Лучшие инструменты пен-тестера: сниферы и работа с пакетами. Использование ARP-spoofing для мониторинга трафика в коммутируемых сетях. Обзор программных пакетных снифферов

Исследование: Перехват трафика мобильного Интернета через GTP и GRX

• Информационная безопасность ,
• Блог компании Positive Technologies

Большинство абонентов считают, что работа через сотовую сеть достаточно безопасна, ведь крупный оператор связи наверняка позаботился о защите. Увы, на практике в мобильном Интернете есть множество лазеек, дающих широкие возможности для злоумышленников.

Исследователи Positive Technologies обнаружили уязвимости в инфраструктуре сетей мобильной связи, которые позволяют перехватывать GPRS-трафик в открытом виде, подменять данные, блокировать доступ к Интернету, определять местоположение абонента. Под угрозой оказываются не только мобильные телефоны, но и специализированные устройства, подключенные к 2G/3G/4G-сетям с помощью модемов: банкоматы и терминалы оплаты, системы удаленного управления транспортом и промышленным оборудованием, средства телеметрии и мониторинга и т.д.

Операторы сотовой связи, как правило, шифруют трафик GPRS между мобильным терминалом (смартфоном, модемом) и узлом обслуживания абонентов (SGSN) алгоритмами GEA-1/2/3, что осложняет перехват и расшифровку информации. Чтобы обойти это ограничение, злоумышленник может проникнуть в опорную сеть оператора, где данные не защищены механизмами аутентификации. Ахиллесовой пятой являются узлы маршрутизации (или шлюзовые узлы), которые называются GGSN. Их легко обнаружить, в частности, с помощью поисковика Shodan. У проблемных узлов открыты GTP-порты, что позволяет атакующему установить соединение, а затем инкапсулировать в созданный туннель управляющие пакеты GTP. При правильном подборе параметров GGSN воспримет их как пакеты от легитимных устройств сети оператора.

Протокол GTP, описанный выше, никаким образом не должен быть «виден» со стороны Интернета. Но на практике это не так: в Интернете имеется более 207 тысяч устройств по всему земному шару с открытыми GTP-портами. Более полутысячи из них являются компонентами сотовой сети и отвечают на запрос об установлении соединения.

Еще одна возможность для атак связана с тем, что GTP - далеко не единственный протокол управления на найденных узлах. Также встречаются Telnet, FTP, SSH, Web и др. Используя уязвимости в этих интерфейсах (например, стандартные пароли), нарушитель может подключиться к узлу оператора мобильной связи.

Экспериментальный поиск по сайту Shodan выдает несколько уязвимых устройств, в том числе с открытым Telnet и отключенным паролем. Достаточно подключиться к данному устройству и произвести в нем необходимые настройки для того, чтобы оказаться внутри сети оператора в Центральноафриканской Республике.

При этом всякий, кто получил доступ к шлюзовому узлу любого оператора, автоматически получает доступ к сети GRX, которая объединяет всех сотовых операторов и используется для предоставления доступа к Интернету абонентам в роуминге. Воспользовавшись единичной ошибкой в конфигурации на одном устройстве, злоумышленник получает возможность проводить различные атаки на абонентов любого оператора в мире.

Среди множества вариантов использования скомпрометированного пограничного узла следует отметить следующие: отключение абонентов от Интернета или блокировка их доступа к нему; подключение к Интернету под видом другого абонента и за чужой счёт; перехват трафика жертвы и фишинг. Злоумышленник также может определить идентификатор абонента (IMSI) и следить за местоположением абонента по всему миру, пока он не сменит SIM-карту.

Опишем некоторые угрозы более подробно.

Интернет за чужой счет

Вектор атаки:

Атака заключается в отправке пакетов «Create PDP context request» с IMSI известного заранее абонента, таким образом происходит подключение к сети с его учетными данным. Ничего не подозревающий абонент получит огромные счета.

Возможно подключение с IMSI несуществующего абонента, так как авторизация абонента происходит на этапе подключения к SGSN, а к GGSN доходят уже «проверенные» соединения. Поскольку SGSN в данном случае скомпрометирован, никакой проверки не проводилось.

Результат: подключение к сети Интернет под видом легитимного абонента.

Перехват данных

Вектор атаки: злоумышленник действует через сеть GRX или из сети оператора.

Злоумышленник может перехватить данные, передающиеся между абонентским устройством и сетью Интернет, путем отправки на обслуживающий SGSN и GGSN сообщения «Update PDP Context Request» с подмененными адресами GSN. Данная атака представляет собой аналог атаки ARP Spoofing на уровне протокола GTP.

Результат: подслушивание или подмена трафика жертвы, раскрытие конфиденциальной информации.

DNS-туннелирование

Вектор атаки: злоумышленник - абонент сотовой сети, действует через мобильный телефон.

Давно известная атака, уходящая корнями во времена dial-up, потерявшая смысл при появлении дешевого и быстрого выделенного Интернета. Однако в мобильных сетях находит применение, например, в роуминге, когда цены за мобильный Интернет неоправданно высоки, а скорость передачи данных не так важна (например, для проверки почты).

Суть атаки в том, что некоторые операторы не тарифицируют DNS-трафик, обычно для того, чтобы переадресовать абонента на страницу оператора для пополнения счета. Этим можно воспользоваться - путем отправления специализированных запросов на DNS-сервер; также для этого необходим специализированный узел в интернете, через который будет осуществляться доступ.

Результат: получение нетарифицируемого доступа к сети Интернет за счет оператора сотовой связи.

Подмена DNS на GGSN

Вектор атаки: злоумышленник действует через Интернет.

В случае получения доступа к GGSN (что, как мы уже заметили, вполне возможно) можно подменить адрес DNS на свой, перенаправить весь абонентский трафик через свой узел и таким образом осуществить «подслушивание» всего мобильного трафика.

Результат: подслушивание или подмена трафика всех абонентов, сбор конфиденциальных данных, фишинг

Как защититься

Некоторые подобные атаки были бы невозможны при правильной настройке оборудования. Но результаты исследования Positive Technologies говорят о том, что некорректная настройка - отнюдь не редкость в мире телекоммуникационных компаний. Зачастую и производители устройств оставляют включенными некоторые сервисы, которые должны быть отключены на данном оборудовании, что дает нарушителям дополнительные возможности. В связи с большим количество узлов подобный контроль рекомендуется автоматизировать с использованием специализированных средств, таких как MaxPatrol.

В целом, необходимые для защиты от таких атак меры безопасности включают правильную настройку оборудования, использование межсетевых экранов на границах сети GRX и Интернета, использование рекомендаций 3GPP TS 33.210 для настройки безопасности внутри сети PS-Core, мониторинг защищенности периметра, а также выработку безопасных стандартов конфигурации оборудования и периодический контроль соответствия этим стандартам.

Ряд специалистов возлагают надежды на новые стандарты связи, которые включают и новые технологии безопасности. Однако, несмотря на появление таких стандартов (3G, 4G), совсем отказаться от сетей старого поколения (2G) не удастся. Причиной этого являются особенности реализации мобильных сетей, в частности то, что у базовых станций 2G лучше покрытие, а также то, что на их инфраструктуре работают и сети 3G. В стандарте LTE все так же используется протокол GTP, а поэтому необходимые меры по защите будут актуальными в обозримом будущем.

Результаты данного исследования было получены экспертами компании Positive Technologies в 2013 и 2014 годах в ходе консалтинговых работ по анализу защищенности нескольких крупных мобильных операторов. Полный текст отчета «Уязвимости мобильного Интернета (GPRS)» можно скачать на нашем сайте.

E-mail [email protected]
WhatsApp +19299995773 (только чат, без звонков)
(Без выходных с 09:00 до 21:00 мск)

Перехват данных

Перехват данных при помощи шпионских программ – это санкционированное получение информации с целью анализа либо предоставления доказательств. Такие данные могут состоять как из перечня сигналов, событий управления, списка программных приложений сети, так и из сообщений пользователя, его личных данных, нюансов посещения сайтов. Если информация была получена не в режиме реального времени, шпионские программы сформировывают удобные для просмотра и анализа отчеты.

Перехват данных применяется в различных случаях начиная от защиты инфраструктуры, заканчивая обеспечением кибербезопасности. В основном, операторы инфраструктуры сетей общего пользования осуществляют перехват данных для этих целей. При этом, операторы частных сетевых инфраструктур имеют неотъемлемое право на сохранение возможности перехвата данных в пределах их собственных сетей, если данное право не запрещено законом.

Основания для перехвата информации телекоммуникаций определяются:

• правоохранительными органами (местными);
• сотрудниками нормативных и административных учреждений и спецслужб;
• законодательством.

В некоторых правовых системах реализация перехвата (особенно в режиме реального времени), ранее известная как «прослушка» и существовавшая с момента создания электронных коммуникаций, может потребовать получения соответствующего разрешения от компетентных органов.

С созданием коммутируемой телефонной связи общего пользования (PSTN), беспроводной и кабельной системы законный перехват данных при помощи шпионских программ осуществляется путем открытия доступа к механическим и цифровым коммутаторам поддерживающих вызовы пользователей . Внедрение в сеть коммутационных пакетов, программ технологий коммутации и серверных приложений в последние 2 десятилетия коренным образом изменили порядок осуществления перехвата.

Техническое описание

Почти во всех странах есть требования относительно осуществления перехвата информации и их внедрения в глобальные сети. Международные стандарты разработаны совместно с учетом пожеланий:

1. Европейского института телекоммуникационных стандартов (ETSI).
2. 3GPP.
3. CableLabs.

ETSI сумела стандартизировать все технические процессы, лежащие в основе законного перехвата данных. При этом была созданная систематическая архитектура с помощью которой сетевые администраторы, операторы и сотрудники правоохранительных органов могут осуществлять законный перехват информации при помощи шпионских программ . Отметим, что данная архитектура может применятся не только для проводных, беспроводных систем голосовых вызовов, но и к услугам IP-сети, таким как:

• передачи голоса по IP;
• общения по электронной почте;
• обмена данными в системах мгновенных сообщений.

В США, например, такие требования включены в законы правоохранительными органами. Также в США санкционированные технологии перехвата данных запатентованы лишь одной компанией - USPTO. Таким образом, при необходимости проведения санкционированного перехвата данных, граждане обязаны предварительно согласовать и приобрести данную услугу именно у этой компании.

Три основных этапа перехвата данных:

1. Сбор целевых данных связанных с голосовыми, текстовыми вызовами и их содержанием, а также прочей конфиденциальной информацией пользователей.
2. Формирование полученной информации в отчеты в соответствии с определенными стандартами.
3. Передача отчетов администратору, правоохранительным органам или операторам.

Архитектура ETSI применима и к услугам на основе IP-телефонии где данные будут завесить от особых параметров. Например, в случае с электронной почтой перехваченная шпионскими программами информация будет иметь:

• заголовок сообщения (адрес электронной почты получателя, адрес отправителя электронного сообщения, время отправления сообщения);
• заголовок IP-пакета, транспортирующего сообщение (источник IP-адресов сервера электронной почты).
• содержание сообщения.

Законные основания

Основной глобальный правовой документ, гарантирующий законность перехвата информации (в том числе и сохранения данных) – Конвенция о киберпреступности созданная в Будапеште в 2001 году. Отдельные страны имеют некоторые различия в правовых требованиях касающихся законного перехвата, но суть остается единой для всех государств. Например, в Великобритании закон известен как RIPA (Положение законов о следственных полномочиях), в США и Содружестве Независимых Государств закон известен как СОРМ.

Европа

В ЕС резолюция Европейского совета от 17 января 1995 года о законном перехвате телекоммуникаций была создана по аналогии с законами США, однако она включала европейские особенности. Хотя некоторые страны-члены ЕС противились резолюции руководствуясь неприкосновенностью частной жизни, закон все же вступил в силу.

Европа продолжает сохранять свою роль мирового лидера в данном секторе путем принятия Европейским парламентом в 2006 году инновационных директив хранения собранной шпионскими программами информации . Утвержденные директивы применяются по отношению ко всем общеизвестным электронным коммуникациям и дают разрешение на перехват местоположения пользователей, иных личных данных. При этом, собранная информация может хранится от 6 месяцев до 2-х лет и быть предоставлена правоохранительным органам по их требованию. Данная директива вскоре была скопирована во многих странах.

В США 3 федеральных закона регулируют проведение перехвата данных:

1. Свод законов направленный на борьбу с преступностью созданный в 1968 году.
2. Акт о наблюдении за иностранной разведкой (1978 год), регулирующий прослушивание телефонных разговоров для целей разведки.
3. Закон о патриотизме.

В 1990-х, как и в большинстве стран, прослушка (голосовых и беспроводных сетей) давала весомую помощь правоохранительным органам и ФБР. Так, в 1994 году был создан закон (CALEA), который предоставляет в случае необходимости полный доступ к конфиденциальным, личным данным пользователей. В 2005 году CALEA был применен к широкополосному доступу сети интернет и передачи голоса по системе IP-телефонии, взаимосвязанной с коммутируемой телефонной связью общего пользования - PSTN.

Перехват данных может быть разрешен в соответствии с местными законами для последующего использования данных государственными или местными полицейскими.

Канада

Полиция имеет возможность законно перехватывать личные данные пользователей. Данное действие регулируется в соответствии с VI частью Уголовного Кодекса Канады (вторжение в частную жизнь).

Незаконное использование

Как и многие инструменты правоохранительных органов системы перехвата шпионских программ могут быть использованы в незаконных целях . Именно так и произошло в Греции во время Олимпийских игр 2004 года. Тогда телефонный оператор Vodafone Greece был оштрафован на сумму в 100 млн. $ (76 млн.) за то, что не смог полноценно обезопасить своих пользователей от несанкционированного перехвата данных.

Акция! Скидка 10% за лайк вконтакте!

Нажмите "Мне нравится" и получите 10% скидку на любую версию NeoSpy для ПК.

2) Нажмите кнопку "Мне нравится" и "Рассказать друзьям" внизу главной страницы;

3) Перейдите на страницу покупки , выберите версию и нажмите "Купить";

4) Введите ваш ID вконтакте в поле "Скидочный купон", например, ваш id - 1234567, в этом случае в поле нужно ввести "id1234567" без кавычек.
Необходимо ввести именно ID страницы, а не короткий текстовый адрес.

Чтобы увидеть свой ID, зайдите в свои

Если Вы знакомы с принципами работы сетевых анализаторов (снифферов) и знаете, какие условия должны быть выполнены для успешной эксплуатации подобных программ, можете не читать эту главу.

Помимо того что вы можете использовать LanDetective Internet Monitor для анализа собственного трафика, т.е. трафика компьютера, на котором запущена программа, все же более интересна возможность мониторинга сетевого трафика других компьютеров.
В то время как анализ собственного трафика задача простая, для перехвата трафика других компьютеров зачастую требуется приложить некоторые усилия, потому что по умолчанию чужой трафик Вам не доступен.
И так, для того чтобы получить возможность мониторинга трафика других компьютеров сети, необходимо решить каким образом будет обеспечиваться доступность (видимость) сетевого трафика.
Далее будет рассмотрено несколько возможных вариантов решения данной проблемы.
Заметим, что пригодность того или иного варианта напрямую зависит от конфигурации (топологии) Вашей сети и от используемого сетевого оборудования.

Мониторинг трафика в режиме Promiscuous .

Как было сказано выше, по умолчанию, сетевой трафик других компьютеров Вам не доступен. Дело в том, что сетевые пакеты всегда кому-то адресованы и если Вы не являетесь адресатом, то Ваш сетевой адаптер должен игнорировать такие пакеты. Однако практически с самого начала существования сети Ethernet , большинство сетевых адаптеров способны принимать пакеты, даже если они адресованы не им. Достигается это путём включения специального режима работы сетевого адаптера – promiscuous . В этом режиме сетевой адаптер без разбору принимает все пакеты в пределах видимости. Если Ваша локальная сеть построена на концентраторах (или хабах) достаточно переключить адаптер в режим promiscuous , чтобы получить доступ ко всему трафику в локальной сети. Ведь концентратор это примитивное устройство. Принимая пакет с одного порта, концентратор ретранслирует его на все остальные свои порты. Таким образом, достаточно подключиться к любому порту концентратора, чтобы иметь возможность видеть весь проходящий через него трафик.

Мониторинг трафика в коммутируемых сетях.

На сегодняшний день большинство локальных сетей строится на коммутаторах (или свитчах). В отличие от концентратора (хаба) коммутатор (свитч), принимая пакет с одного порта, ретранслирует его не на все другие порты, а лишь на тот, к которому подключен компьютер адресат. Коммутатор содержит в памяти таблицу, в которой указано соответствие MAC адресов и портов. Получая пакет, коммутатор сверяет MAC адрес получателя со своей таблицей и выбирает нужный порт. Из-за этой особенности коммутаторов, даже в режиме promiscuous Ваш адаптер будет иметь возможность принимать лишь те пакеты, которые адресованы Вам, потому что коммутатор физически препятствует попаданию чужих пакетов в Ваш сегмент сети.
Стоит заметить, что коммутаторы были придуманы совсем не для того чтобы ограничить возможность мониторинга трафика, а для уменьшения нагрузки на сеть и увеличения её пропускной способности. Наоборот, уже давно выпускаются управляемые (Managed) коммутаторы, которые среди прочего имеют специальную функцию, облегчающую работу системам анализа и учёта трафика. Благодаря этой возможности коммутатор может быть настроен таким образом, что все проходящие через него пакеты будут дублироваться на определённый порт. У разных производителей эта функция может называться по-разному: зеркалирование портов (Port Mirroring ), Switched Port Analyzer (SPAN), Roving Analysis Port (RAP) . Если Вы являетесь счастливым обладателем управляемого коммутатора, обратитесь к документации на Ваше устройство, чтобы узнать поддерживается ли такая функция и как её активировать. После активации данной функции, для мониторинга трафика достаточно подключиться к заданному порту коммутатора и переключить сетевой адаптер в режим promiscuous .
Несмотря на достоинства управляемых коммутаторов, сегодня все ещё очень широко распространены обычные (неуправляемые) коммутаторы.
Чтобы получить доступ к трафику в сети, построенной на неуправляемых коммутаторах, есть 2 пути:
1) Подключить управляемый коммутатор или хаб в сегмент сети, через который проходит интересующий Вас трафик (например, перед маршрутизатором, через который осуществляется выход в Интернет).
2) Воспользоваться программным методом мониторинга трафика в коммутируемых сетях, основанным на недостатках протокола ARP. Подробнее об этом методе читайте дальше.

Использование ARP-spoofing для мониторинга трафика в коммутируемых сетях.

Как было сказано выше, коммутатор (свитч), являясь точкой соединения сетевых устройств, ретранслирует пакеты только в те порты, к которым подключены получатели этих пакетов. Управляемые коммутаторы можно настроить так, что пакеты будут дублироваться на определённый порт. Но как быть, если в сети используются неуправляемые (обычные) коммутаторы или изменение конфигурации коммутатора невозможно? Далее будет кратко описана технология, применение которой в некоторых случаях может решить эту проблему.

Протокол ARP используется для того чтобы по известному IP адресу хоста получить соответствующий ему MAC адрес. В ситуации, когда хост в локальной сети обменивается данными с хостом в сети Интернет, локальному хосту нужно знать MAC адрес маршрутизатора, а маршрутизатору – MAC адрес локального хоста. Для получения MAC адреса в сеть посылается широковещательный запрос, в котором указывается IP адрес, для которого требуется найти MAC. Поскольку запрос широковещательный его получают все компьютеры локальной сети. Получив такой запрос, операционная система сравнивает IP адрес в запросе со своим IP адресом и если они совпадают, в ответ отсылается MAC адрес сетевого адаптера. Для того чтобы минимизировать количество ARP запросов, операционная система использует кэш – так называемую ARP таблицу, состоящую из пар IP/MAC. Операционная система делает ARP запрос, только если в таблице отсутствует искомый MAC. Важно отметить, что каждая запись в ARP таблице имеет ограниченное время жизни. Более подробную информацию о протоколе ARP можно найти в Интернет или ознакомившись с RFC 826.

Технология ARP-spoofing опирается на то, что протокол ARP не предусматривает защиты от фальсификации MAC адресов. На широковещательный ARP запрос должен ответить только владелец искомого MAC адреса, но, ни что не мешает любому компьютеру в сети ответить на ARP запрос. Кроме того многие операционные системы нормально воспринимают ответ на ARP запрос, который они не отсылали. Всё это позволяет обмануть почти любой хост в локальной сети, сообщив ему фальшивый MAC адрес. Например, любому хосту в локальной сети можно сообщить фальшивый MAC адрес маршрутизатора, а маршрутизатору можно сообщить фальшивый MAC адрес локального хоста. После этого хост и маршрутизатор, взаимодействуя друг с другом, будут отсылать пакеты по фальшивым MAC адресам. Что это нам даёт? Это позволяет нам сделать очень интересный трюк – мы можем сообщить в качестве фальшивого MAC адреса, наш собственный MAC, после чего коммутатор будет пересылать пакеты от локального хоста и маршрутизатора нам. Но получить пакеты недостаточно. Получая пакты необходимо пересылать их между маршрутизатором и локальным хостом, иначе они не смогут взаимодействовать друг с другом. В этом и состоит суть технологии ARP-spoofing – фальсифицируя MAC адреса, мы внедряемся между компьютерами в локальной сети. В частности, для перехвата Интернет трафика, мы можем внедриться между маршрутизатором и остальными компьютерами.

LanDetective Internet Monitor делает использование ARP-spoofing максимально простым и удобным. Однако, используя эту технологию для мониторинга сетевого трафика, Вы должны знать следующее:

1. Успех применения ARP-spoofing зависит от программно аппаратной конфигурации Вашей сети. Сеть и компьютеры пользователей могут быть сконфигурированы таким образом, что применение ARP-spoofing будет невозможно.
2. В зависимости от конфигурации Вашей сети применение ARP-spoofing может вызвать проблемы с подключением к сети Интернет у других пользователей.
3. Многие брандмауэры воспринимают попытку использования ARP-spoofing как сетевую атаку. И они правы, так как эта технология, по сути, является разновидностью атаки Man-in-the-Middle (MitM) .

Мониторинг трафика в беспроводных сетях Wi-Fi (802.11)

В отличие от сетевых адаптеров Ethernet , использование адаптеров Wi-Fi для мониторинга трафика затруднено. Всё упирается в то, как реализована поддержка Wi-Fi в операционной системе Windows. Особенности реализации не позволяют стандартным драйверам Wi-Fi адаптеров функционировать в режиме promiscuous , хотя сами Wi-Fi адаптеры способны принимать любые пакеты (так же как и адаптеры Ethernet ). По этой причине, некоторые решения для мониторинга беспроводных сетей базируются на собственных специальных драйверах, которые приходится разрабатывать отдельно для каждого поддерживаемого адаптера Wi-Fi .
LanDetective Internet Monitor не использует специальные драйверы и может работать с Wi-Fi адаптером только в двух режимах:

1. Мониторинг только своего трафика, т.е. трафика принадлежащего компьютеру на котором запущена программа.
2. Мониторинг сетевого трафика с использованием технологии ARP-spoofing . Об этой технологии было написано выше.

Программа Wireshark станет отличным помощником для тех пользователей, кому требуется произвести детальный анализ сетевых пакетов, - трафика компьютерной сети. Сниффер легко взаимодействует с такими распространенными протоколами, как netbios, fddi, nntp, icq, x25, dns, irc, nfs, http, tcp, ipv6 и многими другими. Позволяет при анализе разделять сетевой пакет на соответствующие составляющие, согласно определенному протоколу, и выдавать на экран удобочитаемую информацию в числовом виде.
поддерживает огромное число разнообразных форматов передаваемой и получаемой информации, способен открывать файлы, которые находятся в пользовании других утилит. Принцип работы заключается в том, что сетевая карточка переходит в широковещательный режим и начинается перехват сетевых пакетов, которые находятся в зоне её видимости. Умеет работать как программа для перехвата пакетов wifi.

Как пользоваться wireshark

Запустив wireshark, Вы увидите на экране главное меню программы, которое расположено в верхней части окна. С помощью него и происходит управление утилитой. Если вам нужно загрузить файлы, которые хранят данные о пакетах, пойманных в предыдущих сессиях, а также сохранить данные о других пакетах, добытые в новом сеансе, то для этого вам потребуется вкладка "File".

Чтобы запустить функцию захвата сетевых пакетов, пользователь должен кликнуть на иконку "Capture", затем отыскать специальный раздел меню под названием "Interfaces", с помощью которого можно открыть отдельное окно "Wireshark Capture Interfaces", где должны будут показаны все доступные сетевые интерфейсы, через которые и будет произведен захват нужных пакетов данных. В том случае, когда программа (сниффер) способна обнаружить только один подходящий интерфейс, она выдаст на экран всю важную информацию о нем.

Результаты работы утилиты являются прямым доказательством того, что, даже если пользователи самостоятельно не занимаются (в данный момент времени) передачей каких-либо данных, в сети не прекращается обмен информацией. Ведь принцип работы локальной сети заключается в том, что для поддержания её в рабочем режиме, каждый её элемент (компьютер, коммутатор и другие устройства) непрерывно обмениваются друг с другом служебной информацией, поэтому для перехвата таких пакетов и предназначены подобные сетевые инструменты.

Имеется версия и для Linux систем.

Следует отметить, что сниффер крайне полезен для сетевых администраторов и службы компьютерной безопасности, ведь утилита позволяет определить потенциально незащищённые узлы сети – вероятные участки, которые могут быть атакованы хакерами.

Помимо своего прямого предназначения Wireshark может использоваться как средство для мониторинга и дальнейшего анализа сетевого трафика с целью организации атаки на незащищённые участки сети, ведь перехваченный трафик можно использовать для достижения различных целей.

Привет друзья.

Как обещал продолжаю о программе Intercepter-ng.

Сегодня уже будет обзор на практике.

Предупреждение: менять настройки или бездумно жать настройки не стоит. В лучшем случае может просто не работать или вы повесите Wi Fi. А у меня был случай что сбросились настройки роутера. Так что не думайте что всё безобидно.

И даже при таких же настройках как у меня не значит что всё будет гладко работать. В любом случае для серьезных дел придется изучать работу всех протоколов и режимов.

Приступим?

Перехват куки и паролей.

Начнем с классического перехвата паролей и куки, в принципе процесс как в статье перехват паролей по Wi Fi и перехват куки по Wi Fi но перепишу его заново, с уточнениями.

Антивирусы кстати часто могут палить такие штуки и сводить перехват данных по Wi FI

Если жертва сидит на android или IOS устройстве, вы можете довольствоваться лишь тем что жертва вводит лишь в браузере (пароли, сайты, куки) если жертва сидит с социального клиента для вк, тут уже возникают проблемы, они просто перестают работать. В последней версии Intercepter NG можно решить проблему заменив жертве сертификат. Об этом подробнее будет позднее.

Для начала вообще определитесь, что вам необходимо получить от жертвы? Может вам необходимы пароли от социальных сетей, а может просто от сайтов. Может вам достаточно куки чтобы зайти под жертвой и сразу что либо сделать, либо вам необходимы пароли для будущего сохранения. А вам необходимо анализировать в дальнейшем изображения просмотренные жертвой и некоторые странички, или вам не нужен этот хлам? Вы знаете что жертва уже вошла на сайт (при переходе уже авторизирована) или ещё только будет вводить свои данные?

Если нет необходимости получать картинки с посещаемых ресурсов, части медиафайлов и видеть некоторые сайты сохраненные в файл html отключите в Settings — Ressurection. Это слегка уменьшит нагрузку на роутер.

Что можно активировать в Settings — если вы подключены через ethernet кабель нужно активировать Spoof Ip/mac. Так же активируйте Cookie killer (помогает сбросить куки, чтобы у жертвы вышло с сайта). Cookie killer относится к Атаке SSL Strip поэтому не забываем активировать.

Так же лучше если будет активирован Promiscious (беспорядочный режим) который позволяет улучшить перехват, но не все модули его поддерживают... Extreme mode (экстримальный режим) можно обойтись без него. С ним порою перехватывает больше портов, но появляется и лишняя информация + нагрузка...

Во первых выбираем сверху интерфейс через который вы подключены к интернету и тип подключения Wi-fi либо Ethernet если подключены через кабель к роутеру.

В режиме Scan Mode правой кнопкой мыши по пустому полю и нажимаем Smart scan. Отсканируются все устройства в сети, осталось добавить нужные жертвы в Add nat.

А можно и поставить один любой IP, перейти в settings — expert mode и поставить галочку на Auto ARP poison, в таком случае программа будет добавлять каждого кто подключен и подключится к сети.

Нам остается перейти в Nat mode.

Нажимаем configure mitms , здесь нам пригодится SSL mitm и SSL strip.

SSL mitm позволяет как раз заниматься перехватом данных, хотя и на него реагируют многие браузеры предупреждая жертву.

SSL Strip позволяет чтобы у жертвы переключалось с Https защищенного протокола на HTTP , а так же чтобы работал cookie killer.

Больше нам ничего не требуется,жмем start arp poison (значок радиации) и ждем активности жертвы.

В разделе password mode нажмите пкм и Show coolies. Потом можно на cookie нажам пкм и перейти на full url.

Кстати, если жертва сидит в соц сетях есть вероятность что его активная переписка появится в Messengers mode.

Http inject (подсунуть жертве файл).

Ммм, довольно сладкая опция.

Можно подсунуть жертве чтобы она скачала файл. Нам остаётся надеяться что жертва запустит файл. Для правдоподобности, можно проанализировав какие сайты посещает жертва, подсунуть что то вроде обновления.

К примеру если жертва на VK назовите файл vk.exe . возможно жертва запустит решив что это полезное что.

Приступим.

Bruteforce mode.

Режим перебора и подбора паролей паролей.

Один из способов применения — брут доступа к админке роутера. Так же некоторых других протоколов.

Для брута необх

В Target server вбиваете ip роутера, протокол telnet, username — имя пользователя, в нашем случае Admin .

Внизу есть кнопка на которой нарисована папка, вы нажимаете на неё и открываете список паролей (в папке с программой, misc/pwlist.txt есть список часто используемых паролей, либо можно свой список использовать).

После загрузки нажимает старт (треугольник) и идём пить чай.

Если найдутся совпадения (подберется пароль) то программа остановится.

одимо знать имя пользователя. Но если вы хотите получить доступ к роутеру попробуйте стандартный — admin.

Как произвести брут.

Traffic changer (подмена трафика).

Функция скорее шутки ради. Можно изменить чтобы жертва вводя один сайт, переходила на другой который вы введете.

В traffic mode слева вводим запрос, справа результат, но с таким же количеством букв и символов, иначе не сработает.

Пример — слева забьем изменяемый запрос, справа нужный — test1 меняем на test2. (поставьте галочку на Disable HTTP gzip) .

После ввода жмете ADD а затем OK.

Напоследок видео, как перехватывать данные с IOS из клиентов, ведь как известно при Mitm атаке у них просто перестают работать приложения.

Вскоре сниму видео о написанном в статье.

Это было Перехват данных по Wi FI.

Вот в принципе и всё. Есть что дополнить — пишите, есть что подправить так же пишите.

До новых встреч.