποία μερικές φορές ονομάζεται ARP etching, ARP cache poisoning.

Περιγραφή της επίθεσης ARP-spoofing

Δύο υπολογιστές (κόμβοι) M και N σε ένα τοπικό δίκτυο Ethernet ανταλλάσσουν μηνύματα. Ο εισβολέας Χ, που βρίσκεται στο ίδιο δίκτυο, θέλει να υποκλέψει μηνύματα μεταξύ αυτών των κόμβων. Προτού εφαρμοστεί η επίθεση πλαστογράφησης ARP στη διεπαφή δικτύου του κεντρικού υπολογιστή M, ο πίνακας ARP περιέχει τη διεύθυνση IP και MAC του κεντρικού υπολογιστή N. Επίσης στη διεπαφή δικτύου του κεντρικού υπολογιστή N, ο πίνακας ARP περιέχει τη διεύθυνση IP και MAC του κεντρικού υπολογιστή M .

Κατά τη διάρκεια μιας επίθεσης πλαστογράφησης ARP, ο κόμβος X (ο εισβολέας) στέλνει δύο αποκρίσεις ARP (χωρίς αίτημα) - στον κόμβο M και στον κόμβο N. Η απάντηση ARP στον κόμβο M περιέχει τη διεύθυνση IP του N και τη διεύθυνση MAC του X. Η απάντηση ARP στον κόμβο N περιέχει τη διεύθυνση IP M και τη διεύθυνση MAC X.

Εφόσον οι υπολογιστές M και N υποστηρίζουν αυθόρμητο ARP, αφού λάβουν μια απάντηση ARP, αλλάζουν τους πίνακες ARP τους και τώρα ο πίνακας ARP M περιέχει τη διεύθυνση MAC X συνδεδεμένη στη διεύθυνση IP N και ο πίνακας ARP N περιέχει τη διεύθυνση MAC X. δεσμεύεται στη διεύθυνση IP M.

Έτσι, η επίθεση πλαστογράφησης ARP ολοκληρώνεται και τώρα όλα τα πακέτα (πλαίσια) μεταξύ M και N περνούν από το X. Για παράδειγμα, εάν ο M θέλει να στείλει ένα πακέτο στον υπολογιστή N, τότε το M κοιτάξει στον πίνακα ARP του, βρίσκει μια καταχώρηση με τη διεύθυνση IP του κεντρικού υπολογιστή N, επιλέγει τη διεύθυνση MAC από εκεί (και υπάρχει ήδη η διεύθυνση MAC του κόμβου X) και μεταδίδει το πακέτο. Το πακέτο φτάνει στη διεπαφή X, αναλύεται από αυτήν και στη συνέχεια προωθείται στον κόμβο N.

Προβολές: 2890

Εισαγωγή

Με μεγάλη μου χαρά θα ήθελα να παρουσιάσω τη νέα έκδοση του Intercepter-NG 0.9.10, η οποία, κατά τη γνώμη μου,
διευρύνει σημαντικά το πεδίο εφαρμογής του εργαλείου. Αυτή η κριτική δεν θα παρουσιαστεί με τη μορφή ξηρής λίστας.
καινοτομίες, αλλά μάλλον ως περιγραφή νέων φορέων επίθεσης μαζί με μια σειρά τεχνικών λεπτομερειών και στοιχείων hack-story. Ας ξεκινήσουμε...

Σάρωση δικτύου

Όπως πάντα, έχουν γίνει πολλές διορθώσεις και μικρές βελτιώσεις που δεν έχει νόημα να τις παραθέσουμε.
Όποιος χρησιμοποιεί συχνά το εργαλείο γνωρίζει ότι μία από τις κύριες λειτουργίες είναι η λειτουργία σάρωσης δικτύου και, ειδικότερα, η λειτουργία Έξυπνης σάρωσης. Στις ήδη γνωστές πληροφορίες σχετικά με τις διευθύνσεις IP και MAC, τον κατασκευαστή της κάρτας δικτύου και το λειτουργικό σύστημα, προστέθηκε η εμφάνιση ονόματος υπολογιστή.
Κατά την ίδια χρονική περίοδο, μπορείτε πλέον να μάθετε επιπλέον το όνομα ή το όνομα Netbios μιας συσκευής iOS.
Για την επίλυση του τελευταίου, χρησιμοποιείται το πρωτόκολλο MDNS, βάσει του οποίου λειτουργεί το πρωτόκολλο Bonjour της Apple Όλα τα ληφθέντα ονόματα αποθηκεύονται πλέον σε ένα αρχείο προσωρινής μνήμης και εάν κατά τη διάρκεια των επόμενων σαρώσεων για κάποιο λόγο δεν ελήφθησαν δυναμικά πληροφορίες σχετικά με το όνομα του κεντρικού υπολογιστή. Θα ληφθεί από την κρυφή μνήμη Εδώ μπορούμε επίσης να αναφέρουμε την εμφάνιση της λειτουργίας Auto ARP Poison, η οποία είναι ενεργοποιημένη στις ρυθμίσεις των ειδικών, αρκεί να προσθέσετε μόνο 1 κεντρικό υπολογιστή στη λίστα των στόχων Το Intercepter θα σαρώσει το ίδιο το δίκτυο σε ένα συγκεκριμένο διάστημα και θα προσθέσει αυτόματα νέους στόχους.

Λειτουργία Bruteforce

Αυτή η λειτουργία προσθέτει υποστήριξη TLS για τα πρωτόκολλα SMTP και POP3, καθώς και ωμή δύναμη εξουσιοδότησης TELNET.
Τώρα, όταν προκύπτει χρονικό όριο, το ενεργό νήμα επανεκκινείται από την ίδια θέση και η διαδικασία αναζήτησης συνεχίζεται.
Έχει εμφανιστεί η λειτουργία Single Mode, η οποία υποδεικνύει ότι κάθε νέο ζεύγος LP θα πρέπει να ελέγχεται με τη δημιουργία μιας νέας σύνδεσης, για ορισμένα πρωτόκολλα αυτό επιτρέπει αυξημένη ταχύτητα. Το αρχείο καταγραφής λειτουργίας αποθηκεύεται στο brute.txt.

Μετατροπέας κυκλοφορίας

Πολλές φορές έχουν γίνει αιτήματα για την εφαρμογή της λειτουργίας αντικατάστασης κυκλοφορίας και δεν έχουν περάσει απαρατήρητα, αλλά δεν πρέπει να χαρείτε εκ των προτέρων.
Στην αντίθετη ερώτηση: "Γιατί ακριβώς χρειάζεστε αυτήν την ευκαιρία;" Μερικοί χρήστες δυσκολεύτηκαν να απαντήσουν ή είπαν ότι ήταν αστείο να αλλάζεις λέξεις στην κίνηση στο διαδίκτυο. Και για να μην εξηγήσετε σε κάθε τζόκερ γιατί το αποτέλεσμα δεν ανταποκρίνεται πάντα στις προσδοκίες, μπορείτε μόνο να αντικαταστήσετε δεδομένα ίσου μεγέθους χωρίς να αλλάξετε το μήκος των πακέτων. Ο περιορισμός δεν σχετίζεται καθόλου με τεχνικά προβλήματα υλοποίησης. Όλα εξαρτώνται από τα πρωτόκολλα εφαρμογών. Ας δούμε ένα παράδειγμα με το HTTP.

Ας υποθέσουμε ότι το πρόγραμμα περιήγησης ανοίγει το site.com/file.txt, το οποίο περιέχει τη συμβολοσειρά "12345". Σε απόκριση σε ένα αίτημα GET, ο διακομιστής θα επιστρέψει μια κεφαλίδα HTTP που υποδεικνύει το μήκος των μεταδιδόμενων δεδομένων - Μήκος περιεχομένου: 5. Τι θα συμβεί αν αντικαταστήσουμε το "12345" με το "12356"; Το πρόγραμμα περιήγησης θα πραγματοποιήσει λήψη μόνο 5 byte, απορρίπτοντας το πρόσθετο "6" και αν μειώσουμε το μέγεθος δεδομένων αντικαθιστώντας το "12345" με το "1234", το πρόγραμμα περιήγησης θα λάβει μόνο 4 byte και θα περιμένει άλλο 1 byte από τον διακομιστή μέχρι η σύνδεση κλείνει λόγω χρονικού ορίου. Γι' αυτό έγινε αυτός ο περιορισμός μεγέθους. Μπορείτε να αλλάξετε τόσο κείμενο όσο και δυαδικά δεδομένα, η σύνταξη για τα δυαδικά μοτίβα είναι η ίδια όπως στο C - "x01x02x03".
Εάν απαιτείται αντικατάσταση στην κίνηση HTTP, τότε στις ρυθμίσεις πρέπει να ενεργοποιήσετε την επιλογή «Απενεργοποίηση κωδικοποίησης gzip HTTP».

HSTS Spoofing

Όπως υποσχέθηκε, η παράκαμψη HSTS εμφανίστηκε κατά την εκτέλεση SSL Strip. Η τεχνική παράκαμψης είναι σχετικά απλή, αλλά υπάρχουν ορισμένες δυσκολίες στην εφαρμογή, επομένως δεν πρέπει να περιμένετε ιδιαίτερα αποτελέσματα. Ας εξετάσουμε ένα παράδειγμα στο Yandex Mail χρησιμοποιώντας το πρόγραμμα περιήγησης Chrome. Εάν μεταβείτε στο , τότε στην επάνω δεξιά γωνία θα υπάρχει ένας σύνδεσμος https «Σύνδεση στην αλληλογραφία», τον οποίο μπορεί εύκολα να χειριστεί το SSL Strip. Στη συνέχεια, θα ανοίξει μια φόρμα εξουσιοδότησης, όπου τα δεδομένα μεταφέρονται στη μέθοδο POST. Ακόμη και μετά την αφαίρεση του https, η εξουσιοδότηση θα γίνει μέσω SSL, επειδή το host passport.yandex.ru περιλαμβάνεται στην προφορτωμένη λίστα του chrome. Για να συνεχίσουμε να παρακολουθούμε τα δεδομένα, πρέπει να αντικαταστήσουμε το όνομα κεντρικού υπολογιστή passport.yandex.ru με κάτι άλλο, έτσι ώστε το πρόγραμμα περιήγησης να μην εντοπίσει ότι αυτός ο πόρος πρέπει να επισκέπτεται αυστηρά μέσω ασφαλούς σύνδεσης. Για παράδειγμα, μπορείτε να αντικαταστήσετε το passport.yandex.ru με το paszport.yandex.ru, σε αυτήν την περίπτωση τα δεδομένα θα σταλούν σε καθαρό κείμενο στο όνομα τομέα που άλλαξε. Επειδή όμως τέτοιος τομέας - paszport.yandex.ru δεν υπάρχει, τότε πρέπει επιπλέον να κάνετε DNS Spoofing, δηλ. Κατά την επίλυση του paszport.yandex.ru, ο πελάτης θα πρέπει να λάβει την αρχική διεύθυνση IP από το passport.yandex.ru ως απάντηση. Αυτή η διαδικασία είναι αυτοματοποιημένη και δεν απαιτεί πρόσθετη παρέμβαση του χρήστη κατά την εκτέλεση μιας επίθεσης. Το μόνο που απαιτείται είναι να δημιουργήσετε πρώτα μια λίστα αντικαταστάσεων στο mischsts.txt. Από προεπιλογή, υπάρχουν πολλές καταχωρήσεις για yandex, gmail, facebook, yahoo. Είναι σημαντικό να κατανοήσουμε ότι αυτή η τεχνική παράκαμψης δεν θα επιτρέψει την παρακολούθηση μιας περιόδου λειτουργίας ή εξουσιοδότησης εάν ο χρήστης εισέλθει στο facebook.com στο πρόγραμμα περιήγησης, επειδή το πρόγραμμα περιήγησης θα ανοίξει αμέσως την ασφαλή έκδοση του ιστότοπου. Σε αυτήν την περίπτωση, η επίθεση είναι δυνατή μόνο εάν ο σύνδεσμος στο facebook.com έχει ληφθεί από άλλο πόρο, για παράδειγμα κατά την εισαγωγή του facebook στο . Τα κύρια προβλήματα στην υλοποίηση μιας επίθεσης περιλαμβάνουν την απρόβλεπτη λογική του τρόπου με τον οποίο λειτουργούν οι ιστότοποι με τους υποτομείς τους και τα χαρακτηριστικά του κώδικα ιστού που μπορούν να ακυρώσουν τυχόν προσπάθειες
παράκαμψη HSTS. Γι' αυτό δεν πρέπει να προσθέσετε ιστότοπους στη λίστα, ακόμη και οι τομείς που υπάρχουν στο Intercepter-NG από προεπιλογή έχουν τα δικά τους χαρακτηριστικά και δεν λειτουργούν πάντα σωστά. Δεν θέλω πραγματικά να κάνω δεκανίκια για κάθε πόρο, ίσως στο μέλλον να γίνουν κάποιες καθολικές βελτιώσεις, αλλά προς το παρόν, όπως λένε, όπως είναι.
Μια ακόμη απόχρωση, στην τρέχουσα υλοποίηση, για να πραγματοποιηθεί το DNS Spoofing, είναι απαραίτητο ο διακομιστής DNS να μην βρίσκεται στο τοπικό δίκτυο, ώστε να μπορείτε να δείτε αιτήματα DNS στην πύλη και να απαντήσετε σε αυτά όπως απαιτείται.

Είναι σημαντικό να σημειωθεί ότι η νέα έκδοση έχει βελτιώσει σημαντικά τη δουλειά του ίδιου του SSL Strip.

Αναγκαστική λήψη και JS Inject

Και οι δύο καινοτομίες σχετίζονται με τη λειτουργία έγχυσης HTTP. Στα ρωσικά, η αναγκαστική λήψη μπορεί να μεταφραστεί ως "αναγκαστική λήψη", επειδή αυτό ακριβώς συμβαίνει στην πλευρά του στόχου κατά τη διάρκεια της περιήγησης στο διαδίκτυο. Κατά την είσοδο στον ιστότοπο, προσφέρεται η λήψη του αρχείου που καθορίζεται από τον εισβολέα, ανάλογα με τις ρυθμίσεις του προγράμματος περιήγησης, μπορεί να ληφθεί ανεξάρτητα και στη συνέχεια ο χρήστης θα επιλέξει αν θα το εκτελέσει ή όχι.
Όπως καταλαβαίνετε, μπορείτε να προσθέσετε ένα αρχείο .exe με αυθαίρετο περιεχόμενο στην αναγκαστική λήψη και η πηγή αυτού του αρχείου θα είναι ο ιστότοπος που επισκέπτεται αυτήν τη στιγμή ο χρήστης. Γνωρίζοντας ότι ο στόχος πρόκειται να ανοίξει το adobe.com, μπορείτε να εκδώσετε το flashplayer.exe και η πηγή αυτού του αρχείου θα αναφέρεται ως adobe.com ή ένας από τους υποτομείς του.
Μετά από μια εφάπαξ ένεση, ο εξαναγκασμός είναι απενεργοποιημένος για την εκ νέου ένεση, πρέπει να κάνετε ξανά κλικ στο αντίστοιχο πλαίσιο ελέγχου.

Το JS Inject δεν υπάρχει ρητά μεταξύ των στοιχείων ελέγχου, επειδή Στην πραγματικότητα, αυτή είναι η πιο κοινή ένεση http, αλλά με μια διαφορά. Όταν αντικαθιστάτε ένα αρχείο με ένα άλλο, για παράδειγμα, pictures.jpg με ένα δεδομένο, αυτό ακριβώς είναι η αντικατάσταση ενός περιεχομένου με ένα άλλο. Η αντικατάσταση ενός σεναρίου .js πιθανότατα μπορεί να διαταράξει τη λειτουργία του πόρου, επομένως στη νέα έκδοση το js inject δεν αντικαθιστά ένα σενάριο με άλλο, αλλά το προσθέτει στο υπάρχον, προσθέτοντας τη δυνατότητα εισαγωγής πρόσθετου κώδικα χωρίς να επηρεάζεται ο αρχικός .

SSL MiTM

Σταδιακά πλησιάζουμε τα πιο ενδιαφέροντα νέα προϊόντα. Η νέα έκδοση έχει ξαναγράψει πλήρως τον κώδικα για το SSL MiTM. Τώρα λειτουργεί γρήγορα και σταθερά. Ο αλγόριθμος για τη δημιουργία πιστοποιητικών έχει επίσης προστεθεί σε αυτές πρόσθετες εγγραφές DNS και όλα τα πιστοποιητικά υπογράφονται με ένα μόνο κλειδί (miscserver). Αυτό σημαίνει ότι προσθέτοντας αυτό το αυτο-υπογεγραμμένο πιστοποιητικό στη λίστα των αξιόπιστων στον υπολογιστή του στόχου, θα είναι δυνατή η ακρόαση της κυκλοφορίας SSL σε οποιονδήποτε πόρο (όπου δεν υπάρχει καρφίτσωμα SSL). Η λειτουργία Cookie Killer λειτουργεί πλέον για συνδέσεις SSL. Εμφανίστηκαν οι μαύρες λίστες (miscssl_bl.txt) και οι λευκές λίστες (miscssl_wl.txt). Μπορούν να αποκλείσουν ή, αντίθετα, να καθορίζουν αυστηρά τις διευθύνσεις IP ή τους τομείς στους οποίους πρέπει ή δεν πρέπει να εφαρμόζεται το SSL MiTM. Όταν καθορίζετε επιπλέον θύρα ssl, δεν είναι πλέον απαραίτητο να καθορίσετε τον τύπο ανάγνωσης, αρκεί να καθορίσετε τον αριθμό θύρας. Όλη η κίνηση γράφεται στο ssl_log.txt.

Ομαδική πολιτική αεροπειρατεία

Ένα άλλο χαρακτηριστικό δολοφονίας στο Intercepter-NG. Παρά το γεγονός ότι η τεχνική δεν ανακαλύφθηκε από εμένα, αυτή είναι η πρώτη δημόσια και πλήρως λειτουργική υλοποίηση αυτής της επίθεσης. Μια λεπτομερής περιγραφή είναι επίσης διαθέσιμη.

Για άλλη μια φορά, η SMB βύθισε τη Microsoft, γιατί χάρη σε αυτήν την ευπάθεια, σε περίπου μιάμιση ώρα μπορείτε να αποκτήσετε πρόσβαση σε οποιονδήποτε υπολογιστή του τομέα (εκτός από τον ελεγκτή τομέα). Ποιο είναι το νόημα;

Κάθε 90+ τυχαίος αριθμός από 0 έως 30 λεπτά, ένα μέλος τομέα ζητά πολιτικές ομάδας από το DC. Αυτό συμβαίνει μέσω SMB, ανοίγοντας τη διεύθυνση δικτύου DCSYSVOLdomain.namePoliciesUUIDgpt.ini.

Τα περιεχόμενα αυτού του αρχείου είναι τα εξής:

Έκδοση=12345

Αυτός ο αριθμός είναι μια σχετική έκδοση των τρεχουσών πολιτικών ομάδας. Εάν η έκδοση δεν έχει αλλάξει από την τελευταία ενημέρωση, τότε η διαδικασία λήψης πολιτικών ομάδας σταματά, αλλά εάν η έκδοση είναι διαφορετική, τότε πρέπει να ενημερωθούν. Σε αυτό το στάδιο, ο πελάτης ζητά ενεργές CSE (επεκτάσεις από την πλευρά του πελάτη) από τον τομέα, οι οποίες περιλαμβάνουν διάφορα σενάρια σύνδεσης, εργασίες για τον προγραμματιστή κ.λπ. Φυσικά, ένας εισβολέας, που στέκεται στη μέση, μπορεί να αντικαταστήσει μια από τις εργασίες που δημιουργείται από τον ελεγκτή με τη μορφή αρχείου. Σε αυτήν την περίπτωση, η λειτουργία θα ήταν εντελώς απλή, αλλά όλα αυτά τα CSE είναι απενεργοποιημένα από προεπιλογή και το μόνο που μπορεί να γίνει είναι να τροποποιήσετε το μητρώο, επειδή κατά την ενημέρωση των πολιτικών ομάδας, ο πελάτης ζητά ένα άλλο αρχείο - GptTmpl.inf, μέσω του οποίου μπορείτε να προσθέσετε ή να διαγράψετε μια καταχώρηση. Οι συντάκτες και των δύο άρθρων αποφάσισαν να χρησιμοποιήσουν μια πολύ γνωστή μέθοδο - AppInit_Dll - για να επιδείξουν την εκτέλεση κώδικα. Ορίσαμε το απαιτούμενο κλειδί μητρώου για τη φόρτωση του dll μας από τη διαδρομή δικτύου, μετά την οποία η διαδικασία που δημιουργήθηκε πρόσφατα στο σύστημα εκτέλεσε αυθαίρετο κώδικα. Αλλά αυτή η μέθοδος είναι κατάλληλη μόνο ως απόδειξη της ιδέας, επειδή το AppInit_Dll έχει απενεργοποιηθεί από προεπιλογή για πολλά χρόνια. Από αυτή την άποψη, η εργασία ορίστηκε να βρεθεί ένας άλλος τρόπος για την απομακρυσμένη εκτέλεση του κώδικα, χωρίς να χρειάζεται να περιμένετε για επανεκκίνηση, όπως συμβαίνει με την προσθήκη autorun στο κλειδί Run.

Έγιναν πολλές προσπάθειες για να πετύχω αυτό που ήθελα με τον ένα ή τον άλλο τρόπο, χωρίς αποτέλεσμα, μέχρι που ένας καλός άνθρωπος (thx man) πρότεινε ένα πολύ ενδιαφέρον κλειδί μητρώου για το οποίο δεν ήξερα τίποτα πριν.

Μπορείτε να προσθέσετε ένα πρόγραμμα εντοπισμού σφαλμάτων στο κλειδί για οποιοδήποτε αρχείο .exe. Για παράδειγμα, καθορίστε ότι το calc.exe πρέπει να ανοίξει μέσω του c:pathdebuger.exe και μόλις εκκινηθεί η αριθμομηχανή, το πρώτο πράγμα που θα ανοίξει είναι το πρόγραμμα εντοπισμού σφαλμάτων, η γραμμή εντολών του οποίου θα περιέχει ήδη τη διαδρομή για το calc φαινόταν σχεδόν έτοιμη λύση, γιατί καταφέραμε να εκτελέσουμε τον κώδικα χωρίς επανεκκίνηση, αν και υπό ορισμένες προϋποθέσεις, τότε ήμουν ικανοποιημένος με τον περιορισμό του αναπόφευκτου της συμμετοχής των χρηστών στη διαδικασία απόκτησης πρόσβασης, δηλ. μια αριθμομηχανή, ήταν δυνατή η εκτέλεση του κώδικα μέσω μιας κλήσης στον IE ή στο Chrome ή σε οποιαδήποτε άλλη εφαρμογή, αλλά εμφανίστηκε ένα νέο πρόβλημα ο χρήστης δεν είχε δικαιώματα διαχειριστή, τότε ακόμη και μετά τη λήψη του κελύφους, δεν υπήρχε τρόπος να το διαγράψετε πρόγραμμα εντοπισμού σφαλμάτων που προστέθηκε προηγουμένως στο μητρώο, πράγμα που σημαίνει ότι μετά τη διακοπή της επίθεσης ή κατά την επανεκκίνηση, η εφαρμογή που εκμεταλλεύτηκε σταμάτησε να λειτουργεί, επειδή η πλαστογραφημένη διεύθυνση δικτύου με το debuger.exe δεν υπήρχε πλέον.
Ήταν απαραίτητο να βρεθεί ένας τρόπος για να αποκτήσετε όχι μόνο πρόσβαση στο κέλυφος, αλλά πάντα με δικαιώματα διαχειριστή. Παραλείποντας όλες τις επόμενες δυσκολίες, θα περιγράψω το αποτέλεσμα. Αφού λάβει τις πολιτικές ομάδας, το σύστημα πρέπει να τις εφαρμόσει για αυτό, καλείται το svchost και δημιουργεί μια νέα διεργασία taskhost.exe με δικαιώματα SYSTEM. Λειτουργώντας ως πρόγραμμα εντοπισμού σφαλμάτων για το taskhost.exe, σκοτώσαμε δύο πουλιά με μια πέτρα - όχι μόνο λάβαμε ένα κέλυφος με δικαιώματα SYSTEM, αλλά και το λάβαμε αμέσως, χωρίς καμία χειροκίνητη παρέμβαση του χρήστη. Η επίθεση είναι πλήρως αυτοματοποιημένη, μπορείτε να επιλέξετε μια ομάδα στόχων ταυτόχρονα και μέσα σε μιάμιση έως δύο ώρες να λάβετε ένα ολόκληρο σύνολο ενεργών περιόδων σύνδεσης με μέγιστα δικαιώματα. Δεν χρειάζεται καν να είστε μέλος του τομέα για να το κάνετε αυτό. Το μόνο που είναι απαραίτητο είναι να ενεργοποιήσετε την πρόσβαση στο δίκτυο: Αφήστε τα δικαιώματα για όλους να ισχύουν για ανώνυμους χρήστες. Κατά τη δοκιμή, για να μην περιμένεις μιάμιση ώρα, απλά τρέξε το gpupdate από την κονσόλα. Δοκιμασμένο σε ενημερωμένα Windows 78.1 σε τομείς με διακομιστές 2008R22012R2.

Ποια είναι τα μέτρα προστασίας; Η Microsoft κυκλοφόρησε μια ενημερωμένη έκδοση κώδικα για το MS15-011, εισάγοντας τη λεγόμενη UNC Hardened Access, η οποία απαιτεί μη αυτόματη ρύθμιση παραμέτρων. Υπάρχει μια ενδιαφέρουσα φράση στο ενημερωτικό δελτίο:

"Οι χρήστες των οποίων οι λογαριασμοί έχουν ρυθμιστεί ώστε να έχουν λιγότερα δικαιώματα χρήστη στο σύστημα θα μπορούσαν να επηρεαστούν λιγότερο από τους χρήστες που λειτουργούν με δικαιώματα διαχειριστή."

Όπως έχει γίνει ήδη σαφές, η απειλή είναι εξίσου υψηλή για κάθε χρήστη.

Παρά όλες τις δυνατότητες του GP Hijacking, μου φαίνεται ότι μια άλλη καινοτομία σε αυτήν την έκδοση αξίζει ιδιαίτερης προσοχής...

Επιδόρπιο

Αυτό που θα συζητήσουμε στο τέλος δεν μπορεί να ονομαστεί νέα συνάρτηση. Μάλλον, είναι ένας φορέας επίθεσης που ανοίγει συνδυάζοντας έναν αριθμό ήδη υπαρχουσών λύσεων στο Intercepter-NG.

Η έμφαση σε αυτήν την περίπτωση δίνεται στα ασύρματα δίκτυα και στις κινητές συσκευές, ιδιαίτερα σε αυτές που χρησιμοποιούν iOS - iPhone και iPad. Όλοι γνωρίζουν ότι το βασικό δηλητήριο arp αυτών των συσκευών δεν δίνει σχεδόν τίποτα. Η παρεμπόδιση των cookies από ανοιχτούς ιστότοπους στο πρόγραμμα περιήγησης είναι ίσως το μόνο πράγμα στο οποίο μπορείτε να βασιστείτε, επειδή... Στις περισσότερες περιπτώσεις, ο χρήστης εργάζεται μέσω ιδιόκτητων εφαρμογών από διάφορες υπηρεσίες, όπου η επικοινωνία με τον διακομιστή γίνεται μέσω SSL. Ακόμα κι αν προσπαθήσετε να εφαρμόσετε SSL MiTM, τίποτα δεν θα λειτουργήσει απλά με ένα μη αξιόπιστο πιστοποιητικό. Ως εκ τούτου, πιστεύεται ότι τα τηλέφωνα και τα tablet προστατεύονται αρκετά καλά από προεπιλογή από την παρακολούθηση δικτύου.

Φανταστείτε όμως την εξής κατάσταση: ο μέσος χρήστης κάθεται στην εφαρμογή Instagram και κάνει κύλιση στη ροή.
Ξαφνικά η εφαρμογή σταματά να λειτουργεί, παραπονιέται για την έλλειψη σύνδεσης και ο χρήστης ανοίγει το instagram.com στο πρόγραμμα περιήγησης, όπου εμφανίζεται μια ειδοποίηση με το κείμενο "Για να συνεχίσετε να εργάζεστε στο instagram.com, εγκαταστήστε ένα νέο πιστοποιητικό ασφαλείας" και μετά το κλείσιμο το μήνυμα, στην οθόνη εμφανίζεται ένα αίτημα για εγκατάσταση νέου πιστοποιητικού. Η περαιτέρω ανάπτυξη των γεγονότων, φυσικά, εξαρτάται από τον χρήστη, αλλά η πιθανότητα να εγκαταστήσει το προτεινόμενο πιστοποιητικό είναι αρκετά υψηλή, επειδή η κατάσταση είναι αρκετά εύλογη: η εφαρμογή σταμάτησε να λειτουργεί, πήγε στον ιστότοπο, είδε μια προειδοποίηση για η απαραίτητη ενημέρωση, ενημερωμένη - όλα λειτούργησαν, αν και στην πραγματικότητα ο εισβολέας έχει αντικαταστήσει το πιστοποιητικό του και τώρα διαβάζει όλη την κίνηση SSL. Η υλοποίηση του Forced Download, του JS Inject και ενός σταθερού SSL MiTM σάς επιτρέπουν να εφαρμόσετε ένα παρόμοιο σενάριο σε χρόνο μηδέν:

1. Κάντε .js inject with alert("Please install new certificate for %domain%.");
Το πρότυπο %domain% θα συμπληρωθεί με το όνομα της τοποθεσίας όπου έγινε η ένεση.

2. Επιβάλετε τη λήψη του miscserver.crt - του ριζικού πιστοποιητικού στο Intercepter-NG.

3. Ενεργοποιήστε το SSL MiTM (καθώς και την ταινία ssl για ενέσεις).

4. Μετά την έναρξη της επίθεσης στη συσκευή του στόχου, οι συνδέσεις SSL θα σταματήσουν να λειτουργούν και θα εκδοθεί μια ειδοποίηση με πιστοποιητικό στο πρόγραμμα περιήγησης.

Τίθεται ένα φυσικό ερώτημα: τι να κάνουμε με την κίνηση SSL, εκτός από την παθητική παρακολούθηση των ήδη καθιερωμένων περιόδων σύνδεσης. Το Cookie Killer έρχεται στη διάσωση, το οποίο λειτουργεί σωστά, για παράδειγμα, στην εφαρμογή Facebook.
Το iOS έχει επίσης το δικό του ιερό δισκοπότηρο - το iCloud, αλλά η επαναφορά των cookies δεν θα βοηθήσει στην επαναφορά της συνεδρίας του. Για το iCloud, καθώς και για το Instagram και το VK, προστέθηκε η λειτουργία iOS Killer, η οποία επαναφέρει τις περιόδους λειτουργίας αυτών των εφαρμογών και σας επιτρέπει να παρεμποδίσετε την εκ νέου εξουσιοδότηση. Αυτό το κόλπο δεν μπορεί να γίνει με το AppStore, γιατί... Το καρφίτσωμα SSL φαίνεται να χρησιμοποιείται εκεί. Αυτός ο φορέας έχει δοκιμαστεί σε iOS 56 και 8.4.

Τα σχέδια ήταν να προστεθεί η δυνατότητα ανεξάρτητης δημιουργίας χειριστών χρησιμοποιώντας LUA ή μέσω ενός πρόσθετου DLL, αλλά αν κρίνουμε από την αντίδραση των χρηστών, κανείς δεν έχει πραγματικό ενδιαφέρον. Η νέα έκδοση πιθανότατα θα είναι διαθέσιμη το επόμενο έτος, ίσως μια λειτουργική ενημέρωση του Intercepter-NG για Android θα κυκλοφορήσει το φθινόπωρο. Ερωτήσεις, σχόλια, αιτήματα για δυνατότητες είναι πάντα ευπρόσδεκτα. Αυτό είναι όλο.

Μια επίδειξη των νέων λειτουργιών παρουσιάζεται στο βίντεο.

Επαφές έργου.