Många användare inser inte att genom att fylla i ett inloggningsnamn och lösenord när de registrerar sig eller loggar in på en stängd internetresurs och trycker på ENTER, kan denna data lätt fångas upp. Mycket ofta sänds de över nätverket i osäkrad form. Därför, om webbplatsen du försöker logga in på använder HTTP-protokollet, är det mycket enkelt att fånga denna trafik, analysera den med Wireshark och sedan använda speciella filter och program för att hitta och dekryptera lösenordet.
Det bästa stället att fånga upp lösenord är kärnan i nätverket, där trafiken för alla användare går till stängda resurser (till exempel post) eller framför routern för att komma åt Internet, när de registrerar sig på externa resurser. Vi sätter upp en spegel och vi är redo att känna oss som en hackare.
Steg 1. Installera och starta Wireshark för att fånga trafik
Ibland, för att göra detta, räcker det att bara välja gränssnittet genom vilket vi planerar att fånga trafik och klicka på Start-knappen. I vårt fall fångar vi över ett trådlöst nätverk.
Trafikfångst har börjat.
Steg 2. Filtrera fångad POST-trafik
Vi öppnar webbläsaren och försöker logga in på någon resurs med ett användarnamn och lösenord. När auktoriseringsprocessen är klar och webbplatsen har öppnats slutar vi fånga trafik i Wireshark. Öppna sedan protokollanalysatorn och se stort antal paket. Det är vid denna tidpunkt som de flesta IT-proffs ger upp eftersom de inte vet vad de ska göra härnäst. Men vi känner till och är intresserade av specifika paket som innehåller POST-data som genereras på vår lokala maskin när man fyller i ett formulär på skärmen och skickar till fjärrserver när du klickar på knappen "Logga in" eller "Auktorisering" i webbläsaren.
Vi anger ett speciellt filter i fönstret för att visa infångade paket: http.begäran.metod == “POSTA"
Och vi ser, istället för tusentals paket, bara ett med den data vi letar efter.
Steg 3. Hitta användarens inloggning och lösenord
Högerklicka snabbt och välj objektet från menyn Följ TCP Steam
Efter detta visas text i ett nytt fönster som återställer innehållet på sidan i kod. Låt oss hitta fälten "lösenord" och "användare", som motsvarar lösenordet och användarnamnet. I vissa fall kommer båda fälten att vara lättlästa och inte ens krypterade, men om vi försöker fånga trafik när vi kommer åt mycket välkända resurser som Mail.ru, Facebook, Vkontakte, etc., kommer lösenordet att krypteras:
HTTP/1.1 302 hittades
Server: Apache/2.2.15 (CentOS)
X-Powered-By: PHP/5.3.3
P3P: CP="NOI ADM DEV PSAi COM NAV VÅR OTRo STP IND DEM"
Set-Cookie: lösenord= ; expires=Tor, 07-Nov-2024 23:52:21 GMT; sökväg =/
Plats: loggedin.php
Innehållslängd: 0
Anslutning: stäng
Content-Type: text/html; charset=UTF-8
Så i vårt fall:
Användarnamn: networkguru
Lösenord:
Steg 4. Bestäm kodningstypen för att dekryptera lösenordet
Gå till exempel till webbplatsen http://www.onlinehashcrack.com/hash-identification.php#res och ange vårt lösenord i identifieringsfönstret. Jag fick en lista över kodningsprotokoll i prioritetsordning:
Steg 5. Dekryptera användarlösenordet
I det här skedet kan vi använda hashcat-verktyget:
~# hashcat -m 0 -a 0 /root/wireshark-hash.lf /root/rockyou.txt
Vid utgången fick vi ett dekrypterat lösenord: simplepassword
Med hjälp av Wireshark kan vi alltså inte bara lösa problem i driften av applikationer och tjänster, utan också prova oss själva som en hackare och fånga upp lösenord som användare anger i webbformulär. Du kan också ta reda på lösenord för brevlådor användare som använder enkla filter för att visa:
- POP-protokollet och filtret ser ut så här: pop.request.command == "USER" || pop.request.command == "PASS"
- IMAP-protokollet och filtret kommer att vara: imap.request innehåller "inloggning"
- Protokollet är SMTP och du måste ange följande filter: smtp.req.command == "AUTH"
och mer seriösa verktyg för att dekryptera kodningsprotokollet.
Steg 6: Vad händer om trafiken är krypterad och använder HTTPS?
Det finns flera alternativ för att svara på denna fråga.
Alternativ 1. Anslut när anslutningen mellan användaren och servern är bruten och fånga trafik i det ögonblick som anslutningen upprättas (SSL Handshake). När en anslutning upprättas kan sessionsnyckeln avlyssnas.
Alternativ 2: Du kan dekryptera HTTPS-trafik med sessionsnyckelloggfilen som registrerats av Firefox eller Chrome. För att göra detta måste webbläsaren vara konfigurerad att skriva dessa krypteringsnycklar till en loggfil (FireFox-baserat exempel) och du bör få den loggfilen. I huvudsak måste du stjäla sessionsnyckelfilen från hårddisk annan användare (vilket är olagligt). Tja, fånga sedan trafiken och använd den resulterande nyckeln för att dekryptera den.
Klargörande. Vi pratar om webbläsaren för en person vars lösenord de försöker stjäla. Om vi menar att dekryptera vår egen HTTPS-trafik och vill öva, så kommer den här strategin att fungera. Om du försöker dekryptera HTTPS-trafiken för andra användare utan tillgång till deras datorer kommer detta inte att fungera - det vill säga både kryptering och integritet.
Efter att ha mottagit nycklarna enligt alternativ 1 eller 2 måste du registrera dem i WireShark:
- Gå till menyn Redigera - Inställningar - Protokoll - SSL.
- Ställ in flaggan "Sätt ihop SSL-poster som spänner över flera TCP-segment".
- "RSA-nycklarlista" och klicka på Redigera.
- Ange data i alla fält och skriv sökvägen i filen med nyckeln
WireShark kan dekryptera paket som är krypterade med RSA-algoritmen. Om algoritmerna DHE/ECDHE, FS, ECC används kommer sniffern inte att hjälpa oss.
Alternativ 3. Få tillgång till webbservern som användaren använder och skaffa nyckeln. Men det här är en ännu svårare uppgift. I företagsnätverk, i syfte att felsöka applikationer eller innehållsfiltrering, implementeras detta alternativ på laglig grund, men inte i syfte att fånga upp användarlösenord.
BONUS
VIDEO: Wireshark Packet Sniffing Användarnamn, Lösenord och Webbsidor
Metoden är gammal, men effektiv kommer vi att göra allt med intercepter ng.
1. Ladda ner programmet sniff.su
2. Starta, välj nätverk, byttyp Ethernet/WiFi om du har WiFi sedan måste du välja ikonen WiFi(till vänster om nätverksval)SpoilerTarget">Spoiler
3. Tryck på knappen Skanningsläge(radarikon)
Klicka i det tomma fältet högerklicka musen och klicka på snabbmenyn Smart skanning.
Alla anslutna enheter till nätverket kommer att visas. Välj ett offer (du kan välja alla med knappen nedtryckt Flytta), bara inte markera själva routern, det IP vanligtvis 192.168.1.1
När du har valt den, högerklicka och klicka Lägg till i natSpoilerTarget">Spoiler
4. Gå till fliken Nat
I Stealth ip det är tillrådligt att ändra den sista siffran till någon ledig, detta kommer att dölja din riktiga IP.
Markera rutorna SSL-remsa Och SSL Mitm.(V 0.9.10 klicka på ögat i hatten och välj där)SpoilerTarget">Spoiler
5. Klick Inställningar(växlar till höger).
Sätt en bock på Uppståndelse(Detta gör att du kan fånga upp lösenord och krypterade cookies HTTPS protokoll) och ta bort Spoof IP/Mac. Du kan markera rutan Cookie Killer, tack vare henne, kommer offret att sparkas ut från den aktuella sidan, till exempel socialt nätverk och offret måste ange lösenordet igen, och vi kommer att fånga upp det. Jämför inställningarna med bilden.SpoilerTarget">Spoiler
6. Klicka på knappen längst upp Börja/sluta sniffa(triangel), i samma fönster klickar du på strålningsikonen längst ner Starta/Stoppa ARP Poison. Låt oss gå till fliken Lösenordsläge och högerklicka i fönstret och välj Visa cookies("Detta kommer att tillåta att cookies och lösenord som angetts av offer visas")
Det är det, vi väntar på att någon ska ange lösenordet. Ibland händer det att Internet slutar fungera, försök försöka komma åt Internet själv, om det inte fungerar, starta om programmet.
Jag märkte att det inte alltid är möjligt att fånga upp ett lösenord, men i själva verket fungerar det nästan utan misslyckande.
Jaktplanär ett multifunktionellt nätverksverktyg som låter dig få data från trafik (lösenord, snabbmeddelanden, korrespondens, etc.) och implementera olika MiTM-attacker.Intercepter-programgränssnitt
HuvudfunktionalitetDriftlägen
- Avlyssning av snabbmeddelanden.
- Avlyssning av cookies och lösenord.
- Avlyssning av aktivitet (sidor, filer, data).
- Möjlighet att förfalska filnedladdningar genom att lägga till skadliga filer. Kan användas tillsammans med andra verktyg.
- Ersätter Https-certifikat med Http.
Messengers-läge– låter dig kontrollera korrespondens som skickades i okrypterad form. Den användes för att fånga upp meddelanden i sådana snabbmeddelanden som ICQ, AIM, JABBER-meddelanden.Resurection Mode– återhämtning av användbar data från trafik, från protokoll som överför trafik till öppen form. När ett offer tittar på filer, sidor eller data kan de delvis eller helt fångas upp. Dessutom kan du ange storleken på filerna för att inte ladda ner programmet i små delar. Denna information kan användas för analys.
Lösenordsläge– läge för att arbeta med cookies. På så sätt är det möjligt att få tillgång till offrets besökta filer.
Skanningsläge– huvudläge för testning. För att börja skanna måste du högerklicka på Smart Scan. Efter skanning kommer alla nätverksdeltagare att visas i fönstret, deras operativsystem och andra parametrar.
I detta läge kan du dessutom skanna portar. Du måste använda funktionen Skanna portar. Naturligtvis finns det mycket mer funktionella verktyg för detta, men närvaron av denna funktion är en viktig punkt.
Om vi är intresserade av en riktad attack på nätverket, måste vi efter skanningen lägga till mål-IP till Nat med kommandot (Add to Nat). I ett annat fönster kommer det att vara möjligt att utföra andra attacker.
Nat Mode. Huvudläget, som låter dig utföra ett antal attacker via ARP. Detta är huvudfönstret som tillåter riktade attacker.
DHCP-läge. Detta är ett läge som låter dig höja din DHCP-server för att implementera DHCP-attacker i mitten.
Vissa typer av attacker som kan utföras
WebbplatsförfalskningFör att förfalska offrets webbplats måste du gå till Target, varefter du måste ange webbplatsen och dess ersättning. På så sätt kan du ersätta ganska många sajter. Allt beror på hur hög kvalitet den falska är.
Webbplatsförfalskning
Exempel för VK.com
Väljer MiTM-attack
Ändring av injektionsregeln
Som ett resultat öppnar offret en falsk webbplats när han begär vk.com. Och i lösenordsläge bör det finnas offrets inloggning och lösenord:För att utföra en riktad attack måste du välja ett offer från listan och lägga till det i målet. Detta kan göras med höger musknapp.
Lägger till MiTm-attacker
Nu kan du använda Ressurection Mode för att återställa olika data från trafik.Offerfiler och information via MiTm-attack
TrafikspoofingAnge inställningar
Efter detta kommer offrets begäran att ändras från "förtroende" till "förlorare".Dessutom kan du döda cookies så att offret loggar ut från alla konton och loggar in igen. Detta gör att du kan fånga inloggningar och lösenord.
Förstör kakor
Hur ser man en potentiell sniffer på nätverket med Intercepter?
Med alternativet Promisc Detection kan du upptäcka en enhet som skannar på det lokala nätverket. Efter skanning kommer statuskolumnen att visa "Sniffer". Detta är det första sättet att upptäcka skanning på ett lokalt nätverk.Snifferdetektering
SDR HackRF-enhetHackRF
SDR är en sorts radiomottagare som låter dig arbeta med olika radiofrekvensparametrar. Således är det möjligt att avlyssna signalen från Wi-Fi, GSM, LTE, etc.HackRF är en fullständig SDR-enhet för $300. Författaren till projektet, Michael Ossman, utvecklar framgångsrika enheter i denna riktning. Ubertooth Bluetooth-sniffer har tidigare utvecklats och framgångsrikt implementerats. HackRF är ett framgångsrikt projekt som har samlat in mer än 600 tusen på Kickstarter. 500 sådana enheter har redan sålts för beta-testning.
HackRF arbetar i frekvensområdet från 30 MHz till 6 GHz. Samplingsfrekvensen är 20 MHz, vilket gör att du kan fånga upp signaler från Wi-Fi- och LTE-nätverk.
Hur skyddar man sig på lokal nivå?
Låt oss först använda mjukvaran SoftPerfect WiFi Guard. Äta bärbar version, som inte tar upp mer än 4 MB. Det låter dig skanna ditt nätverk och visa vilka enheter som visas på det. Den har inställningar som låter dig välja nätverkskort och det maximala antalet skannade enheter. Dessutom kan du ställa in skanningsintervallet.SoftPerfect WiFi Guard programgränssnitt
Efter skanning skickar programmet meddelanden så många som det finns okända enheter. Detta gör att vi kan lägga till och markera betrodda användare och märka om någon har anslutit och börjar lyssna på trafik. Aviseringar kommer att skickas efter varje skanningsintervall. Detta gör att du kan inaktivera en specifik bedragare på routern om det finns misstänkta aktiviteter.Programinställningar för SoftPerfect WiFi Guard
Möjlighet att lägga till kommentarer för användare
Meddelandefönster för obekanta enheter efter varje angivet skanningsintervall
Slutsats
Därför har vi övervägt i praktiken hur man använder programvara för att fånga upp data i nätverket. Vi tittade på flera specifika attacker som gör att du kan få inloggningsdata, såväl som annan information. Dessutom tittade vi på SoftPerfect WiFi Guard, som låter dig skydda på en primitiv nivå lokalt nätverk från att lyssna på trafiken.
Internetanvändare är så slarviga att det är lika lätt att förlora konfidentiell data som att beskjuta päron. Publikationen 42.tut genomförde ett experiment för att visa hur många "hål" det finns offentligt Wi-Fi-nätverk. Slutsatsen är en besvikelse: alla utan speciella färdigheter och kunskaper kan skapa en komplett dokumentation om en person som bara använder ett öppet trådlöst nätverk.
Vi installerade flera applikationer för experimentet. De skiljer sig åt i funktionalitet, men deras kärna är densamma - att samla allt som passerar genom nätverket som enheten är ansluten till. Inget av programmen positionerar sig som "piratkopierat", "hacker" eller olagligt - de kan laddas ner online utan problem. Experimentet genomfördes i ett köpcentrum med gratis Wi-Fi.
Uppsnappande
Vi ansluter till Wi-Fi: det finns inget lösenord, namnet på nätverket innehåller ordet "gratis". Vi börjar skanna, ett av programmen hittar genast 15 anslutningar till nätverket. För alla kan du se IP-adressen, MAC-adressen, för vissa - namnet på enhetstillverkaren: Sony, Samsung, Apple, LG, HTC...
Vi hittar "offret"-laptopen bland enheterna. Vi ansluter till det - data som passerar genom nätverket börjar dyka upp på skärmen. All information är strukturerad efter tid; det finns till och med en inbyggd visning av avlyssnad data.
Användaridentifikation
Vi fortsätter att titta. Ett onlinespel har helt klart börjat på hans partners bärbara dator: programkommandon skickas ständigt till nätverket, information om situationen på slagfältet tas emot. Du kan se dina motståndares smeknamn, deras spelnivåer och mycket mer.
Ett meddelande kommer från "VKontakte". I en av de detaljerade meddelandespecifikationerna finner vi att användar-ID:t är synligt i var och en av dem. Om du klistrar in det i webbläsaren öppnas kontot för personen som tog emot meddelandet.
"Offret" skriver just nu ett svar på meddelandet och har uppenbarligen ingen aning om att vi stirrar på bilderna på hans konto med all vår kraft. En av de sociala nätverksapplikationerna ger en signal - vi kan lyssna på detta ljud i spelaren.
Lösenord och meddelanden
Foton och ljud är inte allt som kan "överföras" till tillgängligt Wi-Fi. Till exempel har ett av programmen en separat flik för att spåra korrespondens på sociala nätverk och snabbmeddelanden. Meddelanden dekrypteras och sorteras efter tidpunkt för sändning.
Att visa någon annans korrespondens är bortom gott och ont. Men det fungerar. Som en illustration, här är en del av dialogen mellan författaren till texten, fångad av spårningsdatorn från "offrets"-enheten.
Ett annat program "lagrar" alla cookies och användarinformation separat, inklusive lösenord. Lyckligtvis i krypterad form, men det erbjuder omedelbart att installera ett verktyg som kommer att dekryptera dem.
Slutsatser
Nästan all information kan gå förlorad via Wi-Fi. Många offentliga nätverk ger inget skydd alls, och ibland till och med ett lösenord. Det betyder att vem som helst kan avlyssna trafiken från kollegor, vänner eller främlingar.
Den mest tillförlitliga vägen ut ur denna situation är en: sänd inga viktig information genom offentliga nätverk. Skicka till exempel inte telefonnummer och lösenord i meddelanden och betala inte med betalkort utanför hemmet. Risken att förlora personuppgifter är extremt stor.