Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-24 21:53:54 +00:00
Code Issues Projects Releases Packages Wiki Activity

Translated ['generic-methodologies-and-resources/pentesting-network/READ

Browse source
This commit is contained in:
Translator 2024-08-21 08:50:14 +00:00
parent ee6cc71d35
commit 8fce3aff43
1 changed files with 86 additions and 86 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

172
generic-methodologies-and-resources/pentesting-network/README.md
View file

@ -10,7 +10,7 @@
* 查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 分享黑客技巧。
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享黑客技巧。
</details>
{% endhint %}
@ -22,13 +22,13 @@
## 从外部发现主机
这一部分将简要介绍如何找到 **来自互联网的响应 IP**。\
在这种情况下，您有一些 **IP 范围**（甚至可能有多个 **范围**），您只需找出 **哪些 IP 正在响应**。
这将是一个关于如何从 **互联网** 找到 **响应的 IP** 的 **简要部分**。\
在这种情况下，您有一些 **IP 范围**（甚至可能有多个 **范围**），您只需找出 **哪些 IP 在响应**。
### ICMP
这是发现主机是否在线的 **最简单** 和 **最快** 的方法。\
您可以尝试发送一些 **ICMP** 数据包并 **期待响应**。最简单的方法是发送一个 **回声请求** 并期待响应。您可以使用简单的 `ping` 或使用 `fping` 进行 **范围** 测试。\
您可以尝试发送一些 **ICMP** 数据包并 **期待响应**。最简单的方法是发送一个 **回声请求** 并期待响应。您可以使用简单的 `ping` 或使用 `fping` 来处理 **范围**。\
您还可以使用 **nmap** 发送其他类型的 ICMP 数据包（这将避免常见 ICMP 回声请求-响应的过滤器）。
```bash
ping -c 1 199.66.11.4 # 1 echo request to a host
@ -53,7 +53,7 @@ masscan -p80,443,8000-8100,8443 199.66.11.0/24
```
### UDP端口发现
您还可以尝试检查某些**UDP端口是否开放**，以决定是否应该**更加关注**一个**主机**。由于UDP服务通常**不响应**常规空UDP探测数据包，因此很难判断端口是被过滤还是开放。决定这一点的最简单方法是发送与正在运行的服务相关的数据包，由于您不知道正在运行哪个服务，您应该根据端口号尝试最可能的服务：
您还可以尝试检查一些**UDP端口是否开放**，以决定是否应该**更加关注**一个**主机**。由于UDP服务通常**不响应**常规空UDP探测数据包，因此很难判断端口是被过滤还是开放。决定这一点的最简单方法是发送与正在运行的服务相关的数据包，由于您不知道正在运行哪个服务，您应该根据端口号尝试最可能的服务：
```bash
nmap -sU -sV --version-intensity 0 -F -n 199.66.11.53/24
# The -sV will make nmap test each possible known UDP service packet
@ -63,12 +63,12 @@ nmap -sU -sV --version-intensity 0 -F -n 199.66.11.53/24
### SCTP 端口发现
```bash
#Probably useless, but it's pretty fast, why not trying?
#Probably useless, but it's pretty fast, why not try it?
nmap -T4 -sY -n --open -Pn <IP/range>
```
## Pentesting Wifi
在这里，您可以找到一个关于撰写时所有知名Wifi攻击的良好指南：
在这里，您可以找到一个关于所有已知Wifi攻击的良好指南：
{% content-ref url="../pentesting-wifi/" %}
[pentesting-wifi](../pentesting-wifi/)
@ -91,7 +91,7 @@ set net.show.meta true #more info
```
### Active
请注意，在 [_**从外部发现主机**_](./#discovering-hosts-from-the-outside) (_TCP/HTTP/UDP/SCTP 端口发现_) 中提到的技术也可以**应用于此**。\
请注意，在 [_**从外部发现主机**_](./#discovering-hosts-from-the-outside) (_TCP/HTTP/UDP/SCTP 端口发现_) 中提到的技术也可以在这里**应用**。\
但是，由于您与其他主机在**同一网络**中，您可以做**更多事情**：
```bash
#ARP discovery
@ -119,7 +119,7 @@ alive6 <IFACE> # Send a pingv6 to multicast.
* 如果您 **ping** 一个 **子网广播地址**，ping 应该到达 **每个主机**，它们可能会 **回应** **您**：`ping -b 10.10.5.255`
* ping **网络广播地址**，您甚至可以找到 **其他子网** 内的主机：`ping -b 255.255.255.255`
* 使用 `nmap` 的 `-PE`、`-PP`、`-PM` 标志进行主机发现，分别发送 **ICMPv4 回显**、**时间戳**和 **子网掩码请求**：`nmap -PE -PM -PP -sn -vvv -n 10.12.5.0/24`
* 使用 `nmap` 的 `-PE`、`-PP`、`-PM` 标志进行主机发现，分别发送 **ICMPv4 回显**、**时间戳** 和 **子网掩码请求**：`nmap -PE -PM -PP -sn -vvv -n 10.12.5.0/24`
### **Wake On Lan**
@ -157,7 +157,7 @@ syn.scan 192.168.1.0/24 1 10000 #Ports 1-10000
有两种选项来扫描UDP端口：
* 发送一个**UDP数据包**并检查响应_**ICMP不可达**_，如果端口是**关闭**的（在许多情况下，ICMP会被**过滤**，因此如果端口关闭或打开，您将不会收到任何信息）。
* 发送**格式化的数据报**以引发**服务**的响应（例如，DNS、DHCP、TFTP等，如_nmap-payloads_中列出）。如果您收到**响应**，那么端口是**开放**的。
* 发送**格式化的数据报**以引发**服务**的响应（例如，DNS、DHCP、TFTP等，如_nmap-payloads_中列出）。如果您收到**响应**，那么端口是**打开**的。
**Nmap**将使用“-sV”**混合这两种**选项（UDP扫描非常慢），但请注意，UDP扫描比TCP扫描慢：
```bash
@ -210,7 +210,7 @@ IP 10.10.0.2 > 185.22.224.18: ICMP echo reply, id 25804, seq 1586, length 64
通过嗅探，您可以通过查看捕获的帧和数据包来了解 IP 范围、子网大小、MAC 地址和主机名。如果网络配置错误或交换 fabric 处于压力状态，攻击者可以通过被动网络嗅探捕获敏感材料。
如果交换以太网网络配置正确，您将只看到广播帧和发送到您的 MAC 地址的材料。
如果交换以太网网络配置正确，您将只看到广播帧和发送到您 MAC 地址的材料。
### TCPDump
```bash
@ -218,7 +218,7 @@ sudo tcpdump -i <INTERFACE> udp port 53 #Listen to DNS request to discover what
tcpdump -i <IFACE> icmp #Listen to icmp packets
sudo bash -c "sudo nohup tcpdump -i eth0 -G 300 -w \"/tmp/dump-%m-%d-%H-%M-%S-%s.pcap\" -W 50 'tcp and (port 80 or port 443)' &"
```
可以通过SSH会话使用Wireshark作为GUI实时捕获远程机器的数据包。
可以通过SSH会话使用Wireshark作为GUI实时捕获来自远程机器的数据包。
```
ssh user@<TARGET IP> tcpdump -i ens160 -U -s0 -w - | sudo wireshark -k -i -
ssh <USERNAME>@<TARGET IP> tcpdump -i <INTERFACE> -U -s0 -w - 'port not 22' | sudo wireshark -k -i - # Exclude SSH traffic
@ -272,13 +272,13 @@ macof -i <interface>
#### 动态干道
**动态干道协议 (DTP)** 被设计为一个链路层协议，以便于自动化的干道系统，允许交换机自动选择干道模式 (Trunk) 或非干道模式的端口。**DTP** 的部署通常被视为网络设计不佳的标志，强调了仅在必要时手动配置干道的重要性，并确保适当的文档记录。
**动态干道协议 (DTP)** 被设计为一个链路层协议，以便于自动化的干道系统，使交换机能够自动选择干道模式 (Trunk) 或非干道模式的端口。**DTP** 的部署通常被视为网络设计不佳的标志，强调了仅在必要时手动配置干道的重要性，并确保适当的文档记录。
默认情况下，交换机端口设置为动态自动模式，这意味着它们准备在邻近交换机的提示下启动干道。当渗透测试者或攻击者连接到交换机并发送 DTP Desirable 帧时，会引发安全问题，迫使端口进入干道模式。这一行为使攻击者能够通过 STP 帧分析枚举 VLAN，并通过设置虚拟接口来绕过 VLAN 分段。
默认情况下，交换机端口设置为动态自动模式，这意味着它们准备在邻近交换机的提示下启动干道。当渗透测试者或攻击者连接到交换机并发送 DTP Desirable 帧时，会引发安全问题，迫使端口进入干道模式。这一行为使攻击者能够通过 STP 帧分析枚举 VLAN，并通过设置虚拟接口来规避 VLAN 分段。
许多交换机默认存在 DTP，敌手可以利用这一点模仿交换机的行为，从而获得对所有 VLAN 流量的访问。脚本 [_**dtpscan.sh**_](https://github.com/commonexploits/dtpscan) 被用来监控接口，揭示交换机是否处于默认、干道、动态、自动或接入模式——后者是唯一免受 VLAN 跳跃攻击的配置。该工具评估交换机的漏洞状态。
许多交换机默认存在 DTP，敌手可以利用这一点模仿交换机的行为，从而获得对所有 VLAN 流量的访问。脚本 [_**dtpscan.sh**_](https://github.com/commonexploits/dtpscan) 用于监控接口，揭示交换机是否处于默认、干道、动态、自动或接入模式——后者是唯一免受 VLAN 跳跃攻击的配置。该工具评估交换机的漏洞状态。
如果发现网络漏洞，可以使用 _**Yersinia**_ 工具通过 DTP 协议“启用干道”，允许观察来自所有 VLAN 的数据包。
如果发现网络漏洞，可以使用 _**Yersinia**_ 工具通过 DTP 协议“启用干道”，以便观察来自所有 VLAN 的数据包。
```bash
apt-get install yersinia #Installation
sudo apt install kali-linux-large #Another way to install it in Kali
@ -291,7 +291,7 @@ yersinia -G #For graphic mode
```
![](<../../.gitbook/assets/image (269).png>)
要枚举VLAN，也可以使用脚本[**DTPHijacking.py**](https://github.com/in9uz/VLANPWN/blob/main/DTPHijacking.py)**生成DTP Desirable帧。**在任何情况下都不要中断脚本。它每三秒注入一次DTP Desirable。**交换机上动态创建的干道通道仅存在五分钟。五分钟后，干道将失效。**
要枚举VLAN，也可以使用脚本 [**DTPHijacking.py**](https://github.com/in9uz/VLANPWN/blob/main/DTPHijacking.py)**生成DTP Desirable帧。**在任何情况下都不要中断脚本。它每三秒注入一次DTP Desirable。**交换机上动态创建的干道通道仅持续五分钟。五分钟后，干道将断开。**
```
sudo python3 DTPHijacking.py --interface eth0
```
@ -337,19 +337,19 @@ sudo vconfig add eth0 30
sudo ip link set eth0.30 up
sudo dhclient -v eth0.30
```
#### Automatic VLAN Hopper
#### 自动VLAN跳跃
讨论的攻击 **动态干线和创建虚拟接口以发现其他 VLAN 中的主机** 是 **由工具自动执行的**: [**https://github.com/nccgroup/vlan-hopping---frogger**](https://github.com/nccgroup/vlan-hopping---frogger)
讨论的攻击**动态干线和创建虚拟接口以发现其他VLAN中的主机**由工具**[https://github.com/nccgroup/vlan-hopping---frogger](https://github.com/nccgroup/vlan-hopping---frogger)**自动执行。
#### Double Tagging
#### 双重标记
如果攻击者知道 **受害主机的 MAC、IP 和 VLAN ID 的值**，他可以尝试 **双重标记一个帧**，使用其指定的 VLAN 和受害者的 VLAN 并发送一个数据包。由于 **受害者无法与攻击者连接**，因此 **攻击者的最佳选择是通过 UDP 进行通信**，与可以执行一些有趣操作的协议（如 SNMP）。
如果攻击者知道**受害主机的MAC、IP和VLAN ID**，他可以尝试**双重标记一个帧**，使用其指定的VLAN和受害者的VLAN并发送数据包。由于**受害者无法与攻击者连接**，因此**攻击者的最佳选择是通过UDP进行通信**，与可以执行一些有趣操作的协议（如SNMP）。
攻击者的另一个选择是发起 **TCP 端口扫描，伪装成一个由攻击者控制并且受害者可以访问的 IP**（可能通过互联网）。然后，攻击者可以在他拥有的第二个主机上嗅探，如果它接收到来自受害者的一些数据包。
攻击者的另一个选择是发起**TCP端口扫描，伪装成一个由攻击者控制并且受害者可以访问的IP**（可能通过互联网）。然后，攻击者可以在他拥有的第二个主机上嗅探，如果它接收到来自受害者的一些数据包。
![](<../../.gitbook/assets/image (190).png>)
要执行此攻击，您可以使用 scapy: `pip install scapy`
要执行此攻击，您可以使用scapy：`pip install scapy`
```python
from scapy.all import *
# Double tagging with ICMP packet (the response from the victim isn't double tagged so it will never reach the attacker)
@ -358,7 +358,7 @@ sendp(packet)
```
#### Lateral VLAN Segmentation Bypass <a href="#d679" id="d679"></a>
如果您**可以访问直接连接的交换机**，您就有能力**绕过 VLAN 分段**。只需**将端口切换到干道模式**（也称为干道），创建具有目标 VLAN ID 的虚拟接口，并配置 IP 地址。您可以尝试动态请求地址（DHCP），或者可以静态配置。具体取决于情况。
如果您**可以访问直接连接的交换机**，您就有能力**绕过网络中的VLAN分段**。只需**将端口切换到干道模式**（也称为trunk），创建具有目标VLAN ID的虚拟接口，并配置IP地址。您可以尝试动态请求地址（DHCP），或者可以静态配置。具体取决于情况。
{% content-ref url="lateral-vlan-segmentation-bypass.md" %}
[lateral-vlan-segmentation-bypass.md](lateral-vlan-segmentation-bypass.md)
@ -366,34 +366,34 @@ sendp(packet)
#### Layer 3 Private VLAN Bypass
在某些环境中，例如访客无线网络，**端口隔离（也称为私有 VLAN）**设置被实施，以防止连接到无线接入点的客户端直接相互通信。然而，已经识别出一种可以规避这些隔离措施的技术。该技术利用网络 ACL 的缺失或配置不当，使得 IP 数据包能够通过路由器路由到同一网络上的另一个客户端。
在某些环境中，例如访客无线网络，**端口隔离（也称为私有VLAN）**设置被实施，以防止连接到无线接入点的客户端直接相互通信。然而，已经识别出一种可以规避这些隔离措施的技术。该技术利用网络ACL的缺失或配置不当，使IP数据包能够通过路由器路由到同一网络上的另一个客户端。
攻击是通过创建一个**携带目标客户端 IP 地址但带有路由器 MAC 地址的包**来执行的。这导致路由器错误地将数据包转发给目标客户端。这种方法类似于双标记攻击中使用的方法，其中利用可访问受害者的主机的能力来利用安全漏洞。
攻击是通过创建一个**携带目标客户端IP地址但使用路由器MAC地址的包**来执行的。这导致路由器错误地将数据包转发给目标客户端。这种方法类似于双标签攻击中使用的方法，其中利用可访问受害者的主机的能力来利用安全漏洞。
**攻击的关键步骤：**
1. **构造数据包：** 特别构造一个数据包，以包含目标客户端的 IP 地址，但带有路由器的 MAC 地址。
2. **利用路由器行为：** 将构造的数据包发送到路由器，由于配置原因，路由器将数据包重定向到目标客户端，绕过私有 VLAN 设置提供的隔离。
1. **构造数据包：** 特别构造一个数据包，以包含目标客户端的IP地址，但使用路由器的MAC地址。
2. **利用路由器行为：** 将构造的数据包发送到路由器，由于配置原因，路由器将数据包重定向到目标客户端，绕过私有VLAN设置提供的隔离。
### VTP Attacks
VTP（VLAN Trunking Protocol）集中管理 VLAN。它利用修订号来维护 VLAN 数据库的完整性；任何修改都会增加此数字。交换机采用具有更高修订号的配置，更新自己的 VLAN 数据库。
VTP（VLAN干道协议）集中管理VLAN。它利用修订号来维护VLAN数据库的完整性；任何修改都会增加此数字。交换机采用具有更高修订号的配置，更新自己的VLAN数据库。
#### VTP Domain Roles
* **VTP Server:** 管理 VLAN——创建、删除、修改。它向域成员广播 VTP 通告。
* **VTP Client:** 接收 VTP 通告以同步其 VLAN 数据库。此角色被限制进行本地 VLAN 配置修改。
* **VTP Transparent:** 不参与 VTP 更新，但转发 VTP 通告。不受 VTP 攻击影响，保持修订号为零。
* **VTP服务器：** 管理VLAN——创建、删除、修改。它向域成员广播VTP公告。
* **VTP客户端：** 接收VTP公告以同步其VLAN数据库。此角色被限制进行本地VLAN配置修改。
* **VTP透明：** 不参与VTP更新，但转发VTP公告。未受VTP攻击影响，保持修订号为零。
#### VTP Advertisement Types
* **Summary Advertisement:** 每 300 秒由 VTP 服务器广播，携带重要的域信息。
* **Subset Advertisement:** 在 VLAN 配置更改后发送。
* **Advertisement Request:** 由 VTP 客户端发出，请求摘要通告，通常是响应检测到更高的配置修订号。
* **摘要公告：** 每300秒由VTP服务器广播，携带重要的域信息。
* **子集公告：** 在VLAN配置更改后发送。
* **公告请求：** 由VTP客户端发出，请求摘要公告，通常是响应检测到更高配置修订号时。
VTP 漏洞仅通过干道端口可被利用，因为 VTP 通告仅通过这些端口传播。在 DTP 攻击场景之后，可能会转向 VTP。像 Yersinia 这样的工具可以促进 VTP 攻击，旨在清除 VLAN 数据库，有效地破坏网络。
VTP漏洞仅通过干道端口可被利用，因为VTP公告仅通过这些端口传播。在DTP攻击场景之后，可能会转向VTP。像Yersinia这样的工具可以促进VTP攻击，旨在清除VLAN数据库，有效地破坏网络。
注意：本讨论涉及 VTP 版本 1（VTPv1）。
注意：本讨论涉及VTP版本1（VTPv1）。
````bash
%% yersinia -G # Launch Yersinia in graphical mode ```
````
@ -420,7 +420,7 @@ yersinia stp -attack 0 #Will send 1 CONF packet, nothing else will happen
```
#### **STP Root Attack**
攻击者模拟交换机的行为，以成为网络的 STP 根。然后，更多的数据将通过他传输。当你连接到两个不同的交换机时，这很有趣。\
攻击者模拟交换机的行为，以成为网络的 STP 根。然后，更多的数据将通过他传输。当你连接到两个不同的交换机时，这一点很有趣。\
这是通过发送 BPDUs CONF 数据包来完成的，声称 **优先级** 值低于实际根交换机的实际优先级。
```bash
yersinia stp -attack 4 #Behaves like the root switch
@ -437,7 +437,7 @@ CISCO 发现协议 (CDP) 对于 CISCO 设备之间的通信至关重要，使它
#### 被动数据收集 <a href="#id-0e0f" id="id-0e0f"></a>
CDP 被配置为通过所有端口广播信息，这可能导致安全风险。攻击者在连接到交换机端口时，可以部署网络嗅探器，如 **Wireshark**、**tcpdump** 或 **Yersinia**。此操作可以揭示有关网络设备的敏感数据，包括其型号和运行的 Cisco IOS 版本。攻击者可能会针对识别出的 Cisco IOS 版本中的特定漏洞。
CDP 被配置为通过所有端口广播信息，这可能导致安全风险。攻击者在连接到交换机端口后，可以部署网络嗅探器，如 **Wireshark**、**tcpdump** 或 **Yersinia**。此操作可以揭示有关网络设备的敏感数据，包括其型号和运行的 Cisco IOS 版本。攻击者可能会针对识别出的 Cisco IOS 版本中的特定漏洞。
#### 引发 CDP 表泛洪 <a href="#id-0d6a" id="id-0d6a"></a>
@ -458,7 +458,7 @@ sudo yersinia cdp -attack 0 #Send a CDP packet
### VoIP攻击和VoIP Hopper工具
VoIP电话，越来越多地与物联网设备集成，提供通过特殊电话号码解锁门或控制恒温器等功能。然而，这种集成可能会带来安全风险。
VoIP电话与物联网设备的集成日益增加，提供了通过特殊电话号码解锁门或控制恒温器等功能。然而，这种集成可能会带来安全风险。
工具 [**voiphopper**](http://voiphopper.sourceforge.net) 旨在在各种环境中模拟VoIP电话（Cisco、Avaya、Nortel、Alcatel-Lucent）。它使用CDP、DHCP、LLDP-MED和802.1Q ARP等协议发现语音网络的VLAN ID。
@ -473,7 +473,7 @@ VoIP电话，越来越多地与物联网设备集成，提供通过特殊电话
* 攻击者的网络接口（`-i` 参数）。
* 被模拟的VoIP设备的名称（`-E` 参数），遵循Cisco命名格式（例如，SEP后跟MAC地址）。
在企业环境中，为了模仿现有的VoIP设备，可以：
在企业环境中，为了模拟现有的VoIP设备，可以：
* 检查电话上的MAC标签。
* 浏览电话的显示设置以查看型号信息。
@ -505,17 +505,17 @@ Nmap done: 0 IP addresses (0 hosts up) scanned in 5.27 seconds
```
**DoS**
**对DHCP服务器可以执行两种类型的DoS**。第一种是**模拟足够多的虚假主机以使用所有可能的IP地址**。\
此攻击仅在您可以看到DHCP服务器的响应并完成协议时有效（**Discover** (Comp) --> **Offer** (server) --> **Request** (Comp) --> **ACK** (server)）。例如，这在**Wifi网络中是不可能的**。
**两种类型的 DoS** 可以针对 DHCP 服务器执行。第一种是 **模拟足够的虚假主机以使用所有可能的 IP 地址**。\
此攻击仅在您能够看到 DHCP 服务器的响应并完成协议时有效 (**Discover** (Comp) --> **Offer** (server) --> **Request** (Comp) --> **ACK** (server))。例如，这在 **Wifi 网络中是不可行的**。
执行DHCP DoS的另一种方法是发送**DHCP-RELEASE数据包，源代码使用每个可能的IP**。然后，服务器会认为每个人都已经完成了对该IP的使用。
执行 DHCP DoS 的另一种方法是发送 **DHCP-RELEASE 数据包，源代码使用每个可能的 IP**。然后，服务器会认为每个人都已完成使用该 IP。
```bash
yersinia dhcp -attack 1
yersinia dhcp -attack 3 #More parameters are needed
```
一个更自动化的方法是使用工具 [DHCPing](https://github.com/kamorin/DHCPig)
您可以使用提到的 DoS 攻击来强制客户端在环境中获取新租约，并耗尽合法服务器，使其变得无响应。因此，当合法服务器尝试重新连接时，**您可以提供下一个攻击中提到的恶意值**。
您可以使用提到的 DoS 攻击来强迫客户端在环境中获取新租约，并耗尽合法服务器，使其变得无响应。因此，当合法客户端尝试重新连接时，**您可以提供下一个攻击中提到的恶意值**。
#### 设置恶意值
@ -532,7 +532,7 @@ yersinia dhcp -attack 3 #More parameters are needed
* **DHCP 流量的接口**：使用 `-I eth1` 在特定网络接口上监听 DHCP 流量。
* **WPAD 配置地址**：使用 `-w “http://10.0.0.100/wpad.dat”` 设置 WPAD 配置的地址，以协助网络流量拦截。
* **伪造默认网关 IP**：包括 `-S` 以伪造默认网关 IP 地址。
* **响应所有 DHCP 请求**：包括 `-R` 使服务器响应所有 DHCP 请求，但要注意这会产生噪音并可能被检测到。
* **响应所有 DHCP 请求**：包括 `-R` 使服务器响应所有 DHCP 请求，但请注意这会产生噪音并可能被检测到。
通过正确使用这些选项，可以有效地建立一个流氓 DHCP 服务器以拦截网络流量。
```python
@ -544,16 +544,16 @@ yersinia dhcp -attack 3 #More parameters are needed
以下是可以针对802.1X实现使用的一些攻击策略：
* 通过EAP进行主动的暴力破解密码
* 使用畸形EAP内容攻击RADIUS服务器 _\*\*_(利用)
* 使用格式错误的EAP内容攻击RADIUS服务器 _\*\*_(利用)
* 捕获EAP消息并进行离线密码破解（EAP-MD5和PEAP）
* 强制EAP-MD5身份验证以绕过TLS证书验证
* 在使用集线器或类似设备进行身份验证时注入恶意网络流量
如果攻击者位于受害者与身份验证服务器之间，他可以尝试降级（如有必要）身份验证协议至EAP-MD5并捕获身份验证尝试。然后，他可以使用以下方法进行暴力破解：
如果攻击者位于受害者与身份验证服务器之间，他可以尝试降低（如有必要）身份验证协议至EAP-MD5并捕获身份验证尝试。然后，他可以使用以下方法进行暴力破解：
```
eapmd5pass –r pcap.dump –w /usr/share/wordlist/sqlmap.txt
```
### FHRP (GLBP & HSRP) 攻击 <a href="#id-6196" id="id-6196"></a>
### FHRP (GLBP & HSRP) Attacks <a href="#id-6196" id="id-6196"></a>
**FHRP**（第一跳冗余协议）是一类旨在**创建热冗余路由系统**的网络协议。通过FHRP，物理路由器可以组合成一个单一的逻辑设备，从而提高容错能力并帮助分配负载。
@ -565,41 +565,41 @@ eapmd5pass –r pcap.dump –w /usr/share/wordlist/sqlmap.txt
### RIP
已知存在三种路由信息协议（RIP）的版本：RIP、RIPv2和RIPng。RIP和RIPv2通过UDP的520端口向对等体发送数据报，而RIPng则通过IPv6组播向UDP的521端口广播数据报。RIPv2引入了对MD5身份验证的支持。另一方面，RIPng没有包含本地身份验证；相反，它依赖于IPv6中的可选IPsec AH和ESP头。
已知存在三种路由信息协议（RIP）的版本：RIP、RIPv2和RIPng。RIP和RIPv2通过UDP的520端口向对等体发送数据报，而RIPng则通过IPv6组播向UDP的521端口广播数据报。RIPv2引入了对MD5身份验证的支持。另一方面，RIPng没有内置身份验证，而是依赖于IPv6中的可选IPsec AH和ESP头。
* **RIP和RIPv2：** 通过UDP数据报在520端口进行通信。
* **RIPng：** 利用UDP的521端口通过IPv6组播广播数据报。
请注意，RIPv2支持MD5身份验证，而RIPng不包括本地身份验证，依赖于IPv6中的IPsec AH和ESP头。
请注意，RIPv2支持MD5身份验证，而RIPng不包括内置身份验证，依赖于IPv6中的IPsec AH和ESP头。
### EIGRP 攻击
### EIGRP Attacks
**EIGRP（增强型内部网关路由协议）**是一种动态路由协议。**它是一种距离矢量协议。** 如果没有**身份验证**和被动接口的配置，**入侵者**可以干扰EIGRP路由并导致**路由表中毒**。此外，EIGRP网络（换句话说，自治系统）**是扁平的，没有划分为任何区域**。如果**攻击者注入一条路由**，这条路由很可能会**传播**到整个自治EIGRP系统。
攻击EIGRP系统需要**与合法EIGRP路由器建立邻居关系**，这打开了许多可能性，从基本侦察到各种注入。
攻击EIGRP系统需要**与合法的EIGRP路由器建立邻居关系**，这打开了从基本侦察到各种注入的许多可能性。
[**FRRouting**](https://frrouting.org/) 允许您实现**支持BGP、OSPF、EIGRP、RIP和其他协议的虚拟路由器。** 您只需在攻击者的系统上部署它，您实际上可以假装成为路由域中的合法路由器。
[**FRRouting**](https://frrouting.org/)允许您实现**支持BGP、OSPF、EIGRP、RIP和其他协议的虚拟路由器。** 您只需在攻击者的系统上部署它，您实际上可以假装成为路由域中的合法路由器。
{% content-ref url="eigrp-attacks.md" %}
[eigrp-attacks.md](eigrp-attacks.md)
{% endcontent-ref %}
[**Coly**](https://code.google.com/p/coly/) 具有拦截EIGRP（增强型内部网关路由协议）广播的能力。它还允许注入数据包，这可以用于更改路由配置。
[**Coly**](https://code.google.com/p/coly/)具有拦截EIGRP（增强型内部网关路由协议）广播的能力。它还允许注入数据包，这可以用于更改路由配置。
### OSPF
在开放最短路径优先（OSPF）协议中，**通常使用MD5身份验证来确保路由器之间的安全通信**。然而，这一安全措施可以通过像Loki和John the Ripper这样的工具被破坏。这些工具能够捕获和破解MD5哈希，暴露身份验证密钥。一旦获得该密钥，就可以用来引入新的路由信息。要配置路由参数并建立被破坏的密钥，分别使用_注入_和_连接_选项卡。
在开放最短路径优先（OSPF）协议中，**通常使用MD5身份验证以确保路由器之间的安全通信**。然而，这一安全措施可以通过像Loki和John the Ripper这样的工具被破坏。这些工具能够捕获和破解MD5哈希，暴露身份验证密钥。一旦获得该密钥，就可以用来引入新的路由信息。要配置路由参数并建立被破坏的密钥，分别使用_注入_和_连接_选项卡。
* **捕获和破解MD5哈希：** 使用Loki和John the Ripper等工具。
* **配置路由参数：** 通过_注入_选项卡进行。
* **设置被破坏的密钥：** 密钥在_连接_选项卡下配置。
### 其他通用工具和资源
### Other Generic Tools & Sources
* [**Above**](https://github.com/c4s73r/Above)：扫描网络流量并查找漏洞的工具
* 您可以在[**这里**](https://github.com/Sab0tag3d/MITM-cheatsheet)找到一些**关于网络攻击的更多信息**。
## **欺骗**
## **Spoofing**
攻击者通过发送虚假的DHCP响应来配置网络中新成员的所有网络参数（GW、IP、DNS）。
```bash
@ -612,7 +612,7 @@ yersinia dhcp -attack 2 #More parameters are needed
### ICMPRedirect
ICMP重定向是指发送一个ICMP数据包类型1代码5，表示攻击者是到达某个IP的最佳方式。然后，当受害者想要联系该IP时，它将通过攻击者发送数据包。
ICMP重定向由发送一个ICMP数据包类型1代码5组成，表示攻击者是到达某个IP的最佳方式。然后，当受害者想要联系该IP时，它将通过攻击者发送数据包。
```bash
Ettercap
icmp_redirect
@ -631,7 +631,7 @@ dig @localhost domain.example.com # Test the configured DNS
```
### 本地网关
系统和网络通常存在多个路由。在本地网络中建立 MAC 地址列表后，使用 _gateway-finder.py_ 来识别支持 IPv4 转发的主机。
系统和网络通常存在多条路径。在本地网络中建立 MAC 地址列表后，使用 _gateway-finder.py_ 来识别支持 IPv4 转发的主机。
```
root@kali:~# git clone https://github.com/pentestmonkey/gateway-finder.git
root@kali:~# cd gateway-finder/
@ -649,45 +649,45 @@ gateway-finder v1.0 http://pentestmonkey.net/tools/gateway-finder
[+] We can ping 209.85.227.99 via 00:13:72:09:AD:76 [10.0.0.100]
[+] We can reach TCP port 80 on 209.85.227.99 via 00:13:72:09:AD:76 [10.0.0.100]
```
### [Spoofing LLMNR, NBT-NS, and mDNS](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
### [欺骗 LLMNR、NBT-NS 和 mDNS](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
对于当 DNS 查询失败时的本地主机解析，Microsoft 系统依赖于 **Link-Local Multicast Name Resolution (LLMNR)** 和 **NetBIOS Name Service (NBT-NS)**。类似地，**Apple Bonjour** 和 **Linux zero-configuration** 实现利用 **Multicast DNS (mDNS)** 在网络内发现系统。由于这些协议的无认证特性及其通过 UDP 广播消息的操作，它们可以被攻击者利用，旨在将用户重定向到恶意服务。
在 DNS 查询失败时，Microsoft 系统依赖于 **链路本地多播名称解析 (LLMNR)** 和 **NetBIOS 名称服务 (NBT-NS)** 进行本地主机解析。同样，**Apple Bonjour** 和 **Linux 零配置** 实现利用 **多播 DNS (mDNS)** 在网络中发现系统。由于这些协议的无身份验证特性及其通过 UDP 广播消息的操作，攻击者可以利用它们将用户重定向到恶意服务。
您可以使用 Responder 冒充被主机搜索的服务，发送虚假响应。\
您可以使用 Responder 冒充主机搜索的服务，发送虚假响应。\
在这里阅读更多关于 [如何使用 Responder 冒充服务](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md) 的信息。
### [Spoofing WPAD](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
### [欺骗 WPAD](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)
浏览器通常使用 **Web Proxy Auto-Discovery (WPAD) 协议自动获取代理设置**。这涉及从服务器获取配置细节，具体通过一个 URL，例如 "http://wpad.example.org/wpad.dat"。客户端可以通过各种机制发现此服务器：
浏览器通常使用 **Web 代理自动发现 (WPAD) 协议自动获取代理设置**。这涉及从服务器获取配置详细信息，具体通过一个 URL，例如 "http://wpad.example.org/wpad.dat"。客户端可以通过各种机制发现此服务器：
* 通过 **DHCP**，其中发现通过使用特殊代码 252 条目来促进。
* 通过 **DNS**，这涉及在本地域中搜索标记为 _wpad_ 的主机名。
* 通过 **Microsoft LLMNR 和 NBT-NS**，这些是 DNS 查询未成功时使用的后备机制。
工具 Responder 利用此协议，充当 **恶意 WPAD 服务器**。它使用 DHCP、DNS、LLMNR 和 NBT-NS 误导客户端连接到它。要深入了解如何使用 Responder 冒充服务 [请查看这个](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)。
工具 Responder 利用此协议，充当 **恶意 WPAD 服务器**。它使用 DHCP、DNS、LLMNR 和 NBT-NS 误导客户端连接到它。要深入了解如何使用 Responder 冒充服务 [请查看此处](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)。
### [Spoofing SSDP and UPnP devices](spoofing-ssdp-and-upnp-devices.md)
### [欺骗 SSDP 和 UPnP 设备](spoofing-ssdp-and-upnp-devices.md)
您可以在网络中提供不同的服务，以尝试 **欺骗用户** 输入一些 **明文凭据**。**关于此攻击的更多信息在** [**Spoofing SSDP and UPnP Devices**](spoofing-ssdp-and-upnp-devices.md)**。**
您可以在网络中提供不同的服务，以尝试 **欺骗用户** 输入一些 **明文凭据**。**关于此攻击的更多信息在** [**欺骗 SSDP 和 UPnP 设备**](spoofing-ssdp-and-upnp-devices.md)**。**
### IPv6 Neighbor Spoofing
### IPv6 邻居欺骗
此攻击与 ARP Spoofing 非常相似，但在 IPv6 世界中。您可以让受害者认为 GW 的 IPv6 拥有攻击者的 MAC。
此攻击与 ARP 欺骗非常相似，但在 IPv6 世界中。您可以让受害者认为 GW 的 IPv6 拥有攻击者的 MAC。
```bash
sudo parasite6 -l eth0 # This option will respond to every requests spoofing the address that was requested
sudo fake_advertise6 -r -w 2 eth0 <Router_IPv6> #This option will send the Neighbor Advertisement packet every 2 seconds
```
### IPv6 路由器广告欺骗/洪水攻击
### IPv6路由器广告欺骗/洪水攻击
一些操作系统默认通过网络中发送的 RA 数据包配置网关。要将攻击者声明为 IPv6 路由器，可以使用：
一些操作系统默认通过网络中发送的RA数据包配置网关。要将攻击者声明为IPv6路由器，可以使用：
```bash
sysctl -w net.ipv6.conf.all.forwarding=1 4
ip route add default via <ROUTER_IPv6> dev wlan0
fake_router6 wlan0 fe80::01/16
```
### IPv6 DHCP欺骗
### IPv6 DHCP 欺骗
默认情况下，一些操作系统尝试通过读取网络中的DHCPv6数据包来配置DNS。然后，攻击者可以发送一个DHCPv6数据包，将自己配置为DNS。DHCP还为受害者提供了一个IPv6地址。
默认情况下，一些操作系统尝试通过网络中的 DHCPv6 数据包来配置 DNS。然后，攻击者可以发送一个 DHCPv6 数据包，将自己配置为 DNS。DHCP 还为受害者提供了一个 IPv6 地址。
```bash
dhcp6.spoof on
dhcp6.spoof.domains <list of domains>
@ -700,7 +700,7 @@ mitm6
### sslStrip
基本上，这种攻击的作用是，当**用户**尝试**访问**一个**HTTP**页面，该页面**重定向**到**HTTPS**版本时，**sslStrip**将**保持**与**客户端的HTTP连接**和与**服务器的HTTPS连接**，这样它就能够以**明文**方式**嗅探**连接。
基本上，这种攻击的作用是，当**用户**尝试**访问**一个**HTTP**页面并被**重定向**到**HTTPS**版本时，**sslStrip**将**保持**与**客户端的HTTP连接**和与**服务器的HTTPS连接**，这样它就能够以**明文**形式**嗅探**连接。
```bash
apt-get install sslstrip
sslstrip -w /tmp/sslstrip.log --all - l 10000 -f -k
@ -713,7 +713,7 @@ iptables -A INPUT -p tcp --destination-port 10000 -j ACCEPT
### sslStrip+ 和 dns2proxy 绕过 HSTS
**sslStrip+ 和 dns2proxy** 与 **sslStrip** 的**区别**在于它们会**重定向**例如 _**www.facebook.com**_ **到** _**wwww.facebook.com**_（注意**多了一个**“**w**”），并将**该域名的地址设置为攻击者 IP**。这样，**客户端**将**连接**到 _**wwww.facebook.com**_ **（攻击者）**，但在后台**sslstrip+**将**通过 https 维持**与 **www.facebook.com** 的**真实连接**。
**sslStrip+ 和 dns2proxy** 与 **sslStrip** 的**区别**在于它们会**重定向**例如 _**www.facebook.com**_ **到** _**wwww.facebook.com**_（注意**多出的**“**w**”），并将**该域名的地址设置为攻击者 IP**。这样，**客户端**将**连接**到 _**wwww.facebook.com**_ **（攻击者）**，但在后台**sslstrip+**将**通过 https 维护**与 **www.facebook.com** 的**真实连接**。
此技术的**目标**是**避免 HSTS**，因为 _**wwww**.facebook.com_ **不会**被保存在**浏览器的缓存**中，因此浏览器会被欺骗以在 HTTP 中执行**facebook 认证**。\
请注意，为了执行此攻击，受害者必须最初尝试访问 [http://www.faceook.com](http://www.faceook.com)，而不是 https。这可以通过修改 http 页面中的链接来实现。
@ -749,7 +749,7 @@ sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FI
```
sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0 openssl-connect:[SERVER]:[PORT],verify=0
```
有时，如果客户端检查CA是有效的，您可以**提供由CA签名的其他主机名的证书**。\
有时，如果客户端检查CA是有效的，您可以**提供由CA签署的其他主机名的证书**。\
另一个有趣的测试是**提供请求的主机名但自签名的证书**。
其他测试内容是尝试用一个有效的证书签署该证书，但该证书不是有效的CA。或者使用有效的公钥，强制使用一种算法，如Diffie-Hellman（不需要用真实私钥解密的算法），当客户端请求真实私钥的探测（如哈希）时，发送一个假探测，并期望客户端不检查这个。
@ -786,7 +786,7 @@ wifi.recon on; wifi.ap
### **ARP discover**
ARP数据包用于发现网络中正在使用的IP。PC必须为每个可能的IP地址发送请求，只有正在使用的IP才会响应。
ARP数据包用于发现网络中正在使用的IP。PC必须为每个可能的IP地址发送请求，只有正在使用的IP会响应。
### **mDNS (multicast DNS)**
@ -800,7 +800,7 @@ Bettercap每隔X毫秒发送一个MDNS请求，询问**\_services\_.dns-sd.\_udp
### **NBNS (NetBios Name Server)**
Bettercap向端口137/UDP广播数据包，询问名称“CKAAAAAAAAAAAAAAAAAAAAAAAAAAA”。
Bettercap广播数据包到端口137/UDP，询问名称“CKAAAAAAAAAAAAAAAAAAAAAAAAAAA”。
### **SSDP (Simple Service Discovery Protocol)**
@ -818,21 +818,21 @@ Bettercap广播WSD数据包，搜索服务（UDP端口3702）。
* [https://medium.com/@cursedpkt/cisco-nightmare-pentesting-cisco-networks-like-a-devil-f4032eb437b9](https://medium.com/@cursedpkt/cisco-nightmare-pentesting-cisco-networks-like-a-devil-f4032eb437b9)
<img src="../../.gitbook/assets/i3.png" alt="" data-size="original">\
**Bug bounty tip**: **注册** **Intigriti**，一个由黑客为黑客创建的高级**bug bounty平台**！今天就加入我们，访问[**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks)，开始赚取高达**$100,000**的赏金！
**Bug bounty tip**: **sign up** for **Intigriti**, a premium **bug bounty platform created by hackers, for hackers**! Join us at [**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks) today, and start earning bounties up to **$100,000**!
{% embed url="https://go.intigriti.com/hacktricks" %}
{% hint style="success" %}
学习和实践AWS黑客攻击：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
学习和实践GCP黑客攻击：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
<details>
<summary>支持HackTricks</summary>
<summary>Support HackTricks</summary>
* 查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
* **加入** 💬 [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)，或在**Twitter**上**关注**我们 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github库提交PR分享黑客技巧。
* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
</details>
{% endhint %}