Ya ha sido liberada la nueva versión de Nmap, la 5.0, que incluye nuevas herramientas como Ncat (nueva implementacion de netcat) o Ndiff (compara distintos scans) , y un nuevo interfaz para Zenmap.
El nuevo Nmap incluye una nueva hornada de scripts para NSE (Nmap Script Engine) y permite, entre otras cosas, la detección remota del gusano Conficker... una maravilla.
Se me estan poniendo los dientes largos de pensar que hasta la noche no le voy a poder meter mano a esta maravilla... ^_^
Os dejo unos enlaces para que lo veais vosotros mismos:
http://nmap.org/5/#5changes
http://nmap.org/ncat/
http://nmap.org/ncat/guide/index.html
http://nmap.org/ndiff
Mostrando entradas con la etiqueta redes. Mostrar todas las entradas
Mostrando entradas con la etiqueta redes. Mostrar todas las entradas
viernes, 17 de julio de 2009
viernes, 10 de octubre de 2008
El gigante con pies de barro
Segun informan desde Hispasec, se ha detectado una nueva y importante vulnerabilidad en el protocolo IP. Es la tercer gran fallo que se descubre año sobre el diseño de internet y alguien deberia ya tomar cartas en el asunto antes de que las consecuencias puedan ser peores.
Aquí dejo la noticia, tal cual esta en la web de hispasec.
02/10/2008 Supuesta vulnerabilidad en el protocolo IP pone (de nuevo) en riesgo a toda la Red
Una empresa finlandesa llamada Outpost 24 dice haber descubierto un fallo en el Internet Protocol (IP) que puede provocar una denegación de servicio en todo dispositivo que lo use. Teniendo en cuenta que es la base sobre la que se sustenta toda Internet, es equivalente a decir que se puede provocar la caída de cualquier aparato con comunicación en la Red. Es la tercera "gran alerta" del año. ¿Necesita Internet una puesta a punto?
En realidad ni siquiera se podría llamar "denegación de servicio" tal y como lo conocemos hoy en día. Más bien se trataría de una especie de (mítico) "ping de la muerte" en el que, con muy poco tráfico (10 paquetes por segundo) se podría llegar a colapsar cualquier dispositivo que implemente la especificación del protocolo base. Al parecer se trataría de uno de los mayores problemas detectados en la Red que la volvería insostenible de forma relativamente sencilla.
No se han ofrecido por tanto muchos más detalles. Parece que el problema surgió durante el escaneo de varios millones de sitios en Internet. Alguno de estos tests (realizados con la herramienta Unicornscan) hacía que los sistemas dejaran de responder, y tras una investigación se concluyó que existía un problema en todas las implementaciones de la pila TCP/IP. Aunque afecta de distinta manera, se supone que todas son vulnerables y que todavía no han encontrado ningún dispositivo que no puedan bloquear.
Los investigadores han conocido este problema desde 2005. Según dicen, no han podido encontrar por el momento una solución válida, pero tampoco quieren difundir los detalles por el peligro que supondría el conocimiento público. Advierten que, incluso con IPv6 el problema podría ser incluso más grave.
Darán más detalles sobre el problema el 17 de octubre, durante una conferencia en Helsinki. Afirman tener una herramienta llamada sockstress capaz de "tumbar" cualquier dispositivo. Aunque la información es confusa (y habría que tomarla con cautela mientras no se tengan detalles), parece que el problema está directamente relacionado con la técnica de las "SYN cookies". Se utilizan precisamente para evitar que un atacante pueda realizar una inundación de paquetes SYN. Básicamente se "recuerda" con esta cookie a quien ha realizado la conexión y se evita que se falsee la dirección y se perpetre el conocido ataque (abriendo conexiones a medio realizar que consumen memoria y agotando los recursos del dispositivo).
Es la tercera gran vulnerabilidad del año que pone en peligro a toda la Red. En primer lugar fue Kaminsky con su problema DNS. El 8 de julio todos los grandes y pequeños fabricantes parcheaban sus sistemas DNS. Kaminsky había descubierto meses antes un fallo que permitía falsificar cualquier IP asociada a un dominio. Poco después en agosto, durante la Black Hat, se habla de nuevo de la mayor vulnerabilidad de Internet, cuando Tony Kapela y Alex Pilosov demostraron una nueva técnica que permite interceptar el tráfico de Internet a una escala global. Cualquiera con un router BGP podría interceptar el tráfico de cualquier gran nodo y devolverlo (modificado o no) de forma transparente.
Y vuelve a ocurrir, repitiendo prácticamente el mismo escenario. En los tres casos se trata de un problema de diseño de un protocolo creado muchos años antes. En los tres casos parece haber una demostración empírica de un problema conocido pero cuyas posibilidades o puesta en práctica se suponía imposible hasta la fecha... Incluso el hecho de revelar detalles en una conferencia posterior con la que se crea una gran expectación. Como le ocurrió a Kamisky, es posible que todos los detalles del problema salgan a la luz antes de lo esperado si algún investigador decide juntar todas las pistas ofrecidas por Outpost 24.
Es más que posible que aunque los detalles fueran conocidos desde hace 3 años, haya sido precisamente lo ocurrido con el fallo DNS y con BGP lo que haya animado a los investigadores a darle publicidad precisamente ahora. Kaminsky demostró que se puede realizar una actualización masiva y coordinada entre todos los grandes fabricantes y mantener en secreto los detalles de un grave problema (siempre que no se divulgue su existencia).
Nos encontramos posiblemente también ante una nueva era en la Red en la que, a través de estos graves errores puestos sobre la mesa, estamos cuestionando su sostenibilidad tal y como la conocemos. Usamos protocolos diseñados, cuando menos, hace 20 y 30 años. Los ingenieros estaban mucho más sorprendidos por el hecho de que la Red simplemente funcionase que preocupados por la seguridad. Hacer que un trozo concreto de información digital concreta llegase de un punto a otro del planeta era algo demasiado fantástico como para complicarlo previniendo si alguien la iba a podía modificar, alterar u obtener de forma ilegítima. Posteriormente, sobre estos débiles pilares, se ha construido algo muchísimo más complejo y unido millones de personas y dispositivos con muy distintas motivaciones. Para abarcar toda esta explosión, se ha ido parcheando sobre la marcha un monstruo gigante con pies de barro que, a la vista de estos tres recientes acontecimientos (y de otras preocupaciones de largo recorrido, como el malware ganando la batalla a los antivirus), necesita una clara revisión y puesta a punto.
Aquí dejo la noticia, tal cual esta en la web de hispasec.
02/10/2008 Supuesta vulnerabilidad en el protocolo IP pone (de nuevo) en riesgo a toda la Red
Una empresa finlandesa llamada Outpost 24 dice haber descubierto un fallo en el Internet Protocol (IP) que puede provocar una denegación de servicio en todo dispositivo que lo use. Teniendo en cuenta que es la base sobre la que se sustenta toda Internet, es equivalente a decir que se puede provocar la caída de cualquier aparato con comunicación en la Red. Es la tercera "gran alerta" del año. ¿Necesita Internet una puesta a punto?
En realidad ni siquiera se podría llamar "denegación de servicio" tal y como lo conocemos hoy en día. Más bien se trataría de una especie de (mítico) "ping de la muerte" en el que, con muy poco tráfico (10 paquetes por segundo) se podría llegar a colapsar cualquier dispositivo que implemente la especificación del protocolo base. Al parecer se trataría de uno de los mayores problemas detectados en la Red que la volvería insostenible de forma relativamente sencilla.
No se han ofrecido por tanto muchos más detalles. Parece que el problema surgió durante el escaneo de varios millones de sitios en Internet. Alguno de estos tests (realizados con la herramienta Unicornscan) hacía que los sistemas dejaran de responder, y tras una investigación se concluyó que existía un problema en todas las implementaciones de la pila TCP/IP. Aunque afecta de distinta manera, se supone que todas son vulnerables y que todavía no han encontrado ningún dispositivo que no puedan bloquear.
Los investigadores han conocido este problema desde 2005. Según dicen, no han podido encontrar por el momento una solución válida, pero tampoco quieren difundir los detalles por el peligro que supondría el conocimiento público. Advierten que, incluso con IPv6 el problema podría ser incluso más grave.
Darán más detalles sobre el problema el 17 de octubre, durante una conferencia en Helsinki. Afirman tener una herramienta llamada sockstress capaz de "tumbar" cualquier dispositivo. Aunque la información es confusa (y habría que tomarla con cautela mientras no se tengan detalles), parece que el problema está directamente relacionado con la técnica de las "SYN cookies". Se utilizan precisamente para evitar que un atacante pueda realizar una inundación de paquetes SYN. Básicamente se "recuerda" con esta cookie a quien ha realizado la conexión y se evita que se falsee la dirección y se perpetre el conocido ataque (abriendo conexiones a medio realizar que consumen memoria y agotando los recursos del dispositivo).
Es la tercera gran vulnerabilidad del año que pone en peligro a toda la Red. En primer lugar fue Kaminsky con su problema DNS. El 8 de julio todos los grandes y pequeños fabricantes parcheaban sus sistemas DNS. Kaminsky había descubierto meses antes un fallo que permitía falsificar cualquier IP asociada a un dominio. Poco después en agosto, durante la Black Hat, se habla de nuevo de la mayor vulnerabilidad de Internet, cuando Tony Kapela y Alex Pilosov demostraron una nueva técnica que permite interceptar el tráfico de Internet a una escala global. Cualquiera con un router BGP podría interceptar el tráfico de cualquier gran nodo y devolverlo (modificado o no) de forma transparente.
Y vuelve a ocurrir, repitiendo prácticamente el mismo escenario. En los tres casos se trata de un problema de diseño de un protocolo creado muchos años antes. En los tres casos parece haber una demostración empírica de un problema conocido pero cuyas posibilidades o puesta en práctica se suponía imposible hasta la fecha... Incluso el hecho de revelar detalles en una conferencia posterior con la que se crea una gran expectación. Como le ocurrió a Kamisky, es posible que todos los detalles del problema salgan a la luz antes de lo esperado si algún investigador decide juntar todas las pistas ofrecidas por Outpost 24.
Es más que posible que aunque los detalles fueran conocidos desde hace 3 años, haya sido precisamente lo ocurrido con el fallo DNS y con BGP lo que haya animado a los investigadores a darle publicidad precisamente ahora. Kaminsky demostró que se puede realizar una actualización masiva y coordinada entre todos los grandes fabricantes y mantener en secreto los detalles de un grave problema (siempre que no se divulgue su existencia).
Nos encontramos posiblemente también ante una nueva era en la Red en la que, a través de estos graves errores puestos sobre la mesa, estamos cuestionando su sostenibilidad tal y como la conocemos. Usamos protocolos diseñados, cuando menos, hace 20 y 30 años. Los ingenieros estaban mucho más sorprendidos por el hecho de que la Red simplemente funcionase que preocupados por la seguridad. Hacer que un trozo concreto de información digital concreta llegase de un punto a otro del planeta era algo demasiado fantástico como para complicarlo previniendo si alguien la iba a podía modificar, alterar u obtener de forma ilegítima. Posteriormente, sobre estos débiles pilares, se ha construido algo muchísimo más complejo y unido millones de personas y dispositivos con muy distintas motivaciones. Para abarcar toda esta explosión, se ha ido parcheando sobre la marcha un monstruo gigante con pies de barro que, a la vista de estos tres recientes acontecimientos (y de otras preocupaciones de largo recorrido, como el malware ganando la batalla a los antivirus), necesita una clara revisión y puesta a punto.
miércoles, 8 de octubre de 2008
Montar unidades remotas de Windows en Ubuntu
Hola!
Antes que nada pedir disculpas por el tiempo inactivo (una barbaridad... XD), la verdad es que estoy bastante liado, entre mis estudios, el CCNA, algunos cursos de Seguridad...
Bueno al lío!
Vamos a ver como montar carpetas compartidas remotas de Windows en Ubuntu. Es algo que me ha surgido a raiz de estar haciendo un curso en la EPSA y necesitar acceder a recursos compartidos.
El primer paso, instalar smbclient y smbfs, fácil no?
y añadir la siguiente linea:
Substituyendo obviamente los campos ejemplo por datos reales ;)
Pero, dado que /etc/fstab es legible por todos los usuarios, es evidente que no conviene tener escritas las contraseñas Windows en claro. La forma de evitarlo es utilizar un fichero de credenciales, del que controlaremos los permisos y que contienen únicamente el usuario y su contraseña:
Ahora se modifican los permisos del fichero para que sólo el usuario pueda leerlo y escribir en él.
y volvemos a modificar el fstab:
Para montar las unidades lo hacemos tal cual siempre lo hemos hecho, con mount:
y para desmontar os lo dejo a vuestra imaginación ;)
Saludos, nos vemos!
Antes que nada pedir disculpas por el tiempo inactivo (una barbaridad... XD), la verdad es que estoy bastante liado, entre mis estudios, el CCNA, algunos cursos de Seguridad...
Bueno al lío!
Vamos a ver como montar carpetas compartidas remotas de Windows en Ubuntu. Es algo que me ha surgido a raiz de estar haciendo un curso en la EPSA y necesitar acceder a recursos compartidos.
El primer paso, instalar smbclient y smbfs, fácil no?
slayer@SpongeBob:~$ sudo aptitude install smbclient smbfsSegundo paso, editar el /etc/fstab:
slayer@SpongeBob:~$ sudo nano /etc/fstab
y añadir la siguiente linea:
//servername/recurso /media/mountname smbfs sername=myusername,password=mypassword 0 0
Substituyendo obviamente los campos ejemplo por datos reales ;)
Pero, dado que /etc/fstab es legible por todos los usuarios, es evidente que no conviene tener escritas las contraseñas Windows en claro. La forma de evitarlo es utilizar un fichero de credenciales, del que controlaremos los permisos y que contienen únicamente el usuario y su contraseña:
slayer@SpongeBob:~$ sudo nano ~/.smbcredentialsAñadir las siguientes líneas:
username=myusername
password=mypassword
Ahora se modifican los permisos del fichero para que sólo el usuario pueda leerlo y escribir en él.
slayer@SpongeBob:~$ sudo chmod 600 ~/.smbcredentials
y volvemos a modificar el fstab:
//servername/sharename /media/mountname smbfs credentials=~/.smbcredentials 0 0
Para montar las unidades lo hacemos tal cual siempre lo hemos hecho, con mount:
slayer@SpongeBob@:~$ sudo mount /media/mountname
y para desmontar os lo dejo a vuestra imaginación ;)
Saludos, nos vemos!
viernes, 11 de enero de 2008
Wesside-ng: la nueva herramienta de la suite aircrack
Navegando por la red me encuentro una persona que dice haber roto el cifrado WEP en un minuto. ¿Queee? ¿Como puede ser eso? La curiosidad me mata y entro para ver como lo ha hecho.....
Pues parece ser (todavía no lo he probado, pero no tardare mucho en hacerlo) que los creadores de la suite aircrak-ng, han sacado una nueva herramienta llamada wesside-ng que permite romper las claves en un minuto. Además de mejorar la técnica para poder obtener la clave en menos tiempo, ahora únicamente tenemos que teclear un comando (wesside-ng -i wireless interface name) y automáticamente obtendremos la clave en poco tiempo.
Esta claro que nadie duda de la potencia de esta nueva herramienta, pero perdemos aquí (por su supuesta simplicidad) "la magia" de entender un poquito como funciona todo este mundo de las claves WEP, sus problemas de seguridad y como poder atacarlos (los diversos ataques que podemos realizar) .
Parece ser, que en la versión 3 de backtrack, ya que encuentra disponible esta herramienta. En el siguiente vídeo se muestra un ejemplo de como romper la clave en un minuto y poco:
http://www.ethicalhacker.net/content/view/167/2/
El nuevo mecanismo que utiliza wesside-ng para la obtención de la clave es el siguiente:
Esta y mucha mas información la podemos encontrar en la página web del proyecto:
http://www.aircrack-ng.org/doku.php?id=wesside-ng.es
A disfrutar! Un saludo!
Pues parece ser (todavía no lo he probado, pero no tardare mucho en hacerlo) que los creadores de la suite aircrak-ng, han sacado una nueva herramienta llamada wesside-ng que permite romper las claves en un minuto. Además de mejorar la técnica para poder obtener la clave en menos tiempo, ahora únicamente tenemos que teclear un comando (wesside-ng -i wireless interface name) y automáticamente obtendremos la clave en poco tiempo.
Esta claro que nadie duda de la potencia de esta nueva herramienta, pero perdemos aquí (por su supuesta simplicidad) "la magia" de entender un poquito como funciona todo este mundo de las claves WEP, sus problemas de seguridad y como poder atacarlos (los diversos ataques que podemos realizar) .
Parece ser, que en la versión 3 de backtrack, ya que encuentra disponible esta herramienta. En el siguiente vídeo se muestra un ejemplo de como romper la clave en un minuto y poco:
http://www.ethicalhacker.net/content/view/167/2/
El nuevo mecanismo que utiliza wesside-ng para la obtención de la clave es el siguiente:
- Va saltando de canal buscando una red wireless con clave WEP.
- Una vez que encuentra una red, intenta autenticarse. Si la autenticación falla, entonces el programa intenta encontrar una dirección MAC que se haya asociado con el AP para engañarlo.
- Una vez que el programa se ha autenticado satisfactóriamente intenta asociarse con el AP.
- Despues de snifar un simple paquete de datos, procede a descubrir los 128 bytes de un PRGA enviando paquetes “broadcasts” e interceptando los paquetes de respuesta. Esto es lo que se conoce como ataque de fragmentación. El PRGA se escribe en el archivo prga.log.
- Despues esnifa un “ARP request” y desencripta la dirección IP usando la técnica “linear keystream expansion”. Esto se usa para construir la petición ARP que se usará para la inyección.
- Inunda la red con peticiones ARP para esa dirección IP.
- Lanza el aircrack-ng PTW attack para determinar la clave WEP.
Esta y mucha mas información la podemos encontrar en la página web del proyecto:
http://www.aircrack-ng.org/doku.php?id=wesside-ng.es
A disfrutar! Un saludo!
viernes, 7 de diciembre de 2007
MAC Spoofing
El escenario es el siguiente: tenemos acceso a una red inalámbrica sin autentificación ni cifrado a la cual queremos entrar. Intentamos entrar en la red wireless de forma normal. Todo parece ir bien pero no conseguimos conectarnos... Tras varios intentos de conexión fallidos llegamos a la conclusión de que el router tiene un filtrado de MAC.
Como podemos saltarnos este pequeño obstáculo? La solución no es nada difícil: cambiar nuestra dirección MAC por otra en la que el router no nos denegue el servicio. A esto se le llama MAC spoofing, es decir, la suplantación de nuestra MAC por otra distinta a la nuestra.
Vamos por partes. Lo primero de todo es saber que son las direcciones MAC y para que se utilizan.
MAC (Media Acces Control o Control de Acceso al Medio) es una cadena hexadecimal que identifica unequívocamente cada tarjeta de red que existe (un ejemplo de esta cadena seria: 01:02:0b:3f:4d:ab) . Remarco el concepto de unequívocamente ya que no puede haber dos tarjetas en el mundo con la misma dirección MAC. Este identificador esta grabado "a fuego" cuando se diseña la tarjeta y no se puede cambiar. Las direcciones se sitúan en la capa 2 del modelo OSI (nivel de enlace) y aunque no todas las topologías de redes la utilizan (estoy hablando del nivel de capa 1 o enlace físico cuando me refiero a topología), el 99% de nuestras comunicaciones las usan, ya que siempre usamos redes del tipo ethernet o del modelo de redes WIFI (IEEE 802.11).
Como hemos visto la dirección MAC de nuestra tarjeta "debería" de ser única y por lo tanto utilizando la restricción MAC que nos proporciona el router, debería de ser suficiente para que nuestra red Wifi permaneciera segura de clientes no deseados.
Pero una cosa es la teoría y la otra bien distinta es la práctica. En la práctica existe la dirección hardware (la que estaba grabada a fuego por el fabricante), pero también existen aplicaciones software que permiten cambiar este valor.
Ahora que ya sabemos todo lo necesario acerca de la direcciones MAC, vamos pues a la practica!
Lo primero que hay que hacer es poner nuestra tarjeta wireless en modo promiscuo. No todos los chipset soportan este modo en Windows, así que dependiendo de la tarjeta que tengamos podremos utilizar Windows o decantarnos por Linux. En mi caso, tengo una ipw3945, luego utilizaré la distribución wifiway que me permite poner mi tarjeta Intel Pro Wireless 3945 en modo monitor. El siguiente paso es ver la MAC del cliente al cual queremos suplantar. Para ello lanzamos un programa que nos permita ver que clientes están conectados a las estaciones o bssid (además de darnos información adicional como la direcciones MAC de los clientes ;)). Uno de ellos podría ser el ariodump de la suite aircrak. Tras lanzarlo podemos ver el cliente (con la MAC xx:xx:xx:xx:xx:xx ) que queremos spoofear. Cojemos la dirección y la anotamos.
El siguiente paso será cambiar nuestra dirección MAC verdadera, a la dirección que hemos anotado, mediante un pequeño programa que nos permita hacer esto. Existe software tanto para Linux como para Windows.
Para Windows tenemos varias opciones. Si vamos a las propiedades de nuestro adaptador de red, algunos fabricantes (la mayoría) permiten cambiar directamente la dirección MAC. Otra opción seria modificar el registro del Windows. Por último podríamos utilizar también programas de terceros tipo MacShift, Etherchange, Smac, etc para cambiar nuestra dirección. Hay que señalar que es posible que algunos de los métodos no funcionen y por consiguiente tendríamos que aplicar otro hasta que veamos que nuestra MAC a cambiado realmente. Para comprobar que se ha cambiado correctamente nuestra MAC solo tenemos que ejecutar una consola y escribir en ella "ipconfig /all" y ver si realmente la dirección física se ha cambiado.
Por contra, para el sistema operativo Linux el cambio resulta más fácil, con solo ejecutar estos tres comandos habremos cambiado nuestra dirección a la que especifiquemos por xx:xx:xx:xx:xx:xx. Los comandos son: "ifconfig eth0 down" (deshabilitamos la interfaz de red) , "ifconfig eth0 hw ether xx:xx:xx:xx:xx:xx" (cambiamos la dirección hardware de la tarjeta), e "ifconfig eth0 up" (volvemos a levantar la interfaz de red). También existen programas en Linux que permiten hacer el cambio y otras cosas más como GNU Mac Changer. De nuevo podemos ver si el cambio se ha realizado con éxito si hacemos un "ifconfig" y vemos que la MAC ha cambiado.
Aquí os dejo una página de kritopolis donde explica las distintas formas de hacer el cambio de MAC un poco mas detallado tanto para Linux como para Windows.
Una vez realizado el cambio solo nos queda si ya podemos conectarnos.
Esto ha sido todo por hoy. La intención de este artículo era de poner un escenario práctico donde teníamos un problema y ver el camino realizado (aplicando ciertos conocimientos que tenemos) hasta resolver el problema.
Un saludo.
Como podemos saltarnos este pequeño obstáculo? La solución no es nada difícil: cambiar nuestra dirección MAC por otra en la que el router no nos denegue el servicio. A esto se le llama MAC spoofing, es decir, la suplantación de nuestra MAC por otra distinta a la nuestra.
Vamos por partes. Lo primero de todo es saber que son las direcciones MAC y para que se utilizan.
MAC (Media Acces Control o Control de Acceso al Medio) es una cadena hexadecimal que identifica unequívocamente cada tarjeta de red que existe (un ejemplo de esta cadena seria: 01:02:0b:3f:4d:ab) . Remarco el concepto de unequívocamente ya que no puede haber dos tarjetas en el mundo con la misma dirección MAC. Este identificador esta grabado "a fuego" cuando se diseña la tarjeta y no se puede cambiar. Las direcciones se sitúan en la capa 2 del modelo OSI (nivel de enlace) y aunque no todas las topologías de redes la utilizan (estoy hablando del nivel de capa 1 o enlace físico cuando me refiero a topología), el 99% de nuestras comunicaciones las usan, ya que siempre usamos redes del tipo ethernet o del modelo de redes WIFI (IEEE 802.11).
Como hemos visto la dirección MAC de nuestra tarjeta "debería" de ser única y por lo tanto utilizando la restricción MAC que nos proporciona el router, debería de ser suficiente para que nuestra red Wifi permaneciera segura de clientes no deseados.
Pero una cosa es la teoría y la otra bien distinta es la práctica. En la práctica existe la dirección hardware (la que estaba grabada a fuego por el fabricante), pero también existen aplicaciones software que permiten cambiar este valor.
Ahora que ya sabemos todo lo necesario acerca de la direcciones MAC, vamos pues a la practica!
Lo primero que hay que hacer es poner nuestra tarjeta wireless en modo promiscuo. No todos los chipset soportan este modo en Windows, así que dependiendo de la tarjeta que tengamos podremos utilizar Windows o decantarnos por Linux. En mi caso, tengo una ipw3945, luego utilizaré la distribución wifiway que me permite poner mi tarjeta Intel Pro Wireless 3945 en modo monitor. El siguiente paso es ver la MAC del cliente al cual queremos suplantar. Para ello lanzamos un programa que nos permita ver que clientes están conectados a las estaciones o bssid (además de darnos información adicional como la direcciones MAC de los clientes ;)). Uno de ellos podría ser el ariodump de la suite aircrak. Tras lanzarlo podemos ver el cliente (con la MAC xx:xx:xx:xx:xx:xx ) que queremos spoofear. Cojemos la dirección y la anotamos.
El siguiente paso será cambiar nuestra dirección MAC verdadera, a la dirección que hemos anotado, mediante un pequeño programa que nos permita hacer esto. Existe software tanto para Linux como para Windows.
Para Windows tenemos varias opciones. Si vamos a las propiedades de nuestro adaptador de red, algunos fabricantes (la mayoría) permiten cambiar directamente la dirección MAC. Otra opción seria modificar el registro del Windows. Por último podríamos utilizar también programas de terceros tipo MacShift, Etherchange, Smac, etc para cambiar nuestra dirección. Hay que señalar que es posible que algunos de los métodos no funcionen y por consiguiente tendríamos que aplicar otro hasta que veamos que nuestra MAC a cambiado realmente. Para comprobar que se ha cambiado correctamente nuestra MAC solo tenemos que ejecutar una consola y escribir en ella "ipconfig /all" y ver si realmente la dirección física se ha cambiado.
Por contra, para el sistema operativo Linux el cambio resulta más fácil, con solo ejecutar estos tres comandos habremos cambiado nuestra dirección a la que especifiquemos por xx:xx:xx:xx:xx:xx. Los comandos son: "ifconfig eth0 down" (deshabilitamos la interfaz de red) , "ifconfig eth0 hw ether xx:xx:xx:xx:xx:xx" (cambiamos la dirección hardware de la tarjeta), e "ifconfig eth0 up" (volvemos a levantar la interfaz de red). También existen programas en Linux que permiten hacer el cambio y otras cosas más como GNU Mac Changer. De nuevo podemos ver si el cambio se ha realizado con éxito si hacemos un "ifconfig" y vemos que la MAC ha cambiado.
Aquí os dejo una página de kritopolis donde explica las distintas formas de hacer el cambio de MAC un poco mas detallado tanto para Linux como para Windows.
Una vez realizado el cambio solo nos queda si ya podemos conectarnos.
Esto ha sido todo por hoy. La intención de este artículo era de poner un escenario práctico donde teníamos un problema y ver el camino realizado (aplicando ciertos conocimientos que tenemos) hasta resolver el problema.
Un saludo.
jueves, 22 de noviembre de 2007
dsniff: La suite definitiva
Hola gente!
Vengo a hablaros de un conjunto de herramientas que me han puesto los pelos de punta, no solo por su potencia, sino por su sencillez en el desempeño de técnicas de sniffing. Se trata de la suite dsniff, un maravilloso conjunto de herramientas diseñadas por Dug Song para auditar su propia red, pero que en manos de "otras" personas se convierte en el "Kit del pequeño cabroncete" XD
Conocí estas herramientas por el articulo del genial NeTTinG en la @rroba #122, y probada su eficacia decidí profundizar un poco mas en algunas de las herramientas proporcionadas.
La mayor parte de ellas necesitan de un MITM previo a su uso, y lo vamos a realizar con las propias herramientas que la suite nos ofrece. Para los mas despistados recordar que un MITM (man in the middle) es una técnica de sniffing específica para redes locales conmutadas, consistentes en realizar un envenenamiento de las tablas ARP del PC Victima y el router o cualquier otro host de la red. KrAmOx ya escribió sobre esto, así que los mas rezagados podrían empezar por leer este articulo ;)
La suite se compone de las siguientes herramientas:
Para instalar esta herramienta esta tan sencillo como realizar un simple:
MITM
Este primer ataque que vamos a ver consiste en realizar un clásico MITM, que nos servirá luego de lanzadera para otros ataques.
Para ello vamos a utilizar arpspoof. Imaginemos que tenemos el siguiente escenario:
Para conseguir el MITM tenemos que hacer que la conexión entre la Victima y el router pase antes por nosotros, y igualmente a la inversa la conexión entre el router y la victima pase también por nosotros, quedando el escenario así:
Para ello abrimos un terminal de consola en root y hacemos:
luego, en otro terminal en root, cubrimos el segundo canal de comunicación:
y para que no se note que estamos en medio activamos el forwarding para actuar como router y enviar los paquetes a su verdadero dueño.
si no hacemos esto, el tráfico quedara cortado para la victima y perderá la conexión, pudiendo así ser descubiertos.
Podemos comprobar en la maquina victima que el ataque esta en marcha haciendo un arp -a, sabremos que esta activo porque la dirección MAC del router coincidirá con la nuestra, esto es que habremos envenenado la cache ARP de la victima y los paquetes a la IP del router se enviaran a nuestra dirección MAC. También podremos detectar si somos victimas de este tipo de ataque si nuestra tabla ARP contiene MAC's duplicadas.
Importante!! no cerréis ninguna de las ventanas de consola en las que se esta ejecutando arpspoof, ya que de hacerlo se pararía el ataque!
Con esto ya tenemos el MITM en marcha.
Robo de contraseñas FTP
Ya sé que no es ningún mito conseguir la contraseña de un FTP, pero para ilustrar como funciona dsniff nos bastará ;)
Una vez realizado el MITM, en la maquina atacante ponemos dsniff a la escucha mediante:
Vaya! parece que dsniff tiene algo para nosotros!
Espiar conversaciones de Messenger
También es posible espiar conversaciones mediante la herramienta msgsnarf.
Habiendo hecho previamente el MITM podemos hacer:
Capturar correos
Activando mailsnarf:
Espiar trafico web en tiempo real
Para esto es imprescindible utilizar el navegador Netscape... para esto no nos sirve el Firefox U_U el Netscape Navigator lo podemos bajar de la pagina oficial de Netscape, la ultima versión estable para Linux es la 9.0.0.3.
El ataque es tan fácil como realizar un MITM y activar webspy del siguiente modo:
Todo esto, por supuesto, no es necesario que suceda en una red cableada... perfectamente puede ser un escenario inalámbrico, en una red ajena... así que al loro en lo que sucede en vuestras redes...
Bueno hasta aquí hemos hecho un pequeño repaso a unos cuantos ataques, pero esto es solo la punta del iceberg! Mas adelante iremos exprimiendo un poco mas esta fantástica suite, aunque no dudéis en ir probando por vuestra propia cuenta!
Me hubiera gustado poner mas capturas de pantalla, pero hoy no ha sido posible, tal vez, si me acuerdo haré las capturas mas tarde y actualizaré el post, pero no os puedo prometer nada de momento...
Salu2!
Vengo a hablaros de un conjunto de herramientas que me han puesto los pelos de punta, no solo por su potencia, sino por su sencillez en el desempeño de técnicas de sniffing. Se trata de la suite dsniff, un maravilloso conjunto de herramientas diseñadas por Dug Song para auditar su propia red, pero que en manos de "otras" personas se convierte en el "Kit del pequeño cabroncete" XD
Conocí estas herramientas por el articulo del genial NeTTinG en la @rroba #122, y probada su eficacia decidí profundizar un poco mas en algunas de las herramientas proporcionadas.
La mayor parte de ellas necesitan de un MITM previo a su uso, y lo vamos a realizar con las propias herramientas que la suite nos ofrece. Para los mas despistados recordar que un MITM (man in the middle) es una técnica de sniffing específica para redes locales conmutadas, consistentes en realizar un envenenamiento de las tablas ARP del PC Victima y el router o cualquier otro host de la red. KrAmOx ya escribió sobre esto, así que los mas rezagados podrían empezar por leer este articulo ;)
La suite se compone de las siguientes herramientas:
- dsniff -> Sniffer de contraseñas
- filesnarf -> Captura y guarda ficheros pasados via NFS
- mailsnarf -> Captura el trafico POP3 y SMTP, guarda el resultado en formato mailbox
- msgsnarf -> Registra mensajes de sesiones de mensajería instantánea tipo msn.
- webspy -> Visualiza en tiempo real el trafico web de la victima inyectando el trafico en nuestro navegador.
- arpspoof -> Envenena la cache ARP
- dnspoof -> Falsifica respuestas DNS
- macof -> Inunda la red con direcciones MAC falsas provocando DoS
- sshow -> Analiza el trafico SSH en versión 1 y 2
- tcpkill -> Mata conexiones establecidas
- tcpnice -> Ralentiza conexiones.
Para instalar esta herramienta esta tan sencillo como realizar un simple:
apt-get install dsniffCon esto ya tendremos la suite instalada en nuestra Ubuntu/Debian.
MITM
Este primer ataque que vamos a ver consiste en realizar un clásico MITM, que nos servirá luego de lanzadera para otros ataques.
Para ello vamos a utilizar arpspoof. Imaginemos que tenemos el siguiente escenario:
Vict(192.168.1.33) <--->Rout(192.168.1.1)<--->Atac(192.168.1.35)
Para conseguir el MITM tenemos que hacer que la conexión entre la Victima y el router pase antes por nosotros, y igualmente a la inversa la conexión entre el router y la victima pase también por nosotros, quedando el escenario así:
Victima==============Atacante===============Router
Para ello abrimos un terminal de consola en root y hacemos:
arpspoof -i eth0 -t 192.168.1.33 192.168.1.1
luego, en otro terminal en root, cubrimos el segundo canal de comunicación:
arpspoof -i eth0 -t 192.168.1.1 192.168.1.33
y para que no se note que estamos en medio activamos el forwarding para actuar como router y enviar los paquetes a su verdadero dueño.
echo 1 > /proc/sys/net/ipv4/ip_forward
si no hacemos esto, el tráfico quedara cortado para la victima y perderá la conexión, pudiendo así ser descubiertos.
Podemos comprobar en la maquina victima que el ataque esta en marcha haciendo un arp -a, sabremos que esta activo porque la dirección MAC del router coincidirá con la nuestra, esto es que habremos envenenado la cache ARP de la victima y los paquetes a la IP del router se enviaran a nuestra dirección MAC. También podremos detectar si somos victimas de este tipo de ataque si nuestra tabla ARP contiene MAC's duplicadas.
Importante!! no cerréis ninguna de las ventanas de consola en las que se esta ejecutando arpspoof, ya que de hacerlo se pararía el ataque!
Con esto ya tenemos el MITM en marcha.
Robo de contraseñas FTP
Ya sé que no es ningún mito conseguir la contraseña de un FTP, pero para ilustrar como funciona dsniff nos bastará ;)
Una vez realizado el MITM, en la maquina atacante ponemos dsniff a la escucha mediante:
dsniff -i eth0y a continuación vamos a la maquina victima y abrimos una sesión FTP con cualquier proveedor...
Vaya! parece que dsniff tiene algo para nosotros!
Espiar conversaciones de Messenger
También es posible espiar conversaciones mediante la herramienta msgsnarf.
Habiendo hecho previamente el MITM podemos hacer:
msgsnarf -i eth0y toda conversación msn que inicie la victima pasará por tu pantalla.
Capturar correos
Activando mailsnarf:
mailsnarf -i eth0podremos capturar todo el correo enviado mediante Outlook, Thunderbird... etc por la victima. Si ademas activamos dsniff probablemente capturemos la contraseña de acceso a la cuenta de correo. Con mailsnarf obtendremos el cuerpo del mensaje enviado.
Espiar trafico web en tiempo real
Para esto es imprescindible utilizar el navegador Netscape... para esto no nos sirve el Firefox U_U el Netscape Navigator lo podemos bajar de la pagina oficial de Netscape, la ultima versión estable para Linux es la 9.0.0.3.
El ataque es tan fácil como realizar un MITM y activar webspy del siguiente modo:
webspy -i eth0 192.168.1.33y en la barra de direcciones de Netscape poner la dirección http://192.168.1.33 ¡webspy irá inyectando el trafico web automáticamente y en tiempo real!!
Todo esto, por supuesto, no es necesario que suceda en una red cableada... perfectamente puede ser un escenario inalámbrico, en una red ajena... así que al loro en lo que sucede en vuestras redes...
Bueno hasta aquí hemos hecho un pequeño repaso a unos cuantos ataques, pero esto es solo la punta del iceberg! Mas adelante iremos exprimiendo un poco mas esta fantástica suite, aunque no dudéis en ir probando por vuestra propia cuenta!
Me hubiera gustado poner mas capturas de pantalla, pero hoy no ha sido posible, tal vez, si me acuerdo haré las capturas mas tarde y actualizaré el post, pero no os puedo prometer nada de momento...
Salu2!
Suscribirse a:
Entradas (Atom)
