Ortadaki adama karşı koruma. Ortadaki adam (MitM) saldırılarının tespiti. Devam sadece üyelere açıktır

Bu yazımızda ortadaki adam saldırılarının teorisini ve bu tür saldırıları engellemeye yardımcı olacak bazı pratik noktaları anlamaya çalışacağız. MitM saldırıları iletişimlerimize izinsiz girmemize ve konuşmalarımızı gizlice dinlememize izin verdiği için bu, bu tür izinsiz girişlerin gizliliğimize yönelik oluşturduğu riski anlamamıza yardımcı olacaktır.

İnternetin nasıl çalıştığını anlamak

Ortadaki adam saldırısının ilkesini anlamak için öncelikle İnternet'in nasıl çalıştığını anlamakta fayda var. Ana etkileşim noktaları: istemciler, yönlendiriciler, sunucular. İstemci ve sunucu arasındaki en yaygın iletişim protokolü Köprü Metni Aktarım Protokolü'dür (HTTP). Bir tarayıcı, e-posta, anlık mesajlaşma kullanarak internette gezinmek - bunların tümü HTTP aracılığıyla yapılır.

Tarayıcınızın adres çubuğuna yazdığınızda, istemci (siz) sunucuya bir web sayfasını görüntüleme isteği gönderir. Paket (HTTP GET isteği) birkaç yönlendirici aracılığıyla sunucuya iletilir. Sunucu daha sonra istemciye gönderilen ve monitöründe görüntülenen bir web sayfasıyla yanıt verir. Gizlilik ve anonimliğin sağlanması için HTTP mesajlarının güvenli bir şekilde iletilmesi gerekir.

Şekil 1. İstemci-sunucu etkileşimi

İletişim Protokolünün Güvenliğini Sağlama

Güvenli bir iletişim protokolü aşağıdaki özelliklerin her birine sahip olmalıdır:

1. Mahremiyet- mesajı yalnızca hedeflenen alıcı okuyabilir.
2. Özgünlük- etkileşimde bulunan tarafların kimliğinin kanıtlanması.
3. Bütünlük- mesajın aktarım sırasında değiştirilmediğine dair onay.

Bu kurallardan herhangi birine uyulmazsa tüm protokol tehlikeye girer.

HTTP protokolü aracılığıyla ortadaki adam saldırısı

Bir saldırgan, ARP sahtekarlığı adı verilen bir tekniği kullanarak ortadaki adam saldırısını kolaylıkla gerçekleştirebilir. Wi-Fi ağınızdaki herhangi biri size sahte bir ARP paketi gönderebilir ve bu da farkında olmadan tüm trafiğinizi yönlendiriciniz yerine saldırgan üzerinden göndermenize neden olabilir.

Bundan sonra saldırgan trafik üzerinde tam kontrole sahip olur ve her iki yönde gönderilen istekleri izleyebilir.

Şekil 2. Ortadaki adam saldırı modeli

Bu tür saldırıları önlemek için HTTP protokolünün güvenli bir sürümü oluşturuldu. Aktarım Katmanı Güvenliği (TLS) ve onun öncülü olan Güvenli Yuva Katmanı (SSL), bir ağ üzerinden veri iletimi için güvenlik sağlayan şifreleme protokolleridir. Bu nedenle güvenli protokole HTTPS adı verilecektir. Tarayıcınızın adres çubuğuna yazarak güvenli protokolün nasıl çalıştığını görebilirsiniz (https'deki S harfine dikkat edin).

Kötü Uygulanan SSL'ye Ortadaki Adam Saldırısı

Modern SSL iyi bir şifreleme algoritması kullanır, ancak doğru şekilde uygulanmadığı sürece bunun bir önemi yoktur. Bir bilgisayar korsanı isteği ele geçirebilirse, istenen URL'deki "S" harfini kaldırarak SSL'yi atlayarak isteği değiştirebilir.

Talebin bu şekilde ele geçirilmesi ve değiştirilmesi fark edilebilir. Örneğin, https://login.yahoo.com/ adresini talep ettiyseniz ve yanıt http://login.yahoo.com/ ise, bu durum şüphe uyandırmalıdır. Bu yazının yazıldığı sırada bu saldırı aslında Yahoo e-posta hizmetinde işe yarıyor.

Şekil 3. Müdahale ve değişiklik talebi

Bu tür bir saldırıyı önlemek için sunucular, HTTPS protokolü üzerinden zorunlu güvenli bağlantı sağlayan bir mekanizma olan HTTP Sıkı Aktarım Güvenliği'ni (HSTS) uygulayabilir. Bu durumda, saldırgan URL'den "S" harfini kaldırarak isteği değiştirirse, sunucu yine de kullanıcıyı 302 yönlendirmesiyle güvenli protokole sahip bir sayfaya yönlendirecektir.

Şekil 4. HSTS çalışma şeması

SSL'nin bu şekilde uygulanması başka bir saldırı türüne karşı savunmasızdır; saldırgan, sunucuyla bir SSL bağlantısı oluşturur, ancak kullanıcıyı HTTP kullanmaya zorlamak için çeşitli hileler kullanır.

Şekil 5. HSTS saldırı düzeni

Bu tür saldırıları önlemek için Chrome, Firefox ve Tor gibi modern tarayıcılar, HSTS kullanan siteleri izler ve SSL yoluyla bu sitelere istemci tarafı bağlantı kurulmasını zorlar. Bu durumda ortadaki adam saldırısı gerçekleştiren saldırganın kurbanla SSL bağlantısı kurması gerekecektir.

Şekil 6. Saldırganın kurbanla SSL bağlantısı kurduğu saldırı modeli

Bir kullanıcıya SLL bağlantısı sağlamak için saldırganın sunucu gibi davranmayı bilmesi gerekir. SSL'nin teknik yönlerini anlayalım.

SSL'yi Anlamak

Bir bilgisayar korsanının bakış açısına göre, herhangi bir iletişim protokolünden ödün vermek, yukarıda listelenen bileşenler (gizlilik, özgünlük ve bütünlük) arasındaki zayıf halkayı bulmak anlamına gelir.

SSL asimetrik bir şifreleme algoritması kullanır. Simetrik şifrelemenin sorunu, verileri şifrelemek ve şifreyi çözmek için aynı anahtarın kullanılmasıdır, bu yaklaşım İnternet protokolleri için geçerli değildir çünkü bir saldırgan bu anahtarı izleyebilir.

Asimetrik şifreleme, her iki taraf için 2 anahtar içerir: şifreleme için kullanılan genel anahtar ve verilerin şifresini çözmek için kullanılan özel anahtar.

Şekil 7. Genel ve özel anahtarların çalışması

SSL, güvenli iletişim için gereken üç özelliği nasıl sağlar?

1. Verileri şifrelemek için asimetrik şifreleme kullanıldığından, SSL özel bir bağlantı sağlar. Bu şifrelemenin kırılması ve tespit edilememesi o kadar kolay değildir.
2. Sunucu, istemciye bir sertifika yetkilisi (güvenilir bir üçüncü taraf) tarafından verilen bir SSL sertifikası göndererek meşruluğunu doğrular.

Saldırgan bir şekilde sertifikayı almayı başarırsa ortadaki adam saldırısına kapı açabilir. Böylece sunucuyla ve kurbanla olmak üzere 2 bağlantı oluşturacaktır. Bu durumda sunucu, saldırganın sıradan bir istemci olduğunu düşünür ve kurbanın, sunucu olduğunu kanıtlayan bir sertifika sağladığı için saldırganı tanımlamasının hiçbir yolu yoktur.

Mesajlarınız şifrelenmiş biçimde gelir ve ulaşır, ancak siber suçlunun bilgisayarında tam kontrole sahip olduğu bir zincir takip eder.

Şekil 8. Saldırganın sertifikası varsa saldırı düzeni

Saldırganın kurbanın tarayıcısının güvenliğini aşma olanağı varsa sertifikanın sahte olmasına gerek yoktur. Bu durumda, varsayılan olarak güvenilecek olan kendinden imzalı bir sertifika ekleyebilir. Ortadaki adam saldırılarının çoğu bu şekilde gerçekleştirilir. Daha karmaşık durumlarda, bilgisayar korsanının farklı bir yol izlemesi gerekir; sertifikanın sahtesini yapmak.

Sertifika Yetkilisi Sorunları

Sunucu tarafından gönderilen sertifika, bir sertifika yetkilisi tarafından verilmiş ve imzalanmıştır. Her tarayıcının güvenilir sertifika yetkililerinin bir listesi vardır ve bunları ekleyebilir veya kaldırabilirsiniz. Buradaki sorun, büyük otoriteleri kaldırmaya karar verirseniz, bu otoriteler tarafından imzalanan sertifikaları kullanan siteleri ziyaret edememenizdir.

Sertifikalar ve sertifika yetkilileri her zaman HTTPS bağlantısındaki en zayıf halka olmuştur. Her şey doğru şekilde uygulanmış olsa ve her sertifika yetkilisinin sağlam bir yetkisi olsa bile, birçok üçüncü tarafa güvenmeniz gerektiği gerçeğini kabullenmek yine de zordur.

Bugün sertifika verme kapasitesine sahip 650'den fazla kuruluş bulunmaktadır. Eğer bir saldırgan bunlardan herhangi birini hacklerse istediği sertifikaları alacaktır.

Yalnızca tek bir sertifika yetkilisi olan VeriSign varken bile bir sorun vardı; ortadaki adam saldırılarını önlemesi gereken kişiler müdahale hizmetleri satıyordu.

Ayrıca sertifika yetkililerinin hacklenmesi nedeniyle birçok sertifika oluşturuldu. Hedeflenen kullanıcıyı sahte sertifikalara güvenmeye ikna etmek için çeşitli teknikler ve hileler kullanıldı.

Adli

Saldırgan sahte ARP paketleri gönderdiği için saldırganın IP adresi görülemez. Bunun yerine ağdaki her cihaza özel olan MAC adresine dikkat etmeniz gerekiyor. Yönlendiricinizin MAC adresini biliyorsanız, bunun gerçekten yönlendiriciniz mi yoksa bir saldırgan mı olduğunu öğrenmek için bunu varsayılan ağ geçidinin MAC adresiyle karşılaştırabilirsiniz.

Örneğin, Windows'ta, varsayılan ağ geçidi IP adresinizi (son satır) görmek için Komut İstemi'ndeki (CMD) ipconfig komutunu kullanabilirsiniz:

Şekil 9. ipconfig komutunu kullanma

Daha sonra bu ağ geçidinin MAC adresini bulmak için arp –a komutunu kullanın:

Şekil 10. arp –a komutunu kullanma

Ancak saldırıyı fark etmenin başka bir yolu daha var; saldırının başladığı sırada ağ etkinliğini izliyorsanız ve ARP paketlerini izliyorsanız. Örneğin Wireshark'ı bu amaçla kullanabilirsiniz, bu program varsayılan ağ geçidinin MAC adresi değiştiğinde sizi bilgilendirecektir.

Not: Saldırgan MAC adreslerini doğru bir şekilde taklit ederse, onu takip etmek büyük bir sorun haline gelecektir.

Çözüm

SSL, saldırganı saldırı gerçekleştirmek için birçok iş yapmaya zorlayan bir protokoldür. Ancak sizi devlet destekli saldırılardan veya yetenekli bilgisayar korsanlığı kuruluşlarından korumaz.

Kullanıcının görevi, sahte bir sertifikanın eklenmesini önlemek için tarayıcısını ve bilgisayarını korumaktır (çok yaygın bir tekniktir). Ayrıca güvenilir sertifikalar listesine dikkat etmeye ve güvenmediklerinizi kaldırmaya değer.

MTProto, şu anda savunmasız mobil iletişimlerde güvenilirlik ve büyük dosyaların (örneğin, 1 GB boyutuna kadar fotoğraf, video ve belgeler) tesliminde hız sağlamak için orijinal bir yöntem kullanır. Bu belge, sistemimizin detaylarını ve ilk bakışta anlaşılması zor olabilecek adres unsurlarını açıklığa kavuşturmak amacıyla hazırlanmıştır.

Ayrıntılı protokol belgelerini bu sayfada bulabilirsiniz. Sorularınız varsa yazın heyecan.

Not: MTProto aracılığıyla şifrelenen her mesaj, sistemi bilinen sorunlara karşı güvenli hale getirmek için şifre çözme sırasında kontrol edilecek olan her zaman aşağıdaki verileri içerir:

• oturum tanımlayıcı - oturum kimliği;
• mesaj uzunluğu - mesaj uzunluğu;

Not 2: Kullanımla ilgili ek yorumlara bakın ve değiştirilmişşeması.

Neden X'i [seçeneğiniz] kullanmıyorsunuz?

Aynı kriptografik hedeflere ulaşmanın başka yolları da şüphesiz mevcut olsa da, mevcut çözümün hem güvenilir olduğuna hem de teslimat hızı ve istikrar açısından güvenli olmayan mesajlaşma programlarından daha iyi performans gösterme yönündeki ikincil hedefimizde başarılı olduğuna inanıyoruz.

Neden klasik kriptoalgoritmalara güveniyorsunuz?

Bant genişliği ve işlem gücünün nadir bir ikili olduğu günlerde oluşturulan iyi bilinen algoritmaları kullanmayı tercih ediyoruz. Günümüzün mobil cihazlara yönelik uygulamaların geliştirilmesinde önemli bir etkiye sahip olan ve yazarlarını bilinen eksikliklerden kurtulmaya zorlayan da bu algoritmalardır. Bu tür algoritmaların zayıf yönleri de iyi biliniyor ve saldırganlar tarafından onlarca yıldır istismar ediliyor. Bu algoritmaları bu uygulamada kullanıyoruz çünkü bize göre bilinen herhangi bir saldırıyı başarısızlığa uğratıyorlar. Ancak sistemimizi iyileştirmek amacıyla aksi yönde herhangi bir kanıt görmekten (şu ana kadar böyle bir durum yaşanmamıştır) memnuniyet duyarız.

Ben bir güvenlik uzmanıyım ve protokolünüzün güvenli olmadığına inanıyorum.

Yarışmamıza katılabilirsiniz: Pavel Durov, MTProto'yu hackleyen ilk kişiye 200.000 $ Bitcoin teklif ediyor. Duyuru ve Yarışma SSS'sini okuyabilirsiniz. Başka yorumlarınız varsa bunları duymaktan memnuniyet duyarız. [e-posta korumalı].

Bilinen saldırılara karşı koruma

Bilinen Düz Metin Saldırıları

Tanım gereği, düz metin saldırısı, saldırganın metnin hem şifrelenmiş hem de düz metin versiyonlarına sahip olduğu bir tür kriptanaliz saldırısıdır. MTProto'da kullanılan AES IGE bu tür saldırılara karşı dayanıklıdır. Ayrıca MTProto'daki düz metin her zaman sunucu tuzunu ve oturum kimliğini içerir.

Uyarlanabilir Düz Metin Saldırısı

Tanım olarak, uyarlanabilir düz metin saldırısı, kriptanalizde kriptanalistin bir düz metin seçip karşılık gelen şifreli metni elde etmesini içeren bir tür saldırıdır. MTProto, bu tür saldırılara karşı güvenli olan IGE modunda AES kullanır. IGE'nin blok bazında uyarlanabilir saldırılara karşı savunmasız olduğu biliniyor ancak MTProto bunu aşağıda açıklandığı şekilde düzeltiyor. Şifrelenecek her düz metin mesajı, şifre çözme sırasında doğrulanan aşağıdaki verileri içerir:

• sunucu tuzu (64-Bit);
• mesaj sıra numarası;
• mesajın gönderildiği zaman - zaman.

Ayrıca, düz metni değiştirmek için, auth_key'e bağlı olan doğru AES anahtarını ve başlatma vektörünü de kullanmanız gerekir. Bu, MTProto'yu uyarlanabilir düz metin saldırılarına karşı dirençli hale getirir.

Eşleşen Şifreli Metin Saldırıları

Tanıma göre, seçilmiş bir şifreli metin saldırısı, bir kriptanalistin şifreli metni seçip bilinmeyen bir anahtarla şifresini çözerek şifre hakkında bilgi topladığı bir kriptografik saldırıdır. Bu tür bir saldırıda saldırgan, bilinen bir veya daha fazla şifreli metni sisteme girerek düz metinleri elde edebilir. Saldırgan bu verileri kullanarak şifre çözme için kullanılan anahtarı kurtarmayı deneyebilir. MTProto'da, bir mesajın şifresi her çözüldüğünde, msg_key'in şifresi çözülen verinin SHA-1'iyle eşleştiğinden emin olmak için bir kontrol yapılır. Düz metin (şifresi çözülmüş veri) ayrıca her zaman mesajın uzunluğu, sıra numarası ve sunucu tuzu hakkında bilgi içerir. Bu, seçilen şifreli metne dayalı saldırıları ortadan kaldırır.

Tekrar saldırıları

Her düz metin mesajının bir sunucu tuzu, benzersiz bir mesaj kimliği ve bir sıra numarası içermesi nedeniyle tekrar saldırıları mümkün değildir.

Ortadaki Adam (MitM) saldırısı

Telegram'ın iki iletişim modu vardır: istemci-sunucu şifrelemesini kullanan normal sohbetler ve uçtan uca şifrelemeyi kullanan ve ortadaki adam saldırılarına karşı korunan gizli sohbetler. Diffie-Hellman anahtar üretimi sırasında istemci ve sunucu arasındaki veri aktarımı, Telegram istemcilerinde yerleşik olarak bulunan RSA genel anahtar algoritması sayesinde bu tür saldırılara karşı korunur. Bundan sonra muhatapların istemcileri sunucunun yazılımına güvenirse, aralarındaki gizli sohbetler sunucu tarafından ortadaki adam saldırılarına karşı korunur. Özellikle olanlar için Olumsuz sunucuya güveniyor, uygulamada gizli kodların bir karşılaştırması mevcut. Anahtarlar görüntüler olarak görselleştirilir. Kullanıcılar görselleştirilmiş anahtarları karşılaştırarak ortadaki adam saldırısının gerçekleşmediğini doğrulayabilir.

Şifreleme

IGE'yi kullanıyor musunuz? Hacklendi!

Evet, IGE kullanıyoruz, ancak uygulamamızda her şey yolunda. IGE'yi sistemimizin diğer unsurlarıyla birlikte MAC ile aynı şekilde kullanmamamız, IGE'yi hackleme girişimlerini anlamsız hale getiriyor. IGE, tıpkı yaygın şifreli metin blok zincirleme (CBC) modu gibi, blok bazında uyarlanabilir saldırılara karşı hassastır. Ancak uyarlanabilir saldırılar yalnızca aynı anahtarın birden fazla mesajda kullanılması durumunda bir tehdittir (durum böyle değildir).

Uyarlanabilir saldırılar MTProto'da teorik olarak bile imkansızdır, çünkü mesajların şifresini çözmek için mesaj anahtarı içeriğine bağlı olduğundan ilk önce ikincisinin tam olarak yazılması gerekir. Uyarlanabilir olmayan CPA saldırılarına gelince, IGE de tıpkı CBC gibi bunlardan korunmaktadır.

İstenilen sonucu elde etmenin neredeyse her zaman birkaç yolu vardır. Bu aynı zamanda bilgi güvenliği alanı için de geçerlidir. Bazen bir hedefe ulaşmak için kaba kuvvet kullanabilir, açıkları arayabilir ve istismarları kendiniz geliştirebilir veya ağ üzerinden iletilenleri dinleyebilirsiniz. Üstelik son seçenek çoğu zaman optimaldir. Bu nedenle bugün MITM saldırılarını kullanarak bizim için değerli olan bilgileri ağ trafiğinden yakalamamıza yardımcı olacak araçlardan bahsedeceğiz.

MITMf

En ilginç adaylardan biriyle başlayalım. Bu, sergio-proxy temelinde inşa edilmiş, ortadaki adam saldırılarını gerçekleştirmek için tam bir çerçevedir. Son zamanlarda Kali Linux'a dahil edildi. Kendiniz yüklemek için depoyu klonlamanız ve birkaç komutu çalıştırmanız yeterlidir:

# setup.sh # pip kurulumu -r gereksinimleri.txt

Eklentiler aracılığıyla genişletilebilen bir mimariye sahiptir. Başlıcaları arasında şunlar yer almaktadır:

• Sahtekarlık - ARP/DHCP sahtekarlığını kullanarak trafiği yeniden yönlendirmenize, ICMP yönlendirmelerine ve DNS isteklerini değiştirmenize olanak tanır;
• Sniffer - bu eklenti çeşitli protokoller için oturum açma girişimlerini izler;
• BeEFAutorun - işletim sistemi ve istemci tarayıcısının türüne göre BeEF modüllerini otomatik olarak başlatmanıza olanak tanır;
• AppCachePoison - önbellek zehirlenmesi saldırısı gerçekleştirir;
• SessionHijacking - oturumları ele geçirir ve ortaya çıkan çerezleri Firefly profilinde saklar;
• TarayıcıProfiler - tarayıcı tarafından kullanılan eklentilerin bir listesini almaya çalışır;
• FilePwn - HTTP aracılığıyla gönderilen dosyaları Backdoor Factory ve BDFProxy kullanarak değiştirmenize olanak tanır;
• Enjeksiyon - bir HTML sayfasına rastgele içerik enjekte eder;
• jskeylogger - istemci sayfalarına bir JavaScript keylogger yerleştirir.

Bu işlevsellik size yetersiz geliyorsa, uygun uzantıyı uygulayarak her zaman kendinizinkini ekleyebilirsiniz.

PuttyRider

Dikkate değer başka bir yardımcı program. Doğru, bugün ele alınan diğer tüm araçların aksine, çok dar bir alanda uzmanlaşmıştır. Projenin yazarının kendisinin de söylediği gibi, böyle bir yardımcı program yaratma konusunda, penetrasyon testleri sırasında en önemli verilerin, yöneticilerin SSH/Telnet/rlogin aracılığıyla bağlandığı Linux/UNIX sunucularında bulunmasından ilham almıştı. Üstelik çoğu durumda yöneticilerin makinesine erişim sağlamak, hedef sunucuya erişim sağlamaktan çok daha kolaydı. Sistem yöneticisinin makinesine girdikten sonra geriye kalan tek şey PuTTY'nin çalıştığından emin olmak ve bu aracı kullanarak saldırgana karşı bir arka köprü oluşturmaktır.

Yardımcı program yalnızca yönetici ile uzak sunucu arasındaki (şifreler dahil) "iletişimi" yakalamanıza değil, aynı zamanda belirli bir oturumda isteğe bağlı kabuk komutlarını yürütmenize de olanak tanır. Üstelik tüm bunlar kullanıcı (yönetici) için kesinlikle şeffaf bir şekilde gerçekleşecektir. Teknik detaylarla ilgileniyorsanız örneğin PuTTY'nin sürece nasıl dahil edildiği, yazarın sunumunu okumanızı tavsiye ederim.

Oldukça eski bir yardımcı program, sekiz yıldan daha uzun bir süre önce doğmuş. Çerezleri çalarak oturumları klonlamak için tasarlanmıştır. Oturumları ele geçirmek için ana bilgisayarları tespit etme (açık bir kablosuz ağa veya hub'a bağlıysa) ve ARP zehirlenmesi gerçekleştirme konusunda temel becerilere sahiptir. Tek sorun, bugün, sekiz yıl öncesinden farklı olarak, Yahoo veya Facebook gibi neredeyse tüm büyük şirketlerin SSL şifrelemesi kullanmasıdır ve bu da bu aracı tamamen işe yaramaz hale getirmektedir. Buna rağmen internette SSL kullanmayan yeterli kaynak var, bu nedenle yardımcı programı silmek için henüz çok erken. Avantajları arasında Firefox'a otomatik olarak entegre olması ve ele geçirilen her oturum için ayrı bir profil oluşturması yer alıyor. Kaynak kodu depoda mevcuttur ve aşağıdaki komut dizisini kullanarak kendiniz oluşturabilirsiniz:

# apt-get install build-essential libwxgtk2.8-dev libgtk2.0-dev libpcap-dev # g++ $(wx-config --cppflags --libs) -lpcap -o sessionthief *.cpp # setcap cap_net_raw,cap_net_admin=eip oturum hırsızı

ProxyFuzz

ProzyFuzz'ın MITM saldırılarını gerçekleştirmekle doğrudan hiçbir ilgisi yoktur. Adından da anlaşılacağı gibi araç, fuzzing için tasarlanmıştır. Bu, Python'da uygulanan ve ağ trafiği paketlerinin içeriğini rastgele değiştiren, deterministik olmayan küçük bir ağ fuzzer'ıdır. TCP ve UDP protokollerini destekler. Yalnızca bir tarafı yumuşatacak şekilde yapılandırabilirsiniz. Bazı ağ uygulamalarını (veya protokollerini) hızlı bir şekilde test etmeniz ve bir PoC geliştirmeniz gerektiğinde kullanışlı olur. Kullanım örneği:

Python proxyfuzz -l -R -P

Seçeneklerin listesi şunları içerir:

• w - fuzzing başlamadan önce gönderilen isteklerin sayısını belirtir;
• c - yalnızca istemciyi rahatsız edin (aksi takdirde her iki tarafı da);
• s - yalnızca sunucuyu bulanıklaştırın (aksi takdirde her iki taraf);
• u - UDP protokolü (aksi takdirde TCP kullanılır).

Orta

DEF CON konferansında sunulan çeşitli protokollere MITM saldırıları gerçekleştirmeye yönelik bir yardımcı program. Alfa sürümü HTTP protokolünü destekliyordu ve cephaneliğinde üç harika eklenti vardı:

• eklenti-beef.py - Yerel ağdan gelen herhangi bir HTTP isteğine Tarayıcı Kullanım Çerçevesini (BeEF) enjekte eder;
• eklenti-metasploit.py - Metasploit'ten tarayıcı açıklarını yükleyen şifrelenmemiş (HTTP) isteklere bir IFRAME yerleştirir;
• eklenti-keylogger.py - HTTPS üzerinden gönderilecek tüm metin alanları için KeyPress'e bir JavaScript olay işleyicisi yerleştirir ve tarayıcının, formun tamamı gönderilmeden önce kullanıcı tarafından girilen şifreyi karakter karakter saldırganın sunucusuna göndermesine neden olur.

Middler yalnızca ağ trafiğini otomatik olarak analiz edip içindeki çerezleri bulmakla kalmaz, aynı zamanda bunları istemciden bağımsız olarak talep eder, yani süreç maksimum düzeyde otomatikleştirilir. Program, trafiğine erişebildiği bir bilgisayar ağındaki (veya genel erişim noktasındaki) tüm korumasız hesapların toplanmasını garanti eder. Programın düzgün çalışması için sistemde şu paketlerin kurulu olması gerekmektedir: Scapy, libpcap, readline, libdnet, python-netfilter. Maalesef depo uzun süredir güncellenmedi, bu nedenle yeni işlevleri kendiniz eklemeniz gerekecek.

HTTP trafiğini etkileşimli olarak incelemenize ve değiştirmenize olanak tanıyan bir konsol yardımcı programı. Bu tür beceriler sayesinde, yardımcı program yalnızca pentester'lar/hacker'lar tarafından değil, aynı zamanda onu örneğin web uygulamalarında hata ayıklamak için kullanan sıradan geliştiriciler tarafından da kullanılıyor. Onun yardımıyla uygulamanın hangi isteklerde bulunduğu ve hangi yanıtları aldığı hakkında ayrıntılı bilgi alabilirsiniz. Ayrıca mitmproxy, bazı REST API'lerinin, özellikle de yeterince belgelenmemiş olanların işleyişine ilişkin özelliklerin incelenmesine yardımcı olabilir.

Kurulum son derece basittir:

$ sudo yetenek kurulumu mitmproxy

Mitmproxy'nin, istemciye kendinden imzalı bir sertifika vererek HTTPS trafiğini engellemenize de olanak tanıdığını belirtmekte fayda var. Trafiğin durdurulması ve değiştirilmesinin nasıl kurulacağına dair iyi bir örneği burada bulabilirsiniz.

Koklama

Bu yardımcı program genellikle duyduğunuz anda akla gelmesi gereken ilk şeylerden biridir.
"MITM saldırısı". Araç oldukça eski ancak aktif olarak güncellenmeye devam ediyor, bu da iyi bir haber. Yetenekleri hakkında ayrıntılı olarak konuşmanın bir anlamı yok, varlığının on dört yılı boyunca internette birden fazla kez yer aldı. Örneğin şöyle bir rehberde:

veya web sitemizdeki talimatlar:

Son olarak..

Her zamanki gibi tüm hizmetlere değil, yalnızca en popüler olanlara baktık; ayrıca bir gün hakkında konuşabileceğimiz pek çok az bilinen proje de var. Gördüğünüz gibi MITM saldırılarını gerçekleştirmek için araç sıkıntısı yok ve çok sık gerçekleşmeyen harika araçlardan biri Windows için uygulanıyor. Nix sistemleri hakkında söylenecek hiçbir şey yok - çok çeşitli. Bu yüzden hırsızlık için her zaman doğru aracı bulabileceğinizi düşünüyorum
diğer insanların kimlik bilgileri. Oops, yani test için.

Karşı taraflar arasındaki bir kanala bağlanan bir saldırganın iletim protokolüne müdahale ederek bilgiyi silmesi veya çarpıtması.

Saldırı prensibi

Saldırı genellikle iletişim kanalını gizlice dinlemekle başlar ve kriptanalistin ele geçirilen mesajı değiştirmeye, ondan yararlı bilgiler çıkarmaya ve onu bazı harici kaynaklara yönlendirmeye çalışmasıyla sona erer.

A nesnesinin B nesnesine bazı bilgiler aktarmayı planladığını varsayalım. Nesne C, kullanılan veri iletim yönteminin yapısı ve özelliklerinin yanı sıra C'nin ele geçirmeyi planladığı gerçek bilginin planlı iletimi gerçeği hakkında bilgiye sahiptir. Bir saldırı gerçekleştirmek için C, A nesnesine B olarak ve B nesnesine A olarak "görünür". A nesnesi, yanlışlıkla B'ye bilgi gönderdiğine inanarak onu C nesnesine gönderir. Bilgiyi alan C nesnesi, ve onunla bazı eylemler gerçekleştirir (örneğin, kendi amaçları doğrultusunda kopyalamak veya değiştirmek) verileri alıcının kendisine iletir - B; B nesnesi ise bilginin doğrudan A'dan alındığına inanıyor.

Örnek saldırı

Kötü amaçlı kod enjeksiyonu

Ortadaki adam saldırısı, bir kriptanalistin e-postalara, SQL ifadelerine ve web sayfalarına kod eklemesine (örn. SQL enjeksiyonuna, HTML/komut dosyası enjeksiyonuna veya XSS saldırılarına izin vermesine) ve hatta kullanıcı tarafından yüklenen ikili dosyaları değiştirebilmesine olanak tanır. Bir kullanıcının hesabına erişim sağlamak veya kullanıcı tarafından İnternet'ten indirilen bir programın davranışını değiştirmek.

Sürüm Düşürme Saldırısı

"Seviye Düşürme Saldırısı" terimi, bir kriptanalistin kullanıcıyı daha az güvenli işlevleri, uyumluluk nedenleriyle hala desteklenen protokolleri kullanmaya zorladığı bir saldırıyı ifade eder. Bu tür saldırılar SSH, IPsec ve PPTP protokolleri üzerinden gerçekleştirilebilmektedir.

Sürüm Düşürme Saldırısına karşı koruma sağlamak için, güvenli olmayan protokollerin en az bir tarafta devre dışı bırakılması gerekir; Güvenli protokolleri varsayılan olarak desteklemek ve kullanmak yeterli değildir!

SSH V2 yerine SSH V1

Saldırgan, sunucu ile istemci arasında bağlantı kurulduğunda aralarındaki bağlantı parametrelerini değiştirmeye çalışabilir. Blackhat Konferansı Avrupa 2003'te yapılan bir konuşmaya göre, bir kriptanalist, SSH oturumu için "1.99" sürüm numarasını "1.51" olarak değiştirerek bir istemciyi SSH2 yerine SSH1 oturumu başlatmaya "zorlayabilir"; bu, SSH V1 kullanmak anlamına gelir. . SSH-1 protokolü, bir kriptanalistin yararlanabileceği güvenlik açıklarına sahiptir.

IPsec

Bu saldırı senaryosunda kriptanalist, kurbanını IPsec oturumunun diğer uçta (sunucu) başlayamayacağını düşünerek yanıltır. Bu, ana makine geri alma modunda çalışıyorsa mesajların açıkça iletilmesine neden olur.

PPTP

PPTP oturum parametreleri üzerinde anlaşma aşamasında, saldırgan, kurbanı daha az güvenli PAP kimlik doğrulaması olan MSCHAP V1 kullanmaya (yani, MSCHAP V2'den sürüm 1'e "geri döndürme") veya şifrelemeyi hiç kullanmamaya zorlayabilir.

Saldırgan, kurbanını PPTP oturumunun parametrelerini müzakere etme aşamasını tekrarlamaya (bir Terminate-Ack paketi göndermeye), mevcut tünelden şifreyi çalmaya ve saldırıyı tekrarlamaya zorlayabilir.

Bilginin doğruluğu, gizliliği, kullanılabilirliği ve bütünlüğü korunmadan kamuya açık iletişim

Bu grup için en yaygın iletişim araçları sosyal ağ, genel e-posta hizmeti ve anlık mesajlaşma sistemidir. İletişim hizmetini sağlayan kaynağın sahibi, muhabirler arasında alınıp verilen bilgiler üzerinde tam kontrole sahiptir ve kendi takdirine bağlı olarak istediği zaman serbestçe saldırı gerçekleştirebilir.

İletişimin teknik ve teknolojik yönlerini temel alan önceki senaryolardan farklı olarak, bu durumda saldırı zihinsel yönlere, yani bilgi güvenliği gerekliliklerini göz ardı etme kavramının kullanıcıların zihnine yerleştirilmesine dayanıyor.

Şifreleme yardımcı olacak mı?

Standart bir HTTP işlemi durumunu ele alalım. Bu durumda, saldırgan orijinal TCP bağlantısını kolaylıkla iki yeni bağlantıya bölebilir: biri kendisi ile istemci arasında, diğeri ise kendisi ile sunucu arasında. İstemci ile sunucu arasındaki bağlantı çok nadiren doğrudan olduğundan ve çoğu durumda bunlar bir dizi ara sunucu aracılığıyla bağlandığından bunu yapmak oldukça kolaydır. Bu sunucuların herhangi birine MITM saldırısı gerçekleştirilebilir.

Ancak istemci ve sunucu, şifrelemeyi destekleyen bir protokol olan HTTPS kullanarak iletişim kurarsa ortadaki adam saldırısı da gerçekleştirilebilir. Bu tür bir bağlantı, istekleri şifrelemek için TLS veya SSL kullanır; bu da kanalın koklama ve MITM saldırılarına karşı korunmasını sağlar. Saldırgan her TCP bağlantısı için iki bağımsız SSL oturumu oluşturabilir. İstemci, saldırganla bir SSL bağlantısı kurar ve saldırgan da sunucuyla bağlantı kurar. Bu gibi durumlarda tarayıcı genellikle sertifikanın güvenilir bir sertifika yetkilisi tarafından imzalanmadığı konusunda uyarı verir, ancak güncelliğini kaybetmiş tarayıcıların sıradan kullanıcıları bu uyarıyı kolaylıkla atlayabilir. Ayrıca saldırganın kök sertifika yetkilisi tarafından imzalanmış bir sertifikası olabilir (örneğin, bu tür sertifikalar bazen DLP için kullanılır) ve uyarı oluşturmaz. Ayrıca HTTPS'ye yönelik çok sayıda saldırı vardır. Bu nedenle, HTTPS protokolünün sıradan kullanıcılar için MITM saldırılarına karşı korumalı olduğu düşünülemez. [ ] https sitelerine yönelik bazı MITM saldırılarını önleyen bir dizi önlem vardır; özellikle sitelerden http bağlantılarının kullanımını yasaklayan HSTS, sertifika değiştirmeyi yasaklayan Sertifika sabitleme ve HTTP Genel Anahtar Sabitleme.

MITM saldırı tespiti

Ortadaki adam saldırısını tespit etmek için ağ trafiğini analiz etmeniz gerekir. Örneğin bir SSL saldırısını tespit etmek için aşağıdaki parametrelere dikkat etmelisiniz:

• Sunucu IP adresi
• Dns sunucusu
• X.509 - sunucu sertifikası
  • Sertifika kendinden imzalı mı?
  • Sertifika bir sertifika yetkilisi tarafından imzalanmış mı?
  • Sertifika iptal mi edildi?
  • Sertifika yakın zamanda değişti mi?
  • İnternetteki diğer istemciler de aynı sertifikayı aldı mı?

MITM saldırı uygulamaları

Listelenen programlar, ortadaki adam saldırılarını gerçekleştirmek, bunları tespit etmek ve sistemi güvenlik açıklarına karşı test etmek için kullanılabilir.

Ayrıca bakınız

• Aspidistra (İngilizce) - MITM saldırısının bir çeşidi olan, İkinci Dünya Savaşı "işgali" sırasında kullanılan İngiliz radyo vericisi.
• Babington Komplosu (İngilizce) - Walsingham'ın yazışmaları ele geçirdiği Elizabeth I'e karşı bir komplo.

Diğer saldırılar

• “Tarayıcıdaki Adam”, saldırganın işlem parametrelerini anında değiştirebildiği ve mağdura tamamen şeffaf olan sayfaları değiştirebildiği bir saldırı türüdür.
• Ortada buluşma saldırısı, doğum günü saldırısı gibi zaman ve hafıza arasındaki dengeyi kullanan kriptografik bir saldırıdır.
• "Ortayı kaçırma saldırısı", imkansız diferansiyel kriptanaliz olarak adlandırılan etkili bir yöntemdir.
• Aktarma saldırısı, ele geçirilen bir mesajın mesajın gönderildiği alıcıya değil geçerli bir alıcıya iletilmesine dayanan bir MITM saldırısı çeşididir.
• Rootkit, saldırganın varlığının izlerini gizlemek için tasarlanmış bir programdır.

"Orta Saldırıdaki Adam" makalesi hakkında yorum yazın

Edebiyat

Bağlantılar

• www.all.net/CID/Attack/Attack74.html
• www.nag.ru/2003/0405/0405.shtml
• www.schneier.com/blog/archives/2006/04/rfid_cards_and.html

Orta Saldırıdaki Adam'ı karakterize eden alıntı

Fransız subay ve Pierre eve girdiler. Pierre, kaptana Fransız olmadığına ve ayrılmak istediğine dair bir kez daha güvence vermeyi görevi olarak gördü, ancak Fransız subay bunu duymak istemedi. O kadar nazik, nazik, iyi huylu ve hayatını kurtardığı için gerçekten minnettardı ki Pierre onu reddetme ruhuna sahip değildi ve girdikleri ilk odada salonda onunla oturdu. Pierre'in Fransız olmadığı yönündeki iddiasına yanıt olarak, böylesine gurur verici bir unvanın nasıl reddedilebileceğini anlamayan kaptan, omuzlarını silkti ve eğer kesinlikle bir Rus olarak geçmek istiyorsa, öyle olsun dedi, ancak o zamana rağmen, herkes onun hayatını kurtardığı için minnettarlık duygusuyla sonsuza kadar ona bağlı.
Bu adama en azından başkalarının duygularını anlama yeteneği verilmiş olsaydı ve Pierre'in duygularını tahmin edebilseydi, Pierre muhtemelen onu terk ederdi; ama bu adamın kendisi olmayan her şeye karşı canlı nüfuz edilemezliği Pierre'i mağlup etti.
Fransız, Pierre'in kirli ama ince iç çamaşırına ve elindeki yüzüğe bakarak, "Francais ou Prince russe incognito, [Fransız veya Rus prensi incognito,'' dedi. – Arkadaşlarla görüşüyorum. Un Français n "oublie jamais ni une hakarete ni un service. Je vous offfre mon amitie. Je ne vous dis que ca. [Sana hayatımı borçluyum ve sana dostluk teklif ediyorum. Fransız ne hakareti ne de hizmeti asla unutmaz. Ben teklif ederim sana olan dostluğum.Başka bir şey söylemiyorum.]
Bu memurun sesinde, yüz ifadesinde, hareketlerinde (Fransızca anlamda) o kadar çok iyi huyluluk ve asalet vardı ki, Pierre Fransız'ın gülümsemesine bilinçsiz bir gülümsemeyle karşılık vererek uzatılan eli sıktı.
- Capitaine Ramball du treizieme leger, dekore pour l "affaire du Sept, [Yüzbaşı Ramball, on üçüncü hafif alay, yedi Eylül davası için Legion of Honor Şövalyesi'', kendini buruşmuş, kontrol edilemeyen bir gülümsemeyle tanıttı. dudakları bıyığının altında. - Voudrez vous bien me dire a hediye, a qui" j'ai l'honneur de parler aussi agreablement au lieu de rester a ambulans avec la balle de ce fou dans le corps. Şimdi bana kiminle birlikte olduğumu söyleyecek kadar naziksin, bu deli adamın kurşunuyla soyunma odasında olmak yerine bu kadar tatlı konuşma onuruna mı sahibim?]
Pierre adını söyleyemediğini söyledi ve kızararak bir isim bulmaya, bunu söyleyememesinin nedenleri hakkında konuşmaya başladı, ancak Fransız aceleyle onun sözünü kesti.
"Teşekkür ederim" dedi. – Nedenlerinizi anlıyorum, siz de memursunuz… memur süperieur, yine de. Vous avez porte les armes contre nous. Ce n'est pas mon mesele. Je vous dois la vie. Cela me suffit. Je suis tout a vous. Vous etes gentilhomme? [Tamamlanması için lütfen. Seni anlıyorum, sen bir subaysın... bir kurmay subaysın, belki. Bize karşı hizmet ettin. Bu benim işim değil. Sana hayatımı borçluyum. Bu benim için yeterli ve ben tamamen seninim. Sen bir asil misin?] - bir soru ipucu ile ekledi. Pierre eğildi kafa. - Vaftiz adınızı seçin, oturacak mısınız? Bu davayı talep etmiyorum. Mösyö Pierre, dites vous... Parfait. C "est tout ce que je arzu savoir. [Adınız? Başka bir şey sormuyorum. Mösyö Pierre, mi dediniz? Harika. Tek ihtiyacım olan bu.]
Fransızların yanlarında getirdikleri Rus mahzeninden kızarmış kuzu eti, çırpılmış yumurta, semaver, votka ve şarap getirildiğinde Rambal, Pierre'den bu yemeğe katılmasını istedi ve hemen, açgözlülükle ve hızlı bir şekilde, sağlıklı ve aç bir insan gibi. Güçlü dişleriyle hızla çiğneyerek, sürekli dudaklarını şapırdatarak ve mükemmel, exquis diyerek yemeye başladı. [harika, mükemmel!] Yüzü kızarmıştı ve terle kaplanmıştı. Pierre acıkmıştı ve memnuniyetle yemeğe katıldı. Hademe Morel, sıcak suyla dolu bir tencere getirdi ve içine bir şişe kırmızı şarap koydu. Ayrıca mutfaktan test için aldığı bir şişe kvası da getirdi. Bu içecek zaten Fransızlar tarafından biliniyordu ve adını aldı. Kvasa limonata de cochon (domuz limonatası) adını verdiler ve Morel mutfakta bulduğu bu limonata de cochon'u övdü. Ancak kaptan, Moskova'dan geçerken şarap edindiği için Morel'e kvas verdi ve bir şişe Bordeaux aldı. Şişeyi boynuna kadar bir peçeteye sardı, kendisine ve Pierre'e biraz şarap doldurdu. Tatmin edilen açlık ve şarap, kaptanı daha da canlandırdı ve yemek boyunca durmadan konuştu.
- Oui, mon cher Mösyö Pierre, siz de ateşli bir chandelle de m'avoir sauve... det bu öfkeyle... J'en ai assez, voyez vous, de balles dans le corps. En voila une (yan tarafını işaret etti) a Wagram et de deux a Smolensk," yanağındaki yara izini gösterdi. - Et cette jambe, comme vous voyez, qui ne veut pas walker. C'est a la grande bataille du 7 a la Moskowa que recu ca. Sacre dieu, c'etait beau. Il fallait voir ca, c'etait un tufan de feu. Bir kaba ricada bulunacaksınız; Bir küçük iyilik olarak adlandırılabilirsin. Et, ma şartlı tahliye, malgre l'atoux que j'y ai gagne, je serais pret a restart. [Evet sevgili Bay Pierre, beni bu deliden kurtardığınız için size güzel bir mum yakmak zorundayım. Görüyorsunuz, vücuduma giren kurşunlardan bıktım. İşte biri Wagram'ın yakınında, diğeri Smolensk'in yakınında. Ve gördüğünüz gibi bu bacak hareket etmek istemiyor. Bu, Moskova yakınlarındaki 7. büyük savaş sırasındaydı. HAKKINDA! harikaydı! Bunun bir ateş seli olduğunu görmeliydin. Bize zor bir iş verdin, bununla övünebilirsin. Ve Tanrım, bu koza rağmen (çarmı işaret etti), her şeye yeniden başlamaya hazırdım. Bunu göremeyenlere üzülüyorum.]
Pierre, "Evet, oradaydım" dedi.
- Ah, vahşet! Fransız, "Eh bien, tant mieux" dedi. – Vous etes de ennemis, tout de meme. La grande, bir ete azim, nom d'une pipe. Et vous l'avez fait vinç ödeyeni. Her şey bir yana, bana voyez diyorsun. Üç kanon ve üç tane nous a culbute et comme des capucins de cartes. Ah!! elveda güzelim, Mösyö Pierre. Vos el bombaları ont ete superbes, tonnerre de Dieu. Je les ai vu altı gün boyunca çaldılar ve yürüyüş bir revüye geldi. Les güzel adamlar! Notre roi de Napoli, qui s'y connait a feryat: bravo! Ah, ah! soldat comme nous autres! - dedi, bir anlık sessizliğin ardından gülümseyerek. - Tant mieux, tant mieux, Mösyö Pierre. Korkunçlar en bataille. .. galants... - bir gülümsemeyle göz kırptı, - avec les belles, voila les Francais, mösyö Pierre, n "est ce pas? [Bah, gerçekten mi? Çok daha iyi. İtiraf etmeliyim ki sizler azılı düşmanlarsınız. Büyük tabya iyi dayandı, kahretsin. Ve bunu bize çok ağır ödettin. Gördüğünüz gibi oraya üç kez gittim. Üç kez silahların üzerindeydik, üç kez kart askerleri gibi devrildik. El bombalarınız muhteşemdi, Tanrı aşkına. Sıraların altı kez nasıl kapandığını, nasıl geçit töreni gibi yürüdüklerini gördüm. Mükemmel insanlar! Bu konularda köpeği yiyen Napoli kralımız onlara bağırdı: Bravo! - Ha, ha, demek sen bizim asker kardeşimizsin! - Ne kadar iyi olursa olsun, ne kadar iyi olursa olsun Bay Pierre. Savaşta berbattırlar, güzellere karşı naziktirler, bunlar Fransızlar, Bay Pierre. Değil mi?]
Kaptan o kadar saf ve iyi huylu bir şekilde neşeli, içten ve kendinden memnundu ki Pierre ona neşeyle bakarken neredeyse göz kırpıyordu. Muhtemelen "cesur" kelimesi kaptanın Moskova'daki durum hakkında düşünmesine neden oldu.