Андрей Смирнов
Время чтения: ~14 мин.
Просмотров: 0

Intercepter — легендарный сниффер от Ares

Сегодня речь пойдет о легендарном сниффере Intercepter. В этой статье вы узнаете о возможностях этого сниффера. Кроме этого вы узнаете о том, как пользоваться Intercepter, и о видах атак, которые можно реализовать с его помощью.

Данный материал предназначен для продвинутых пользователей, так как содержит огромное количество терминологии и для понимания требует большого багажа знаний.

Вас также может заинтересовать статья «Обнаружение хостов сети в Nmap».

Intercepter

Содержание

  • Предисловие
  • Уникальность Intercepter
  • Новые возможности
  • Коротко о 0x4553-Intercepter
  • Использование Intercepter
    • Атака DHCP MITM
    • Атака ICMP Redirect MITM и DNS over ICMP MITM
    • Атака SSL MITM
    • Атака SSL STRIP
  • Видео лекции разработчика сниффера Intercepter

Сниффер Intercepter

В чем уникальность Intercepter?

Достойных снифферов с таким огромным багажом реализованных атак под Windows почти нет. На то есть несколько причин. Основная проблема заключается в отсутствии штатных инструментов маршрутизации.

Если в каждом Unix’е есть средства типа iptables, при помощи которых можно без труда добавить необходимые правила перенаправления пакетов, то в Windows, а тем более в ее клиентских версиях, ничего подобного нет. Естественно, писать свой NAT (или упрощенный ip forwarder) ради какого-то единичного примера мало кто станет.

Различные техники под Windows представлены, как правило, в виде простеньких proof of concept и не более. Впрочем, чего таить, и под unix сложно найти что-то похожее на Intercepter. Тот же самый ettercap под unix состоит из различных приложений: одно отвечает за arp-спуфинг, другое — за грабинг паролей, а sslstrip и вовсе самостоятельное приложение. Все это требует ручной настройки из-под консоли. Получается, что и под unix, даже при всей мощи доступных инструментов, нет ни одного достойного GUI-приложения, которое совмещало бы в себе все сразу. Intercepter же является таким инструментом и содержит в себе целый набор оттестированных и законченных техник сетевых атак.

К примеру, недавно реализованные техники SSL MITM и SSL Strip для перехвата паролей, которые должны бы передаваться по защищенному соединению, могут использоваться с любым из имеющихся MITM’ов: ARP, ICMP, DNS over ICMP, DHCP. Во всех случаях используется скрытная маршрутизация через не существующие в сети IP  и MAC-адреса, таким образом, жертвы не смогут определить источник нападения.

Сегодня мы не будем останавливаться на базовом функционале сниффера, а коснемся самого сочного — новых техник, которые недавно появились в 0x4553-Intercepter.

Новые возможности Intercepter

Последний раз Intercepter обновлялся чуть больше года назад. Тогда-то и было создано основное подспорье для различных MITM-атак.

С версии 0.8 в состав Intercepter добавился так называемый 0x4553-NAT. Это полноценный NAT, не требующий установки и занимающий пару сотен килобайт, которым можно раздавать интернет в небольших локальных сетях или дома. Он поддерживает трансляцию пакетов из ethernet в PPPoE-соединение ADSL-модема и трансляцию FTP-сеансов.

Помимо этого была реализована давно задуманная атака на сети с DHCP — DHCP MITM. И вот сейчас, спустя долгое время, вышло еще несколько довольно крупных обновлений, реализующих новые интересные техники атак:

  1. ICMP Redirect MITM. Эта малораспространенная техника перехвата трафика имеет довольно узкое применение, позволяя перехватывать данные между единичными хостами.
  2. DNS over ICMP MITM. Совершенно новая техника, раскрывающая весь потенциал ICMP Redirect. Перехватывая клиентский DNS-сервер, мы можем перехватить все соединения с хостами, которые были отрезольвены через DNS.
  3. SSL MITM. Классическая техника подмены сертификатов, позволяет перехватывать данные любых протоколов, защищенных при помощи SSL (поддерживаются SSLv2, SSLv3, TLSv1).
  4. SSL Strip. Практически не встречающаяся техника под Windows. Аналог известного sslstrip под unix.

Каждая из этих техник заслуживает внимания, но начать я хочу с описания атаки DHCP MITM, которая появилась еще год назад.

Коротко о 0x4553-Intercepter

  • Перехватывает пароли и хэш-суммы для огромного количества сервисов: ICQ/IRC/AIM/FTP/IMAP/POP3/SMTP/LDAP/BNC/SOCKS/HTTP/WWW/NNTP/CVS/TELNET/MRA/DC++/VNC/MYSQL/ORACLE.
  • Реконструирует SMTP/POP3 сообщения.
  • Сканирует локалку на наличие живых узлов с помощью широковещательной рассылки ARP-запросов (ARP SCAN).
  • Ищет в сети DHCP-серверы (DHCP DISCOVERY).
  • Находит в локалке другие сниферы (PROMISCUOUS SCAN).
  • Поддерживает подмену MAC-адреса для LAN-адаптеров.
  • Может работать в режиме «экстремального» сканирования (eXtreme mode), при котором сниферу достаточно указать целевой протокол без специфицирования порта. 0x4553-Intercepter будет просматривать весь трафик, автоматически «вылавливая» пакеты, относящиеся к данному протоколу путем анализа их содержимого.
  • Поддерживает RAW-режим.
  • Выполняет удаленный снифинг трафика через RPCAP-демона, устанавливаемого на Linux/xBSD или Windows-узлах (предпочтительнее всего — на шлюзе).
  • Включает в себя собственную реализацию NAT.
  • Реализует несколько MITM-атак: ARP MITM, DNS over ICMP MiTM, DHCP MiTM.
  • Перехватывает SSL-пароли через SSL MiTM + SSL Strip.

Атака DHCP MITM

Суть атаки проста как пять копеек. Существуют различные схемы поведения DHCP-клиентов. Мы рассмотрим классический вариант. Когда компьютер входит в сеть, он шлет сообщение DHCP Discovery, требуя выдать IP-адрес и выслать действующую конфигурацию сети, включая шлюз по умолчанию. Наша задача — выдать поддельный ответ DHCP Offer, в котором будет указана наша конфигурация с нашим шлюзом. Так трафик пойдет через наш NAT и мы сможем беспрепятственно его слушать. Данная атака вскользь описана в теории, реализована в ettercap, улучшена и автоматизирована в 0x4553-Intercepter. Для проведения атаки пришлось решить ряд сложных вопросов:

1. Неизвестность количества существующих компьютеров в сети и их привязка к IP-адресам. Может привести к проблемам в сети и истощению DHCP-пула.

2. Борьба за первенство с легитимным DHCP-сервером.

3. Возврат контроля над жертвой, уведенной легитимным сервером.

Вся магия кроется в решении этих проблем.

1. Чтобы не порождать проблемы в действующей сети, мы перенаправляем всех клиентов в виртуальную сеть, отделенную от действующей. Для поддержания связи с реальной сетью и внешними ресурсами во всей красе раскрывается 0x4553-NAT, регулирующий маршрутизацию.

2. Благодаря ряду тестов было выявлено, что DHCP-сервер в Intercepter с использованием WinPcap работает быстрее других. Он оказался быстрее DHCP-службы Windows Server 2003, быстрее популярного приложения tftpd32 и быстрее DHCP-серверов, встроенных в ADSL-модемы. Помимо этого, DHCP в Intercepter пропускает целый шаг согласования параметров во время передачи конфигурации клиенту, что существенно повышает скорость реагирования и выдачи ложной информации.

3. Возможна ситуация, что легитимный DHCP-сервер все-таки ответит быстрее нас. Такая ситуация была искусственно создана. И для ее решения предприняты дополнительные действия. После принятия конфигурации клиент должен еще раз перепроверить, не занял ли он чей-то адрес в сети, чтобы избежать конфликта IP-адресов. Для этого он отсылает в сеть специальный пакет gratuitous arp. Если в сети уже имеется компьютер с таким адресом, клиент вновь пошлет DHCP Discovery с просьбой выделить другой адрес. Если же никаких ответов на запрос не пришло, значит, данный IP свободен. При потере клиента, Intercepter следит за пакетами gratuitous arp и отвечает клиенту, говоря, что запрошенный адрес занят, для того чтобы вновь вызвать голосование и попытаться успеть выдать ложную конфигурацию. Данная атака детально рассмотрена в видео Sniffing dhcp based network.

Атака ICMP Redirect MITM и DNS over ICMP MITM

Следующие две техники используют для атаки особенности ICMP-протокола. Не вдаваясь в технические подробности сути и назначения сообщений ICMP Redirect, отмечу, что эти ICMP-сообщения позволяют добавить запись в таблицу маршрутизации удаленного узла. В записи должен содержаться IP-адрес хоста и IP-адрес шлюза, через который следует слать пакеты к указанному ресурсу.

Например, зная, что некий site.com имеет адрес 1.2.3.4, мы можем послать жертве сообщение, в котором будет указано, что до 1.2.3.4 нужно идти через наш шлюз, где запущены Intercepter и NAT. Это и есть техника ICMP Redirect MITM. К сожалению, мы не можем перенаправить разом все хосты, поэтому данную атаку можно использовать для целевого перехвата конкретного узла. Однако в Intercepter реализована техника, которая позволяет сильно расширить область применения перехвата с помощью сообщений ICMP Redirect. Это DNS over ICMP Redirect.

Вместо site.com мы будем перенаправлять трафик от клиентского DNS-сервера. Цепная реакция запускается всего одним пакетом. Сначала мы шлем жертве сообщение, что до его DNS-сервера нужно идти через наш шлюз, затем в бой вступает 0x4553-NAT, который начинает обрабатывать DNS-ответы. Например, жертва хочет отрезольвить site1.com, — NAT перенаправляет запрос к серверу, принимает ответ и вытаскивает все IP-адреса, отвечающие за site1.com, после чего посылает жертве новые сообщения ICMP Redirect, говоря, что ко всем отрезольвенным IP-адресам нужно идти через наш шлюз. Если жертва посылает запрос к site2.com, ситуация повторяется. Таким образом, весь интернет-трафик начинает идти через Intercepter и NAT.

Правда, тут есть одно важное условие. Чтобы показать его, рассмотрим пример сетевой конфигурации жертвы:

IP-адрес жертвы - 192.168.1.10 IP-адрес шлюза - 192.168.1.1 IP-адрес DNS - 192.168.1.2 маска - 255.255.255.0

При такой конфигурации перенаправить DNS-сервер мы не сможем. Он обязательно должен находиться за рамками данной подсети, — это обусловлено самим протоколом ICMP. А вот если используется напрямую внешний сервер (например, гугловский 8.8.8.8), то препятствий для атаки нет.

Атака SSL MITM

Эта атака описана множество раз, поэтому останавливаться подробно на ее описании мы не будем, а расскажем, как она реализована конкретно в Intercepter. Ядром всех MITM-атак в Intercepter, как мы уже говорили, является NAT. Именно он отвечает за маршрутизацию пакетов и дополнительные действия для реализации каждой из атак. Стандартно в него зашит перехват таких протоколов:

  • HTTPS — 443;
  • POP3S — 995;
  • SMTPS — 465;
  • IMAPS — 993.

После запуска 0x4553-NAT он открывает указанные порты на локальном интерфейсе и ждет входящих соединений. Весь трафик жертвы по указанным протоколам перенаправляется на ранее открытые нами порты. На этом этапе происходит следующее:

  • В случае HTTPS NAT принимает входящее tcp-соединение, делает запрос к запрашиваемому ресурсу и получает его сертификат. Затем он подменяет ключ шифрования на свой и устанавливает соединение с жертвой, выдавая себя за оригинальный сервер. После этого происходит проксирование данных между двумя соединениями.
  • Для других протоколов шаг запроса оригинального сертификата опущен, — вместо этого мы посылаем ранее сгенерированный статичный сертификат. Так как наши сертификаты не являются подписанными доверенными центрами, у пользователя будет выскакивать предупреждение. В этом и заключается основной минус данной техники.

Кроме приведенных выше протоколов, пользователь может добавить любой другой порт. О том, как это сделать, написано в руководстве к сниферу. Так как сама атака проводится при помощи NAT, то непосредственно Intercepter не видит зашифрованных данных. Чтобы он их увидел, NAT делает следующую хитрость: весь исходящий SSL-трафик дублируется в сеть в открытом виде, после чего пароли появляются в окне снифера.

Атака SSL STRIP

О технике SSL Strip мы уже подробно писали в  с этой статье. Собственно говоря, непосредственно с перехватом SSL эта техника не связана. Перехватывать необходимо обычный HTTP-трафик, анализируя его на https-ссылки. Возможно вы помните, сколько возни было, чтобы заставить эту схему работать под Unix, используя разработанную Мокси Марлинспайком утилиту sslstrip.

Все что нужно сделать в Intercepter для выполнения атак SSL Strip или SSL MITM, — это поставить соответствующую галочку и перенаправить трафик жертвы любым доступным способом. В данном случае весь веб-трафик перенаправляется на локальный 80-й порт, откуда и происходит дальнейшее проксирование соединений. Выполняя данную атаку, мы опять же сталкиваемся с рядом сложностей, которые необходимо преодолеть.

Чтобы сбить бдительность пользователя, Intercepter подменяет favicon, выдавая иконку с замочком, который имитирует безопасное соединение.

На данный момент Intercepter не убивает сессии для принудительной повторной авторизации, как это может делать оригинальный sslstrip, но такая опция будет, возможно, добавлена в будущем.

Еще можно выделить одно отличие данной реализации SSL Strip от ее unix-аналога. Оригинальный sslstrip работает как прокси, определяя куда производится соединение из заголовка web-запроса. Это вынуждает разрешать имя сервера через dns и хранить свой собственный dns-кеш. В нашем случае в этом нет необходимости, так как адрес назначения известен,— это 0x4553-NAT, который и осуществляет маршрутизацию трафика жертвы.

Вам может быть интересна статья «Скрытое сканирование хостов».

Скачать Intercepter

В архиве 2 версии обычная и консольная. Также в архиве красивые обои на рабочий стол от Ares, ну и конечно обалденный трэк от James Holden.

Язык интерфейса: English Пароль на архив: www.spy-soft.net Разработчик: Ares

Скачать бесплатноIntercepter-NG v0.9.3 + Intercepter-NG [Console Edition] 0.4Intercepter-NG v0.9.5 + Intercepter-NG [Console Edition] 0.4Intercepter-NG v0.9.8

Источники: wikipedia.com, xaker.ru, sniff.su

Привет всем кто читает статью.

Пишется она по просьбе людей которые изучили статью перехват паролей по Wi Fi и перехват куки по Wi Fi .

Там было описано как перехватить пароли и куки внутри сети используя программу Intercepter-ng.

перехват-данных.png

Некоторые попросили рассказать больше о функционале, другие просили показать больше возможностей, кто то просил рассмотреть последнюю версию (на данный момент актуальна версия 0.9.10.

Пришлось поднять свой ленивый зад, и начать изучать весь найденный материал по крупицам.

Начав писать черновик я понял что одной статьёй не обойтись. Поэтому сегодня будет лишь теория, описание некоторых функций и режимов Intercepter-ng. В течении двух-трех дней напишу уже о работе с программой на практике, а затем будет и несколько видео ( для тех кому так проще усвоить ).

Говорю сразу — у меня нет глубоких технических познаний, поэтому пишу простыми словами, и чтобы было понятно простым людям . Если заметили неточность в моих описаниях, или есть чего дополнить пишите в комментариях. 

Каждую функцию я не смогу описать, только то что сам смог найти.

Приступим к осмотру пациента.

Intercepter-ng. Инструмент хакера пентестера.

Функционал ( лишь малая часть всех возможностей) .

</li>Перехват сообщений мессенджеров (ICQ и тд)</li>Перехват куки и паролей</li>Можно подсунуть жертве для скачивания файл путём инъекции (например шутку, вирус) и надеется что он его скачает и запустит</li>Просмотр активности пользователя ( какие сайты посещает)</li> Подмена Https протокола на Http.</li>Содержание

Приветствую, %username%! В этом посте, я снова затеял написать про беспроводную сеть Wi-Fi. Есть очень хорошая и интересная программа, как Intercepter-NG, о которой я хочу рассказать. А еще хочу донести, хотя бы для тех, кто регулярно читает мой бложек – что открытые и незащищенные aka «общественные» беспроводные сети — это зло. Зло, конечно же, для пользователя, но не для злоумышленника.

Что из себя представляет интерцептер? Это многофункциональный инструментарий (от российских разработчиков, ага) для пентестинга различных сетей и интерфейсов. Когда-то тайно разрабатывающийся, как ICQ-перехватчик или что-то вроде того.

Сейчас этот инструмент можно считать практически уникальным, он дает фору таким утилитам, как WireShark и Ettercap. От себя скажу, что интерцептер потрясающая и компактная программка. Пользоваться ей достаточно просто, если с матчастью все в порядке.

intercepter-ng.jpg

Как пользоваться Intercepter-NG

Главная цель моей заметки, не рассказать, как пользоваться Intercepter-NG, а показать наглядно, что сидеть в кафе и торговых центрах в «общественной сети» — достаточно опасно. Почему?

Злоумышленник может перехватить ваши сессии, прочитать вашу «супер-приватную» переписку, предложить скачать сомнительный файл с какого-либо сайта, заставить вас перелогиниться на какой-либо социальной сети, перенаправить ваше устройство на какой-либо ресурс и так далее.

Дело в том, что для использования программы достаточно иметь мобильный телефон на Android с правами суперпользователя. Я не отрицаю, десктопный вариант намного удобнее, функциональнее и стабильнее, но все же. Тем не менее, маленькие любители хакерства заполонили сеть ресторанов макнодальдс и кейэфси, вот такая тенденция.

В прошлом году разработчики довольно неплохо обновили свое детище, добавив в него несколько интересных функций направленных на пользователей продукции Apple.

Разработчики дали понять, что самый безопасный сервис в мире iCloud, если верить разработчикам Apple и поверившим в их слова пользователям, постоянно втирающим какую-то дичь на различных интернет-площадках – далеко не идеален. А сам прием с отправкой обыкновенного JS алерта и загрузка сертификата мне очень понравился. Здорово в общем.

Для начала работы с Intercepter-NG, достаточно просто его скачать с оф. cайта и распаковать куда-нибудь. Для работы на мобильном устройстве необходимо иметь ROOT права. В свою очередь, сегодня получить их довольно просто.

Сниффинг Wi-Fi с помощью Intercepter-NG

Android Edition

Для полноты раскрытия темы, продемонстрирую перехват сессий в социальных сетях. Все достаточно просто, я бы вообще назвал это приемом из категории Easy Hack. На руках имеется смартфон с предустановленным Intercepter-NG. Кстати по поводу смартфона, важно сказать, снифать на слабеньком устройстве вряд ли получиться.

Для удачной прослушки сети необходима оперативная память в объеме от 1гб и большая флешка гигов от 16, для всякого рода мусора и сохранения .pcap сессий. Подключаемся к общественной сети в городском парке.

Сканируем сеть на наличие устройств в Intercepter-NG. Отмечу, что функция Smart Scan, здесь отрабатывает на ура. Находит соседей, определяет операционные системы и даже имена устройств.

smart-scan.jpg

Из скриншота заметно, что к сети подключено несколько устройств. Выбираем всех или кого-нибудь исключительно. Я очень сильно радуюсь по поводу введение в функционал андроид версии — модной функции Cookie Killer. В настройках Intercepter-NG отмечаю галочки на необходимых функциях.

settings.jpg

Жму на кнопку для начала прослушивания трафика и ожидаю чего-нибудь интересного. Перехвата куки, изображений, авторизаций.

После данных скриншотов все становиться ясно и понятно. Подключаясь к фришной Wi-Fi точке доступа мы становимся уязвимы. Использование злоумышленниками мобильной версии, всего лишь, вершина айсберга. Настоятельно рекомендую ограничиваться в использовании открытых сетей.

Используемые источники:

  • http://www.spy-soft.net/intercepter-ng-0-9-3/
  • https://teralex.ru/obzory/intercepter-ng-funkcii-i-opisanie.html
  • https://blog.dubkov.org/security/wi-fi/free-wi-fi-intercepter-ng/

Рейтинг автора
5
Подборку подготовил
Максим Уваров
Наш эксперт
Написано статей
171
Ссылка на основную публикацию
Похожие публикации