Moloch, el wireshark via web de AOL para forenses de red

No es la primera vez que una de las compañías grandes publica una herramienta que, al parecer lleva utilizando durante mucho tiempo, y que posteriormente deja a disposición de todo el mundo.

Hoy os hablamos de Moloch, herramienta via web para análisis de tráfico de red (open source), que nos llega por parte del gigante de las telecomunicaciones, AOL.

A grandes rasgos, ¿qué nos aporta frente al conocido por todos Wireshark?

• Se utiliza y gestiona vía web
• Está muy enfocado al análisis forense, por lo que hay disponibles plugins muy concretos para dichos menesteres (como por ejemplo, Geolocalización de tramas, reglas de Yara...)
• Facilidad para la búsqueda e indexado de información dentro de las capturas de red
• Posibilidad de crear GUIs propias debido a que hay disponible una API para todo el mostrado de información
• Para el análisis en tiempo real, es posible disponer de una arquitectura distribuida sobre la que mantener sus componentes (bases de datos, indexados, visor de eventos...) y almacenar capturas de tráfico para su posible investigación futura.

Sobre los componentes de esta herramienta, tendremos los siguientes:

1. capture - el elemento (escrito en C) que nos permitirá capturar tráfico directamente desde la fuente por cada interfaz de red de la que nos interese obtener información.
2. viewer - aplicación en node.js que se ejecuta por cada máquina en red y que mantiene la interfaz web y la transferencia de ficheros PCAP.
3. elasticsearch - tecnología de base de datos que nos facilitará la tarea de búsqueda de información.

Ejemplo simple de arquitectura para Moloch

Interfaz de la versión 0.8.0 de Moloch

Gracias a la interfaz, tendremos diferentes visualizaciones que nos facilitarán la tarea en la investigación, como es el caso del modo "Connections", el cual mediante un grafo nos visualizará relaciones entre los elementos involucrados, o el visor "SPI View" con el que podemos filtrar la información en base a multitud de criterios y elementos procesados.

Visualizador de conexiones según búsqueda realizada en base de datos de tráfico en Moloch

Vista SPI con filtrado e indexado de información almacenada en capturas de tráfico

Sin duda una herramienta a tener en cuenta, que nos permitirá llevar el análisis de tráfico a un nuevo nivel, y nos dará más visibilidad en nuestras tareas diarias en las que necesitemos investigar actividad de red de una manera ágil e intuitiva.

Si quieres probar la herramienta de manera online a modo de demo, podrás acceder a la siguiente URL:

• https://moloch.wow.com/

utilizando moloch/moloch como credenciales.

[+] Página del proyecto moloch de AOL

[+] Presentación de la herramienta en SchmooCon 2013 | Video

 

Fuente: http://www.securitybydefault.com/2014/11/moloch-el-wireshark-via-web-de-aol-para.html

MITMer - Automated Man-In-The-Middle Attack Tool

MITMer is a man-in-the-middle and phishing attack tool that steals the victim’s credentials of some web services like Facebook.

Dependencies:

• python2
• scapy
• python2-nfqueue

How to:

• Run it as root.

  sudo python2 mitmer.py

• Select a network interface.
• After scanning the network for available hosts, choose one as a victim or enter an IP address manually.
• Select one of the attack profiles or custom.
• If custom is selected, type the domain(s) you want in the “Query request” field, and type the domain (or IP address) of the server that the victim should be redirected to in the “Query reply” field.
• Start the attack and wait.

Download MITMer

Fuente: http://hack-tools.blackploit.com/2014/03/mitmer-automated-man-in-middle-attack.html

Form-Tampering (laboratorio)

FORM TAMPERING

Este metodo consiste en modificar los datos "ocultos" del formulario que use la web victima para algun beneficio, en este ejemplo, veremos un simple (bastante sencillo xD) ejemplo sobre un "carrito de compra", para modificar los precios de los productos.

Código PHP:
// Form tampering bug PoC
$presupuesto = 100;
$compra = strip_tags($_POST***91;'producto'***93;);
function correcto(){
global $compra;
echo "Felicidades $compra comprado correctamente";
}
if(isset($_POST***91;'producto'***93;) && !empty($_POST***91;'producto'***93;)){
if($presupuesto >= $_POST***91;'v_botella'***93;){
correcto();
}else if ($presupuesto >= $_POST***91;'v_cervesa'***93;){
correcto();
}else{
echo "Lo sentimos, no tienes los fondos suficientes";
}
}else{
if(isset($_POST***91;'send'***93;)){
die("Debes seleccionar un producto");
}
echo "Tu presupuesto es : $presupuesto";
?>

Botella
Cervesa

Como podemos observar, tenemos los precios de los productos en un atributo "hidden". Bien, ¿Cómo podemos aprovecharnos de eso?.

MODIFICANDO CABECERAS HTTP

Lo que vamos a hacer, es "sniffear" lo que nuestro navegador manda al servidor (cabeceras http), vamos a hacer esto con el http live headers (Add-on de Firefox). Despues de instalarlo en nuestro navegador, vamos a la página donde tenemos alojado nuestro PoC y abrimos el add-on, hacemos una petición simplemente "tratando" de comprar un producto y nos damos cuenta que en el live headers nos ha salido la petición http que hemos hecho.

Algo así:

Código: Host: 127.0.0.1 User-Agent: Mozilla/5.0 (X11; Linux i686; rv:2.0.1) Gecko/20100101 Firefox/4.0.1 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7 Keep-Alive: 115 Connection: keep-alive Referer: http://127.0.0.1/bugs/formtamp.php Content-Type: application/x-www-form-urlencoded Content-Length: 60

Y:

Código:producto=Botella&v_botella=500&v_cervesa=200&send=Comprar%21

Ahora vemos que podemos modificar los valores de los productos, cambiamos a 0 y le damos a repetir/replay

Código:producto=Botella&v_botella=00&v_cervesa=00&send=Comprar%21

Y vuala!  , hemos comprado el producto 

Fuente: http://masters-hackers.info/showthread.php?t=20321

Cómo capturar cookies y usarlas

Buenas, en este tutorial explicaré cómo robar las cookies de alguien que esté usando nuestra misma red y cómo usarlas nosotros.

Para este tutorial necesitaremos:

-Un addon que permita editar cookies.
-Un sniffer.

Yo voy a usar:



Wireshark

Cookies Manager+ para FireFox

Para practicar el tutorial recomiendo hacerlo con 2 ordenadores conectados en la misma red, aunque también podríamos practicar desde uno, capturando las cookies, borrar las cookies de nuestro pc, y volver a poner manualmente las que hemos capturado. Aunque no tendría mucho sentido sirve para practicar.

Comenzemos, abrimos Wireshark (o el sniffer que estemos usando) y comenzamos a capturar, pero solo tcp port http:



Pulsamos start y comenzará a capturar el tráfico de red, pero nosotros vamos a buscar solo los que contengan cookies, ponemos: http contains "Cookie":



Aunque en la imagen aparezca en minúscula, la C mayúscula es importante, ya que distingue entre ambas, y casi siempre va en mayúscula.
Y ahora nos vamos a nuestro pc victima y nos logueamos en alguna web, por ejemplo tuenti, y volvemos a nuestro pc atacante y vemos que el sniffer habrá capturado algo:



Ahora tenemos que buscar el que nos interesa, como sabemos que la página de tuenti a la que vamos cuando nos identificamos es "/?m=Home:



Ahora comenzaremos a robar la cookie, para ello hacemos click derecho sobre ella y seleccionamos 'Follow TCP Stream'.
Y nos aparecerá una ventana con todo lo que necesitamos, los datos que necesitamos buscar son:

Nombre:
Contenido:
Host:

El nombre en este caso es 'sid' (después explicare por qué), al saber el nombre ya podemos buscar el contenido, tenemos que buscar algo así:
sid=FC-9AwA.... (pero con más carácteres)
El host nos aparece en muchos lugares, por ejemplo en la segunda línea, en este caso es:
www.tuenti.com

Bueno pues ya hemos recolectado todo lo que necesitamos, ahora nos vamos a FireFox y abrimos, en este caso, Cookie Manager +, nos vamos a File y pulsamos en Add, o pulsamos el botón Add de abajo. Y comenzamos a rellenar:



Pulsamos save y listo, ya estamos logueados en la sesión de la victima.

Por último explico que los nombres los tienes que averiguar descartando, es decir, te logueas desde tu cuenta, abres el Cookies Manager + (por ejemplo) y desde ahí eliminas una por una las cookies, y cuando al eliminar una se te cierre sesión de tu cuenta ya sabes que ese es el nombre de la que te interesa.

Fuente: http://masters-hackers.info/showthread.php?t=5883

Sniffing on the 4.9GHz Public Safety Spectrum

By Brad Antoniewicz.

Probably the most important thing to mention about the 4.9GHz spectrum is that you need a license to operate in it! If you don't have a license (I'm pretty sure you don't) - IT MAY BE ILLEGAL TO INTERACT WITH THIS BAND.

You've been warned - That all being said, let's talk about public safety.

What is the Public Safety Spectrum?

The Public Safety Spectrum is the name for a number of reserved ranges in radio spectrum allocated by the FCC and dedicated for the "sole or principal purpose of protecting the safety of life, health, or property". Basically it's used for police, ambulance, fire, and in some cases, utilities to communicate.

The 4.9GHz Public Safety Spectrum (4.940GHz to 4.990GHz) is one of these reserved public safety ranges. It's mainly for short distance, almost line of sight, communications. It's used from everything to create "on the scene" networks so that the police and other responders can share and transfer data, to video camera systems around a fixed location.

The neat thing about the 4.9Ghz spectrum is that the pretty much de-facto standard used in it is IEEE802.11! It takes some deviations from the standard, such as allowing for 1MHz, 5MHz, 10MHz or 20MHz channels, but other then that, it is plain old 802.11 on a different spectrum.

Interacting with the Spectrum

To interact with the spectrum, you'll need an FCC LICENSE (!! if you skipped to this part, please see the first paragraph), and an adapter that is capable of transmitting/receiving on the 4.9GHz spectrum. There are some adapters already out there, such as the Ubiquiti SuperRange 4 Cardbus (SR4C), but no one likes spending more money if they don't have to!

An 4.9GHz adapter you might have already in your possession and not even know it is the Ubiquiti SuperRange Cardbus (SRC or SRC300)! The internal Atheros chipset actually supports from 4.910GHz to 6.1GHz! That's much more then originally advertised :)

The problem is though, if you want to use the cards with any of the standard Linux tools, you're more or less screwed! The current ath5k drivers don't officially support 4.9GHz. There are a couple of patches for older versions of the driver, but some don't work or can't be applied to the current stable driver release. Another issue is that some drivers don't support the 5MHz, 10MHz or 20MHz channel widths.

About the 4.9GHz Driver Patch

I took some time out and wrote up a quick patch for the current version of compat-wireless. I used some of the patches mentioned above as starting point, and then followed the code comments in the existing drivers to implement the channel widths correctly.

Enabling 4.9GHz

To enable the extended frequency ranges, I just modified the driver to accept frequencies as low as 4.910GHz. There was a "ath_is_49ghz_allowed()" function that defined if the regulatory domain was allowed to access that range. I modified this function to always return true. The regulatory domain is often stored within your cards EEPROM and defines what region the card will be operating in. The mac80211 drivers query this value to determine what frequencies you're allowed to use. Based on that value, the driver will either consult its internal (statically defined) regulatory database, or if present, the Central Regulatory Domain Agent (CRDA). The CRDA is a user land agent that defines what frequencies are used within a region. The idea is that if you're in a different regulatory domain then the one your card is registered for, you can dynamically change the allowed frequencies without making any driver changes. You would do this with the "iw" command:

 root@bt:~# iw reg set 

One problem I came across is that the driver won't consistently respect a regulatory domain that is defined this way. For example, if my card's EEPROM is set for US, but I set the World regulatory domain ("00"), sometimes it won't actually apply it or won't allow me to use the channels enabled by the extended regulatory domain. Because of this, I took the somewhat brutish approach of just returning true for "ath_is_49ghz_allowed()".

I really wanted to make this patch work with the smallest number of module changes, because the more complicated the module change, the more likely it will break in future releases. Plus, most of the code to support 4.9GHz was already there!

Rather than setting the 4.9GHz channels, etc.. statically within the driver, I also decided to leverage the CRDA, since it can be changed without needing the driver to be rebuilt.

Channel Widths

By default the compat-wireless drivers support 20MHz channel widths. Because 4.9GHz can have 1MHz, 5MHz, 10MHz, or 20MHz channels, the driver needed to be modified to support this. Luckily the driver code comments spell out what needs to be done, and much of the support already existed - it just wasn't used. I modified the drivers as per the code comments, and took a tip from the RADAR patch by adding the "default_bwmode" module parameter so that people can specify the channel width when they load the module.

Installation

Installing the patch is easy. Since I use non-persistent BackTrack for everything, I'll provide instructions using that as a base. You can either perform the installation manually or the "easy way" which is using a script I created.

Download

You should really read on, but if you're impatient and just want stuff to download, here is the download link:

• https://github.com/OpenSecurityResearch/public-safety/tree/master/4.9ghz

The Easy Way

If you'd like to use this method, you'll just need internet access. Also, once you complete the "easy" way, you can use that directory for an offline installation later on. To install make sure you have internet access and:

 root@bt:~# git clone https://github.com/OpenSecurityResearch/public-safety
 root@bt:~# cd public-safety/4.9ghz/
 root@bt:~/public-safety/4.9ghz# chmod +x 49ghz_install.sh
 root@bt:~/public-safety/4.9ghz# ./49ghz_install.sh

That should be it (told you it was easy)! It'll auto create a monitor mode VAP using 10mhz wide channels.

Manual Installation

Manual installation is pretty simple too, but some people hate typing :) To install everything from scratch, first install all the prerequisites:

 root@bt:~# apt-get install libnl-dev libssl-dev python-m2crypto build-essential 

Next, we'll need to set up CRDA. The CRDA consults a database for its regulatory information. This database is called the wireless-regdb. You'll also need to sign the database. So lets create some keys to do that:

 root@bt:~# openssl genrsa -out key_for_regdb.priv.pem 2048 
 root@bt:~# openssl rsa -in key_for_regdb.priv.pem -out key_for_regdb.pub.pem -pubout -outform PEM

Now, we'll download wireless-regdb, extract it, and build:

 root@bt:~# wget http://linuxwireless.org/download/wireless-regdb/wireless-regdb-2011.04.28.tar.bz2
 root@bt:~# tar -jxf wireless-regdb-2011.04.28.tar.bz2
 root@bt:~# cd wireless-regdb-2011.04.28
 root@bt:~/wireless-regdb-2011.04.28# make

The regulatory database is just a plain-text file that is then converted to the format CRDA expects. You can modify your database any way you'd like, or you can just use the one I created (db-ReturnTrue.txt):

 root@bt:~/wireless-regdb-2011.04.28# wget https://raw.github.com/OpenSecurityResearch/public-safety/master/4.9ghz/db-ReturnTrue.txt
 root@bt:~/wireless-regdb-2011.04.28# cp db-ReturnTrue.txt db.txt
 root@bt:~/wireless-regdb-2011.04.28# ./db2bin.py regulatory.bin db.txt ../key_for_regdb.priv.pem
 root@bt:~/wireless-regdb-2011.04.28# make install

Now that our regulatory database is all set up, lets install CRDA to leverage it. Notice that after we download and extract, we also copy over our public keys to the locations CRDA is expecting them to be. This is so it can validate the authenticity of the regulatory database we created.

 root@bt:~# wget http://linuxwireless.org/download/crda/crda-1.1.2.tar.bz2
 root@bt:~# tar -jxf crda-1.1.2.tar.bz2
 root@bt:~# cd crda-1.1.2
 root@bt:~/crda-1.1.2# cp ../key_for_regdb.pub.pem pubkeys/
 root@bt:~/crda-1.1.2# cp ../key_for_regdb.pub.pem /usr/lib/crda/pubkeys
 root@bt:~/crda-1.1.2# make
 root@bt:~/crda-1.1.2# make install

So now we can get to the compat-wireless installation. First download it, then extract:

 root@bt:~#  wget http://www.orbit-lab.org/kernel/compat-wireless-3-stable/v3.3/compat-wireless-3.3-1.tar.bz2
 root@bt:~# tar -jxf compat-wireless-3.3-1.tar.bz2
 root@bt:~# ln -s /usr/src/linux /lib/modules/`uname -r`/build
 root@bt:~# cd compat-wireless-3.3-1

Next we'll unload any conflicting drivers (I'm being a little redundant with these two commands, I know):

 root@bt:~/compat-wireless-3.3-1# sudo scripts/wlunload.sh
 root@bt:~/compat-wireless-3.3-1# sudo modprobe -r b43 ath5k ath iwlwifi iwlagn mac80211 cfg80211

And then tell compat-wireless to just compile ath5k:

 root@bt:~/compat-wireless-3.3-1# scripts/driver-select ath5k

Now we'll download the default set of patches for BT5R2 and apply them (you may get some errors when applying, you should be able to ignore them):

 root@bt:~/compat-wireless-3.3-1# wget http://www.backtrack-linux.org/2.6.39.patches.tar
 root@bt:~/compat-wireless-3.3-1# tar -xf 2.6.39.patches.tar
 root@bt:~/compat-wireless-3.3-1# patch -p1 < patches/mac80211-2.6.29-fix-tx-ctl-no-ack-retry-count.patch
 root@bt:~/compat-wireless-3.3-1# patch -p1 < patches/mac80211.compat08082009.wl_frag+ack_v1.patch
 root@bt:~/compat-wireless-3.3-1# patch -p1 < patches/zd1211rw-2.6.28.patch
 root@bt:~/compat-wireless-3.3-1# patch -p1 < patches/ipw2200-inject.2.6.36.patch

Then lets apply the 4.9ghz patch:

 root@bt:~/compat-wireless-3.3-1# wget https://raw.github.com/OpenSecurityResearch/public-safety/master/4.9ghz/compat-wireless-3.3-1_ath5k-49GHZ+BWMODE.patch
 root@bt:~/compat-wireless-3.3-1# patch -p1 < compat-wireless-3.3-1_ath5k-49GHZ+BWMODE.patch

Ok! now we're ready to build:

 root@bt:~/compat-wireless-3.3-1# make
 root@bt:~/compat-wireless-3.3-1# make install
 root@bt:~/compat-wireless-3.3-1# cd ..

After this, we're more or less finished. The thing is that you'll probably want to also upgrade your kismet to find these networks. It's highly recommended that you use the latest version of kismet from the git repo.

Updating Kismet

If you followed the easy way above, then you should be already updated. If you're following the manual way, uninstall the installed version of kismet:

 root@bt:~# dpkg -r kismet

Then grab the latest development version of kismet and compile it:

 root@bt:~# git clone https://www.kismetwireless.net/kismet.git
 root@bt:~# cd kismet
 root@bt:~/kismet# ./configure
 root@bt:~/kismet# make dep
 root@bt:~/kismet# make
 root@bt:~/kismet# make install

You'll also need to define a new channel list in your kismet.conf to support this. I've added the following. I chose to use .5MHz channel spacing since many 4.9GHz deployments have varying channel layouts.

 channellist=ps5mhz:4920-4990-5-.5
 channellist=ps10mhz:4920-4990-10-.5
 channellist=ps20mhz:4920-4990-20-.5

Finally, to change to a different channel width (other than 20MHz) you'll need to define the "default_bwmode" module parameter. For 5MHz channels, define "default_bwmode=1", for 10MHz, "default_bwmode=2", and for 40MHz, "default_bwmode=3". Also, for whatever reason, if you're using a channel width other than 20MHz, you'll also need to manually create a monitor mode VAP (e.g. "mon0") and use that as your source for kismet. Here's how to set it up:

 root@bt:~# modprobe ath5k default_bwmode=2
 root@bt:~# iw dev wlan1 interface add mon0 type monitor
 root@bt:~# ifconfig mon0 up
 root@bt:~# iwconfig mon0 freq 4.920G

Is it Working?

Once everything is running, kismet should look normal, just with the previously undiscovered AP available! Note that this band is highly regulated in the US, so you won't see these networks everywhere. And since the transmit distance is so small, you'll likely need to be in near line of sight of the 4.9GHz network you're looking at. Here's a screen shot of kismet discovering our test AP (located in a faraday cage, in a country where it is legal to transmit on 4.9GHz, of course):

Want to learn more?

This article is a precursor to the talk Robert Portvliet and I will be giving this year at Defcon 20. So if this sparks your interest, stop by - we'll be talking about 4.9GHz and the other Public Safety Bands!

Fente:http://blog.opensecurityresearch.com

Wireshark. Herramientas CLI. Datos estadísticos completos de todos nuestros ficheros cap/pcap a CSV / Excel.

Ya vimos en su momento como obtener información de un determinado fichero pcap / cap con la herramietna CLI de Wireshark Capinfos.

En esta ocasión vamos a recopilar información estádistica de todos nuestros ficheros para volcarlo a . archivo .CSV y de este, por ejemplo, a una hoja Excel, LibreOfficce, etc.

En el anterior artículo sobre capinfos os conté:
“Respecto a la información idependiente que podemos sacar de cada fichero tenemos:

• -t tipo. (porque puede leer varios tipos)
• -E tipo de encapsulado
• -c número de paquetes
• -s tamaño archivo captura
• -d tamaño archivo datos
• -u duración captura
• -a tiempo comienzo y -e final de captura
• -S los dos datos de comienzo y final
• Promedios
• -y promedio datos (in bytes/sec)
• -i promedio datos (in bits/sec)
• -z promedio tamaño paquetes (in bytes)
• -x promedio  paquetes (in packets/sec)

Para formatear los datos, tablas, etc, tenemos una serie de opciones. Las vemos con ejemplos:
Queremos crear una tabla con los datos de tipo, tipo encapsulado, número de paquetes de todos nuestros archivos. Usamos para ello -T para crear la tabla…..”
Pues bien ahora vamos a obtenr una serie de datos de todos nuestros ficheros pcap / cap y lo volcamos a .CSV:
capinfos -tcausx -T -m *.*cap > mis_capturas.csv
el resultado es:

una vez que tenemos el archivo .csv, importamos desde una hoja de cálculo:

Tendremos de esta forma una relación de todos nuestros ficheros de captura, tipos, fechas, estadísticas ,etc.
===
Hasta aquí por hoy. Hasta la próxima.

fuente:https://seguridadyredes.wordpress.com/2011/03/09/wireshark-herramientas-cli-datos-estadisticos-completos-de-todos-nuestros-ficheros-cappcap-a-csv-excel/

Wireshark. Extracción ficheros binarios y Objetos HTTP.

Cuando en Wireshark realizamos una captura de paquetes relacionada con el protocolo HTTP, podemos ver, e incluso guardar, todos los objetos transmitidos durante la conexión. También es posible extraer ficheros binarios de una captura determinada.

Extracción binarios en Wireshark.
Lo vemos con un ejemplo muy básico y sencillo. Tenemos una captura .pcap de una sesión FTP en la que se ha descargado un archivo:

Si nos situamos en el paquete 44 y hacemos un Follow TCP Stream, obtenemos:

Tenemos marcada la opción Raw. Salvamos el archivo con estensión .jpg ya que hemos visto que se trata de un fichero .jpg (JFIF).
Vemos el contenido del archivo que se trata de, como hemos visto, una imagen jpg:

.
Export Selected Packet Bytes.
Otra forma es usando la exportación de Bytes del campo DATA.
Si nos situamos en el campo DATA y Botón derecho ratón >  Export Selected Packet Bytes…:

Lo hacemos con los dos paquetes con datos en DATA y lo unimos, de esta forma obtenemos tambíen:

.
Extracción objetos HTTP en Wireshark.
Durante la transmisión de datos en una captura bajo el protocolo HTTP, podemos visutalizar objetos  HTTP y exportarlos.
Esto lo podemos hacer desde File> Export > Objects > HTTP y nos paparece una ventana:

Tan solo nos queda situarnos sobre el objeto que nos interese y Save As o Save All.

Fuente: https://seguridadyredes.wordpress.com/2010/03/22/wireshark-extraccion-ficheros-binarios-y-objetos-http/

Assniffer. Extracción de tipos MIME / objetos HTTP desde ficheros captura tráfico red.

Ya hemos hablado en varias ocasiones de la forma que tenemos de extraer ficheros de datos Binarios / Objetos HTTP a partir de una captura de tráfico de red, e incluso la forma de extraer fichero de impresión en red. También la forma de hacerlo con Tcpxtract, Justniffer, con Xplico, etc. Mencionar también el artículo de Sergio Hernando ”5 métodos para la extracción forense de ficheros en capturas de tráfico de red“  con otras aplicaciones/métodos.

En esta ocasión vamos a ver la herramienta assniffer, un sniffer HTTP para sistemas Windows, que tomando como fuente una interface de red o un fichero de captura tráfico de red en formato .pcap, vuelca toda la información por carpetas según los dominios visitados. Lo vemos.

Instalación de assniffer.

Es muy sencilla la instalación. Solo tenemos que descargar un archivo comprimido desde http://www.cockos.com/assniffer/assniffer02.zip, descomprimir y usar.

Uso básico de assniffer.

Creamos una carpeta para el volcado de los datos extraidos. Una vez realizado esto, ya podemos usar assniffer:
assniffer c:\as\volcado -r c:\pcap\fichero_captura.pcap
Indicamos primero el lugar a volcar los datos, fuente de los datos (-r para fichero .pcap o -d para interface de red).
De esta forma extrae todos los ficheros binarios, imagenes, video, css, js, archivos comprimidos, etc que estén involucrados en la captura. Se volcará nen la carpeta que indiquemos bajo una estructura ordenada para mejor identificación del contenido:
Por defecto crea carpetas según dominios, pero también podemos indicar que lo haga por IP (-splitbyclient).
También la ejecución por defecto extraerá todos los tipos MIME, pero podemos indicar que tipo quetremos con -mimetype que puede ser image, text, application, video, etc.

Por ejemplo:
assniffer c:\as\volcado -r c:\pcap50608.cap -splitbyclient -mimetype image
Como he dicho, crea una estructura de carpetas, pero las podemos obviar con -nosubdirs
assniffer c:\as\volcado -r c:\pcap\captura.pcap -splitbyclient -nosubdirs
El resultado:

———-
Y hasta aquí por hoy. Hasta la próxima.

Fuente:https://seguridadyredes.wordpress.com/2011/11/10/assniffer-extraccion-de-tipos-mime-objetos-http-desde-ficheros-captura-trafico-red/

[Tutorial] Cómo capturar cookies y usarlas

En este tutorial explicaré cómo robar las cookies de alguien que esté usando nuestra misma red y cómo usarlas nosotros.
 
 
Para este tutorial necesitaremos:

• Un addon que permita editar cookies.
• Un sniffer.

Yo voy a usar:



Wireshark
 

Cookies Manager+ para FireFox
 
 


Para practicar el tutorial recomiendo hacerlo con 2 ordenadores conectados en la misma red, aunque también podríamos practicar desde uno, capturando las cookies, borrar las cookies de nuestro pc, y volver a poner manualmente las que hemos capturado. Aunque no tendría mucho sentido sirve para practicar.
 
Comencemos, abrimos Wireshark (o el sniffer que estemos usando) y comenzamos a capturar, pero solo tcp port http:


 
 



 
Pulsamos start y comenzará ha capturar el tráfico de red, pero nosotros vamos a buscar solo los que contengan cookies, ponemos: http contains "Cookie":
 

 
Aunque en la imagen aparezca en minúscula, la C mayúscula es importante, ya que distingue entre ambas, y casi siempre va en mayúscula.

Y ahora nos vamos a nuestro pc victima y nos logueamos en alguna web, por ejemplo tuenti, y volvemos a nuestro pc atacante y vemos que el sniffer habrá capturado algo:
 

 
Ahora tenemos que buscar el que nos interesa, como sabemos que la página de tuenti a la que vamos cuando nos identificamos es "/?m=Home:
 

 
Ahora comenzaremos a robar la cookie, para ello hacemos click derecho sobre ella y seleccionamos 'Follow TCP Stream'.

Y nos aparecerá una ventana con todo lo que necesitamos, los datos que necesitamos buscar son:
 
Nombre:
Contenido:
Host:
 
El nombre en este caso es 'sid' (después explicare por que), al saber el nombre ya podemos buscar el contenido, tenemos que buscar algo así:
sid=FC-9AwA.... (pero con más caracteres)

El host nos aparece en muchos lugares, por ejemplo en la segunda línea, en este caso es:
www.tuenti.com
 
Bueno pues ya hemos recolectado todo lo que necesitamos, ahora nos vamos a FireFox y abrimos, en este caso, Cookie Manager +, nos vamos a File y pulsamos en Add, o pulsamos el botón Add de abajo. Y comenzamos a rellenar:
 

 
Pulsamos save y listo, ya estamos logueados en la sesión de la victima.
 
Por último explico que los nombres los tienes que averiguar descartando, es decir, te logueas desde tu cuenta, abres el Cookies Manager + (por ejemplo) y desde ahí eliminas una por una las cookies, y cuando al eliminar una se te cierre sesión de tu cuenta ya sabes que ese es el nombre de la que te interesa.
 


Aquí dejo algunos nombres:

             
Ebay - Host: ebay.es --> nonsession, s, cid
Gmail - Host: mail.google.com --> GX
Myspace - Host: myspace.com --> MYUSERINFO
Tuenti - Host: tuenti.com --> sid
Windows Live Hotmail - Host: live.com --> RPSTAuth
Yahoo - yahoo.com --> T, Y
YouTube - youtube.com --> LOGIN_INFO
            
         


Fuente: Masters-Hackers

Fuente:http://underc0de.org/foro/index.php?topic=9512.0

Descifrando WEP/WPA/WPA2 con Wireshark

Una interezante entrada para las personas que esten aprendiendo de snifing por esto les regalo una copia , recuerden visitar el link original ya que posee muy buenos trabajos.
-------------------------------------------------------------------------------------------------

Wireshark nos brinda la posibilidad de descifrar capturas WEP/WPA/WPA2 de una forma muy sencilla, aunque claro, primero debemos conocer el password.

Pero lo interesante de esto, es que cualquiera podría capturar el tráfico "que pasa por el aire", sin conocer el password, y el día de mañana cuando sea posible obtenerlo, descifrarlo.

Por ejemplo, podríamos capturar todo el tráfico que pasa por un canal, o utilizar placas wireless especiales como AirPcap, para capturar varios canales a la vez:

airodump-ng mon0 --channel 6 -w captura.pcap

Si bien hay algoritmos de cifrado que tardarían cientos de años en ser rotos, siempre existe la posibilidad de que una mala implementación por un fabricante nos allane el camino.

Recuerdo que durante la ekoparty 2008, cuando Luciano Bello presento las vulnerabilidades para OpenSSL en Debian, entre la audiencia había muchas personas que decían tener capturas que a partir de ese momento podrían ser descifradas.

Para descifrar una captura con Wireshark, abrimos la captura, vamos a "Edit -> Preferences", desplegamos "Protocols" a la izquierda, y seleccionamos "IEEE 802.11", luego ponemos el password en el formato correspondiente:

Este post se iba a llamar "Desencriptando ...", como se acostumbra decir en Argentina, pero recordé a un español que me dijo que "desencriptar" significa "sacar a alguien de la cripta", y que el termino correcto era "descifrar".

Wikipedia: Criptología

"En ocasiones se emplean los verbos encriptar y cifrar como sinónimos, al igual que sus respectivas contrapartes, desencriptar y descifrar. No obstante, lo correcto es utilizar el término cifrar en lugar de encriptar, ya que se trata de un anglicismo sin reconocimiento académico, proveniente del término encrypt."

FUENTE:
http://kungfoosion.blogspot.com/2010/01/descifrando-wepwpawpa2-con-wireshark.html

Herramientas para detectar Sniffers.

Ahora revisando mis rss , encontre esta entrada muy bueno en el guru de la informatica y pues la comparto para todos como es costumbre y agradeciento al guru por sus aportes :D

Los sniffers son grandes amenazas de seguridad en una red y detectarlos a tiempo puede salvarnos de intrusiones de seguridad como las capturas de paquetes con datos de autentificación, usando programas como “Cain & Abel”. Aunque la mejor forma de protegerse ante estas amenazas es utilizar un IDS o cifrar las conexiones, aunque algunas veces no es posible.

Para detectar estas amenazas de una forma rápida, en redes que no utilizan las contramedidas anteriormente citadas, podemos utilizar herramientas que detectan los adaptadores de red que están funcionando en modo promiscuo (modo necesario para el funcionamiento de los sniffers). Herramientas como:


En Linux.


Sniffdet es un sistema de pruebas para la detección remota de los sniffers de red. Usa las técnicas test ICMP, test ARP, test DNS y test de ping de latencia.

Más información y descarga de Sniffdet:
http://sniffdet.sourceforge.net/

El proyecto del Sentinel es una puesta en práctica de las técnicas de detección de modo promiscuo. Necesita las bibliotecas: libpcap y libnet. Utiliza los métodos de: test DNS, test ARP, prueba ICMP Etherping, y ping de latencia.

Más información y descarga de Sentinel:
http://www.packetfactory.net/Projects/sentinel/


En Windows


ProDETECT es un explorador de sniffers, que utiliza una técnica de análisis del paquete ARP.

Más información y descarga de ProDETECT:
http://sourceforge.net/projects/prodetect/

Promgry y PromgryUI son dos herramientas que detectan los adaptadores de red que están funcionando en modo promiscuo, la diferencia entre una y otra es que PromgryUI tiene interfaz grafica y Promgry se ejecuta en consola de comandos.

Más información, descarga y modo de empleo de Promgry y PromgryUI:
http://support.microsoft.com/kb/892853/es

PromiscDetect comprueba si su adaptador de red está funcionando en modo promiscuo, sirve para probar que un sniffers está funcionando en la maquina.

Más información y descarga de PromiscDetect:
http://www.ntsecurity.nu/toolbox/promiscdetect/

fuente:http://vtroger.blogspot.com/2009/03/herramientas-para-detectar-sniffers.html

Sniffing: Caín & Abel III (Instalando a Abel remotamente)

Caín & Abel III: Instalando Abel Remotamente.



Saludos, en la práctica pasada vimos Qué demonios era Abel, vimos qué nos ofrece y las utilidades que trae, y vimos cómo Instalarlo LOCALMENTE, y eso a nosotros no nos gusta, porque tener contacto físico con la PC víctima canta demasiado, porque además tenemos que Copiarle e instalarle Abel y blah blah blah .... Pues, hoy aprenderás a cómo Instalar el Servicio Abel de manera remota, algo bastante fácil la verdad, ya que Caín hace casi todo por nosotros...

Vale, abrimos nuestro Caín, lo configuramos como siempre, y nos dirigimos a la pestaña superior "Network", a la izquierda seleccionamos el menú desplegable "Quick List" (Lista rápida), le hacemos Click secundario y seleccionamos la Opción "Add to Quick List".



Ésto hará que nos aparezca una ventana nueva solicitando el Nombre y/ó la Dirección IP de la Pc que queremos agregar a Caín, pues se la damos y pulsamos OK.



Listo, ahora desplegamos el Menú Quick List y aparecerá la Pc víctima agregada, Ahora debemos conectarnos con ella, para eso hacemos Click secundario sobre el nombre de la Pc y seleccionamos la Opción "Connect as" es decir "Conectarse como..."



Ésto desplegará una ventana nueva llamada "Credentials Required" es decir, "Credenciales requeridas", Obvio, no esperabas tener acceso tan fácilmente... pues, en el Campo Username escribimos un Nombre de usuario válido en la Pc Víctima, y en el campo Password, Obviamente escribimos la Contraseña de dicha cuenta...

Nota: Dado a que Abel proporciona una Shell remota con privilegios de System (Súperusuario) y nos brinda acceso a diferentes servicios del Pc remoto, debemos loguearnos con permisos de Administrador, ya que de otro modo, al instalar Abel quedarían inutilizadas la mayoría de sus Opciones, así que ponte a Sniffar a por el Password del Admin...

Click para ver imagen

Vale, ya nos hemos Logueado como Admin's, ahora a lo que vinimos, a Instalar a Abel, para eso desplegamos el Menú de la Dirección IP de la Víctima, y nos aparecerá un nuevo menú con el Nombre de la Pc, pues lo desplegamos también, Luego nos aparecerán las 4 Opciones por defecto que nos da Caín sin usar Abel, las cuales son:

Click para ver imagen

*Groups
Nos muestra los grupos de Usuarios del Ordenador remoto, tales como Administradores, Invitados, Usuarios Avanzados, Operadores de Red, etc.

*Services
Nos muestra y da acceso a todos los servicios que están corriendo en el Pc Remoto, tales como servidores Telnet, Ftp, Antivirus, servicios de Red, Firewall, etc.

*Shares
Muestra las Unidades y/ó recursos que se encuentra compartiendo el Ordenador remoto...
¿Quién necesita un Scanner NetBIOS cuando Caín te da ésto?

Click para ver imagen

*Users
Muestra y enumera los Usuarios Remotos, al seleccionar esta opción solicita permiso para enumerarlos:
Click para ver imagen

Vale vale, ya que nos vamos por donde no es...
Bien.. en la práctica pasada dijimos que Abel era un SERVICIO de Windows ¿Cierto?, pues, si te fijas bien, Caín nos ha dado acceso a los Servicios remotos, así que ¿Por qué no instalarle el Servicio Abel?

Pues, seleccionamos el Menú "Services", le hacemos Click secundario y seleccionamos la opción "Install Abel", así de fácil es...
Click para ver imagen

Al hacerlo, se nos mostrará una ventana de diálogo indicándonos el proceso de Instalación...

Click para ver imagen

Listo, ahora si revisamos los servicios veremos que Abel se encuentra de último, Instalado y Corriendo , ya podemos Utilizarlo.

Nota: Para desinstalar Abel, debemos escribir en la misma shell que él nos proporciona el siguiente comando:

C:\Windows\System32\>Abel -r

Fuente:http://foros.raza-mexicana.org/showthread.php?t=343

Nota:El 10 de septiembre del 2004 IBM Internet Security Systems, Identificó a Abel como un Backdoor de alto riesgo, cosa que sabemos, no es cierta, acá les dejo la descripción:

"Cain & Abel is a password collection toolkit for Microsoft operating systems. It includes a suite of tools that enable attackers to collect and decrypt passwords from many protocols on their local network segment. Cain & Abel includes a backdoor, called Abel, which allows an attacker to take complete control over an infected host."

Bueno, espero que les sirva, luego veremos qué más hacer, y nos adentraremos al Sniffing en Redes Wireless....saludos.

Sniffing: Caín & Abel II (DNS poisoning)

Cain & Abel II (DNS Poisoning)
(D N S - P O I S O N I N G)



Saludos, hoy les Enseñaré a realizar un ataque Bastante divertido, un Ataque de DNS Poisoning, y también les mostraré a la 2da parte de Caín, su hermano Abel jaja, y podrán Empezar y detener servicios de la Víctima, Obtendrán una Shell remota (Gracias a Abel), etc, pero no me extenderé mucho, será necesario haber hecho la práctica pasada con Caín.

Nota: Para utilizar a Abel en un equipo remoto es necesario conocer un User y Password válidos, y haber copiado a Abel previamente en el equipo remoto (Todo esto lo puedes hacer leyéndote las prácticas).

¿Qué es un ataque DNS Poisoning?

Como su nombre lo Indica, es un ataque basado en el "Envenenamiento" de la Caché DNS de la Víctima, es decir, agregaremos valores de relación Dominio-IP de su Caché DNS... vale vale, no entiendes aún, pues.. Imagínate que Nosotros cambiáramos la Caché DNS de la Víctima, y le dijeramos que el nombre de dominio "Www.Microsoft.com" le corresponde a la dirección IP de ... Mmm... de una página XXX cualquiera... ¿Qué pasará cuando la víctima escriba en su Navegador "Www.microsoft.com"? Exacto.. irá directamente a la página XXX que le hemos indicado a la Caché. ¿Interesante No? y lo mejor es que podemos hacer ésto con cuantos Nombres de dominio se nos ocurran..

Vale, abran su Caín, Configúrenlo como les parezca necesario, Hagan un Host Scanning, y encuentren las direcciones de la víctima y del Router (Gateway, Puerta de enlace) de la red.



Hagan exactamente lo mísmo que en la práctica pasada, un ataque tipo "Man In The Middle", Envenenen las tablas ARP.. ¿Listo?

Ya yo encontré a mi Víctima y al Router de la Red, ahora Arrancaré el Sniffer y Enevenaré las tablas ARP de ambos, Justo como el MITM pasado, para poder realizar el Ataque DNS Poisoning..

Listo, Mientras Caín se encuentra "Poisoning", Nosotros podemos "Agregarle condimentos" a ese veneno, Hoy le agregaremos a la caché DNS valores "Spoofeados".

Bien, Ya estoy Sniffando los paquetes que viajan entre la víctima y el Router, ahora , en la pestaña superior SNIFFER, me dirijo a la pestaña Inferior APR, del lado Izquierdo vemos varias opciones, pero la que nos interesa a nosotros es "APR-DNS", La he marcado en la Imagen:



Una vez ahí, del lado derecho nos saldrá un campo vacío llamado "Requested DNS name", pues, hacemos Click secundario ahí y seleccionamos la opción "Add to list Insert", como se muestra en la imagen:



Ésto hará que se nos abra una ventana nueva llamada "DNS Spoofer For APR", ahí nos pide un Nombre de dominio y una dirección IP, en el campo del Nombre de dominio, escribimos el de la página que queremos "Spoofear", por ejemplo, "www.microsoft.com", y en el campo de Dirección IP, escribimos la IP a la cuál queremos que vaya la víctima cuando intente conectarse con www.Microsoft.com. ¿Qué fácil no?

Yo he colocado la Dirección IP de una página Basura, así que cada vez que la víctima intente ir a www.microsoft.com, irá directamente a la página "Limpia basura" (Así se llama).

Click para ver imagen

Listo, pulsamos "OK" y ya estará envenenada la víctima, ahora veamos el Resultado

Click para ver imagen

Jaja por algo dije que era divertido este Ataque, puedes Spoofear cualquier página que quieras...

Ahora pasemos a ver a Abel, que creo que en la práctica pasada no expliqué lo qué era en Realidad y no quedó claro.

Caín & Abel es el nombre del programa, mas no son el mísmo programa, me explico, Caín, es el Sniffer que tanto hemos estado usando, pero Abel es otra aplicación, es un Servicio NT aparte.

¿Cómo es eso?

Cuando Instalamos Caín, también se copia Abel, mas no se Instala, nosotros tenemos que Instalarlo, Ya sea localmente ó Remotamente.

Abel consta de 2 archivos, "Abel.exe" y "Abel.dll", Abel una vez instalado corre como un servicio NT de Windows, y nos ofrece Una shell remota que manipulamos mediante Caín, y otras cosas como las tablas TCP/UDP remotas, la tabla de Routing, puede volcar los Hashes de usuarios de la base de datos SAM remotos, etc.

Los datos transmitidos entre Caín y Abel son Encriptados utilizando el método de Cifrado RC4, El cual también utilizan los protocolos WEP, SSL, WPA, etc.

Bien bien, veamos cómo Instalar Abel localmente:

Abre una shell y dirígete al directorio de Caín, que por defecto es C:\Archivos de Programa\Caín\, Ahí es donde se encuentra Abel.

La instalación de Abel es algo complicadísimo que no sé si lo entiendan, pero igual se los Explico, para Instalarlo, escriban el siguiente comando desde el Directorio de Caín:

C:\Archivos de programa\Caín\> Abel

Click para ver imagen

Y para desinstalarlo:

C:\Archivos de programa\Caín\> Abel -r

Click para ver imagen

¿Ven lo difícil que es?

Bien, pero Abel está Instalado, mas no Corriendo, para arrancarlo debemos Ir a Caín, y dirigirnos a la pestaña superior "NETWORK", Ahí desplegamos la pestaña "Entire Network", y luego le damos Click Secundario a la Opción "Quick List", y en ella seleccionamos la Opción "Add to Quick List".

Click para ver imagen

Ésto hará que nos salga una Ventana nueva, pidiéndonos la Dirección IP ó el Nombre de la máquina a la que nos queremos conectar, pues, se lo damos y presionamos OK.

Click para ver imagen

Ahora desplegamos "Quick List" y nos aparecerá el Ordenador que acabamos de agregar, Para conectarnos a él damos Click Secundario sobre su nombre y elegimos la Opción "Connect as", y nos aparecerá una ventana pidiéndonos un Nombre de usuario y un Password válidos para ese Ordenador, si no lo tenemos, Estamos fritos... pero ¡Hombre! ¿Para qué tienes el Sniffer? Para dar con los Passwords.. ¿ó no?

Click para ver imagen

Vale, nos logueamos en la Máquina remota, y tendremos acceso a Varios recursos, tales como los Grupos de Usuarios, a los Servicios, A los recursos compartidos y a los nombres de Usuario, bien, pero nosotros necesitamos arrancar a Abel, (que lo hemos subido previamente e Instalado), así que nos vamos a "Services", acá se mostrarán TODOS los servicios del Ordenador remoto, en esa lista debemos buscar a Abel, que debería aparecer como "Stopped" es decir "Detenido", para arrancarlo simplemente hacemos Click secundario sobre su nombre y seleccionamos la opción "Start".

Click para ver imagen

Ahora, una vez que ha arrancado Abel, Contraemos el nombre del Ordenador y lo volvemos a Desplegar.. y vemos que hay algo nuevo... ABEL.

Al desplegar a Abel nos encontramos con varios Servicios, los cuales son:

*Console
*Hashes
*Lsa Secrets
*Routes
*TCP Table
*UDP table

Console

Nos Da una Shell Remota con permisos de System.

Click para ver imagen

Hashes

Nos da los Hashes de todos los Usuarios del Ordenador remoto.

Click para ver imagen

Lsa Secrets

Volca del registro de Windows las llaves Lsa Secrets (Local Security Authority) que se encuentran en el directorio HKEY_LOCAL_MACHINE\Security\Policy\Secrets.

Click para ver imagen

Routes

Nos devuelve un "Route print" del Ordenador remoto.

Click para ver imagen

TCP Table

Nos muestra una Tabla con las Conexiones TCP del Ordenador remoto.

Click para ver imagen

UDP Table

Nos muestra una Tabla con las conexiones UDP del Ordenador Remoto.

Click para ver imagen

Bueno, ya lo que queda es de parte de ustedes, Espero haber aclarado las dudas que existían con respecto a Abel, y que hayan entendido y disfrutado todo ésto, para la próxima les enseño otras cosas con Caín & Abel.

Saludos.

Fuente:http://foros.raza-mexicana.org/showthread.php?t=342

Sniffing: Caín & Abel

Sniffing: Cain & Abel



Saludos, como he vísto que se interesan bastante por el Packet Sniffing, pues, hoy les enseñaré a Sniffar paquetes con una Maravilla de herramienta multiusos, Cain & Abel (http://www.oxid.it/) Pueden descargarla directamente desde Aquí.

Bien, lo bajamos, y obtendremos un archivo llamado "Ca_Setup.exe", ese es el Launcher, lo abrimos, y nos saldrá la ventana roja de Instalación, seleccionamos "Next" en todos:



Luego nos pedirá Instalar el Paquete de Winpcap 4.0.1, le decimos que sí:



Una vez terminado, reiniciamos el Ordenador, y estaremos listos

Caín, Necesita ser configurado, para eso abrimos el programa, y nos dirigimos al Menú "Configure", ahí seleccionamos nuestro adaptador de red, y en la pestaña "APR (Arp Poison Routing)" tenemos opciones de Utilizar nuestra dirección IP y Mac reales, o Spoofearlas.



Bien, una vez hecho ésto, Clickeamos en Aceptar y tendremos al frente de nosotros a Caín , Hoy Sniffaremos de Todo lo que salga, Contraseñas Encriptadas, Texto Plano, Ftp, Http, Myspace, Hi5, Etc.

Venga, nos vamos a la Pestaña Superior "Sniffer" y luego a la Pestaña inferior "Hosts", Una vez ahí, Arrancamos el Sniffer, ¿Cómo?, pues en el Segundo botón que aparece arriba, al lado de una carpeta:

Click para ver imagen

Listo, ahora Hacemos click secundario sobre Caín y seleccionamos "Scan Mac Addresses" como en la Imagen:

Click para ver imagen

Ésto Buscará Direcciones MAC de ordenadores en nuestra Red, así que esperamos...

Click para ver imagen

Pasado un tiempo, Caín ya habrá Scaneado toda la Red, así que seleccionamos las direcciones IP de los "Targets" u Objetivos que queremos Sniffar, para eso nos vamos a la Pestaña Inferior "APR" y Clickeamos sobre el botón "Add to list":

Click para ver imagen

Acto seguido aparecerá una ventana Doble, En la Izquierda seleccionamos el Objetivo "A" de la lista de IP's, ésto llenará el lado derecho con otras Direcciones IP, en ese lado debemos seleccionar la IP del Objetivo "B" (El Gateway), Justo como un Man In The Middle.

Click para ver imagen

¿Por qué debo llenar esa Estúpida tabla? Simple, esa es la tabla en la que le indicaremos a Caín cómo deberá envenenar las Tablas ARP (Address Resolution Protocol) de las Víctimas.

Nota:: Si estás en una red Concentrada (Conectada por Hubs) No es necesario Envenenar las tablas ARP de nadie, ya que los paquetes llegan solos, en cambio, si estás en una red conmutada (Switch) sí es Necesario envenenar las Tablas ARP de la red.

Hecho esto, debemos empezar a envenenar las Tablas ARP de nuestra Red (Porque estoy bajo un Switch, mi red es Conmutada), para eso hacemos Click sobre el Botón amarillo de "APR", Marcado en la Imagen, también he marcado en Azúl la Indicación de Caín de que está "Poisoning" es decir, Envenenando.

Click para ver imagen

Ya ha empezado el ataque, ya sólo nos queda tomarnos un Café, ligar con una tía y esperar a que nuestra víctima Introduzca todas sus contraseñas como lo haría todos los días, ya que no se dará cuenta del envenenamiento...

Sólo 2 minutos después, revisemos el resultado de Caín, para eso nos dirigimos a la pestaña superior Sniffer y a la pestaña inferior Passwords... veamos..

Click para ver imagen

¡Vaya! 206 Passwords ! , Pero no se emocionen, sólo son paquetes, pero he resaltado en Azúl los passwords que sí son verdaderos, y para colmo, viajan en Texto plano, veamos:

http://foro.netting.es vale, Esa la borro, es mi propio User y Password, y en texto plano.

www.myspace.com Un User y pass de Myspace en Texto plano también (Lo he tachado por proteger al dueño de la cuenta).

Aquí otro Ejemplo:

Click para ver imagen

Ahí podemos ver las contraseñas de Myspace, Google, y Hi5, todas en TEXTO PLANO.. Vaya seguridad que nos ofrecen ¿Eh?

Así sucede con los Passwords en FTP,SMTP, HTTP,POP3, VNC, MYSQL, ICQ, Hi5, Photobucket, Yahoo, Hotmail. Gmail, etc, Y además, Caín contiene "Certificados de Autenticidad" Falsos , Para hacerle creer a la víctima que todo anda bien y legal , como verán, "Hackear contraseñas" no es nada del otro mundo cuando disponemos de Caín ...

Ahora.. ¿Qué sucede cuando el Caín detecta Passwords Encriptados? ¿Los desecha? Pues No, Caín, Auomáticamente los lleva a la Pestaña superior "Cracker" ¿Qué es eso? ¬¬ ¡Hombre! es lógico lo que es, Un crackeador múltiple de Contraseñas, Ahí tenemos una lluvia de Opciones, podemos desencriptar contraseñas a través de diversos modos, Bruteforce, Criptoanálisis, Ataque por Diccionario, etc.

Caín, también Funciona Sniffando paquetes Wireless, y hasta tiene Herramientas de Wep Cracking y demás... y puede ser combinado con Otras herramientas tales como Airpcap, Airdump, etc.

Nota: Les recomiendo que cuando se encuentren Sniffando no abran USTEDES en sus ordenadores páginas ni ningún tipo de conexiones, ya que ésto les dificultará más el trabajo, recuerden que estamos "Husmeando" los paquetes que llegan a nuestra tarjeta de Red, y pues, si nosotros contribuímos metiéndole más paquetes ni les cuento...

Bueno bueno, Ya estoy un poco cansado, para la próxima les enseño a hacer Otras cosas con Caín, y A conocer a Abel, espero que les haya Gustado, ayudado a los que andaban Perdidos, y a los que querían aprender a Sniffar con otras Herramientas, espero que hayan entendido todo ésto del Sniffing.

¡Ah! que se me olvida, para poder cerrar a Caín deben Parar el envenenamiento APR y Detener el Sniffer

Saludos.

Fuente:http://foros.raza-mexicana.org/showthread.php?t=341

Avances en sniffing Bluetooth

Esta semana se han producido dos grandes avances en relación con la capacidad para sniffar comunicaciones Bluetooth.

Recordemos que sniffar comunicaciones Bluetooth es un tema bastante complicado debido a que:

1) La técnica de salto de frecuencias impide a cualquier dispositivo que no forme parte de la piconet (que no esté emparejado con el maestro) escuchar las comunicaciones, ya que no tiene acceso a la tabla de saltos utilizada para la transmisión de paquetes.

2) Los adaptadores USB Bluetooth convencionales no se pueden poner en modo promiscuo (como las tarjetas Ethernet o Wi-Fi). Hasta el momento, existían adaptadores con capacidad para ponerse en modo promiscuo, sniffers, pero su precio rondaba los 1000$ en el mercado extranjero.

Durante el pasado evento 23C3, Thierry Zoller publicó la herramienta BTCrack para Windows. BTCrack es un programa que permite crackear el PIN y la clave de enlace compartidos por dos dispositivos a partir de las tramas capturas durante el emparejamiento de ambos. El software existía, lo dificil y caro era conseguir el hardware que sniffara esas tramas. En aquel momento, Zoller hizo un llamamiento para encontrar una técnica que permitiera construir un sniffer Bluetooth de bajo coste.

Pues bien, la primera noticia es la publicación de una herramienta que permite construir ese sniffer Bluetooth de bajo coste. ¿Cómo? Flasheando un adaptador USB Bluetooth convencional con el firmware de un sniffer comercial. El nombre de esta herramienta es BTSniff y está disponible para Linux. El autor es Andrea (aka sorbo) @ http://darkircop.org/security/ El firmware del sniffer comercial se ha obtenido mediante ingeniería inversa a partir de una versión trial que ofrecía un fabricante de estos dispositivos, lo cual es ilegal en algunos países.

BTSniff consta de dos partes:

- Firmware assembler and disassembler
- Frontline para envío de comandos: sincronizar con el maestro, sniffar tramas, ...

En principio, BTSniff sólo funciona con adaptadores USB Bluetooth con chipset CSR.

La otra noticia es que BTCrack ya dispone de versión para Linux, aunque aún no se ha hecho pública. Supongo que con la publicación de BTSniff, Zoller no hubiera tardado en hacer pública también esa versión y rematar la exclusiva en seguridad Bluetooth, si no fuera por la reciente ley §202C StGB que acaba de aprobarse en Alemania y que prohibe la distribución de herramientas que pueden ser utilizadas con fines de hacking.

Gracias a estos dos avances, el sniffing de comunicaciones Bluetooth está más cerca de ser una realidad (no un simple PoC) y estar al alcance de cualquiera. (Aunque, ¿eso es bueno?). En cualquier caso, la nueva especificación 2.1 de Bluetooth que acaba de ser publicada por el SIG introduce algunas mejoras en seguridad supuestamente dirigidas a evitar el sniffing de las comunicaciones Bluetooth. No obstante, de aquí a que la especificación 2.1 domine el mercado de los teléfonos móviles aún quedan años de diversión :)

¿Y para qué sirve todo esto? Diréis lo no iniciados en seguridad Bluetooth...

Os cuento: Gracias a BTSniff, un atacante podrá sincronizarse con el maestro de una piconet y sniffar las tramas transmitidas durante una comunicación Bluetooth con otro dispositivo. Lo interesante sería llevarlo a cabo durante el emparejamiento de dos dispositivos Bluetooth. Capturando estas tramas, el atacante tendría acceso a las keys generadas en el proceso de emparejamiento y podría obtener la clave de enlace Bluetooth a partir de las mismas con ayuda de BTCrack. Con la clave de enlace en su poder, el dispositivo atacante podría acceder de forma transparente a cualquiera de los dos dispositivos suplantando la BD_ADDR del otro dispositivo y utilizando la clave de enlace crackeada. El acceso transparente implica poder conectarse a cualquier perfil del dispositivo objetivo saltándose los mecanismos de seguridad de Bluetooth de autenticación y autorización, tal y como se explica en el ataque Blue MAC Spoofing. Las posibilidades: muy "interesantes"... como el acceso a los comandos AT (realizar llamadas de teléfono, gestión de la agenda de contactos, gestión de mensajes SMS, ...) o el acceso al servicio OBEX para el robo de archivos del teléfono móvil.

Ya era hora de que apareciese alguna novedad en el mundo de la seguridad Bluetooth, después de que la cosa haya estado parada durante un año. ¡Buenas noticias!

Saludos

Fuente: http://elblogdegospel.blogspot.com/2007/08/avances-en-sniffing-bluetooth.html

Esnifando redes conmutadas[arp spoof + MitM + Sniffer sobre SSL]

SNIFFEANDO REDES CONMUTADAS

ARP SPOOFING + ENVENENAMIENTO DE CACHE + MAN IN THE MIDDLE + HTTPS

Un poco de Teoría para entender lo que hacemos.

Que es un Switch?

Es un dispositivo de interconexión de redes que opera en la capa 2 (nivel de enlace de datos) del modelo OSI de ISO (a diferencia del HUB que opera en la capa 1 [Nivel Físico]).

Qué función tiene un switch?
Interconectar los ordenadores de la red como otros segmentos de la misma, enviando los datos de un segmento a otro o de un equipo a otro dirigiéndose por la Dirección MAC.

Ahora un ejemplo más sencillo.

Funcionamiento HUB

El escenario:
Una PC origen que es la que emite el mensaje, un HUB, una PC 1, una PC 2 y una PC 3.

La PC origen emite el mensaje “Hola PC 2”, el HUB la recibe y envía el mensaje a TODAS las PC’s en la red, pero como el mensaje estaba dirigido para la PC 2, solo esta le responde, el HUB toma la respuesta y la envía a PC origen.

Como verán esto no es nada seguro, ya que todas las PC’s de la red reciben el mensaje y este mensaje se envía en texto plano.

Funcionamiento Switch

El escenario:
Una PC origen MAC FF:FF:FF:FF:FF:FF que es la que emite el mensaje, un Switch, una PC 1 MAC AA:AA:AA:AA:AA:AA , una PC 2 MAC BB:BB:BB:BB:BB:BB y una PC 3 MAC CC:CC:CC:CC:CC:CC.

La PC origen MAC FF:FF:FF:FF:FF:FF emite el mensaje “Hola PC 2 con MAC BB:BB:BB:BB:BB:BB” , el Switch la recibe, identifica la MAC en su tabla de direcciones y envía el mensaje directamente a la PC2 con la MAC BB:BB:BB:BB:BB:BB y esta le responde, el Switch toma la respuesta y la envía a PC origen.

*Esto esta explicado a MUY grandes rasgos, sin entrar en tecnicismos y terminología que sería muy difícil de entender si no tienen muchos conocimientos técnicos.

Que es ARP?

Es el Protocolo de Resolución de Direcciones (Address Resolution Protocol) que operan en la capa 3 (nivel de red) del modelo OSI de ISO, esta capa es la encargada de proporcionar conectividad y seleccionar la ruta entre dos equipos de la red.

Qué función tiene el protocolo ARP?
Es el encargado de encontrar la MAC de una dirección IP basándose en envió de paquetes ARP request al broadcast de la dirección IP y espera la respuesta ARP reply con la MAC que le corresponde a dicha IP.

Para más información sobre este protocolo consultar su RFC http://www.faqs.org/rfcs/rfc826.html

Un ejemplo más sencillo:

Funcionamiento ARP.
ARP pregunta al broadcast por medio de un ARP request
ARP request [Quien tiene la IP 192.168.1.1, el que la tenga mándeme su MAC]
El equipo con la dirección IP 192.168.1.1 responde.
ARP reply [Yo la tengo, mi dirección MAC es FF:FF:FF:FF:FF:FF]

De esta manera ya podremos establecer la comunicación directa entre estos dos Hosts

* Esto esta explicado a MUY grandes rasgos, sin entrar en tecnicismos y terminología que sería muy difícil de entender si no tienen muchos conocimientos técnicos.


Que es el HTTPS?

Es el Protocolo Seguro de Transferencia de Hipertexto, es decir que toda la información que viaja a través de ese protocolo utiliza un cifrado SSL para crear un canal de comunicación seguro que empieza con 128bits de encriptación y a diferencia del HTTP que utiliza el puerto 80 para ponerse a la escucha de manera predeterminada, este opera en el 443.

Entonces si el Switch trabaja basándose en **PUERTO/MAC, el ARP nos da la MAC a partir del IP de origen y el HTTPS encripta toda la comunicación, como podremos sniffear SSL en una red conmutada?

**Puerto Fisico de Switch. rlz averno :P

Entrando en Materia ; ).

Lo que no se dijo del protocolo ARP.

Siguiendo el ejemplo del funcionamiento del ARP vemos que cada vez que tengamos que realizar una comunicación con un equipo dentro de la red, tendríamos que hacer todo ese proceso y esto aumenta el tráfico de la red, ahora como solucionamos esto? Con las TABLAS ARP.


Las tablas contienen información de la dirección IP y la MAC de la siguiente forma.

(http://img295.imageshack.us/img295/3456/arpox5.png)

La tabla realiza la función de un cache, de esta manera si hay necesidad de comunicarse de nuevo con el mismo equipo, no tendría que realizarse todo el proceso de ARP request/ARP reply, solo tendremos que ver en nuestra tabla la IP para saber a que MAC está asociada, y es ahí en donde radica la vulnerabilidad y el corazón de este ataque.


Escenario:

Un Router + Gateway , PC Atacante y PC Victima

PC Atacante
IP: 192.168.1.65
MAC: 00:13:E8:5B:C1:69

PC Victima
IP: 192.168.1.66
MAC: 00:19:D1:AA:AF:20

Router/Gateway
IP: 192.168.1.254
MAC: 00:1E:C7:A4:1B:49

Planteamiento:

Envenenamos la Tabla ARP de PC Victima para hacerle creer que la IP del Router/Gateway corresponde a la MAC del PC Atacante, de esta manera toda la comunicación que establecía PC Victima con Router/Gateway, pasa primero por PC Atacante y después es reenviada a Router/Gateway. Esto se logra enviando ARP reply a PC Victima para agregar una entrada falsa.


Tabla ARP de PC Victima estado Normal:
__________________________________________________________
| Dirección IP | Dirección física |Tipo |
| 192.168.1.254 | 00-1e-c7-a4-1b-49 |dinámico |
|192.168.1.65 | 00-13-e8-5b-c1-69 |dinámico |

Como podrán ver se ve la dirección IP del Router/Gateway y su correspondiente MAC, esto es en un escenario donde la comunicación se realiza sin ninguna intervención de la misma.

Ahora realizamos la técnica de ARP Spoofing para envenenar la Tabla ARP de PC Victima quedando de la siguiente manera.

__________________________________________________________
| Dirección IP | Dirección física |Tipo |
| 192.168.1.254 | 00-13-e8-5b-c1-69 |dinámico |
|192.168.1.65 | 00-13-e8-5b-c1-69 |dinámico |


Como podemos ver ahora la MAC del Router /Gateway ha sido suplantada por la MAC del PC Atacante, de esta manera logramos interceptar toda la información, ya que a partir de este punto la PC Victima estaría enviando el paquete a PC Atacante y este lo reenviar a Router/Gateway, pero que pasa con la información que Router/Gateway regresa a PC Victima?, pues como la Cache de la Tabla ARP del Router/Gateway no está envenenada, esta pasaría directamente a PC Victima, dejándonos fuera de la jugada en cuanto a la respuesta de la petición realizada por PC Victima a Router/Gateway, Para hacer esto transparente podríamos envenenar las Tablas ARP del Router/Gateway a este proceso se le llama Full Poisoning, de no hacerlo seria un Half Poisoning.

Llegando de esta manera a realizar otra técnica llamada Man in the Middle, que consiste en, como su nombre lo indicar, estar en medio de la comunicación entre PC Victima y Router/Gateway.

Llevando lo aprendido a la práctica.

Ahora que ya conocemos, entendemos y comprendemos todo el proceso de comunicación que se realiza de manera transparente para un usuario “mortal” xDDD en una red y que ya tenemos el escenario y el planteamiento es hora de ir a la práctica.

Herramientas a Utilizar
Sistema Operativo Linux, su distro favorita ;)
La suit de herramientas Dsniff
SSLDump
Wireshark

Preparando el entorno.

Para poder instalar el Dsniff es necesario contar con los paquetes necesarios, para ver la lista completa no olviden leer el “redme” del Dsniff.

Ahora ya con el Dsniff instalado, habilitaremos el reenvío de paquetes a través de nuestro equipo, esto lo hacemos con el siguiente comando.

(http://img295.imageshack.us/img295/9113/echozd9.png)

Ahora crearemos un fichero llamada gmail.hosts con el siguiente contenido:
IP_ATACANTE *.gmail.com
IP_ATACANTE *.google.com

Siguiendo nuestro escenario nuestro fichero gmail.hosts debería de quedar así.

(http://img258.imageshack.us/img258/8199/hostsrx8.png)

Realizando el Ataque.

Lanzado dnsspoof:

Dnsspoof junto con el fichero gmail.hosts que creamos previamente nos permite hacer que cualquier petición del PC Victima para gmail sea truqueada y en realidad mande la conexión a PC Atacante.

(http://img201.imageshack.us/img201/6293/dnsspoofir4.png)

Ahora utilizamos el webmitm con el parámetro –d para ver todo (vamos como si fuera un verbose), al no tener un certificado, webmitm creara uno para nosotros, y este será el que la victima vea en su navegador, este mismo nos servirá posteriormente para descifrar el trafico SSL generado.

Para echar a andar el webmitm lo hacemos de la siguiente forma:
Webmitm –d
Esto hará que nos cree el certificado como se muestra abajo.

(http://img383.imageshack.us/img383/7163/webmitmzj6.png)

Ahora utilizaremos la herramienta arpspoof que es parte de la suit de Dsniff.

(http://img137.imageshack.us/img137/8866/arpspoof1ps7.png)

Entendiendo que:
El parámetro –i indica la interface de red que utilizaremos para llevar a cabo este ataque.
El parámetro –t indica que envenene la Cache de la Tabla ARP del PC Victima creando una entrada falsa para el Router/Gateway; el orden es importante y es el siguiente –t IP_PC_VICTIMA [espacio] IP_ROUTER/GATEWAY.
De esta manera que intervenido el trafico que se dirige desde PC Victima a Router/Gateway

Ahora lo realizaremos a la inversa, para lograr que el trafico de respuesta de Router/Gateway pasa primero por nosotros y de esta manera está realizando la técnica Man in the Middle que es lo mismo que un Full Poisoning o Full Routing.

(http://img132.imageshack.us/img132/6355/arpspoof2wv2.png)

Entendiendo que:
El parámetro –i indica la interface de red que utilizaremos para llevar a cabo este ataque.
El parámetro –t indica que envenene la Cache de la Tabla ARP de Router/Gateway creando una entrada falsa para PC Victima; el orden es importante y es el siguiente –t IP_ROUTER/GATEWAY [espacio] IP_PC_VICTIMA.

De esta manera que intervenido el trafico que se dirige desde Router/Gateway a PC Victima.

Veamos cómo debería de quedar la Cache de la Tabla ARP de la PC Victima.

(http://img230.imageshack.us/img230/2267/victimavw3.png)


Como podemos ver la dirección física (MAC) es la misma para 192.168.1.62 (PC Atacante) como para 192.168.1.254 (Router/Gateway)

Realizando esto en ambos sentidos (PC Victima -> Router/Gateway) y (Router/Gateway ->PC Victima) tendríamos las envenenada la Chache de las tablas ARP de ambos equipos y por lo consiguiente la información de PC Victima a Router/Gateway y viceversa estarían pasando por PC Atacante logrando un Man in the Middle.

Logrando esto, ya tenemos la mitad del trabajo realizado, ahora faltaría lo demás… pero que es lo demás ¿??? La pregunta correcta es que quieren hacer con ese tráfico que pasa por su equipo? (PC Atacante), las posibilidades son muchas, desde IPSPOOFING para ganar acceso a Equipos protegidos que aceptan solo conexiones de determinada IP, Firewalls, Proxy, como sniffear Contraseñas, Ver que es lo que navega la PC Victima(Si así es VER, esto se lo debemos de agradecer a webspy que es parte de la suit de Dsniff) pero bueno esto es harina de otro costal, lo que nos interesa es Sniffear el trafico SSL ( vamos si ocultan algo es porque ha de ser bueno no creen ¿? :P).

Atacando al eslabón más débil.

Como siempre la cadena se rompe por el eslabón más débil, el usuario final y poco capacitado.

Todo el tráfico de PC Victima a Router/Gateway pasa por PC Atacante, eso ya lo tenemos claro, pero y el trafico SSL ¿? Si analizamos solo así este tráfico solo veríamos la encriptación del mismo, no en texto plano, y entonces las contraseñas de Hotmail y Gmail ¿?

Para lograr esto utilizaremos webmitm en combinación con wireshark, webmitm es parte de la misma suit, webmitm funciona como un proxy tranparente que captura las peticiones del PC Victima y las reenvía al sitio web, el sitio web devuelve la información a webmitm y este lo reenvía a PC Victima mientras Wireshark captura todo ese tráfico.

Ahora que ya tenemos todo corriendo solo falta empezar la captura con Wireshark, recuerden que todo tiene que estar con privilegios de root.

Abrimos el Wireshark vamos a Capture->Options y ahí configuramos según nuestras necesidades. Después solo de damos en START y empezará a capturar todo el tráfico.

(http://img137.imageshack.us/img137/1098/wiresharkym1.png)


Ahora solo esperar a que PC Victima se dirija a Gmail.com para poder capturar sus credenciales, descifrar el tráfico y poder firmarnos en el servidor de Gmail como si fuéramos PC Victima.

Cuando PC Victima se dirija a Gmail.com en la consola donde se ejecuta el webmitm nos mostrara lo siguiente:

(http://img118.imageshack.us/img118/4871/webmitmiavn6.png)

Ahora solo tendremos que “descifrar” el tráfico capturado y aquí es donde entra SSLDump.

Para lanzar SSLDump es de la siguiente forma.

ssldump –r ssl.cap –k webmitm.crt –d > ssl.txt

Entendiendo que:
El parámetro –r indica que lea los datos de un fichero, en nuestro caso la captura “ssl.cap”
El parámetro –k es la “llave” con la que generamos esa captura
El parámetro –d es para decodificar el trafico


Ahora veremos el fichero ssl.txt y veremos las credenciales del usuario en texto plano ;)

*Abreviado por tener un output muy grande.

New TCP connection #1: desktop(2475) <-> sistemas(80)
0.0142 (0.0142) C>S
---------------------------------------------------------------
GET /mail/ HTTP/1.1
Host: mail.google.com
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; es-ES; rv:1.9.0.1) Gecko/2008070208 Firefox/3.0.1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: es-es,es;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Cookie: S=gmail=c1jq-zsTh-XXXXXXXXX-dA6w:gmail_yj=XXXXXXXXXXXXXXXXXXX:gmproxy=TCm_iMlLob8:gmproxy_yj=H7biGN-MngA:gmproxy_yj_sub=WRmLGyuZGTI; PREF=ID=XXXXXXXXXX:TM=1217277715:LM=1XXXXXX1:GM=1:S=vNEaY-XXXXXXXXXXXXX; TZ=300; GMAIL_RTT=1455
--------------------------------------------------------------------

ltmpl=default&ltmplcache=2&continue=https%3A%2F%2Fmail.google.com%2Fmail%2F%3F&service=mail&rm=false&ltmpl=default&ltmpl=default&Email=ESTEES.ELEMAIL&Passwd=PASSWORD&rmShown=1&signIn=Acceder&asts=


Como podrán ver es un ataque que se lleva a cabo en cuestión de minutos.

*Esta no es una guía definitiva ni pretender serlo; si encuentran algún error por favor notifíquenmelo para hacer las correcciones adecuadas ;P – Pueden distribuirlo libremente siempre y cuando no sea removido el autor.

______________________
Alejandro Pereira Gamboa
IT Manager
apereira@i-sec.com.mx


* Descarga en PDF

http://rapidshare.com/files/134800611/SNIFFEANDO_REDES_CONMUTADAS.pdf.html (http://rapidshare.com/files/134800611/SNIFFEANDO_REDES_CONMUTADAS.pdf.html)

fuente: http://foro.elhacker.net/printpage.html;topic=223015.0