Методи за кражба на бисквитки. Експеримент: как да откраднете лични данни с помощта на безплатен Wi-Fi Как да прихванете wifi сесия

Много потребители не осъзнават, че чрез попълване на потребителско име и парола при регистрация или оторизиране на затворен интернет ресурс и натискане на ENTER, тези данни могат лесно да бъдат прихванати. Много често те се предават по мрежата в незащитена форма. Следователно, ако сайтът, в който се опитвате да влезете, използва HTTP протокола, тогава е много лесно да уловите този трафик, да го анализирате с помощта на Wireshark и след това да използвате специални филтри и програми, за да намерите и дешифрирате паролата.

Най-доброто място за прихващане на пароли е ядрото на мрежата, където трафикът на всички потребители отива към затворени ресурси (например поща) или пред рутера за достъп до интернет, когато се регистрирате на външни ресурси. Поставяме огледало и сме готови да се почувстваме като хакер.

Стъпка 1. Инсталирайте и стартирайте Wireshark за улавяне на трафик

Понякога, за да направите това, е достатъчно да изберете само интерфейса, чрез който планираме да улавяме трафика, и да щракнете върху бутона Старт. В нашия случай заснемаме през безжична мрежа.

Улавянето на трафика е започнало.

Стъпка 2. Филтриране на уловения POST трафик

Отваряме браузъра и се опитваме да влезем в някакъв ресурс с потребителско име и парола. След като процесът на оторизация приключи и сайтът бъде отворен, спираме да улавяме трафик в Wireshark. След това отворете анализатора на протоколи и вижте голям брой пакети. Именно в този момент повечето ИТ специалисти се отказват, защото не знаят какво да правят след това. Но ние знаем и се интересуваме от конкретни пакети, които съдържат POST данни, които се генерират на нашата локална машина при попълване на формуляр на екрана и се изпращат до отдалечен сървър, когато щракнем върху бутона „Вход“ или „Упълномощаване“ в браузъра.

Въвеждаме специален филтър в прозореца, за да покажем заснетите пакети: http.искане.метод == “ПУБЛИКУВАНЕ"

И виждаме, вместо хиляди пакети, само един с данните, които търсим.

Стъпка 3. Намерете данните за вход и паролата на потребителя

Щракнете бързо с десния бутон и изберете елемента от менюто Следвайте TCP Steam

След това в нов прозорец ще се появи текст, който възстановява съдържанието на страницата в код. Нека намерим полетата “парола” и “потребител”, които съответстват на паролата и потребителското име. В някои случаи и двете полета ще бъдат лесно четими и дори не са криптирани, но ако се опитваме да уловим трафик при достъп до много добре познати ресурси като Mail.ru, Facebook, VKontakte и т.н., тогава паролата ще бъде криптирана:

HTTP/1.1 302 Намерено

Сървър: Apache/2.2.15 (CentOS)

X-Powered-By: PHP/5.3.3

P3P: CP="NOI ADM DEV PSAi COM NAV OUR OTRO STP IND DEM"

Set-Cookie: парола= ; изтича=четвъртък, 07 ноември 2024 г. 23:52:21 GMT; път=/

Местоположение: loggedin.php

Съдържание-дължина: 0

Връзка: затворена

Content-Type: текст/html; charset=UTF-8

Така в нашия случай:

Потребителско име: networkguru

Парола:

Стъпка 4. Определете типа кодиране за дешифриране на паролата

Например отидете на уебсайта http://www.onlinehashcrack.com/hash-identification.php#res и въведете нашата парола в прозореца за идентификация. Дадоха ми списък с протоколи за кодиране по ред на приоритет:

Стъпка 5. Дешифриране на потребителската парола

На този етап можем да използваме помощната програма hashcat:

~# hashcat -m 0 -a 0 /root/wireshark-hash.lf /root/rockyou.txt

На изхода получихме дешифрирана парола: проста парола

По този начин с помощта на Wireshark можем не само да решаваме проблеми при работата на приложения и услуги, но и да се опитаме като хакер, прихващайки пароли, които потребителите въвеждат в уеб формуляри. Можете също така да откриете пароли за потребителски пощенски кутии, като използвате прости филтри за показване:

• POP протоколът и филтърът изглеждат така: pop.request.command == "USER" || pop.request.command == "PASS"
• IMAP протоколът и филтърът ще бъдат: imap.request съдържа "вход"
• Протоколът е SMTP и ще трябва да въведете следния филтър: smtp.req.command == "AUTH"

и по-сериозни помощни програми за дешифриране на протокола за кодиране.

Стъпка 6: Какво става, ако трафикът е криптиран и използва HTTPS?

Има няколко варианта за отговор на този въпрос.

Вариант 1. Свързване, когато връзката между потребителя и сървъра е прекъсната и улавяне на трафика в момента на установяване на връзката (SSL Handshake). Когато се установи връзка, сесийният ключ може да бъде прихванат.

Вариант 2: Можете да декриптирате HTTPS трафика, като използвате регистрационния файл с ключ на сесията, записан от Firefox или Chrome. За да направите това, браузърът трябва да е конфигуриран да записва тези ключове за криптиране в лог файл (пример, базиран на FireFox) и вие трябва да получите този лог файл. По същество трябва да откраднете файла с ключ на сесията от твърдия диск на друг потребител (което е незаконно). Е, тогава уловете трафика и използвайте получения ключ, за да го дешифрирате.

Изясняване.Говорим за уеб браузъра на човек, чиято парола се опитват да откраднат. Ако имаме предвид дешифриране на нашия собствен HTTPS трафик и искаме да практикуваме, тогава тази стратегия ще работи. Ако се опитвате да дешифрирате HTTPS трафика на други потребители без достъп до техните компютри, това няма да работи - това е едновременно криптиране и поверителност.

След получаване на ключовете по вариант 1 или 2 е необходимо да ги регистрирате в WireShark:

1. Отидете в менюто Редактиране - Предпочитания - Протоколи - SSL.
2. Задайте флага „Повторно сглобяване на SSL записи, обхващащи множество TCP сегменти“.
3. „Списък с ключове RSA“ и щракнете върху Редактиране.
4. Въведете данните във всички полета и напишете пътя във файла с ключа

WireShark може да дешифрира пакети, които са криптирани с помощта на алгоритъма RSA. Ако се използват алгоритмите DHE/ECDHE, FS, ECC, снифърът няма да ни помогне.

Вариант 3. Получаване на достъп до уеб сървъра, който потребителят използва, и получаване на ключа. Но това е още по-трудна задача. В корпоративните мрежи, с цел отстраняване на грешки в приложения или филтриране на съдържание, тази опция се прилага на законово основание, но не и с цел прихващане на потребителски пароли.

БОНУС

ВИДЕО: Wireshark Packet Sniffing потребителски имена, пароли и уеб страници

Потребителите на интернет са толкова невнимателни, че загубата на поверителни данни е толкова лесна, колкото и беленето на круши. Изданието 42.tut проведе експеримент, за да покаже колко „дупки“ има в обществените Wi-Fi мрежи. Изводът е разочароващ: всеки без специални умения и знания може да създаде пълно досие за човек, използвайки само отворена безжична мрежа.

Инсталирахме няколко приложения за експеримента. Те се различават по функционалност, но същността им е една и съща - да събират всичко, което преминава през мрежата, към която е свързано устройството. Нито една от програмите не се позиционира като "пиратска", "хакерска" или незаконна - те могат да бъдат изтеглени онлайн без никакви проблеми. Експериментът е проведен в търговски център с безплатен Wi-Fi.

Прихващане

Свързваме се с Wi-Fi: няма парола, името на мрежата съдържа думата „безплатно“. Започваме да сканираме, една от програмите веднага намира 15 връзки към мрежата. За всеки можете да видите IP адрес, MAC адрес, за някои - името на производителя на устройството: Sony, Samsung, Apple, LG, HTC...

Намираме лаптопа „жертва“ сред устройствата. Свързваме се с него - данните, които преминават през мрежата, започват да се появяват на екрана. Цялата информация е структурирана по време, дори има вграден преглед на прихванатите данни.

Идентификация на потребителя

Продължаваме да гледаме. На лаптопа на партньора му явно е започнала онлайн игра: програмните команди непрекъснато се изпращат в мрежата, получава се информация за ситуацията на бойното поле. Можете да видите псевдонимите на опонентите си, техните нива на игра и много повече.

Пристига съобщение от „ВКонтакте“. В една от подробните спецификации на съобщенията откриваме, че потребителският идентификатор се вижда във всяко от тях. Ако го поставите в браузъра, ще се отвори акаунтът на лицето, получило съобщението.

В това време „жертвата” пише отговор на съобщението и явно няма представа, че ние зяпаме снимките в акаунта му. Едно от приложенията на социалната мрежа дава сигнал - можем да слушаме този звук в плейъра.

Пароли и съобщения

Снимките и звуците не са всичко, което може да се „прехвърли“ към наличния Wi-Fi. Например, една от програмите има отделен раздел за проследяване на кореспонденция в социални мрежи и месинджъри. Съобщенията се дешифрират и сортират по време на изпращане.

Показването на чужда кореспонденция е отвъд доброто и злото. Но работи. Като илюстрация ето част от диалога на автора на текста, уловен от проследяващия компютър от устройството „жертва“.

Друга програма отделно „съхранява“ всички бисквитки и потребителска информация, включително пароли. За щастие, в криптирана форма, но веднага предлага да инсталирате помощна програма, която ще ги дешифрира.

заключения

Почти всяка информация може да бъде загубена през Wi-Fi. Много обществени мрежи не предоставят никаква защита, а понякога дори парола. Това означава, че всеки може да прихване трафика на колеги, приятели или непознати.

Най-надеждният изход от тази ситуация е един: не предавайте важна информация през обществени мрежи. Например, не изпращайте телефонни номера и пароли в съобщения и не плащайте с платежна карта извън дома. Рискът от загуба на лични данни е изключително голям.

Здравейте приятели.

Както обещах, продължавам за програмата Intercepter-ng.

Днес ще има преглед на практика.

Предупреждение: не трябва да променяте настройките или безсмислено да натискате настройките. В най-добрия случай може просто да не работи или ще изключите Wi-Fi. Имах случай, когато настройките на рутера бяха нулирани. Така че не си мислете, че всичко е безобидно.

И дори със същите настройки като моите, това не означава, че всичко ще работи гладко. Във всеки случай, за сериозни случаи ще трябва да проучите работата на всички протоколи и режими.

Да започваме ли?

Прихващане на бисквитки и пароли.

Да започнем с класическото прихващане на пароли и бисквитки, по принцип процесът е същият като в статията прихващане на пароли през Wi-Fi и прихващане на бисквитки през Wi-Fi, но ще го пренапиша отново, с пояснения.

Между другото, антивирусите често могат да задействат такива неща и да предотвратят прихващане на данни чрез Wi-Fi

Ако жертвата е на устройство с Android или IOS, можете да се задоволите само с това, което жертвата въвежда само в браузъра (пароли, уебсайтове, бисквитки); ако жертвата използва социален клиент за VK, тогава възникват проблеми, те просто Спри да работиш. В най-новата версия на Intercepter NG можете да разрешите проблема, като замените сертификата на жертвата. Повече за това по-късно.

Първо, решете какво трябва да получите от жертвата? Може би имате нужда от пароли за социални мрежи или може би само за уебсайтове. Може би бисквитките са достатъчни, за да влезете като жертва и да направите нещо веднага, или имате нужда от пароли за бъдещо запазване. Трябва ли да анализирате допълнително изображенията, гледани от жертвата, и някои страници, или нямате нужда от тези боклуци? Знаете ли, че жертвата вече е влязла в сайта (вече е оторизирана при прехода) или просто ще въведе данните си?

Ако не е необходимо да получавате изображения от ресурсите, които посещавате, части от медийни файлове и да виждате някои сайтове, записани в html файл, деактивирайте го в Настройки - Възстановяване. Това леко ще намали натоварването на рутера.

Какво може да се активира в Настройки - ако сте свързани чрез ethernet кабел, трябва да активирате Spoof Ip/mac. Също така активирайте Cookie killer (помага за нулиране на бисквитките, така че жертвата да може да излезе от сайта). Cookie killer е SSL Strip Attack, така че не забравяйте да го активирате.

Също така е по-добре, ако е активиран режим Promiscious, който ви позволява да подобрите прихващането, но не всички модули го поддържат... Екстремният режим може да се направи и без него. С него понякога се прихващат повече портове, но има и допълнителна информация + натоварване...

Първо изберете отгоре интерфейса, чрез който сте свързани към интернет и вида на връзката: Wi-fi или Ethernet, ако сте свързани чрез кабел към рутера.

В режим на сканиране щракнете с десния бутон върху празно поле и щракнете върху Интелигентно сканиране. Всички устройства в мрежата ще бъдат сканирани, остава само да добавите желаните жертви към Add nat.

Или можете да зададете произволен IP, отидете на настройки - експертен режим и поставете отметка в квадратчето за Auto ARP poison, в този случай програмата ще добави всички, които са свързани и ще се свържат с мрежата.

Всичко, което трябва да направим, е да превключим на режим Nat.

Щракнете върху configure mitms, тук ще ни трябва SSL mitm и SSL лента.

SSL mitmви позволява да прихващате данни, въпреки че много браузъри също реагират на това, като предупреждават жертвата.

SSL лентапозволява на жертвата да превключи от защитен протокол Https към HTTP, както и да работи убиецът на бисквитки.

Не се нуждаем от нищо друго, щракнете върху стартиране на arp отрова (икона на радиация) и изчакайте активността на жертвата.

В секцията за режим на парола щракнете с десния бутон и Покажи кули. След това можете да щракнете с десния бутон върху бисквитката и да отидете на пълния URL адрес.

Между другото, ако жертвата е в социалните мрежи, има шанс активната му кореспонденция да се появи в режим Messengers.

Http инжектиране (прехвърляне на файл на жертвата).

Ммм, доста сладък вариант.

Можете да го плъзнете на жертвата, така че тя да изтегли файла. Можем само да се надяваме, че жертвата ще стартира файла. За правдоподобност можете да анализирате кои сайтове посещава жертвата и да пуснете нещо като актуализация.

Например, ако жертвата е във VK, назовете файла vk.exe. Може би жертвата ще го стартира, решавайки, че е полезно.

Да започваме.

Режим Bruteforce.

Режим на груба сила и отгатване на парола.

Един от начините да го използвате е груб достъп до административния панел на рутера. Също така някои други протоколи.

За Брут имате нужда

В целевия сървър въведете IP адреса на рутера, протокола telnet, потребителско име - потребителско име, в нашия случай Admin.

Най-отдолу има бутон с нарисувана папка, цъкаш върху него и отваряш списък с пароли (в папката с програмата misc/pwlist.txt има списък с често използвани пароли или може да използваш вашият собствен списък).

След зареждане натиснете старт (триъгълник) и отидете да пиете чай.

Ако има съвпадения (избрана е парола), програмата ще спре.

Трябва да знаете потребителското име. Но ако искате достъп до рутера, опитайте стандартния - admin.

Как да произведем брут.

Traffic changer (заместване на трафик).

Функцията е по-скоро шега. Можете да го промените така, че жертвата, когато влезе в един сайт, да отиде на друг, в който влизате.

В режим трафик въведете заявката отляво, резултата отдясно, но със същия брой букви и символи, в противен случай няма да работи.

Пример - отляво ще въведем заявката за промяна, отдясно ще променим test1 на test2. (поставете отметка в квадратчето за Деактивиране на HTTP gzip).

След като въведете, натиснете ADD и след това OK.

И накрая видео за това как да прихванете данни от клиенти на iOS, защото както знаете, по време на Mitm атака техните приложения просто спират да работят.

Скоро ще направя видео за написаното в статията.

Беше прихващане на данни чрез Wi-Fi.

Това е общо взето. Ако имате какво да добавите, пишете, ако имате какво да коригирате, просто пишете.

До следващия път.

Чудили ли сте се как някои уеб сайтове персонализират своите посетители? Това може да се изрази например в запомняне на съдържанието на „количката“ (ако този възел е предназначен за продажба на стоки) или в начина на попълване на полетата на някакъв формуляр. HTTP протоколът, който е в основата на функционирането на World Wide Web, няма средства за проследяване на събития от едно посещение на сайт до друго, така че беше разработена специална добавка, за да може да съхранява такива „състояния“. Този механизъм, описан в RFC 2109, вмъква специални части от данни за бисквитки в HTTP заявки и отговори, които позволяват на уеб сайтовете да проследяват своите посетители.

Данните за бисквитките могат да се съхраняват по време на комуникационната сесия ( на сесия), оставайки в RAM за една сесия и се изтрива при затваряне на браузъра или дори след изтичане на определен период от време. В други случаи те са постоянни ( упорит), оставайки на твърдия диск на потребителя като текстов файл. Те обикновено се съхраняват в директорията Cookies (%windir%\Cookies на Win9x и %userprofile%\Cookies на NT/2000). Не е трудно да се досетите, че след улавяне на бисквитки в интернет, атакуващият може да се представи за потребителя на даден компютър или да събере важна информация, съдържаща се в тези файлове. След като прочетете следващите раздели, ще разберете колко лесно е да се направи.

Прихващане на бисквитки

Най-прекият метод е да прихванете бисквитките, докато се предават по мрежата. След това прихванатите данни могат да се използват при влизане в съответния сървър. Този проблем може да бъде решен с помощта на всяка програма за прихващане на пакети, но една от най-добрите е програмата на Лаврентий Никула ( Лауренциу Никула) SpyNet/PeepNet. SpyNet включва две помощни програми, които работят заедно. програма CaptureNetулавя самия пакет и го съхранява на диска, а помощната програма PeepNet отваря файла и го преобразува в четим от хора формат. Следващият пример е фрагмент от комуникационна сесия, реконструирана от PeepNet, по време на която бисквитката служи за удостоверяване и контрол на достъпа до преглежданите страници (имената са променени, за да се запази анонимността).

ВЗЕМЕТЕ http://www.victim.net/images/logo.gif HTTP/1.0 Приемане: */* Реферер: http://www.victim.net/ Хост: www.victim.net Бисквитка: jrunsessionid=96114024278141622; cuid=TORPM!ZXTFRLRlpWTVFISEblahblah

Примерът по-горе показва фрагмент от бисквитка, поставен в HTTP заявка, идваща към сървъра. Най-важното е полето cuid=, който указва уникален идентификатор, използван за удостоверяване на потребителя на възела www.victim.net. Да кажем, че след това атакуващият посети възела на žrtve.net, получи собствен идентификатор и бисквитка (ако приемем, че възелът не поставя данните за бисквитката във виртуалната памет, а ги записва на твърдия диск). След това нападателят може да отвори собствената си бисквитка и да замени идентификатора на полето cuid= с него от заловения пакет. В този случай, при влизане в сървъра на žrtve.net, той ще бъде възприет като потребител, чиито данни за бисквитки са били прихванати.

Възможност за програмиране PeepNetвъзпроизвеждането на цялата комуникационна сесия или неин фрагмент значително улеснява изпълнението на атаки от този тип. С помощта на бутон Върви го вземи!Можете да извлечете отново страниците, прегледани от потребител, като използвате данните за бисквитките, които преди това са били уловени от CaptureNet. В диалоговия прозорец на помощната програма PeepNet можете да видите информация за нечии изпълнени поръчки. Това използва данни за бисквитки, прихванати от CaptureNet за удостоверяване. Обърнете внимание на рамката, разположена в долния десен ъгъл на диалоговия прозорец с данни за сесията и реда, който следва реда Cookie:. Това са данните от бисквитките, използвани за удостоверяване.

Това е доста чист трик. В допълнение, полезността CaptureNetможе да осигури пълен декриптиран запис на трафика, който е почти еквивалентен на възможностите на помощни програми от професионален клас като Sniffer Pro на Network Associates, Inc. Въпреки това полезността SpyNetОще по-добре - можете да го получите безплатно!

Мерки за противодействие

Трябва да внимавате със сайтове, които използват бисквитки за удостоверяване и съхраняване на поверителна идентификационна информация. Един инструмент, който може да помогне със сигурността, е Cookie Pal на Kookaburra Software, който може да бъде намерен на http://www.kburra.com/cpal.html. Този софтуерен продукт може да бъде конфигуриран да генерира предупредителни съобщения до потребителя, когато уеб сайт се опита да използва механизма за бисквитки. В този случай можете да "погледнете зад кулисите" и да решите дали тези действия трябва да бъдат разрешени. Internet Explorer има вграден механизъм за бисквитки. За да го активирате, стартирайте аплета Internet Options в Control Panel, отидете в раздела Security, изберете елемента Internet Zone, задайте режима Custom Level и за постоянни и временни данни за бисквитки, поставете превключвателя на Prompt. Настройката на използването на бисквитки в браузъра Netscape се извършва с помощта на командата Редактиране › Предпочитания › Разширении настройка на режим Предупреждавай ме преди приемане на бисквитка или Деактивиране на бисквитки (фиг. 16.3). Когато приемете бисквитка, трябва да проверите дали тя е записана на диск и дали уеб сайтът събира информация за потребителите.

Когато посещавате сайт, който използва бисквитки за удостоверяване, трябва да се уверите, че потребителското име и паролата, които първоначално предоставяте, са поне SSL криптирани. Тогава тази информация ще се появи в прозореца на програмата PeepNet, поне не под формата на обикновен текст.

Авторите биха предпочели да избегнат напълно бисквитките, ако много често посещавани уеб сайтове не изискват тази опция. Например за популярната в цял свят услуга Hotmail на Microsoft бисквитките са необходими за регистрация. Тъй като тази услуга използва няколко различни сървъра по време на процеса на удостоверяване, добавянето им към зоната Trusted Sites не е толкова лесно (този процес е описан в раздела „Разумно използване на зони за сигурност: общо решение на проблема с контрола на Activex“). В този случай обозначението *.hotmail.com ще помогне. Бисквитките не са идеалното решение на проблема с непълнотата на HTML протокола, но алтернативните подходи изглеждат още по-лоши (например добавяне на идентификатор към URL адреса, който може да се съхранява на прокси сървъри). Докато не се появи по-добра идея, единствената ви възможност е да контролирате бисквитките си, като използвате методите, изброени по-горе.

Заснемане на бисквитки чрез URL

Нека си представим нещо ужасно: потребителите на Internet Explorer кликват върху специално създадени хипервръзки и стават потенциални жертви, рискувайки бисквитките им да бъдат прихванати. Бенет Хаселтън ( Бенет Хаселтън) и Джейми Маккарти ( Джейми Маккарти) от тийнейджърската организация Peacefire, която се застъпва за свободата на общуване в интернет, публикува сценарий, който вдъхва живот на тази идея. Този скрипт извлича бисквитки от клиентския компютър, когато неговият потребител кликне върху връзка, съдържаща се на тази страница. В резултат на това съдържанието на бисквитката става достъпно за операторите на уебсайтове.

Тази функция може да се използва за злонамерени цели чрез вграждане на IFRAME тагове в HTML на уеб страница, HTML имейл или публикация в дискусионна група. Следващият пример, предоставен от консултанта по сигурността Ричард М. Смит, демонстрира способността да се използват манипулатори на IFRAME с помощна програма, разработена от Peacefire.