Các cuộc tấn công man-in-the-Middle
Trong phần này, chúng ta sẽ nói về các cuộc tấn công man-in-the-middle (MITM). Đây là một trong những cuộc tấn công nguy hiểm nhất mà chúng tôi có thể thực hiện trong một hệ thống mạng. Chúng tôi chỉ có thể thực hiện cuộc tấn công này khi chúng tôi đã kết nối với mạng. Cuộc tấn công này chuyển hướng luồng gói tin từ bất kỳ máy khách nào đến thiết bị của chúng tôi. Điều này có nghĩa là bất kỳ gói nào được gửi đến hoặc từ các máy khách sẽ phải đi qua thiết bị của chúng tôi. Bây giờ, chúng tôi biết mật khẩu và khóa của mạng, vì vậy chúng tôi sẽ có thể đọc chỉ cần đọc các gói đó, sửa đổi chúng, thả chúng đi. Cuộc tấn công này rất hiệu quả và mạnh mẽ bởi vì nó rất khó để bảo vệ chống lại. Điều này là do cách thức hoạt động của giao thức ARP.
Các bài viết liên quan:
ARP có hai vấn đề bảo mật chính. Vấn đề bảo mật đầu tiên là mỗi phản hồi yêu cầu ARP đều được tin cậy, vì vậy bất cứ điều gì thiết bị của chúng tôi nói với các thiết bị khác trong mạng của chúng tôi sẽ được tin cậy. Nếu chúng tôi nói với bất kỳ thiết bị nào trên mạng của chúng tôi rằng chúng tôi là bộ định tuyến, thiết bị đó sẽ tin tưởng chúng tôi.
Nó sẽ không chạy bất kỳ bài kiểm tra nào để đảm bảo rằng chúng tôi thực sự là bộ định tuyến. Theo cách tương tự, nếu chúng ta nói với bộ định tuyến rằng chúng ta là người khác trên mạng, bộ định tuyến sẽ tin tưởng chúng ta và sẽ bắt đầu coi chúng ta như thiết bị đó.
Vì vậy, đó là vấn đề bảo mật đầu tiên. Vấn đề bảo mật thứ hai là khách hàng có thể chấp nhận phản hồi ngay cả khi họ không gửi yêu cầu. Vì vậy, khi một thiết bị kết nối với mạng, điều đầu tiên nó sẽ hỏi là ai là bộ định tuyến? Và sau đó bộ định tuyến sẽ gửi một phản hồi nói rằng “Tôi là bộ định tuyến.” Bây giờ, chúng tôi chỉ có thể gửi phản hồi mà không cần thiết bị hỏi rằng bộ định tuyến là ai. Chúng ta chỉ có thể nói với thiết bị rằng chúng ta là bộ định tuyến và vì các thiết bị tin cậy bất kỳ ai, chúng sẽ tin tưởng chúng ta và bắt đầu gửi các gói tin cho chúng ta thay vì gửi các gói tin đến bộ định tuyến.
Xem thêm Server-side attacks – các bước khai thác lỗ hổng server
Bây giờ, chúng ta sẽ tìm hiểu cách thức hoạt động của cuộc tấn công MITM này. Nó sẽ hoạt động bằng cách sử dụng một kỹ thuật được gọi là đầu độc ARP, hoặc giả mạo ARP. Trong sơ đồ sau, chúng ta có thể thấy một mạng Wi-Fi điển hình. Chúng ta sẽ thấy rằng khi khách hàng yêu cầu một lúc nào đó [ing, nó sẽ gửi yêu cầu đến bộ định tuyến Wi-Fi và sau đó bộ định tuyến sẽ nhận yêu cầu từ internet và quay lại với các phản hồi cho khách hàng:
Bây giờ, tất cả điều này được thực hiện bằng cách sử dụng các gói. Vì vậy, những gì chúng tôi sẽ làm là chúng tôi sẽ gửi phản hồi ARP đến Khách hàng để chúng tôi có thể gửi phản hồi mà không cần Khách hàng yêu cầu. Khách hàng không yêu cầu bất cứ điều gì, nhưng chúng tôi vẫn có thể gửi phản hồi. Chúng ta sẽ nói rằng IP của chúng ta là IP của bộ định tuyến. Vì vậy, bộ định tuyến có IP 192.168.0.1. Chúng tôi sẽ thông báo với Khách hàng rằng thiết bị có IP 192.168.0.1 có địa chỉ MAC của chúng tôi, vì vậy về cơ bản chúng tôi sẽ nói với Khách hàng rằng chúng tôi là bộ định tuyến.
Xem thêm Hướng dẫn phân tích đối thủ cạnh tranh SEO
Do đó, Khách hàng sẽ bắt đầu gửi các gói cho chúng tôi thay vì gửi các gói đến bộ định tuyến. Sơ đồ sau minh họa điều này:
Sau đó, chúng ta sẽ làm ngược lại với bộ định tuyến Wi-Fi. Chúng tôi sẽ nói với bộ định tuyến rằng chúng tôi là khách hàng. Chúng tôi sẽ thực hiện việc này bằng cách nói với bộ định tuyến rằng IP của chúng tôi là IP của Máy khách và Máy khách đó có địa chỉ MAC của chúng tôi, vì vậy việc giao tiếp các gói sẽ được thực hiện thông qua địa chỉ MAC và bộ định tuyến Wi-Fi sẽ bắt đầu gửi gói cho chúng tôi. gửi nó cho Khách hàng. Sơ đồ sau minh họa điều này:
Như được thấy trong sơ đồ sau, khi Khách hàng muốn mở Google.com, Khách hàng sẽ gửi yêu cầu đến thiết bị của chúng tôi thay vì gửi đến bộ định tuyến Wi-Fi.
Bây giờ, bộ định tuyến Wi-Fi sẽ gửi phản hồi Google.com tới thiết bị của chúng tôi thay vì Ứng dụng khách và sau đó chúng tôi sẽ gửi phản hồi đó đến Ứng dụng khách. Vì vậy, điều này có nghĩa là mỗi gói được gửi đến Khách hàng hoặc từ Khách hàng sẽ phải thông qua chúng tôi. Vì nó đi qua chúng ta và chúng ta có chìa khóa, chúng ta có thể đọc những gói tin này, chúng ta có thể sửa đổi chúng hoặc chúng ta có thể thả chúng xuống.
Vì vậy, đó là nguyên tắc cơ bản của cuộc tấn công bằng ARP hoặc MITM. Về cơ bản, chúng ta sẽ nói với Client rằng chúng ta là bộ định tuyến, và sau đó chúng ta sẽ nói với bộ định tuyến Wi-Fi rằng chúng ta là Khách hàng. Điều này sẽ đưa chúng ta vào giữa luồng gói, giữa Máy khách và bộ định tuyến Wi-Fi. Sau đó, tất cả các gói sẽ bắt đầu chạy qua thiết bị của chúng tôi, vì vậy chúng tôi có thể đọc các gói, sửa đổi hoặc loại bỏ chúng.
Xem thêm Xây dựng chiến lược SEO 8 bước
ARP giả mạo sử dụng arpspoof
Bây giờ, chúng tôi sẽ chạy cuộc tấn công đầu độc ARP thực tế, chuyển hướng luồng các gói và làm cho nó chảy qua thiết bị của chúng tôi. Chúng tôi sẽ sử dụng một công cụ có tên là arpspoof, là một phần của bộ công cụ có tên là dsniff. Bộ phần mềm này chứa một số chương trình có thể được sử dụng để khởi chạy các cuộc tấn công MITM. Chúng ta sẽ xem cách sử dụng công cụ arpspoof để thực hiện nhiễm độc ARP, công cụ này chuyển hướng luồng gói tin qua thiết bị của chúng ta.
Bây giờ, chúng ta hãy xem, tại mục tiêu, Windows là thiết bị mục tiêu và chúng ta sẽ chuyển sang bảng ARP. Vì vậy, chúng tôi sẽ chạy arp -a trên máy Windows để xem bảng ARP. Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng địa chỉ IP cho điểm truy cập là 10.0.0.1 và chúng ta có thể thấy địa chỉ MAC của nó là c0-ff-d4-91-49-df. Nó được lưu trữ trong bảng ARP:
Vì vậy, bây giờ chúng tôi đã kết nối với mạng mục tiêu. Chúng tôi sẽ sử dụng một công cụ arpspoof -i để chọn thẻ internet của chúng tôi là wlan0. Sau đó, chúng tôi sẽ đặt địa chỉ IP của thiết bị Window mục tiêu là 10.0.0.62. Sau đó, chúng tôi sẽ đặt địa chỉ IP cho điểm truy cập, đó là 10.0.0.1. Chúng tôi sẽ cho điểm truy cập biết rằng địa chỉ IP của ứng dụng khách có địa chỉ MAC của chúng tôi, vì vậy về cơ bản, chúng tôi sẽ cho điểm truy cập biết rằng chúng tôi là khách hàng mục tiêu:
Sau đó, chúng tôi sẽ chạy arpspoof một lần nữa và thay vì nói với điểm truy cập rằng chúng tôi là khách hàng mục tiêu, chúng tôi sẽ nói với khách hàng rằng chúng tôi là điểm truy cập, vì vậy chúng tôi sẽ lật các IP :
Vì vậy, bằng cách chạy cả hai lệnh trước đó, chúng ta sẽ đánh lừa khách hàng và điểm truy cập, đồng thời chúng ta sẽ để các gói truyền qua thiết bị của mình.
Bây giờ, khi chúng ta thực hiện cuộc tấn công, chúng ta sẽ thấy rằng địa chỉ MAC của điểm truy cập mục tiêu đã bị thay đổi. Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng địa chỉ MAC của điểm truy cập được thay đổi từ c0-ff-d4-91-49-df thành 10-f0-05-87-19-32 là địa chỉ MAC của máy Kali.
Bây giờ, chúng ta sẽ kích hoạt tính năng chuyển tiếp IP. Chúng tôi làm điều đó để khi các gói truyền qua thiết bị của chúng tôi, chúng không bị rơi ra ngoài để mỗi gói đi qua thiết bị của chúng tôi thực sự được chuyển tiếp đến đích của nó. Vì vậy, khi chúng tôi nhận được một gói từ máy khách, nó sẽ đi đến bộ định tuyến và khi một gói đến từ bộ định tuyến, nó sẽ đến máy khách mà không bị rơi vào thiết bị của chúng tôi. Vì vậy, chúng tôi sẽ kích hoạt nó bằng lệnh sau:
Thiết bị cửa sổ bây giờ nghĩ rằng thiết bị của kẻ tấn công là điểm truy cập và bất cứ khi nào thiết bị cửa sổ cố gắng giao tiếp với điểm truy cập, nó sẽ gửi tất cả các yêu cầu này đến thiết bị của kẻ tấn công. Điều này sẽ đặt thiết bị tấn công của chúng tôi ở giữa kết nối và chúng tôi sẽ có thể đọc tất cả các gói, sửa đổi chúng hoặc thả chúng.
Xem thêm Post-Connection – cách duy trì truy cập khi hacking
Giả mạo ARP bằng MITMf
Trong phần này, chúng ta sẽ nói về một công cụ có tên là MITMf (man-in-the-middle framework). Công cụ này cho phép chúng tôi thực hiện một số cuộc tấn công MITM. Trong phần này, chúng ta sẽ sử dụng một cuộc tấn công nhiễm độc ARP cơ bản, giống hệt như chúng ta đã làm trong phần trước. Chúng tôi sẽ sử dụng thẻ Wi-Fi của mình để thực hiện các cuộc tấn công này. Chúng ta có thể sử dụng thẻ ảo Ethernet thay vì thẻ Wi-Fi.
Nếu chúng tôi thực hiện ifconfig chỉ để xem giao diện của mình, chúng tôi sẽ thấy rằng chúng tôi có thẻ wlan0 được kết nối với mạng internet tại 10.0.0.11:
Bây giờ, chạy arp -a trên máy Windows để xem địa chỉ MAC của chúng tôi. Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng chúng ta có cổng vào 10.0.0.1 và địa chỉ MAC kết thúc bằng 49-df:
Vì vậy, chúng tôi sẽ chạy cuộc tấn công tìm kiếm ARP và xem liệu địa chỉ MAC có thay đổi hay không và liệu chúng tôi có thể trở thành MITM hay không.
Để sử dụng công cụ MTTMf, chúng ta sẽ đặt lệnh trước. Sau đó, chúng tôi sẽ xác định –arp –spoof (ARP độc hại), sau đó chúng tôi sẽ cung cấp cổng là IP của bộ định tuyến, sau đó chúng tôi sẽ cung cấp IP của mục tiêu của chúng tôi và sau đó cung cấp cho nó giao diện. Lệnh như sau:
Nếu chúng ta không chỉ định mục tiêu, nó sẽ mặc định cho toàn bộ mạng, cho toàn bộ mạng con. Giao diện chỉ định thẻ không dây của chúng tôi. Vì vậy, chúng tôi sẽ nhấn ENTER và công cụ sẽ chạy ngay bây giờ:
Bây giờ chúng ta hãy chạy máy tính Window, chạy arp -a và xem liệu chúng ta có thể trở thành trung tâm của kết nối hay không. Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng địa chỉ MAC đã thay đổi từ 49-df thành 19-32 và đó là địa chỉ MAC giống như giao diện mà chúng ta có trong Kali, vì vậy nó kết thúc bằng 19-32:
Vì vậy, điều đó có nghĩa là chúng tôi là MITM tại thời điểm này và công cụ này sẽ tự động khởi động trình đánh giá cho chúng tôi. Vì vậy, thay vì arpspoof, chỉ đặt chúng ta ở giữa, công cụ này thực sự khởi động trình đánh hơi, thu thập dữ liệu được gửi bởi các thiết bị trong mạng của chúng ta.
Chúng ta sẽ truy cập vào một trang web sử dụng HTTP và xem cách lấy tên người dùng và mật khẩu của trang web HTTP đó.
Vì vậy, trên máy Window, chúng ta sẽ truy cập vào một trang web có tên là carzone.ie, sau đó chúng ta sẽ chuyển đến trang đăng nhập để đăng nhập vào một tài khoản trong khi cuộc tấn công MITM đang diễn ra, và sau đó chúng ta sẽ để sử dụng tên người dùng và mật khẩu. Chúng ta sẽ đặt địa chỉ Email là anshikabansal96@gmail.com và sau đó chúng ta sẽ đặt Mật khẩu là 12345. Bây giờ, nếu chúng ta quay lại bảng điều khiển MITMf, chúng ta sẽ thấy rằng chúng ta đã lấy tên người dùng thành công đó là anshikabansal96@gmail.com và mật khẩu là 12345.
Vì vậy, về cơ bản, chúng tôi có thể nắm bắt bất kỳ tên người dùng và mật khẩu nào được nhập bởi các máy tính mà chúng tôi đang giả mạo ARP. Chúng tôi cũng có thể xem tất cả các URL mà người đó đã yêu cầu. Vì vậy, chẳng hạn, chúng ta có thể thấy rằng họ đã yêu cầu sell.carzone.ie. Chúng tôi cũng có thể thấy các URL mà carzone.ie đã yêu cầu. Đây chỉ là những URL được yêu cầu bởi quảng cáo được hiển thị trên trang web.
Bypassing HTTPS
Trong phần trước, chúng ta đã biết cách đánh hơi và nắm bắt bất kỳ gói nào được gửi qua các yêu cầu HTTP. Hầu hết các trang web nổi tiếng như Google, Facebook đều sử dụng HTTPS thay vì HTTP. Điều này có nghĩa là khi chúng ta cố gắng trở thành MITM, khi người đó vào trang web đó, trang web đó sẽ hiển thị thông báo cảnh báo rằng chứng chỉ của trang web đó không hợp lệ. Đó là lý do tại sao người đó sẽ không đăng nhập vào trang đó. Vì vậy, chúng tôi sẽ sử dụng một công cụ SSLstrip. Công cụ này được sử dụng để hạ cấp bất kỳ yêu cầu HTTPS nào xuống HTTP. Vì vậy, bất cứ khi nào đối tượng cố gắng truy cập bất kỳ trang web nào, họ sẽ được chuyển hướng đến trang HTTP của trang web này.
Hãy truy cập trình duyệt trên mục tiêu và chúng ta sẽ thử truy cập hotmail.com. Bây giờ, trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng trang web sử dụng HTTPS ở trên cùng trong thanh địa chỉ, vì vậy nếu chúng tôi cố gắng trở thành MITM, trang web này sẽ hiển thị cảnh báo:
Để vượt qua cảnh báo, chúng tôi sẽ sử dụng một công cụ có tên là SSLstrip để hạ cấp bất kỳ yêu cầu nào đối với trang web HTTPS và đưa nó được chuyển hướng đến phiên bản HTTP của trang web này. Khi chúng tôi chuyển sang phiên bản HTTP, việc kiểm tra dữ liệu sẽ trở nên đơn giản, giống như những gì đã xảy ra trong phần trước.
MITMf khởi động SSLstrip tự động cho chúng tôi, nhưng chúng tôi có thể sử dụng nó theo cách thủ công. Chúng tôi thực sự sẽ chạy chính xác lệnh mà chúng tôi đã thấy trong phần trước như được hiển thị trong ảnh chụp màn hình sau:
Trong ảnh chụp màn hình ở trên, chúng ta có thể thấy rằng nó thực sự sẽ cho chúng ta biết rằng SSLstrip đã được khởi động và nó đang trực tuyến. Bây giờ, chúng ta sẽ quay lại thiết bị Window và truy cập hotmail.com. Bây giờ thay vì phiên bản HTTPS, chúng tôi thực sự sẽ chuyển đến phiên bản HTTP của hotmail.com. Chúng ta có thể thấy điều này trong ảnh chụp màn hình sau:
Trong ảnh chụp màn hình ở trên, chúng ta có thể thấy rằng không có HTTPS, vì vậy chúng ta đang ở phiên bản HTTP của trang web. Chúng tôi cũng sẽ nhận thấy rằng chúng tôi không thấy bất kỳ cảnh báo nào, vì vậy nó giống hệt như một trang web bình thường của hotmail.com.
Vì vậy, chúng tôi sẽ nhập email và mật khẩu của mình và chúng tôi sẽ đăng nhập. Bây giờ, chúng tôi sẽ chuyển đến máy Kali của mình và thấy rằng chúng tôi đã quản lý để nắm bắt email dưới dạng zaid@hotmail.com và chúng tôi cũng đã quản lý lấy mật khẩu là 123456:
Các trang web như Google, Facebook, Skype đang thực sự sử dụng HSTS. Trong HSTS, trình duyệt đi kèm với một danh sách các trang web được mã hóa trước mã cứng phải được duyệt dưới dạng HTTPS. Vì vậy, ngay cả khi chúng tôi cố gắng hạ cấp kết nối HTTPS xuống HTTP, trình duyệt sẽ từ chối hiển thị trang web và chỉ hiển thị phiên bản HTTPS của nó. Điều này là do, mà không cần kết nối với bất kỳ thứ gì, trình duyệt có một danh sách được lưu trữ cục bộ trên máy tính cục bộ nói rằng nó không nên mở Facebook, Gmail và các trang web như HTTP. Vì vậy, dù chúng tôi cố gắng làm theo cách nào, trang web sẽ từ chối mở bằng HTTP.
Giả mạo DNS
Trong phần này, chúng ta sẽ tìm hiểu về máy chủ DNS. Về cơ bản, DNS là một máy chủ chuyển đổi tên miền thành địa chỉ IP của thiết bị. Chúng tôi có thể chuyển đổi tên miền như www.google.com thành địa chỉ IP của thiết bị lưu trữ trang web của Google. Vì chúng tôi là MITM, chúng tôi có thể có một máy chủ DNS chạy trên máy tính của mình và giải quyết các yêu cầu DNS theo cách chúng tôi muốn. Ví dụ: bất cứ khi nào một người yêu cầu đến Google.com, chúng tôi thực sự có thể đưa họ đến một trang web khác, bởi vì chúng tôi đang ở giữa. Vì vậy, khi ai đó yêu cầu, chúng tôi thực sự sẽ cung cấp cho họ một IP mà chúng tôi muốn, và sau đó họ sẽ thấy một trang web hoàn toàn khác với những gì họ đang mong đợi. Vì vậy, chúng tôi có thể có một trang web giả mạo đang chạy trên máy chủ của mình và nhận được các yêu cầu, ví dụ: từ xyz.com đến trang web đó.
Để thực hiện cuộc tấn công này, điều đầu tiên chúng tôi sẽ làm là chuyển hướng mọi người đến máy chủ web của chúng tôi. Máy chủ web sẽ được chạy trên máy Kali cục bộ của chúng tôi. Chúng tôi có thể chuyển hướng mọi người đến bất cứ đâu chúng tôi muốn. Nhưng trong phần này, chúng tôi sẽ chuyển hướng chúng đến máy chủ web cục bộ của chúng tôi. Để làm điều này, chúng tôi sẽ khởi động máy chủ web Apache. Nó được cài đặt sẵn với máy Kali, vì vậy tất cả những gì chúng ta phải làm là chạy lệnh sau và sau đó, máy chủ web sẽ khởi động:
Tệp cho máy chủ web được lưu trữ trong thư mục / var / www / html. Chúng tôi sẽ mở trình quản lý tệp và chúng tôi sẽ đi đến thư mục / var / www / html. Bây giờ, nếu chúng tôi duyệt qua máy chủ web của mình, trang sau sẽ được hiển thị như trong ảnh chụp màn hình đã cho:
Trong hình ảnh trên, chúng ta có thể thấy toàn bộ trang web hoàn chỉnh được cài đặt ở đây và nó sẽ được hiển thị bất cứ khi nào một người truy cập vào máy chủ web của chúng tôi. Nếu chúng ta vào trình duyệt và duyệt qua 10.0.0.11, là địa chỉ IP của chúng ta, chúng ta sẽ thấy trang index.html ở đó.
Bây giờ, hãy cấu hình máy chủ DNS đi kèm với MITMf. Để làm điều đó, chúng tôi sẽ sử dụng lá di chuột là trình soạn thảo văn bản. Sau đó, chúng tôi sẽ chạy lệnh sau:
Sau khi thực hiện lệnh này, chúng ta sẽ cuộn xuống nơi chứa các bản ghi A, như được thấy trong ảnh chụp màn hình sau. Bản ghi về cơ bản là các bản ghi chịu trách nhiệm chuyển đổi hoặc dịch tên miền sang địa chỉ IP:
Chúng tôi sẽ nhắm mục tiêu xyz.com và sử dụng * làm ký tự đại diện. Vì vậy, về cơ bản, chúng tôi đang nói rằng bất kỳ tên miền phụ nào đến xyz.com sẽ được chuyển hướng đến địa chỉ IP của chúng tôi là 10.0.0.11. Nếu chúng ta muốn thay thế điều này, chúng ta có thể thực hiện việc này với bất kỳ địa chỉ IP nào, ví dụ: chúng ta có thể chuyển hướng nó đến Google bằng cách đặt IP của Google. Bất kỳ IP nào chúng tôi đặt ở đây sẽ chuyển hướng xyz.com. Bây giờ hãy lưu tệp và đóng nó, và chúng ta sẽ chạy lệnh của mình. Lệnh sau rất giống với lệnh mà chúng ta đã chạy trước đó trong các phần trước. Sự khác biệt duy nhất là chúng tôi sẽ thêm một tùy chọn bổ sung là –dns. Lệnh như sau:
Trong ảnh chụp màn hình ở trên, chúng ta có thể thấy rằng tính năng giả mạo DNS đã được kích hoạt. Bây giờ chúng ta hãy đi đến mục tiêu và thử truy cập xyz.com và xem điều gì sẽ xảy ra. Trong ảnh chụp màn hình sau, chúng ta có thể thấy xyz.com được chuyển hướng đến trang web của chúng tôi, nơi hiển thị một số văn bản đơn giản. Nhưng nếu chúng ta muốn, chúng ta có thể cài đặt bất cứ thứ gì. Chúng tôi có thể yêu cầu họ tải xuống một thứ gì đó hoặc chúng tôi có thể có một trang giả mạo, ăn cắp nội dung và lấy cắp thông tin đăng nhập:
Nó cũng có thể được sử dụng để cung cấp các bản cập nhật giả cho người mục tiêu. Có rất nhiều cách sử dụng để giả mạo DNS. Đây là cách cơ bản để thực hiện việc giả mạo DNS, sau đó chúng ta có thể sử dụng nó và kết hợp nó với các cuộc tấn công khác hoặc với các ý tưởng khác để đạt được các cuộc tấn công thực sự mạnh mẽ.
