Πύλη πληροφοριών ασφαλείας. Kali Linux Tools Τι είναι το Intercepter-NG

Μετά από 10 χρόνια ανάπτυξης (δηλαδή το πλήγμα του έργου), ο δείκτης της έκδοσης Intercepter-NG έφτασε τελικά στο 1,0. Κατά παράδοση, οι ενημερώσεις για τα Windows κυκλοφορούν μία φορά το χρόνο και η κυκλοφορία των επετείου ήταν πραγματικά επιτυχημένη. Θα ήθελα να ευχαριστήσω όλους τους ανθρώπους που, με την πάροδο των ετών, παρείχαν βοήθεια στις δοκιμές, έδωσαν λεπτομερή σχόλια και έμπνευση ιδεολογικά. Ας ξεκινήσουμε την κριτική με τα μικρά πράγματα και στο τέλος θα εξετάσουμε το πιο νόστιμο χαρακτηριστικό του Intercepter-NG 1.0.

1. Στη λειτουργία RAW, κατέστη δυνατή η εξαγωγή επιλεγμένων πακέτων σε ένα αρχείο .pcap. Όταν είναι ενεργοποιημένη η Αυτόματη αποθήκευση, τα πακέτα που περιέχουν δεδομένα εξουσιοδότησης θα γραφτούν σε ξεχωριστό.pcap.

2. Στο πεδίο Extra SSL Ports, το οποίο αναφέρεται στο SSL MiTM, μπορείτε πλέον να οδηγείτε πολλές θύρες διαχωρισμένες με κόμματα.

3. Όταν επιτεθείτε σε ένα ρελέ LDAP σε έναν ελεγκτή τομέα με γλώσσα διαφορετική από τα αγγλικά, στις ρυθμίσεις ειδικών, μπορείτε να καθορίσετε την απαιτούμενη ομάδα για να προσθέσετε έναν χρήστη, για παράδειγμα, αντί για διαχειριστές τομέα, καθορίστε τους αντίστοιχους διαχειριστές τομέα της Ρωσίας.

4. Διορθώθηκε ένα σφάλμα στο χειριστή κατακερματισμού NTLMv2SSP που δεν επέτρεψε τη σωστή εκτίμηση κωδικού πρόσβασης.

5. Πολλές βελτιώσεις στη λειτουργία Bruteforce. Προστέθηκε: Υποστήριξη SSL για HTTP, υποστήριξη UTF8 για brD-force LDAP, πρωτόκολλα VNC, Vmware Auth Daemon και RDP. Το RDP brute-force λειτουργεί στα Windows 7/8/2008/2012. Υποστηρίζονται NLA και συνδέσεις και κωδικοί πρόσβασης σε οποιαδήποτε γλώσσα. Το RDP Security Layer δεν υποστηρίζεται.

6. Προστέθηκε η επιλογή "Inject Reverse Shell" στο HTTP Injections. Πρόκειται για μια αναγκαστική λήψη με ωφέλιμο φορτίο backconnect στο ενσωματωμένο κέλυφος του αναχαιτιστή.

7. Πολλές βελτιώσεις και αλλαγές γενικά. Η πλαστογράφηση είναι πλέον απενεργοποιημένη από προεπιλογή.

ΜΟΙΡΑ

Η λειτουργία FATE συνδυάζει δύο νέες λειτουργίες: FAke siTE και FAke updaTE.

Ο βασικός στόχος του FAke siTE είναι η απόκτηση δεδομένων εξουσιοδότησης από οποιονδήποτε πόρο ιστού, παρακάμπτοντας το SSL και άλλους μηχανισμούς ασφαλείας. Αυτό επιτυγχάνεται με την κλωνοποίηση της σελίδας εξουσιοδότησης και τη δημιουργία ενός προτύπου που θα τοποθετηθεί στον ενσωματωμένο διακομιστή ψευδο-ιστού. Ο τρόπος λειτουργίας αυτού φαίνεται στο βίντεο στο τέλος της ανάρτησης. Από προεπιλογή, ο αναχαιτιστής περιλαμβάνει ένα πρότυπο για το accounts.google.com Η αρχική σελίδα απαιτεί να συμπληρώσετε ένα προς ένα το πεδίο με τα στοιχεία σύνδεσης και μετά με τον κωδικό πρόσβασης.

Έχουμε πραγματοποιήσει μερικές μικρές αλλαγές σε αυτό το πρότυπο, έτσι ώστε και τα δύο πεδία να είναι ενεργά ταυτόχρονα. Πριν από την επίθεση, πρέπει να καθορίσετε τον τομέα στον οποίο θα φιλοξενηθεί το πρότυπο. Μετά την έναρξη της επίθεσης, μια ανακατεύθυνση στον επιλεγμένο τομέα εισάγεται στην κίνηση του στόχου και, στη συνέχεια, ο αναχαιτιστής θα εκτελεί αυτόματα πλαστογράφηση DNS στις απαιτούμενες διευθύνσεις. Ως αποτέλεσμα, η επιλεγμένη σελίδα εξουσιοδότησης θα ανοίξει στο πρόγραμμα περιήγησης. Η διαδικασία κλωνοποίησης ενός ιστότοπου αποδεικνύεται επίσης στο βίντεο χρησιμοποιώντας το mail.yandex.ru ως παράδειγμα.

Οι λάτρεις του Linux είναι εξοικειωμένοι με ένα εργαλείο που ονομάζεται Evilgrade, το οποίο σας επιτρέπει να εκμεταλλευτείτε τον μηχανισμό αυτόματης ενημέρωσης και να εφαρμόσετε ένα αυθαίρετο ωφέλιμο φορτίο. Στην πραγματικότητα, αυτός ο φορέας υπερτιμάται πολύ, πρώτον, η εντυπωσιακή λίστα υποστηριζόμενων εφαρμογών στο Evilgrade είναι ως επί το πλείστον ξεπερασμένη και, δεύτερον, οι περισσότερες από τις πιο δημοφιλείς εφαρμογές ελέγχουν για ενημερώσεις με ασφαλή τρόπο.

Ωστόσο, όλοι έχουν ακούσει για παραλείψεις υψηλού προφίλ στους μηχανισμούς ενημέρωσης μεγάλων προμηθευτών και σίγουρα αυτό θα συμβεί στο μέλλον, έτσι εμφανίστηκε ένα ανάλογο του Evilgrade στο Intercepter-NG, αλλά η λίστα του υποστηριζόμενου λογισμικού είναι πολύ μέτρια. Εάν θέλετε, μπορείτε να προσθέσετε τα δικά σας πρότυπα · η δομή τους μπορεί να προβληθεί σε miscFATEupdates. Στείλτε λογισμικό που ενημερώνεται ανοιχτά, θα αναπληρώσουμε τη βάση δεδομένων.

X-σάρωση

Πριν από πολλά χρόνια, μου άρεσε πολύ ένας σαρωτής ασφάλειας δικτύου από την κινεζική ομάδα Xfocus που ονομάζεται X-Scan. Ελαφρύ, βολικό σχεδιασμό, καλή λειτουργικότητα. Στα μέσα της δεκαετίας του 2000, σας επέτρεψε να δημιουργήσετε πολλά, αλλά αργότερα η ανάπτυξή του σταμάτησε και στις τρέχουσες πραγματικότητες είναι ελάχιστα χρήσιμο. Για αυτόν τον λόγο, ήθελα να δημιουργήσω το σύγχρονο αντίστοιχό του, αλλά κατά κάποιον τρόπο δεν λειτούργησε ... μέχρι πρόσφατα. Για την παλιά αγάπη, με αυτό το όνομα το Intercepter-NG έχει το δικό του σαρωτή δικτύου, το οποίο αντικατέστησε τον πρωτόγονο σαρωτή θύρας από την προηγούμενη έκδοση. Λοιπόν, τι ξέρει πώς.

1. Σάρωση ανοιχτών θυρών και ανίχνευση ευρετικά τα ακόλουθα πρωτόκολλα: SSH, Telnet, HTTPProxy, Socks45, VNC, RDP.

2. Προσδιορίστε την παρουσία SSL σε ανοιχτή θύρα, διαβάστε πανό και διάφορες κεφαλίδες ιστού.

3. Εάν βρεθεί ένας διακομιστής μεσολάβησης ή soks, ελέγξτε το άνοιγμα τους προς τα έξω.

4. Ελέγξτε την πρόσβαση χωρίς κωδικό πρόσβασης σε διακομιστές VNC, ελέγξτε SSL για HeartBleed. Διαβάστε το version.bind από το DNS.

5. Ελέγξτε τη βάση δεδομένων για την παρουσία σεναρίων στον διακομιστή ιστού, πιθανώς ευάλωτα στο ShellShock. Ελέγξτε τη λίστα καταλόγων και αρχείων για 200 OK στη βάση δεδομένων, καθώς και τη λίστα καταλόγων από το robots.txt.

6. Προσδιορίστε την έκδοση λειτουργικού συστήματος μέσω SMB. Εάν έχετε ανώνυμη πρόσβαση, λάβετε τοπική ώρα, χρόνο λειτουργίας, λίστα μετοχών και τοπικούς χρήστες Για τους χρήστες που βρέθηκαν, ξεκινά μια αυτόματη επίθεση brute-force.

7. Προσδιορίστε από την ενσωματωμένη λίστα χρηστών SSH μετρώντας τον χρόνο απόκρισης. Για τους χρήστες που βρέθηκαν, ξεκινά μια αυτόματη επίθεση brute-force. Εάν η απαρίθμηση δεν λειτουργεί (δεν λειτουργεί σε όλες τις εκδόσεις), η απαρίθμηση ξεκινά μόνο για root.

8. Αυτόματη brute-force για HTTP Basic και Telnet. Λαμβάνοντας υπόψη τις ιδιαιτερότητες του πρωτοκόλλου telnet, είναι πιθανά ψευδώς θετικά.

Οποιοσδήποτε στόχος μπορεί να σαρωθεί, τόσο στο τοπικό δίκτυο όσο και στο Διαδίκτυο. Μπορείτε να καθορίσετε μια λίστα θυρών για σάρωση: 192.168.1.1:80.443 ή το εύρος 192.168.1.1.1100-200. Μπορείτε να καθορίσετε το εύρος διευθύνσεων για τη σάρωση: 192.168.1.1-192.168.3.255.

Για πιο ακριβές αποτέλεσμα, μόνο 3 κεντρικοί υπολογιστές μπορούν να σαρωθούν κάθε φορά. Κυριολεκτικά την τελευταία στιγμή, προστέθηκαν έλεγχοι για δεδομένα από πιστοποιητικά SSL, για παράδειγμα, εάν συναντηθεί η λέξη Ubiquiti και η θύρα 22 είναι ανοιχτή, τότε το SSH brute-force του χρήστη ubnt ξεκινά αυτόματα. Ditto για ένα ζευγάρι κομμάτια σιδήρου Zyxel με τον διαχειριστή χρήστη. Για την πρώτη κυκλοφορία του σαρωτή, η λειτουργικότητα είναι επαρκής και είναι καλά εντοπισμένη. Στείλτε τις ιδέες και τις ευχές σας.

ps: η πρώτη έκδοση του εγχειριδίου στα ρωσικά θα εμφανιστεί σύντομα.

Ιστότοπος: sniff.su
Καθρέφτης: github.com/intercepter-ng/mirror
Ταχυδρομείο: [προστασία μέσω email]
Twitter: twitter.com/IntercepterNG
Φόρουμ: intercepterng.boards.net
Ιστολόγιο: intercepter-ng.blogspot.ru

Γεια σε όλους όσοι διαβάζουν το άρθρο.

Περιέγραψε πώς να παρακολουθούν κωδικούς πρόσβασης και cookie στο δίκτυο χρησιμοποιώντας το πρόγραμμα Intercepter-ng.

Κάποιοι ζήτησαν να πουν περισσότερα για τη λειτουργικότητα, άλλοι ζήτησαν να δείξουν περισσότερες λειτουργίες, κάποιος ζήτησε να εξετάσει την τελευταία έκδοση (αυτή τη στιγμή η έκδοση 0.9.10 είναι σχετική.

Έπρεπε να σηκώσω το τεμπέλης μου και να αρχίσω να μελετώ όλο το υλικό που βρήκα σιγά-σιγά.

Ξεκινώντας να γράφω ένα προσχέδιο, συνειδητοποίησα ότι ένα άρθρο δεν ήταν αρκετό. Επομένως, σήμερα θα υπάρχει μόνο μια θεωρία, μια περιγραφή ορισμένων λειτουργιών και τρόπων του Intercepter-ng. Μέσα σε δύο ή τρεις μέρες θα γράψω για την εργασία με το πρόγραμμα στην πράξη, και στη συνέχεια θα υπάρχουν πολλά βίντεο (για όσους το βρίσκουν ευκολότερο να μάθουν).

Λέω αμέσως - Δεν έχω βαθιά τεχνική γνώση, γι 'αυτό γράφω με απλά λόγια, και έτσι είναι σαφές στους απλούς ανθρώπους. Εάν παρατηρήσετε ανακρίβεια στις περιγραφές μου ή αν έχετε κάτι να προσθέσετε, γράψτε στα σχόλια.

Δεν μπορώ να περιγράψω κάθε λειτουργία, μόνο αυτό που μπορούσα να βρω.

Ας αρχίσουμε να εξετάζουμε τον ασθενή.

Intercepter-ng. Εργαλείο χάκερ Pentester.

Λειτουργικότητα (μόνο ένα μικρό μέρος όλων των δυνατοτήτων).

Ας ρίξουμε μια ματιά στις λειτουργίες και τα κουμπιά.

1 - Επιλέξτε τη διεπαφή μέσω της οποίας είστε συνδεδεμένοι στο δρομολογητή (το εικονίδιο στα αριστερά εναλλάσσεται μεταξύ Wi-Fi ή ενσύρματης λειτουργίας, επιλέξτε τη δική σας).

2 — Λειτουργία μηνυμάτων. Λειτουργία παρακολούθησης για μηνύματα ICQ \\ AIM \\ JABBER. Το θεωρώ άσχετο αυτές τις μέρες, οπότε δεν θα ληφθεί υπόψη.

3. — Λειτουργία επανατομής - λειτουργία ανάκτησης. Όταν το θύμα περιηγείται σε ιστότοπους, υπάρχουν αρχεία, φωτογραφίες, μερικές σελίδες HTML κ.λπ. Αποθηκεύονται μαζί σας (ενδέχεται να μην αποθηκευτούν όλα ή εν μέρει). Ίσως ο τρόπος ανάλυσης θα είναι χρήσιμος σε κάποιον.

4. - Λειτουργία κωδικού πρόσβασης - Τα cookies εμφανίζονται εδώ, με τύχη τους κωδικούς πρόσβασης που εισήγαγε το θύμα και τους ιστότοπους που επισκέφτηκαν. Με το πρωτόκολλο Https, τα πάντα συχνά μειώνονται στο μηδέν και μόνο τα cookies θα εμφανιστούν με τύχη. Αλλά χάρη σε ορισμένες ρυθμίσεις, μερικές φορές μπορεί να παρακαμφθεί (περισσότερα σε αυτό αργότερα).

5. Εδώ θα αναζητήσουμε τα θύματά μας. Για να το κάνετε αυτό, κάντε δεξί κλικ στο παράθυρο και επιλέξτε Έξυπνη σάρωση.

Θα εμφανιστούν όλες οι συσκευές στο δίκτυο και το κατά προσέγγιση λειτουργικό τους σύστημα.

Το Stealth IP είναι το κρυφό σας IP, στο οποίο κρύβετε την εργασία σας.

Ας ρίξουμε μια πιο προσεκτική ματιά στη λειτουργία.

Εάν κάνετε κλικ στην επιλογή "Ανίχνευση Promisc", θα εμφανιστούν οι συσκευές που είναι πιθανότερο να παρακολουθούν την κίνηση (συχνά λανθασμένα) ... Προσεκτικά, επειδή μπορεί να δείξει ότι ο δρομολογητής σας είναι επίσης ένας αναχαιτιστής.

Κάνοντας κλικ σε ένα συγκεκριμένο Ip, μπορείτε να προσθέσετε ένα θύμα στο Nat (Προσθήκη στο nat) για να εμπλακείτε περαιτέρω στην παρακολούθηση.

Επίσης, εάν επιλέξετε "Θύρες σάρωσης", μπορείτε να σαρώσετε ανοιχτές θύρες. Οι λειτουργίες απέχουν πολύ από το Nmap, αλλά αν υπάρχει μόνο αυτό το πρόγραμμα, θα το κάνει.

Δεν υπάρχει τίποτα πιο ενδιαφέρον εδώ.

6. Λειτουργία Nat... Nat mode - Ο κύριος τρόπος με τον οποίο θα εργαστούμε. Εκεί γίνονται βασικές προετοιμασίες και επιθέσεις ARP.

Σε αυτό το άρθρο, δεν θα επικεντρωθώ σε αυτό, θα το εξετάσουμε στο επόμενο.

7. Λειτουργία DHCP... Λειτουργία DHCP - Σας επιτρέπει να αυξήσετε τον διακομιστή DHCP στο δίκτυο. Δεν συνεργάστηκα με αυτήν τη λειτουργία και δεν μπορώ να σας πω τίποτα για αυτό.

8. Λειτουργία RAW - Ακατέργαστη λειτουργία. Παρόμοια με το πρόγραμμα Wireshark. Εμφανίζει την κύρια δραστηριότητα στο δίκτυο. Μερικές φορές μπορείτε να πιάσετε κάτι ενδιαφέρον, αν φυσικά ξέρετε τι να ψάξετε.

εννέα. Ρυθμίσεις προγράμματος Intercepter-ng. Ένα σημαντικό μέρος, οπότε ας ρίξουμε μια πιο προσεκτική ματιά.

Κλείδωμα στο δίσκο - Όταν το πρόγραμμα ελαχιστοποιηθεί, θα τοποθετηθεί ένας κωδικός πρόσβασης στο δίσκο. Ο προεπιλεγμένος κωδικός πρόσβασης είναι 4553.

Αποθήκευση περιόδου σύνδεσης - αποθηκεύει αυτόματα αναφορές σε αρχεία PCAP για περαιτέρω μελέτη και ανάλυση.

Σύμμικτος - "Ακατάστατη λειτουργία". Όταν ενεργοποιηθεί, το πρόγραμμα διαβάζει όλα τα πακέτα. Εάν δεν είναι εγκατεστημένο, διαβάζει μόνο πακέτα που αποστέλλονται στην καθορισμένη διεπαφή. Δεν μπορεί να λειτουργήσει με κάθε μονάδα Wi-Fi. Δεν έχω ιδέα για το τι είναι, δεν παρατήρησα τη διαφορά με αυτό και χωρίς αυτό.

Αυτόματη αποθήκευση... Αποθηκεύει αυτόματα τις αναφορές σε μορφή κειμένου στον ριζικό φάκελο με το πρόγραμμα.

Προβολή πλέγματος... Προβολή με τη μορφή πινάκων. Εάν απενεργοποιηθεί, οι αναφορές στο πρόγραμμα θα περιληφθούν σε μια λίστα. Δείτε πώς είναι πιο βολικό, με ή χωρίς αυτό.

Ios Killer και Cookie killer... Σχεδόν πανομοιότυπο. Το cookie killer έχει σχεδιαστεί έτσι ώστε εάν το θύμα έχει ήδη κωδικό πρόσβασης στον ιστότοπο, φεύγει από τον ιστότοπο και θα πρέπει να ξαναμπεί και επομένως θα λάβετε έναν κωδικό πρόσβασης. Το Ios killer έχει σχεδιαστεί για το Iphone και το Ipad για να βγάλει το θύμα από προγράμματα κοινωνικών πελατών (VK, facebook, Icloud κ.λπ.).

Υποβάθμιση Kerberos.Το Kerberos είναι ένα πρωτόκολλο δικτύου, ένας από τους τύπους ελέγχου ταυτότητας. Χάρη στη δυνατότητα, χρησιμοποιώντας το smb, μπορείτε να παρακάμψετε αυτήν την προστασία. Εγώ ο ίδιος δεν έχω συναντήσει ένα τέτοιο πρωτόκολλο, οπότε δεν θα το εξετάσουμε.

Hsts... Ένα ενδιαφέρον κόλπο για παράκαμψη του Hsts από την τελευταία έκδοση, αλλά όχι εντελώς σταθερό. Η ουσία είναι ότι πολλοί ιστότοποι αλλάζουν αυτόματα από ασφαλές πρωτόκολλο Http σε Https, το οποίο μας εμποδίζει να παρακολουθήσουμε δεδομένα. Η λωρίδα SSl δεν ταιριάζει πάντα, επομένως αυτή η λειτουργία μπορεί μερικές φορές να βοηθήσει. Δεν θα περιγράψω την αρχή (μπορείτε να την βρείτε στο Habré).

Το μόνο που πρέπει να κάνετε στο φάκελο προγράμματος είναι να προσθέσετε τον απαιτούμενο τομέα στο αρχείο misc \\ hsts.txt. Μερικά δημοφιλή είναι ήδη εκεί. Η ουσία είναι ότι πρέπει να αντιστοιχίσετε ένα γράμμα στον κύριο τομέα. Για παράδειγμα vk.com:vvk.com ή ok.ru:oks.ru και ούτω καθεξής.

Το πρόγραμμα θα αντικαταστήσει τη σελίδα προστατευμένης εξουσιοδότησης στον ιστότοπο με πλαστογραφημένη, αλλά η εξουσιοδότηση Ip παραμένει όπως στην κύρια.

Στο παράδειγμά μου, λειτουργεί μερικές φορές κάθε δεύτερη φορά, αλλά καλύτερα από το τίποτα. Πειραματιστείτε γενικά.

Διαμόρφωση Wpad. Εισαγάγετε WPAD-WebProxy Auto-Discovery ή ενεργοποιήστε τον τυπικό διακομιστή μεσολάβησης Wpad. Για να το ενεργοποιήσετε, σε λειτουργία Nat, επιλέξτε το πλαίσιο Wm mitm.

Στη λειτουργία Exppert (εικονίδιο πλανήτη), μπορεί να μας ενδιαφέρει το πλαίσιο ελέγχου Auto ARP poison. Δηλαδή, όταν οι χρήστες συνδέονται στο δίκτυο, θα προστεθούν αυτόματα στη λειτουργία nat.

Δεν υπάρχει τίποτα περισσότερο να εξετάσετε στην ενότητα Ρυθμίσεις, τόσο πιο μακριά.

10. - Εκμετάλλευση HeartBleed - αναζητήστε την ευπάθεια του HeartBleed.

11. - Λειτουργία Bruteforce - ωμή για ορισμένα πρωτόκολλα στόχους. Πρέπει να γνωρίζετε το όνομα χρήστη. Οι κωδικοί για brute βρίσκονται στο πρόγραμμα και μπορείτε να χρησιμοποιήσετε το δικό σας λεξικό.

12. Ρολόι ARP - σε αυτήν τη λειτουργία, μπορείτε να παρατηρήσετε εάν πραγματοποιείται επίθεση ARP (κυκλοφορία μέσω καλωδίωσης κ.λπ.) σε περίπτωση επιθέσεων, σε λειτουργία Nat θα εμφανίζεται έγκαιρα μια προειδοποίηση.
13. ARP Cage - Κελί Arp. Απομονώνει τον κεντρικό υπολογιστή. Ανακατευθύνει το θύμα σε άλλη IP. χρήσιμο εάν υποψιάζεστε εξερχόμενο ανεπιθύμητο περιεχόμενο κ.λπ.

Αυτές είναι όλες οι πληροφορίες που μπορώ να βρω και να βρω.

Στην ιστοσελίδα Avi1.ru είναι πολύ διαθέσιμα για πολύ παραγγελίες πολύ φθηνές αναρτήσεις VK. Βιαστείτε να κάνετε μια κερδοφόρα αγορά, ενώ η υπηρεσία έχει πραγματικά σημαντικές εκπτώσεις χονδρικής. Μπορείτε επίσης να λάβετε άλλους πόρους σε οποιαδήποτε σελίδα του δικτύου: επισημάνσεις "μου αρέσει", προβολές εγγραφών και βίντεο, συνδρομητές, φίλοι κ.λπ.

Λίγο για τη λειτουργία Nat.

Δεδομένου ότι όλες οι κύριες εργασίες θα πραγματοποιηθούν απευθείας μέσω αυτής της λειτουργίας, θα προσπαθήσω να περιγράψω τι θα συναντήσουμε.

IP του δρομολογητή - απευθείας η IP του δρομολογητή στον οποίο είναι συνδεδεμένοι. Ανιχνεύεται αυτόματα όταν εκτελείτε έξυπνη σάρωση σε λειτουργία σάρωσης.

Stealth Ip - Το κρυφό σας Ip.

Nat cliens - οι επιθέσεις "Θύματα" εμφανίζονται εδώ.

Επιλογές Mitm.

Διαμόρφωση μιμς - Οι βασικές επιθέσεις Mitm ενεργοποιούνται / απενεργοποιούνται εδώ

Θα εξετάσω δύο: SSL Mitm και SSL Strip.

SSL mitm - Μια τεχνική που αντικαθιστά τα πιστοποιητικά του θύματος.

Απαιτείται κατά την παρακολούθηση δεδομένων. Δυστυχώς, πολλά προγράμματα περιήγησης και πελάτες σε κινητά τηλέφωνα έχουν μάθει να τα αποκλείουν, μας προειδοποιούν ή ακόμη και εμποδίζουν την πρόσβαση στο Διαδίκτυο.

Ssl Strip - Επίσης, μια λειτουργία που χρειαζόμαστε συχνά. Το SSL είναι πιο κρυφό. "Σιωπηλή" τεχνική για την παρακολούθηση των συνδέσεων HTTPS. Δεν υπάρχει πλαστογράφηση πιστοποιητικών εδώ, επομένως είναι πιο δύσκολο να υπολογιστεί και δεν υπάρχουν προειδοποιήσεις ασφαλείας. Απαιτείται κατά τη χρήση του Cookie killer. όταν πρέπει να γλιστρήσουμε ένα αρχείο στο θύμα κ.λπ. Θα εξετάσουμε λεπτομερέστερα στο επόμενο άρθρο.

Αλλαγή κυκλοφορίας - αντικατάσταση κυκλοφορίας. Άχρηστη λειτουργικότητα για διασκέδαση. Πλαστογράφηση αιτήματος Http στο θύμα (για παράδειγμα, ένα άτομο θέλει να μεταβεί σε έναν ιστότοπο και να το προωθήσει σε άλλο). Αλλά δεν είναι όλα ομαλά εδώ, περισσότερες λεπτομέρειες στο επόμενο άρθρο.

Διαμόρφωση της ένεσης http - εδώ διαμορφώνουμε το θύμα για λήψη του αρχείου που χρειαζόμαστε. Μπορεί να είναι μια ακίνδυνη εικόνα, σενάριο ή πρόγραμμα. Περισσότερες λεπτομέρειες στο επόμενο άρθρο.

Τα κουμπιά Start arp poison και Start nat ξεκινούν την επίθεσή μας. Όταν ενεργοποιείτε το Start arp poison, το δεύτερο ενεργοποιείται αμέσως. Αλλά πριν το ενεργοποιήσετε, πρέπει να ενεργοποιήσετε - Ξεκινήστε να εισπράττετε από πάνω, δίπλα στην επιλογή της διεπαφής του δρομολογητή.

Αυτό είναι όλο αυτό το άρθρο, με εκπλήσσει το απόσπασμά σας εάν διαβάσετε αυτό το σημείο. Εάν έχετε κάτι να διορθώσετε ή να προσθέσετε, γράψτε στα σχόλια και θα το προσθέσω στο άρθρο.

Μία από αυτές τις μέρες θα εξετάσω ήδη το ενδεχόμενο να εργαστώ στην Intercepter-ng στην πράξη. Μείνετε λοιπόν μαζί μας μέχρι να ξανασυναντηθούμε.

Και μην ξεχνάτε - Ο Big Brother σας παρακολουθεί!

Το Intercepter-NG θα καθορίσει τη διεύθυνση MAC και τη διεύθυνση IP κάθε χρήστη που είναι συνδεδεμένος στο δημόσιο δίκτυο. Επίσης, χρησιμοποιώντας το πρόγραμμα, μπορείτε να παρακολουθήσετε cookie, εξερχόμενη και εισερχόμενη κίνηση για παράνομους σκοπούς.

Προδιαγραφές

Το Intercepter-NG είναι μια πολυλειτουργική εφαρμογή που, στα δεξιά, μετατρέπεται σε εργαλείο για παράνομες λειτουργίες. Πρώτον, μπορεί να χρησιμοποιηθεί για την αναγνώριση όλων των συσκευών που είναι συνδεδεμένες στο δημόσιο δίκτυο. Μεταξύ των δεδομένων, παρέχεται όχι μόνο η διεύθυνση IP, αλλά και η μοναδική διεύθυνση MAC της συσκευής.

Δεύτερον, η εφαρμογή σάς επιτρέπει να παρακολουθείτε αμφίδρομη κίνηση του επιλεγμένου χρήστη, περιήγηση, χρήση και ακόμη και αντικατάσταση αρχείων. Επειδή το πρόγραμμα δεν περιέχει λεπτομερείς οδηγίες για τη χρήση της λειτουργικότητας, πρέπει να έχετε ελάχιστες γνώσεις. Σε αυτήν την περίπτωση, όχι μόνο θα βρείτε τη διεύθυνση IP ή Mac, αλλά μπορείτε επίσης εύκολα να υποκλέψετε τα cookies για να διαβάσετε την αλληλογραφία κάποιου άλλου και ακόμη και να προβείτε σε ενέργειες εκ μέρους του χρήστη.

Χαρακτηριστικά:

• Πρόσβαση ρίζας. Η συσκευή πρέπει να έχει δικαιώματα root για να χρησιμοποιεί όλες τις λειτουργίες της εφαρμογής.
• Η δυνατότητα εύρεσης της διεύθυνσης IP και MAC κάθε χρήστη που χρησιμοποιεί το ίδιο σημείο πρόσβασης με εσάς.
• Η δυνατότητα παρακολούθησης cookie για ανάγνωση αλληλογραφίας, ενέργειες με λογαριασμούς.
• Η δυνατότητα παρακολούθησης εξερχόμενης και εισερχόμενης κίνησης, αντικατάστασης αρχείων.

Μια μινιμαλιστική διεπαφή και σταθερή λειτουργία είναι μερικά από τα άλλα χαρακτηριστικά της εφαρμογής που την καθιστούν δημοφιλή σε στενούς κύκλους.

Περιγραφή του Intercepter-NG

Το Intercepter-NG είναι ένα πολυλειτουργικό σύνολο εργαλείων δικτύωσης για επαγγελματίες πληροφορικής διαφόρων τύπων. Ο κύριος στόχος είναι να ανακτήσετε ενδιαφέροντα δεδομένα από μια ροή δικτύου και να εκτελέσετε διάφορα είδη επιθέσεων man-in-the-middle (MiTM). Επιπλέον, το πρόγραμμα σάς επιτρέπει να εντοπίζετε ARP spoofing (μπορεί να χρησιμοποιηθεί για την ανίχνευση επιθέσεων man-in-the-middle), να εντοπίσετε και να εκμεταλλευτείτε συγκεκριμένους τύπους ευπάθειας, διαπιστευτήρια σύνδεσης brute force των υπηρεσιών δικτύου. Το πρόγραμμα μπορεί να λειτουργήσει τόσο με μια ζωντανή ροή κυκλοφορίας όσο και για την ανάλυση αρχείων με καταγεγραμμένη κίνηση για τον εντοπισμό αρχείων και διαπιστευτηρίων.

Το πρόγραμμα προσφέρει τις ακόλουθες δυνατότητες:

• Εισαγωγή κωδικών πρόσβασης / κατακερματισμού των ακόλουθων τύπων: ICQ, IRC, AIM, FTP, IMAP, POP3, SMTP, LDAP, BNC, SOCKS, HTTP, WWW, NNTP, CVS, TELNET, MRA, DC ++, VNC, MYSQL, ORACLE, NTLM, KRB5 , ΑΚΤΙΝΑ ΚΥΚΛΟΥ
• Μυστικό μήνυμα συνομιλίας: ICQ, AIM, JABBER, YAHOO, MSN, IRC, MRA
• Ανακατασκευή αρχείων από: HTTP, FTP, IMAP, POP3, SMTP, SMB
• Διάφοροι τύποι σάρωσης όπως Promiscuous, ARP, DHCP, Gateway, Port και Smart scan
• Λήψη πακέτων και ανάρτηση (εκτός σύνδεσης) / λειτουργία RAW (raw)
• Απομακρυσμένη λήψη κίνησης μέσω RPCAP daemon και PCAP Over IP
• NAT, SOCKS, DHCP
• ARP, DNS μέσω ICMP, DHCP, SSL, SSLSTRIP, WPAD, SMB ρελέ, SSH MiTM
• SMB Hijack, LDAP ρελέ, MySQL LOAD DATA ένεση
• ARP Watch, ARP Cage, HTTP Injection, Heartbleed Exploit, Kerberos Downgrade, Cookie Killer
• DNS, NBNS, LLMNR πλαστογράφηση
• Brute force διάφορες υπηρεσίες δικτύου

Η κύρια έκδοση εκτελείται σε Windows, υπάρχει μια έκδοση κονσόλας για Linux και μια έκδοση για Android.

Άδεια: "ως έχει"

Λειτουργίες Intercepter-NG

Το Intercepter-NG έχει επτά κύριες λειτουργίες, οι οποίες αντιστοιχούν στον αριθμό των καρτελών προγράμματος και στον αριθμό των κύριων κουμπιών:

Αυτοί είναι οι τρόποι:

• Αγγελιοφόροι
• Ανάσταση
• Κωδικοί πρόσβασης
• Ερευνα
• RAW (ακατέργαστο)

Βάλτε στην πρώτη θέση Λειτουργία Messenger (Λογότυπο ICQ). Αυτό συνέβη για ιστορικούς λόγους - αρχικά το Intercepter-NG δημιουργήθηκε ως πρόγραμμα παρακολούθησης μηνυμάτων από το ICQ και άλλων άμεσων μηνυμάτων.

Λειτουργία ανάστασης (το λογότυπο στο κουμπί είναι Phoenix) σημαίνει ανάκτηση αρχείων από μια ροή δικτύου. Αυτά μπορεί να είναι αρχεία εικόνων που προβάλλονται σε ιστότοπους, καθώς και αρχεία αρχείων που έχουν μεταφερθεί, έγγραφα και άλλα.

Κατά τη μετάβαση σε Λειτουργία κωδικού πρόσβασης (το τρίτο κουμπί είναι το μπρελόκ) θα δείτε τα διαπιστευτήρια που λαμβάνονται από τη ροή δικτύου. Εμφανίζονται οι διευθύνσεις ιστότοπου, οι καταχωρημένοι σύνδεσμοι και οι κωδικοί πρόσβασης

Όταν ξεκινά το πρόγραμμα, ανοίγει Λειτουργία σάρωσης (μεσαίο κουμπί - ραντάρ). Αυτή είναι η αρχική λειτουργία για την έναρξη επιθέσεων: σε αυτήν την καρτέλα, ορίζονται σάρωση, επιλογή στόχου και άλλες παράμετροι δικτύου.

Αυτί MiTM (δέσμη καλωδίου κώδικα) περιέχει πεδία για την εισαγωγή ρυθμίσεων στόχου, πολλά από τα οποία συμπληρώνονται αυτόματα κατά τη σάρωση στην καρτέλα Σάρωση. Υπάρχουν επίσης κουμπιά για να ξεκινήσετε μια ποικιλία επιθέσεων MiTM.

Αυτί DHCPπεριέχει ορισμένες ρυθμίσεις δικτύου και διακομιστή DHCP.

Λειτουργία RAW (ακατέργαστη) εμφανίζει ανεπεξέργαστες πληροφορίες σχετικά με τα δεδομένα που μεταδίδονται στη ροή δικτύου. Οι πληροφορίες παρουσιάζονται σε μορφή παρόμοια με αυτήν.

Συμβουλές χρήσης και αντιμετώπισης προβλημάτων Intercepter-NG:

• Το Intercepter-NG απαιτεί το WinPcap να λειτουργεί, αλλά δεν χρειάζεται να εγκατασταθεί ξεχωριστά καθώς το Intercepter έρχεται με μια φορητή έκδοση του WinPcap.
• Εάν δεν βλέπετε τον προσαρμογέα σας στη λίστα των προσαρμογέων, αυτό σημαίνει ότι το WinPcap δεν υποστηρίζει την κάρτα σας.
• Εάν τίποτα δεν λειτουργεί με την κάρτα WiFi, ακόμη και με χάραξη ARP, χρησιμοποιήστε το εικονίδιο NIC, το οποίο βρίσκεται στην αριστερή πλευρά της λίστας προσαρμογέων, για να μεταβείτε στη λειτουργία WiFi. Βεβαιωθείτε επίσης ότι το Stealth IP έχει πρόσβαση στο Διαδίκτυο.
• Σε ορισμένες σπάνιες περιπτώσεις, η υπηρεσία Base Filtering Engine (BFE) ενδέχεται να αποκλείσει τις τοπικές θύρες Intercepter. Εκδηλώνεται ως εξής: Το ARP λειτουργεί, αλλά άλλες λειτουργίες MiTM δεν λειτουργούν (σε Windows 7 και νεότερες εκδόσεις). Τα ιούς όπως το Avast μπορούν επίσης να τα αποκλείσουν ακόμα και αν η Προστασία δικτύου είναι απενεργοποιημένη στον Πίνακα ελέγχου Ένας άλλος λόγος για αυτήν τη συμπεριφορά μπορεί να είναι η ταυτόχρονη λειτουργία της σύνδεσης WiFi και της υπηρεσίας Κοινή χρήση σύνδεσης στο Internet.
• Το Intercepter υποστηρίζει 802.11 ενθυλάκωση, ώστε να μπορείτε να χρησιμοποιείτε απορρίψεις pcap από προγράμματα και. Υποστηρίζονται επίσης οι ενθυλακώσεις PPPoE, GRE (PP2P) και προαιρετικές κεφαλίδες 802.11. Αυτό δεν σημαίνει ότι το Intercepter μπορεί να αναλύσει κρυπτογραφημένα δεδομένα, σημαίνει ότι το Intercepter μπορεί να αφαιρέσει κεφαλίδες ethernet από πακέτα αυτού του είδους και να τα αναλύσει.
• Λόγω περιορισμών πρωτοκόλλου, η πηγή και ο προορισμός του UIN \\ MAIL \\… ενδέχεται να μην εμφανίζονται στην καρτέλα μηνυμάτων συνομιλίας.
• Για να αντιγράψετε δεδομένα από τον πίνακα κωδικών πρόσβασης, κάντε κλικ στη γραμμή και πατήστε ctrl + c.
• Για να αποκρύψετε το παράθυρο του προγράμματος χρησιμοποιήστε τη συντόμευση πληκτρολογίου Ctrl + Alt + S. Κάντε κλικ ξανά για να εμφανιστεί ξανά το παράθυρο.
• Το Intercepter μπορεί να λειτουργήσει ακόμη και σε win9x (98 και 95!), Αλλά πρέπει να εγκαταστήσετε το WinPcap 3.1 ή το WinPcap 4.0beta2. Οι νεότερες εκδόσεις WinPcap δεν υποστηρίζουν win9x.
• Λειτουργία κονσόλας για ανάλυση εκτός σύνδεσης:

./intercepter -t dump.cap

• Για να ενεργοποιήσετε την αυτόματη εισπνοή, πρέπει να ανοίξετε ρυθμίσεις.cfg και επεξεργασία " αυτόματη εκτέλεσηΗ προεπιλογή είναι 0 , αλλάξτε τον αριθμό της διεπαφής που πρόκειται να εισπνεύσετε.
• Το Intercepter μετατρέπει ακατέργαστα απορρίμματα IPap με ενσωματωμένο IP σε ενθυλάκωση Ethernet (προσθέτοντας πληροφορίες κεφαλίδας ethernet).
• Το Intercepter μπορεί να διαβάσει μια νέα μορφή - pcapng. Δεδομένου ότι όλα τα αρχεία συλλογής Wireshark pcapng χρησιμοποιούν μόνο τον τύπο "Enhanced Packet Block", το Intercepter υποστηρίζει μόνο αυτόν τον τύπο πακέτου μπλοκ. Επιπλέον, εμφανίζει σχόλια σε πακέτα.
• Στη λειτουργία RAW, μπορείτε να ορίσετε τους δικούς σας κανόνες χρησιμοποιώντας φίλτρα pcap για να φιλτράρετε την κίνηση. Δείτε τη σύνταξη φιλτραρίσματος pcap για λεπτομέρειες. Παράδειγμα:

θύρα 80

σημαίνει να λαμβάνετε μόνο πακέτα από τη θύρα tcp 80 από τον πυρήνα.

Όχι θύρα 80

σημαίνει να αποκλείσετε πακέτα από τη θύρα 80

Μπορείτε να συνδυάσετε κανόνες:

Θύρα 80 και όχι θύρα 25

• Δεν πρέπει να δουλεύετε με τεράστιες απορρίψεις σε λειτουργία raw, καθώς το Intercepter φορτώνει κάθε πακέτο στη μνήμη και δεν χρησιμοποιεί το σκληρό δίσκο ως διαμέρισμα ανταλλαγής (αρχείο).

Συμβουλές επιλογής Intercepter-NG

Επιλογές Sniffer:

• Εάν πρόκειται να εκτελέσετε ανάλυση απορρίψεων pcap offline, τότε για να επιταχύνετε τη διαδικασία, καταργήστε την επιλογή " Επίλυση κεντρικών υπολογιστών”.
• Εάν τσεκάρετε την επιλογή " Κλείδωμα στο δίσκο", τότε κατά την επαναφορά ενός παραθύρου από το δίσκο θα σας ζητηθεί κωδικός πρόσβασης. Ο προεπιλεγμένος κωδικός πρόσβασης είναι" 4553 Μπορείτε να το αλλάξετε στο αρχείο ρυθμίσεις.cfg... Ο κωδικός πρόσβασης είναι κωδικοποιημένος base64.
• Επιλογή " Αποθήκευση περιόδου σύνδεσης"σημαίνει ότι η Intercepter θα αποθηκεύσει όλα τα ληφθέντα πακέτα σε ένα αρχείο pcap. Αυτό το αρχείο μπορεί να χρησιμοποιηθεί για ανάλυση δεδομένων εκτός σύνδεσης. Πρόκειται για ένα είδος λειτουργίας εξαγωγής αποτελεσμάτων.
• Εάν εγκαταστήσετε Σύμμικτοςτότε η Intercepter ανοίγει τον προσαρμογέα δικτύου σε αδιάκριτη λειτουργία. Αυτό σημαίνει ότι θα διαβάσει όλα τα πακέτα, ακόμη και αυτά που δεν προορίζονται για τη δεδομένη διεπαφή δικτύου. Εάν το πλαίσιο ελέγχου δεν είναι επιλεγμένο, τότε θα διαβάσει μόνο πακέτα που αποστέλλονται στην καθορισμένη διεπαφή. Ορισμένες κάρτες Wi-Fi δεν υποστηρίζουν αυτήν τη λειτουργία.
• “Μοναδικά δεδομένα- Εμφάνιση μόνο μοναδικών συνδέσεων και κωδικών πρόσβασης. Εκείνοι. εμφάνιση καταγεγραμμένων συνδέσεων και κωδικών πρόσβασης μόνο μία φορά - εάν ο χρήστης εισάγει ξανά τα ίδια στοιχεία σύνδεσης και κωδικό πρόσβασης, δεν θα εμφανίζεται.
• Αυτόματη αποθήκευση - όλες οι πληροφορίες κειμένου θα αποθηκεύονται κάθε 10 δευτερόλεπτα.
• Από προεπιλογή, υπάρχει ένα σημάδι επιλογής στο " Προβολή πλέγματος". Αυτό σημαίνει ότι οι κωδικοί πρόσβασης θα μοιάζουν με πλέγμα δεδομένων. Για προβολή λεπτομερών πληροφοριών, καταργήστε την επιλογή Προβολή πλέγματος”.
• άκρο.Σε μια τυπική ροή εργασίας, το sniffer αναλύει τις προκαθορισμένες θύρες που σχετίζονται με συγκεκριμένα πρωτόκολλα. Αν λέμε http, εννοούμε τη θύρα 80 (ή 8080 ή οτιδήποτε άλλο είναι προκαθορισμένο στη λίστα των θυρών που σχετίζονται με το πρωτόκολλο http). Εκείνοι. μόνο αυτές οι θύρες θα αναλυθούν. Εάν ορισμένες εφαρμογές χρησιμοποιούν διαφορετική θύρα, για παράδειγμα 1234, τότε το sniffer δεν θα αναλύσει πακέτα που το περνούν. Σε λειτουργία άκροΤο Intercepter θα αναλύσει όλα τα πακέτα TCP χωρίς να ελέγξει τις θύρες. Εκείνοι. Ακόμα κι αν κάποια εφαρμογή χρησιμοποιεί μια απροσδιόριστη θύρα, το sniffer θα συνεχίσει να ελέγχει αυτά τα πακέτα. Ενώ αυτό επιβραδύνει την απόδοση (υπάρχουν πολλές περισσότερες θύρες που πρέπει να ελεγχθούν από το συνηθισμένο) και μπορεί να αποκαλύψει κακά δεδομένα ή να χάσει το σωστό πρωτόκολλο (6 για παράδειγμα, τα FTP και POP3 χρησιμοποιούν τον ίδιο τύπο ελέγχου ταυτότητας), καθιστά δυνατή την εύρεση και την παρακολούθηση ενδιαφέρων δεδομένων σε απροσδιόριστες θύρες. Χρησιμοποιήστε αυτήν τη λειτουργία με δική σας ευθύνη, μην εκπλαγείτε εάν κάτι πάει στραβά όταν είναι ενεργοποιημένη η λειτουργία eXtreme.
• "Μόνο λήψη"σημαίνει ότι η Intercepter θα πετάξει πακέτα μόνο σε ένα αρχείο dump χωρίς ανάλυση σε πραγματικό χρόνο. Αυτό είναι χρήσιμο για τη βελτίωση της απόδοσης όταν καταγράφετε πολλά δεδομένα δικτύου.
• Επιλογή Ανάστασησημαίνει τη συμπερίληψη της λειτουργίας Ανάστασης, η οποία ανακατασκευάζει αρχεία από τα δεδομένα που μεταδίδονται στη ροή δικτύου.
• Θύρες IM
• HTTP... Θύρες που σχετίζονται με HTTP, ανατρέξτε στην περιγραφή της επιλογής για λεπτομέρειες άκρο.
• ΚΑΛΤΣΕΣ
• IRC \\ BNC

Επιλογές επίθεσης Intercepter-NG Man-in-the-Middle (MiTM)

• Σε όλες τις επιθέσεις MiTM, το Intercepter χρησιμοποιεί spoofing (spoofing) διευθύνσεων ip \\ mac (επιλογή Spoof IP \\ MAC). Εάν χρησιμοποιείτε μια διεπαφή Wi-Fi, τότε πρέπει να αποεπιλέξετε αυτήν την επιλογή, καθώς το 99% των προγραμμάτων οδήγησης Wi-Fi δεν επιτρέπουν την αποστολή πακέτων με πλαστό mac. Παρόλο που αποκαλύπτετε την πραγματική σας διεύθυνση, είστε τουλάχιστον σε θέση να εκτελέσετε τυχόν επιθέσεις MiTM μέσω της διεπαφής Wi-Fi. Είναι καλύτερο από το τίποτα. Αντί να απενεργοποιήσετε την πλαστογράφηση στις ρυθμίσεις, χρησιμοποιήστε τη λειτουργία WIFI. Μπορείτε να αλλάξετε το mac που εμφανίζεται στη λειτουργία Expert.
• Δολοφόνος iOS προστέθηκε για το iCloud, καθώς και για το Instagram και το VK. Αυτή η λειτουργία (iOS Killer) μειώνει τις περιόδους λειτουργίας συγκεκριμένων εφαρμογών και επιτρέπει την παρακολούθηση της εκ νέου εξουσιοδότησης.
• Υποβάθμιση Kerberos
• HSTS πλαστογράφηση... Παράκαμψη HSTS κατά τη διεξαγωγή SSL Strip. Η τεχνική παράκαμψης είναι σχετικά απλή, αλλά στην εφαρμογή υπάρχουν ορισμένες δυσκολίες, οπότε δεν πρέπει να περιμένετε ειδικά αποτελέσματα. Ας δούμε ένα παράδειγμα στο Yandex Mail χρησιμοποιώντας το πρόγραμμα περιήγησης Chrome. Εάν μεταβείτε στο ya.ru, τότε στην επάνω δεξιά γωνία θα υπάρχει ένας σύνδεσμος https "Enter mail", τον οποίο το SSL Strip μπορεί εύκολα να χειριστεί. Στη συνέχεια, θα ανοίξει μια φόρμα εξουσιοδότησης, όπου τα δεδομένα μεταφέρονται στο passport.yandex.ru χρησιμοποιώντας τη μέθοδο POST. Ακόμη και με "απογύμνωση", η εξουσιοδότηση https θα γίνει μέσω SSL, από τότε Το hostport.yandex.ru βρίσκεται στη λίστα των προεγκατεστημένων χρωμίων. Προκειμένου να υποκλέψουμε τα δεδομένα, πρέπει να αντικαταστήσουμε το όνομα hostpport.yandex.ru με κάτι άλλο, έτσι ώστε το πρόγραμμα περιήγησης να μην εντοπίσει ότι αυτός ο πόρος πρέπει να επισκέπτεται αυστηρά μέσω ασφαλούς σύνδεσης. Για παράδειγμα, μπορείτε να αντικαταστήσετε το passport.yandex.ru με το paszport.yandex.ru, σε αυτήν την περίπτωση τα δεδομένα θα σταλούν σε καθαρό κείμενο στο αλλαγμένο όνομα τομέα. Αλλά από τότε δεν υπάρχει τέτοιος τομέας - paszport.yandex.ru, τότε απαιτείται επιπλέον να κάνετε DNS Spoofing, δηλαδή Κατά τη μετατροπή του paszport.yandex.ru, ο πελάτης θα πρέπει να λάβει ως απάντηση την αρχική διεύθυνση ip από το passport.yandex.ru.

Αυτή η διαδικασία είναι αυτοματοποιημένη και δεν απαιτεί πρόσθετη παρέμβαση χρήστη κατά τη διάρκεια μιας επίθεσης. Το μόνο πράγμα που απαιτείται είναι να κάνετε μια προκαταρκτική λίστα αντικαταστάσεων στο misc \\ hsts.txt... Από προεπιλογή, υπάρχουν πολλές καταχωρίσεις για yandex, gmail, facebook, yahoo. Είναι σημαντικό να καταλάβετε ότι αυτή η τεχνική παράκαμψης δεν θα σας επιτρέψει να παρακολουθήσετε τη συνεδρία ή την εξουσιοδότηση εάν ο χρήστης εισέλθει στο facebook.com στο πρόγραμμα περιήγησης, επειδή το πρόγραμμα περιήγησης θα ανοίξει αμέσως την ασφαλή έκδοση του ιστότοπου. Σε αυτήν την περίπτωση, η επίθεση είναι δυνατή μόνο εάν ο σύνδεσμος προς το facebook.com έχει ληφθεί από άλλο πόρο, για παράδειγμα, κατά την είσοδο στο facebook στο google.com. Τα κύρια προβλήματα στην εφαρμογή της επίθεσης περιλαμβάνουν την απρόβλεπτη λογική της λειτουργίας των ιστότοπων με τους υποτομείς τους και τις ιδιαιτερότητες του κώδικα ιστού, οι οποίες μπορούν να αναιρέσουν τυχόν απόπειρες παράκαμψης του HSTS. Αυτός είναι ο λόγος για τον οποίο δεν πρέπει να προσθέτετε ιστότοπους στη λίστα, ακόμη και οι τομείς που υπάρχουν στο Intercepter-NG έχουν τα δικά τους χαρακτηριστικά από προεπιλογή και δεν λειτουργούν πάντα σωστά. Δεν θέλω να φράξω πατερίτσες για κάθε πόρο, ίσως στο μέλλον να γίνουν κάποιες καθολικές βελτιώσεις, αλλά προς το παρόν, όπως λένε, όπως είναι. Μία ακόμη απόχρωση, στην τρέχουσα εφαρμογή για το DNS Spoofing "και είναι απαραίτητο ο διακομιστής DNS να μην βρίσκεται στο τοπικό δίκτυο, έτσι ώστε να είναι δυνατή η προβολή αιτημάτων dns στην πύλη και η απόκρισή τους ανάλογα με τις ανάγκες.

• Προώθηση IP... Ενεργοποιεί καθαρή λειτουργία προώθησης IP. Οι επιθέσεις MiTM δεν είναι διαθέσιμες σε αυτήν τη λειτουργία, αλλά σας επιτρέπει να ξεκινήσετε το arp etching σε καταστάσεις όπου δεν μπορείτε να χρησιμοποιήσετε Stealth IP. Αυτό είναι συνήθως απαραίτητο όταν η πύλη διαθέτει μια λίστα επιτρεπόμενων υπολογιστών στο δίκτυο, επομένως το NAT δεν μπορεί να λειτουργήσει σωστά.
• Δολοφόνος cookie - διαγράφει τα cookie, αναγκάζοντας έτσι τον χρήστη να εξουσιοδοτήσει εκ νέου - εισαγάγετε ένα όνομα χρήστη και έναν κωδικό πρόσβασης, ώστε ένας εισβολέας να μπορεί να τα υποκλέψει. Η λειτουργία Cookie Killer λειτουργεί επίσης για συνδέσεις SSL. Υπάρχουν μαύρο ( misc \\ ssl_bl.txt) και στη λίστα επιτρεπόμενων ( misc \\ ssl_wl.txt). Μπορούν να χρησιμοποιηθούν για τον αποκλεισμό ή τον αυστηρό προσδιορισμό διευθύνσεων IP ή τομέων στους οποίους το SSL MiTM πρέπει ή δεν πρέπει να εφαρμοστεί. Όταν καθορίζετε επιπλέον θύρα SSL, δεν χρειάζεται να καθορίσετε τον τύπο ανάγνωσης \\ εγγραφής, αρκεί να καθορίσετε τον αριθμό θύρας. Όλη η κυκλοφορία είναι γραμμένη σε ssl_log.txt.
• Απομακρυσμένη λήψη (RPCAP). Το Libpcap καθιστά δυνατή την αποστολή δεδομένων δικτύου από έναν κεντρικό υπολογιστή στον άλλο μέσω του δικού του πρωτοκόλλου, που ονομάζεται RPCAP. Εκείνοι. μπορείτε να εμφανίσετε το δαίμονα rpcap στην πύλη σας και να δείτε όλη την κίνηση που περνάει από αυτόν. Αφού ξεκινήσετε το δαίμονα, μπορείτε να ξεκινήσετε τη λήψη απομακρυσμένης κίνησης χρησιμοποιώντας το Intercepter. Εισαγάγετε το όνομα κεντρικού υπολογιστή ή την IP του δαίμονα στο παρεχόμενο πεδίο και, στη συνέχεια, επιλέξτε τον προσαρμογέα από τη λίστα. Στη συνέχεια, πρέπει να ορίσετε το φίλτρο "not host IP", αντικαθιστώντας το "IP" με μια έγκυρη διεύθυνση IP που έχει εκχωρηθεί στην κάρτα ethernet σας (αυτό είναι απαραίτητο για να αγνοήσετε την κίνηση rpcap μεταξύ εσάς και του δαίμονα).
• PCAP μέσω IP

Αυτή η δυνατότητα σχετίζεται με απομακρυσμένη καταγραφή κυκλοφορίας και αποτελεί εξαιρετική αντικατάσταση της παλιάς και προβληματικής υπηρεσίας rpcapd. Το όνομα μιλάει από μόνο του. Σχεδόν οποιοδήποτε Unix έχει πάντα μια δέσμη tcpdump και netcat, με τα οποία μπορείτε να καταγράψετε την κυκλοφορία σε έναν απομακρυσμένο υπολογιστή λήψης. Σε αυτήν την περίπτωση, το Intercepter μπορεί να ανοίξει τη θύρα ενώ περιμένει μια ροή δεδομένων σε μορφή libpcap και να την αναλύσει σε πραγματικό χρόνο.

Δεν υπάρχει θεμελιώδης διαφορά στην πηγή επισκεψιμότητας, επομένως, εκτός από το tcpdump, μπορείτε να χρησιμοποιήσετε το βοηθητικό πρόγραμμα γάτας για να διαβάσετε ένα υπάρχον αρχείο καταγραφής .pcap με τον ίδιο τρόπο.

Ακολουθούν ορισμένα παραδείγματα χρήσης, από προεπιλογή η Intercepter ακούει στη θύρα 2002:

Tcpdump -i face -w - | nc IP 2002

εάν σκοπεύετε να μεταδώσετε κίνηση μέσω της ίδιας διεπαφής από την οποία πραγματοποιείται η καταγραφή, τότε πρέπει να προσθέσετε έναν κανόνα φιλτραρίσματος που αποκλείει την κυκλοφορία υπηρεσιών μεταξύ του διακομιστή και του Intercepter:

Tcpdump -i face -w - όχι θύρα 2002 | nc IP 2002 cat log.pcap | nc IP 2002 dumpcap -i face -P -w - | nc IP 2002

Αυτό είναι ένα ανάλογο του tcpdump "και περιλαμβάνεται στη σημαία -Π υποδεικνύει ότι τα πακέτα πρέπει να αποθηκευτούν στην τυπική μορφή libpcap και όχι στο νέο pcapng.

Εναλακτικός τρόπος προώθησης πακέτων χωρίς βοήθεια από το netcat:

Tcpdump\u003e / dev / tcp / ip / θύρα

Το WPAD σημαίνει "Πρωτόκολλο αυτόματης ανακάλυψης WebProxy" που αντιστοιχεί στη δυνατότητα "Αυτόματη ανίχνευση ρυθμίσεων" στα σύγχρονα προγράμματα περιήγησης. Αυτή η δυνατότητα επιτρέπει στο πρόγραμμα περιήγησης να λαμβάνει την τρέχουσα διαμόρφωση διακομιστή μεσολάβησης χωρίς παρέμβαση του χρήστη. Αυτή είναι μια απειλή ακόμη και σήμερα και ένας εισβολέας μπορεί εύκολα να διαμορφώσει έναν κακόβουλο διακομιστή ώστε να παρακολουθεί την κυκλοφορία ιστού. Η κατάσταση επιδεινώνεται από το γεγονός ότι ο Internet Explorer (και το Chrome) υποστηρίζει αυτή τη δυνατότητα από προεπιλογή.

Συνήθως το WPAD δεν έχει ρυθμιστεί στο δίκτυο, επομένως η συνήθης συμπεριφορά για τα προγράμματα περιήγησης είναι η αποστολή ερωτημάτων NetBios για το όνομα "WPAD" (παρακάμπτοντας τις μεθόδους DHCP και DNS). Εάν δεν ληφθεί απάντηση, το πρόγραμμα περιήγησης χρησιμοποιεί απλώς μια απευθείας σύνδεση. Εάν όμως ληφθεί μια απάντηση, το πρόγραμμα περιήγησης προσπαθεί να πραγματοποιήσει λήψη του αρχείου διαμόρφωσης από το http: /ip_of_wpad_host/wpad.dat.

Η Intercepter-NG θα ανταποκριθεί σε κάθε αίτημα και θα ζητήσει από τους πελάτες να χρησιμοποιήσουν τη δική τους διαμόρφωση έτσι ώστε να μπορεί να μυρίζει την κίνηση μέσω του διακομιστή μεσολάβησης. Μπορείτε να προσαρμόσετε τη δική σας διαμόρφωση για οποιονδήποτε άλλο διακομιστή μεσολάβησης στο δίκτυο ή απλά να επιλέξετε τον ενσωματωμένο διακομιστή μεσολάβησης. Ο ενσωματωμένος διακομιστής μεσολάβησης επιτρέπει τη χρήση της δυνατότητας έγχυσης HTTP.

Επιλογές λειτουργίας εμπειρογνωμόνων Intercepter-NG

• Χρονικό όριο SSL Strip (δευτερόλεπτα) - Χρονικό όριο σε δευτερόλεπτα SSL Strip
• ARP Poison κάθε (δευτερόλεπτα) - Κάνετε χάραξη ARP κάθε ... δευτερόλεπτα
• Λήξη χρόνου σάρωσης ARP (δευτερόλεπτα) - Λήξη χρονικού ορίου σάρωσης ARP
• DNS Cache TTL (δευτερόλεπτα) - Διάρκεια προσωρινής μνήμης DNS
• Πλαστογράφηση MAC - Διεύθυνση MAC στην οποία θα αντικατασταθεί η διεύθυνση του εισβολέα
• MySQL LOAD DATA Injection
• LDAP Relay DN: DC \u003d xxx, DC \u003d xxx
• Διακοπή περιορισμού στο αίτημα NBNS
• Απόρριψη σύνδεσης SSH μετά την έγκριση - Επαναφέρετε τη σύνδεση SSH μετά την εξουσιοδότηση
• SMB Hijack -\u003e Ρελέ SMB
• Αυτόματο ARP Poison - Στην αυτόματη λειτουργία αρκεί να προσθέσετε μόνο 1 κεντρικό υπολογιστή στη λίστα στόχων και το Intercepter θα σαρώσει το ίδιο το δίκτυο σε ένα συγκεκριμένο διάστημα και θα προσθέσει αυτόματα νέους στόχους.
• Επαναφορά πίνακα ARP- Επαναφέρετε τον πίνακα ARP
• Προσαρμοσμένο ωφέλιμο φορτίο για SMB Hijack (μέγιστο 64kb)
• Προσαρμοσμένο ωφέλιμο φορτίο για GP Hijack
• Εκτελέστε το Shell- Τρέξτε το κέλυφος
• Εκτελέστε το HTTP NTLM Grabber

Τύποι σάρωσης

Η σάρωση είναι το πρώτο στάδιο, δηλαδή, πολλές επιθέσεις MiTM ξεκινούν από αυτό. Για να εμφανίσετε το μενού σάρωσης, μεταβείτε στο Λειτουργία MiTM και κάντε δεξί κλικ στον πίνακα.

• Έξυπνη σάρωση: Συνδυάζει σάρωση ARP και ανακάλυψη πύλης. Στις συνήθεις πληροφορίες σχετικά με τις διευθύνσεις IP και MAC, τον κατασκευαστή της κάρτας δικτύου και το λειτουργικό σύστημα, εμφανίζεται το όνομα του υπολογιστή. Για την ίδια χρονική περίοδο, μπορείτε πλέον να μάθετε επιπλέον το όνομα Netbios ή το όνομα της συσκευής που εκτελεί iOS. Για την επίλυση του τελευταίου, χρησιμοποιείται το πρωτόκολλο MDNS, βάσει του οποίου λειτουργεί το πρωτόκολλο Bonjour της Apple. Όλα τα λαμβανόμενα ονόματα αποθηκεύονται τώρα σε ένα αρχείο προσωρινής αποθήκευσης και εάν κατά τη διάρκεια μεταγενέστερων σαρώσεων για κάποιο λόγο οι πληροφορίες σχετικά με το όνομα κεντρικού υπολογιστή δεν αποκτήθηκαν δυναμικά, θα ληφθούν από Επιπλέον, αυτή η σάρωση εμφανίζει Stealth IP και ορίζει αυτόματα την πύλη IP (αν εντοπιστεί) και Stealth IP στα κατάλληλα πεδία στην καρτέλα MiTM. Η ανίχνευση λειτουργικού συστήματος πραγματοποιείται επίσης με βάση τις τιμές TTL.
• Σάρωση ARP (Σάρωση ARP): απλώς ελέγχει το υποδίκτυο C-class που έχει αντιστοιχιστεί στον επιλεγμένο προσαρμογέα ethernet. Για παράδειγμα, εάν η IP σας είναι 192.168.0.10, τότε θα ελεγχθούν 255 διευθύνσεις IP στην περιοχή 192.168.0.1-255. Από την έκδοση 0.9.5, το πρόγραμμα ελέγχει το netmask για τη σωστή σάρωση όλων των υποδικτύων.
• Ανακάλυψη DHCP (DHCP Discovery): Στέλνει εκπομπές DHCP-Discovery και περιμένει απαντήσεις από διακομιστές DHCP. Εάν κάποιοι διακομιστές αποκρίνονται, προσθέστε τους στη λίστα.
• Ανίχνευση Promisc (ευδιάκριτη ανακάλυψη καρτών δικτύου): Στέλνει ειδικά αιτήματα ARP στο δίκτυο. Οι οικοδεσπότες που ανταποκρίνονται είναι προφανώς sniffers. Ορισμένες κάρτες ethernet (3COM) μπορεί επίσης να ανταποκριθούν, δηλαδή είναι πιθανά ψευδώς θετικά
• Ανακαλύψτε την πύλη (πύλη ανακάλυψης): στέλνει ένα πακέτο SYN μέσω όλων των κεντρικών υπολογιστών στο δίκτυο, εάν υπάρχει πύλη, θα αποσταλεί μια απάντηση.

Τεχνικές επίθεσης Intercepter-NG Man-in-the-Middle (MiTM)

Πατώντας το κουμπί Ρύθμιση παραμέτρων MiTM Ανοίγει το παράθυρο διαλόγου (καπέλο με μάτι) MiTM επιθέσεις:

Περιέχει μια λίστα υποστηριζόμενων τεχνικών.

SSL MiTM

Αυτή είναι μια παλιά κλασική τεχνική πλαστογράφησης πιστοποιητικών. Σας επιτρέπει να παρακολουθείτε δεδομένα οποιουδήποτε πρωτοκόλλου που προστατεύεται από SSL. Υποστηρίζεται ως στάνταρ: HTTPS, POP3S, SMTPS, IMAPS. Οποιαδήποτε επιπλέον θύρα μπορεί να καθοριστεί προαιρετικά.

Κατά την αναχαίτιση του HTTPS, δημιουργούνται πιστοποιητικά «εν κινήσει», αντιγράφοντας τις αρχικές πληροφορίες από τον πόρο που ζητήθηκε. Για όλες τις άλλες περιπτώσεις, χρησιμοποιείται ένα στατικό πιστοποιητικό.

Φυσικά, όταν χρησιμοποιείτε αυτήν τη λειτουργικότητα, οι προειδοποιήσεις από το πρόγραμμα περιήγησης και άλλο λογισμικό πελάτη είναι αναπόφευκτες.

Η νέα έκδοση έχει ξαναγράψει πλήρως τον κωδικό για το SSL MiTM. Τώρα είναι γρήγορο και σταθερό. Ο αλγόριθμος για τη δημιουργία πιστοποιητικών έχει επίσης αλλάξει, προστίθενται επιπλέον εγγραφές dns και όλα τα πιστοποιητικά υπογράφονται με ένα μόνο κλειδί ( διακομιστής misc \\). Αυτό σημαίνει ότι προσθέτοντας αυτό το αυτο-υπογεγραμμένο πιστοποιητικό στη λίστα των αξιόπιστων στον υπολογιστή προορισμού, θα είναι δυνατή η ακρόαση της κίνησης SSL σε οποιονδήποτε πόρο (όπου δεν υπάρχει καρφίτσωμα SSL). Λειτουργία Δολοφόνος cookie τώρα λειτουργεί και για συνδέσεις SSL. Μαύρο εμφανίστηκε ( misc \\ ssl_bl.txt) και στη λίστα επιτρεπόμενων ( misc \\ ssl_wl.txt). Μπορούν να χρησιμοποιηθούν για τον αποκλεισμό ή τον αυστηρό προσδιορισμό διευθύνσεων IP ή τομέων στους οποίους το SSL MiTM πρέπει ή δεν πρέπει να εφαρμοστεί. Όταν καθορίζετε επιπλέον θύρα ssl, δεν είναι πλέον απαραίτητο να καθορίσετε τον τύπο ανάγνωσης \\ εγγραφής, αρκεί να καθορίσετε τον αριθμό θύρας. Όλη η κυκλοφορία γράφεται στο ssl_log.txt.

Λωρίδα SSL

Το SSL Strip είναι μια σιωπηλή τεχνική για την παρακολούθηση των συνδέσεων HTTPS. Για μεγάλο χρονικό διάστημα, η έκδοση εργασίας υπήρχε μόνο υπό unix, τώρα παρόμοιες ενέργειες μπορούν να πραγματοποιηθούν στο περιβάλλον NT. Η κατώτατη γραμμή είναι η ακόλουθη: ο εισβολέας είναι "στη μέση", η κίνηση HTTP αναλύεται, όλοι οι σύνδεσμοι https: // αναγνωρίζονται και αντικαθίστανται με http: // Έτσι, ο πελάτης συνεχίζει να επικοινωνεί με τον διακομιστή σε ανασφαλή λειτουργία. Όλα τα αιτήματα για αντικατασταμένους συνδέσμους παρακολουθούνται και τα δεδομένα παραδίδονται από τις αρχικές πηγές https ως απάντηση.

Επειδή δεν αντικαθίστανται πιστοποιητικά και δεν υπάρχουν προειδοποιήσεις. Για να προσομοιώσετε μια ασφαλή σύνδεση, το εικονίδιο favicon αντικαθίσταται.

DNC<> ICMP

Πρόκειται για μια εντελώς νέα τεχνική, που αναφέρθηκε προηγουμένως ή δεν έχει εφαρμοστεί. Βασίζεται στο ίδιο παλιό ICMP Redirect MiTM, αλλά ανοίγει έναν νέο τρόπο εισπνοής δεδομένων. Το πρώτο βήμα αυτής της επίθεσης είναι παρόμοιο με την κλασική ανακατεύθυνση ICMP, με μία σημαντική διαφορά.

Ο λεγόμενος "νέος δίσκος" είναι ο διακομιστής DNS του θύματος. Θα πάρουμε τον έλεγχο όλων των αιτημάτων DNS και θα κάνουμε κάποια μαγεία πριν το θύμα λάβει τις απαντήσεις.

Όταν επιλύουμε (επίλυση) somehost.com, το DNS μας στέλνει μια απάντηση που περιέχει μία ή περισσότερες απαντήσεις από το IP somehost.com. Επιπλέον, μπορεί να περιέχει "πρόσθετες" απαντήσεις και θα τις φροντίσουμε επίσης. Αφού ολοκληρώσει το πρώτο μέρος της επίθεσης, το θύμα αρχίζει να στέλνει όλα τα αιτήματα DNS μέσω του κεντρικού υπολογιστή του εισβολέα (NAT). Όταν το NAT λαμβάνει μια απάντηση από το DNS, διαβάζει όλες τις IP και έπειτα στέλνει ICMP μηνύματα ανακατεύθυνσης με την επίλυση IP στο θύμα.

Έτσι, τη στιγμή που ο NAT στέλνει μια απάντηση DNS στο θύμα, ο πίνακας δρομολόγησης έχει ήδη καταχωρήσεις για όλες τις μεταφρασμένες διευθύνσεις που οδηγούν στον κεντρικό υπολογιστή μας!

Αυτό σημαίνει ότι δεν μυρίζουμε μόνο το DNS του θύματος, αλλά όλα όσα έχουν μεταμορφωθεί. Όλη η κίνηση θα πλαστογραφείται μέσω ψεύτικου IP / MAC.

Αυτό το μέρος της επίθεσης γίνεται από την πλευρά NAT, για αυτόν τον λόγο πρέπει να το ρυθμίσετε σωστά.

Επιλέξτε το πλαίσιο ελέγχου "DNS over ICMP" και συμπληρώστε:

• Το IP του δρομολογητή είναι το IP της προεπιλεγμένης πύλης που χρησιμοποιείται από το θύμα.
• Το IP του πελάτη είναι το IP του θύματος. Μπορείτε να προσθέσετε πολλούς στόχους, αλλά θυμηθείτε να ξεκινήσετε στέλνοντας ένα πακέτο ανακατεύθυνσης ICMP από το Intercepter σε κάθε στόχο.

Αφού προσθέσετε πελάτες, πρέπει να βάλετε ένα δωρεάν / αχρησιμοποίητο IP στο πεδίο "New Gateway" και στο "Stealth IP".

Επιλέξτε έναν προσαρμογέα, θα πρέπει να είναι οι ίδιοι καθώς πρόκειται να δρομολογήσουμε κίνηση στην ίδια περιοχή ethernet.

Ξεκινήστε το NAT.

Όλες οι αποκρίσεις DNS αποθηκεύονται σε μια ειδική λίστα και το NAT τακτικά (σύμφωνα με το χρόνο που έχει οριστεί στις ρυθμίσεις) στέλνει ξανά τις ανακατευθύνσεις ICMP

Στο τέλος, πρέπει να κάνετε μια ακόμη δράση. Δεν μπορείτε να «απολυμάνετε» τον πίνακα δρομολόγησης του θύματος (όπως με τη δηλητηρίαση από το ARP), οπότε πρέπει να καταργήσετε την επιλογή «DNS ↔ ICMP» για να αποτρέψετε την αποστολή των ανακατευθύνσεων ICMP και να περιμένετε περίπου 10-15 λεπτά. Μετά από αυτό, δεν θα προστεθούν νέες καταχωρήσεις, αλλά οι παλιές θα λειτουργήσουν καλά μέσω του NAT μέχρι να λήξουν.

WPAD MiTM

Δείτε την περιγραφή επιλογής για λεπτομέρειες Διαμόρφωση WPAD (PROXY: PORT).

SMB Hijack

SSH MiTM

Μπορείτε να παρακολουθήσετε δεδομένα ελέγχου ταυτότητας SSH (όνομα χρήστη / κωδικό πρόσβασης) και να δείτε όλες τις εντολές που περνούν κατά τη διάρκεια της απομακρυσμένης περιόδου λειτουργίας. Υποστηρίζονται 2 μηχανισμοί ελέγχου ταυτότητας: με κωδικό πρόσβασης και διαδραστικό. Για να εισπνεύσουμε τα δεδομένα του θύματος, πρέπει να ενεργήσουμε σαν ένα πραγματικό sshd και παρέχουμε τα δικά μας κλειδιά rsa / dsa. Εάν το αρχικό κλειδί κεντρικού υπολογιστή αποθηκευτεί προσωρινά από το θύμα, τότε θα εμφανιστεί ένα προειδοποιητικό μήνυμα, εάν δεν αποθηκευτεί στην κρυφή μνήμη, τότε δεν θα υπάρχουν σημάδια επίθεσης από την πλευρά του πελάτη.

Όταν το θύμα είναι συνδεδεμένο, μπορεί να λειτουργήσει ως συνήθως, να εκτελεί εντολές και ψευδο-γραφικά προγράμματα, όπως ο διοικητής των μεσάνυχτων. Το Intercepter αναχαιτίζει τα αιτήματα WINDOW_CHANGE, επομένως, εάν το θύμα αποφασίσει να αλλάξει το μέγεθος του παραθύρου, όλα θα ξανασχεδιαστούν σωστά σύμφωνα με το νέο μέγεθος παραθύρου.

Το πρόγραμμα λειτουργεί με απομακρυσμένη περίοδο λειτουργίας, αλλά δεν λειτουργεί με SFTP. Εάν το θύμα εκκινήσει έναν πελάτη SFTP, τα δεδομένα ελέγχου ταυτότητας θα υποκλαπούν, αλλά στη συνέχεια η σύνδεση θα πέσει και θα επισημανθεί. Στη συνέχεια, όταν το θύμα προσπαθεί να επανασυνδεθεί, θα έχει πρόσβαση στον αρχικό διακομιστή ssh εκτός από το ψεύτικο sshd.

Πρέπει να αναφερθεί ότι ο εισβολέας συνδέεται στον απομακρυσμένο διακομιστή και αφήνει τη διεύθυνση IP του στα αρχεία καταγραφής. Σε λειτουργία ειδικού, μπορείτε να επιλέξετε την απόρριψη της σύνδεσης ssh αφού λάβετε τα διαπιστευτήρια του θύματος. Η σύνδεση θα επισημανθεί και στην επόμενη προσπάθεια το πρόγραμμα θα επιτρέψει την πρόσβαση στον αρχικό διακομιστή.

GP Hijack

Πρόσθετες δυνατότητες για επιθέσεις Man-in-the-Middle (MiTM) στο Intercepter-NG

Τα κουμπιά για τη χρήση αυτών των λειτουργιών βρίσκονται επίσης στην ενότητα Επιλογές MiTM (κύβοι, σύμβολο JDownloader, σύριγγα, ασπίδα και ανεξάρτητο σύμβολο κινδύνου ακτινοβολίας):

Traffic Changer (αλλαγή δεδομένων κειμένου στη ροή κυκλοφορίας δικτύου)

Μόνο δεδομένα ίσου μεγέθους μπορούν να αντικατασταθούν χωρίς αλλαγή του μήκους του πακέτου. Ας υποθέσουμε ότι το πρόγραμμα περιήγησης ανοίγει το site.com/file.txt, το οποίο περιέχει τη συμβολοσειρά "12345". Σε απάντηση σε αίτημα GET, ο διακομιστής θα επιστρέψει μια κεφαλίδα HTTP, η οποία θα υποδεικνύει το μήκος των μεταδιδόμενων δεδομένων - Μήκος περιεχομένου: 5. Τι θα συμβεί αν αντικαταστήσουμε το "12345" με το "12356"; Το πρόγραμμα περιήγησης κατεβάζει μόνο 5 byte, απορρίπτοντας το πρόσθετο "6" και αν μειώσουμε το μέγεθος των δεδομένων αντικαθιστώντας το "12345" με το "1234", το πρόγραμμα περιήγησης θα λάβει μόνο 4 byte και θα περιμένει άλλο 1 byte από το διακομιστή έως ότου διακοπεί η σύνδεση κατά τέλος χρόνου. Γι 'αυτό γίνεται αυτός ο περιορισμός μεγέθους. Μπορείτε να αλλάξετε δεδομένα κειμένου και δυαδικό, η σύνταξη για δυαδικά μοτίβα όπως στο C είναι "\\ x01 \\ x02 \\ x03".

Εάν απαιτείται αντικατάσταση στην κυκλοφορία HTTP, τότε η επιλογή "Απενεργοποίηση κωδικοποίησης HTTP gzip" πρέπει να είναι ενεργοποιημένη στις ρυθμίσεις.

Πλαστογράφηση

Το Spoofing σάς επιτρέπει να ανακατευθύνετε τους κεντρικούς υπολογιστές σε μια δεδομένη IP. Υποστηρίζονται πρωτόκολλα DNS, NBNS, LLMNR.

Με το DNS μπορείτε να καθορίσετε μια μάσκα για την ανακατεύθυνση όλων των υποτομέων επίσης. Συνήθως ορίζονται ζεύγη domain.com:IP, αλλά οι υποτομείς δεν θα πλαστογραφούνται. Για ανακατεύθυνση όλων, προσθέστε * (αστερίσκος) πριν από το όνομα τομέα: * host.com

Αναγκαστική λήψη και JS Inject

Και οι δύο καινοτομίες σχετίζονται με τη λειτουργία έγχυσης HTTP. Στα ρωσικά, η αναγκαστική λήψη μπορεί να μεταφραστεί ως "αναγκαστική λήψη", διότι αυτό ακριβώς συμβαίνει στην πλευρά του στόχου κατά τη διάρκεια της περιήγησης στο διαδίκτυο. Κατά την είσοδο στον ιστότοπο, προτείνεται η λήψη του αρχείου που καθορίζεται από τον εισβολέα, ανάλογα με τις ρυθμίσεις του προγράμματος περιήγησης, μπορεί να ληφθεί από μόνο του και ο χρήστης θα επιλέξει ήδη εάν θα το ξεκινήσει ή όχι.

Όπως καταλαβαίνετε, μπορείτε επίσης να προσθέσετε ένα αρχείο .exe με αυθαίρετο περιεχόμενο στην αναγκαστική λήψη και η πηγή αυτού του αρχείου θα είναι ο ιστότοπος στον οποίο επισκέπτεται ο χρήστης. Γνωρίζοντας ότι ο στόχος πρόκειται να ανοίξει το adobe.com, μπορείτε να εκδώσετε το flashplayer.exe και το adobe.com ή ένας από τους υποτομείς του θα αναφέρεται ως η πηγή αυτού του αρχείου.

Μετά από μια εφάπαξ διανομή, η εξαναγκασμός απενεργοποιείται. Για να κάνετε ξανά ένεση, πρέπει να πατήσετε ξανά το αντίστοιχο πλαίσιο ελέγχου.

Το JS Inject δεν υπάρχει ρητά μεταξύ των στοιχείων ελέγχου, καθώς στην πραγματικότητα, αυτή είναι η πιο κοινή χρήση του http, αλλά με μία διαφορά. Όταν αντικαθιστάτε ένα αρχείο με ένα άλλο, για παράδειγμα, το photos.jpg για ένα δεδομένο, είναι η αντικατάσταση ενός περιεχομένου με ένα άλλο που συμβαίνει. Η αντικατάσταση του σεναρίου .js με μεγάλη πιθανότητα μπορεί να διαταράξει τη λειτουργία του πόρου, επομένως στη νέα έκδοση του js inject δεν αντικαθιστά ένα σενάριο με άλλο, αλλά το προσθέτει στο υπάρχον, προσθέτοντας τη δυνατότητα έγχυσης πρόσθετου κώδικα χωρίς να επηρεάζει τον αρχικό.

Η λειτουργία FATE συνδυάζει δύο νέες λειτουργίες: FAke siTE και FAke updaTE.

Ο βασικός στόχος του FAke siTE είναι η απόκτηση δεδομένων εξουσιοδότησης από οποιονδήποτε πόρο ιστού, παρακάμπτοντας το SSL και άλλους μηχανισμούς ασφαλείας. Αυτό επιτυγχάνεται με την κλωνοποίηση της σελίδας εξουσιοδότησης και τη δημιουργία ενός προτύπου που θα τοποθετηθεί στον ενσωματωμένο διακομιστή ψευδο-ιστού. Από προεπιλογή, ο αναχαιτιστής περιλαμβάνει ένα πρότυπο για το accounts.google.com Η αρχική σελίδα απαιτεί να συμπληρώσετε ένα προς ένα το πεδίο με τα στοιχεία σύνδεσης και μετά με τον κωδικό πρόσβασης. Αυτό το πρότυπο έχει τροποποιηθεί ελαφρώς για να κάνει τα δύο πεδία ενεργά ταυτόχρονα. Πριν από την επίθεση, πρέπει να καθορίσετε τον τομέα στον οποίο θα φιλοξενηθεί το πρότυπο. Μετά την έναρξη της επίθεσης, μια ανακατεύθυνση στον επιλεγμένο τομέα εισάγεται στην κίνηση του στόχου και, στη συνέχεια, ο αναχαιτιστής θα εκτελεί αυτόματα πλαστογράφηση DNS στις απαιτούμενες διευθύνσεις. Ως αποτέλεσμα, η επιλεγμένη σελίδα εξουσιοδότησης θα ανοίξει στο πρόγραμμα περιήγησης.

Λειτουργικότητα FAke updaTE (ψεύτικες ενημερώσεις) σημαίνει την εμφάνιση μηνυμάτων σχετικά με το λογισμικό που είναι εγκατεστημένο στο «θύμα» και τη λήψη ενός δήθεν ενημερωμένου αρχείου, το οποίο πρόσθεσε ωφέλιμο φορτίο. Η λίστα του υποστηριζόμενου λογισμικού είναι πολύ περιορισμένη. Εάν θέλετε, μπορείτε να προσθέσετε τα δικά σας πρότυπα, η δομή τους μπορεί να βρεθεί σε misc \\ FATE \\ ενημερώσεις.

ARP Poison (ARP χαρακτική)

Είναι μέρος της κλασικής επίθεσης man-in-the-middle. Αυτή η επίθεση ξεκινά με σάρωση κεντρικών υπολογιστών. Όταν εντοπίζονται κεντρικοί υπολογιστές και ορισμένοι από αυτούς επιλέγονται ως στόχοι, ξεκινά η δηλητηρίαση από το ARP, με αποτέλεσμα οι επιτιθέμενοι οικοδεσπότες να αρχίζουν να προωθούν την κυκλοφορία τους όχι στην πύλη, αλλά στον εισβολέα. Ο εισβολέας εξετάζει (μυρίζει) αυτήν την κίνηση, εκτελεί άλλους χειρισμούς και την αποστέλλει στον διακομιστή προορισμού. Ο διακομιστής προορισμού ανταποκρίνεται στον εισβολέα (ως πηγή του αιτήματος), αυτή η κίνηση εισέρχεται επίσης, τροποποιείται και αποστέλλεται στο θύμα. Ως αποτέλεσμα, δεν συμβαίνουν σημαντικές αλλαγές για το θύμα - φαίνεται να ανταλλάσσει δεδομένα με έναν απομακρυσμένο διακομιστή.

Πρόσθετες δυνατότητες Intercepter-NG

Τα κουμπιά για την εκκίνηση πρόσθετων λειτουργιών βρίσκονται σε ξεχωριστή ενότητα της δεξιάς στήλης στο παράθυρο προγράμματος:

Το Intercepter-NG έχει το δικό του σαρωτή δικτύου, το οποίο αντικατέστησε τον πρωτόγονο σαρωτή θύρας από προηγούμενες εκδόσεις. Οι κύριες λειτουργίες του:

1. Σάρωση ανοιχτών θυρών και ανίχνευση ευρετικά τα ακόλουθα πρωτόκολλα: SSH, Telnet, HTTP \\ Proxy, Socks4 \\ 5, VNC, RDP.
2. Εντοπίστε SSL σε ανοιχτή θύρα, διαβάστε πανό και διάφορες κεφαλίδες ιστού.
3. Εάν βρεθεί ένας διακομιστής μεσολάβησης ή soks, ελέγξτε το άνοιγμα τους προς τα έξω.
4. Ελέγξτε την πρόσβαση χωρίς κωδικό πρόσβασης σε διακομιστές VNC, ελέγξτε το SSL για το HeartBleed. Διαβάστε το version.bind από το DNS.
5. Ελέγξτε τη βάση δεδομένων για την παρουσία σεναρίων στον διακομιστή ιστού, πιθανώς ευάλωτα στο ShellShock. Ελέγξτε τη λίστα καταλόγων και αρχείων για 200 OK στη βάση δεδομένων, καθώς και τη λίστα καταλόγων από το robots.txt.
6. Προσδιορίστε την έκδοση λειτουργικού συστήματος μέσω SMB. Εάν έχετε ανώνυμη πρόσβαση, λάβετε τοπική ώρα, χρόνο λειτουργίας, λίστα κοινόχρηστων πόρων και τοπικούς χρήστες. Για χρήστες που βρέθηκαν, ξεκινά μια αυτόματη επίθεση brute-force.
7. Προσδιορίστε από την ενσωματωμένη λίστα χρηστών SSH μετρώντας τον χρόνο απόκρισης. Για χρήστες που βρέθηκαν, ξεκινά μια αυτόματη επίθεση brute-force. Εάν η απαρίθμηση δεν λειτουργεί (δεν λειτουργεί σε όλες τις εκδόσεις), η απαρίθμηση ξεκινά μόνο για root.
8. Αυτόματη brute-force για HTTP Basic και Telnet. Λαμβάνοντας υπόψη τις ιδιαιτερότητες του πρωτοκόλλου telnet, είναι πιθανά ψευδώς θετικά.

Οποιοσδήποτε στόχος μπορεί να σαρωθεί, τόσο στο τοπικό δίκτυο όσο και στο Διαδίκτυο. Μπορείτε να καθορίσετε μια λίστα θυρών για σάρωση: 192.168.1.1:80.443 ή το εύρος 192.168.1.1.1100-200. Μπορείτε να καθορίσετε το εύρος διευθύνσεων για τη σάρωση: 192.168.1.1-192.168.3.255.

Για πιο ακριβές αποτέλεσμα, μόνο 3 κεντρικοί υπολογιστές μπορούν να σαρωθούν κάθε φορά. Κυριολεκτικά την τελευταία στιγμή, προστέθηκαν έλεγχοι για δεδομένα από πιστοποιητικά SSL, για παράδειγμα, εάν συναντηθεί η λέξη Ubiquiti και η θύρα 22 είναι ανοιχτή, τότε το SSH brute-force του χρήστη ubnt ξεκινά αυτόματα. Ditto για ένα ζευγάρι σιδήρου Zyxel με τον διαχειριστή χρήστη. Για την πρώτη κυκλοφορία του σαρωτή, η λειτουργικότητα είναι επαρκής και είναι καλά εντοπισμένη.

Heartbleed εκμετάλλευση

Δοκιμάζει εάν ο στόχος είναι ευάλωτος στο HeartBleed. Εάν ο στόχος είναι ευάλωτος, τότε εκμεταλλεύεται αυτήν την ευπάθεια - λαμβάνει μέρος των περιεχομένων της μνήμης RAM του απομακρυσμένου κεντρικού υπολογιστή.

Λειτουργία Bruteforce

Η επίθεση Brute Force (brute force, brute force) υποστηρίζεται για τα ακόλουθα πρωτόκολλα δικτύου:

• POP3 TLS
• SMTP TLS
• Βασικό HTTP
• Δημοσίευση HTTP
• TELNET
• VMWARE

Μπορείτε να ορίσετε τον αριθμό των νημάτων στα οποία θα ελεγχθούν τα διαπιστευτήρια.

Όταν προκύψει χρονικό όριο, το ενεργό νήμα επανεκκινείται από το ίδιο μέρος και η διαδικασία επανάληψης συνεχίζεται.

Υπάρχει Ενιαία λειτουργία, που υποδηλώνει ότι κάθε νέο ζεύγος σύνδεσης: ο κωδικός πρόσβασης πρέπει να ελέγχεται με τη δημιουργία μιας νέας σύνδεσης, για ορισμένα πρωτόκολλα που επιτρέπει την αύξηση της ταχύτητας εργασίας Το αρχείο καταγραφής εργασίας αποθηκεύεται στο brute.txt.

Λειτουργίες ARP

Εκτός από το ARP Etching και το ARP Scanning, υπάρχουν πολλές άλλες λειτουργίες που σχετίζονται με το ARP. Δύο από αυτά τοποθετούνται σε ξεχωριστά κουμπιά της δεξιάς στήλης στο παράθυρο προγράμματος:

• Ρολόι ARP: Ενσωματωμένη προσωπική υπηρεσία παρακολούθησης ARP. Θα πρέπει να ξεκινήσετε εκτελώντας μια σάρωση ARP για να συμπληρώσετε τη λίστα αξιόπιστων (καθαρών) διευθύνσεων MAC. Αν κάποιος προσπαθήσει να δηλητηριάσει την προσωρινή μνήμη arp, θα εμφανιστεί ένα προειδοποιητικό μήνυμα.
• ARP Cage: Απομόνωση της διεύθυνσης IP προορισμού από άλλους τοπικούς κεντρικούς υπολογιστές με πλαστογράφηση καταχωρήσεων πίνακα arp

Παραδείγματα εκτόξευσης Intercepter-NG

Πώς να εκτελέσετε το MiTM στο Intercepter-NG

Ξεκινήστε επιλέγοντας έναν προσαρμογέα δικτύου ( Προσαρμογέας δικτύου):

Κάντε δεξί κλικ σε έναν κενό πίνακα και επιλέξτε Εξυπνη σάρωση:

Θα εμφανιστεί μια λίστα στόχων:

Προσθέστε τους στόχους που θέλετε ( Προσθήκη ως στόχου):

Για να ξεκινήσετε να μυρίζει, κάντε κλικ στο αντίστοιχο εικονίδιο:

Μεταβείτε στην καρτέλα Λειτουργία MiTM (αυτή είναι μια σφαίρα με καλώδια μπαλωμάτων) και κάντε κλικ στο εικονίδιο ARP Poison (σύμβολο κινδύνου ακτινοβολίας):

Στην καρτέλα Λειτουργία κωδικού πρόσβασης (το σύμβολο είναι μπρελόκ), θα εμφανιστούν τα διαπιστευτήρια που καταγράφονται:

Εργαστείτε με Wi-Fi και εργαστείτε με Ethernet

Όταν εργάζεστε με Wi-Fi ή ενσύρματες συνδέσεις, δεν υπάρχουν διαφορές, αλλά πρέπει να μεταβείτε στην επιθυμητή λειτουργία κάνοντας κλικ στο εικονίδιο:

Ανάλυση εκτός σύνδεσης των αρχείων καταγραφής pcap

Υπάρχουν πολλές επιλογές που μπορούν να επιβραδύνουν ή να επιταχύνουν το χρόνο ανάλυσης.

1. Πρώτον, εάν πρέπει να διαβάσετε ένα μεγάλο αρχείο .pcap, απενεργοποιήστε το " Αποφασίζω".
2. Εάν το .pcap περιέχει μεγάλα αρχεία και η Ανάσταση είναι ενεργοποιημένη, η ταχύτητα ενδέχεται να μειωθεί. Η λύση είναι να ορίσετε ένα όριο στο μέγιστο μέγεθος αρχείου για ανάκτηση.
3. Εάν δεν χρειάζεται να αντιστρέψετε κάτι, απενεργοποιήστε αυτήν την επιλογή στις ρυθμίσεις. Η ταχύτητα θα αυξηθεί.
4. Εάν πρέπει να αναλύσετε μόνο ένα συγκεκριμένο πρωτόκολλο, για παράδειγμα, ICQ \\ AIM ή μόνο HTTP, τότε εγκαταστήστε το κατάλληλο φίλτρο " φίλτρο pcap"από RAW MODE: θύρα tcp xxxόπου xxxΕίναι ο αριθμός θύρας του πρωτοκόλλου σας.
5. Μπορείτε να ανεβάσετε περισσότερες από μία καταγραφές για ανάλυση. ΣΕ Άνοιγμα διαλόγου επιλέξτε πολλά αρχεία, όλα θα αναλυθούν με τη σειρά.

Εγκατάσταση του Intercepter-NG

Εγκατάσταση στο Linux Kali

Για να εγκαταστήσετε και να εκτελέσετε το Intercepter-NG στο Kali Linux, εκτελέστε τις ακόλουθες εντολές:

Wget https://github.com/intercepter-ng/mirror/blob/master/wine_pcap_dlls.tar.gz?raw\u003dtrue -O wine_pcap_dlls.tar.gz sudo apt install libpcap-dev sudo dpkg --add-αρχιτεκτονική i386 sudo apt update sudo apt install wine32 sudo apt install tcpdump: i386 wine --config tar xvzf wine_pcap_dlls.tar.gz sudo cp wpcap / wpcap.dll.so / usr / lib / i386-linux-gnu / κρασί sudo cp πακέτο / πακέτο. dll.so / usr / lib / i386-linux-gnu / wine rm -rf wine_pcap_dlls.tar.gz wpcap / packet / sudo apt install winetricks winetricks cc580 sudo ethtool - offload eth0 rx off tx off # Load Intercepter-NG v1. 0 και διαγράψτε τα αρχεία dll wpcap.dll και Packet.dll: wget https://github.com/intercepter-ng/mirror/blob/master/Intercepter-NG.v1.0.zip?raw\u003dtrue -O Intercepter-NG .zip unzip Intercepter-NG.zip rm wpcap.dll rm Packet.dll sudo wine Intercepter-NG.exe

Εγκατάσταση σε Windows

Για να εγκαταστήσετε το Intercepter-NG στα Windows, μεταβείτε και κατεβάστε το αντίστοιχο αρχείο (χωρίς γράμματα CE). Το πρόγραμμα δεν απαιτεί εγκατάσταση, απλώς αποσυμπιέστε το αρχείο και εκτελέστε το αρχείο .exe.

Εγκατάσταση σε Android

Για να εγκαταστήσετε το Intercepter-NG στο Android μεταβείτε και κατεβάστε το αρχείο apk... Απαιτούνται δικαιώματα ρίζας για την επιτυχή εκτέλεση της εφαρμογής.

Στιγμιότυπα οθόνης Intercepter-NG

Το πολυλειτουργικό πρόγραμμα σας επιτρέπει να αναγνωρίζετε όλες τις συσκευές σε ένα δημόσιο δίκτυο, να προσδιορίζετε τις διευθύνσεις IP και MAC των συσκευών, να παρακολουθείτε την κυκλοφορία και να αντικαθιστάτε τα ληφθέντα αρχεία. Δεν θα κοστίσει τίποτα σε έναν έμπειρο χρήστη για να διαβάσει την αλληλογραφία email κάποιου άλλου και να συνδεθεί σε έναν λογαριασμό κοινωνικού δικτύου χρησιμοποιώντας αυτό το βοηθητικό πρόγραμμα.

Χαρακτηριστικό γνώρισμα

Όπως προαναφέρθηκε, το Intercepter-NG είναι ένα πρόγραμμα για, για παράδειγμα, μη εξουσιοδοτημένη αλληλεπίδραση με άλλες συσκευές. Με μερικά κλικ, μπορείτε να προσδιορίσετε τη διεύθυνση IP και τη διεύθυνση Mac της συσκευής, να παρακολουθείτε την κυκλοφορία και τα cookie, να διαβάσετε την ηλεκτρονική αλληλογραφία κάποιου άλλου ή να συνδεθείτε στον λογαριασμό κοινωνικού δικτύου κάποιου άλλου για να κάνετε τη βρώμικη δουλειά σας.

Οι έμπειροι χρήστες διασφαλίζουν ότι η εφαρμογή λειτουργεί και όταν συνδέεται σε ένα σημείο πρόσβασης Wi-Fi, μπορείτε να παρακολουθείτε την κίνηση άλλων ατόμων.

Χαρακτηριστικά:

Πρώτον, πρέπει να έχετε ελάχιστες γνώσεις. Δεν υπάρχουν οδηγίες, οδηγοί, τρόποι εκπαίδευσης στην εφαρμογή. Σχετικές πληροφορίες βρίσκονται στα θεματικά φόρουμ.

Δεύτερον, για να λειτουργήσει το βοηθητικό πρόγραμμα, είναι απαραίτητο να αποκτήσουμε δικαιώματα υπερήχων. Λαμβάνοντας υπόψη τους κινδύνους που συνεπάγεται μια τέτοια απόφαση, είναι σημαντικό να σταθμίζονται τα υπέρ και τα κατά. Και αφού αποφασίσατε να αποκτήσετε δικαιώματα root, βεβαιωθείτε ότι έχετε κατεβάσει και εγκαταστήσει το βοηθητικό πρόγραμμα διαχείρισης δικαιωμάτων πρόσβασης, με το οποίο μπορείτε να ελέγχετε την πρόσβαση εφαρμογών σε δικαιώματα υπερήχων σε πραγματικό χρόνο.