
O tema do ataque do Homem no Meio no contexto do Portal Cativo é tão antigo quanto o mundo. Como regra, estamos falando sobre como criar um ponto de acesso sem fio falso com seu próprio portal Captive. Hoje vou mostrar um vetor de ataque completamente diferente que vai além do WiFi e é aplicável também em redes Ethernet com fio.
O escopo do portal trap é amplo, mas hoje mais frequentemente o portal serve como uma forma de identificar usuários em locais públicos que desejam usar a Internet em uma rede WiFi pública.
Como regulador direto do acesso à Internet, esse serviço de rede tem a capacidade de bloquear ou pular conexões de clientes. Uma vez em uma rede isolada pelo portal, o cliente deve de alguma forma entender que é necessária uma pré-autorização para acessar a Internet. Do lado do portal cativo, as seguintes etapas podem ser aplicadas:
- Envie redirecionamentos HTTP para todas as solicitações da Web do cliente "abertas".
- Responda com o endereço IP do portal a todas as solicitações de DNS.
- Redirecione aproximadamente todo o tráfego da web para a página do portal.
Do lado do cliente, também existem mecanismos auxiliares para detectar a presença de um portal de armadilha. Eles diferem para sistemas operacionais e navegadores, mas o algoritmo geralmente é semelhante - resolver um determinado domínio e verificar a disponibilidade de um arquivo.
Para Windows Vista \ 7 \ 8, verifique - www.msftncsi.com/ncsi.txt
Para Windows 10 - www.msftconnecttest.com/connecttest.txt
Para iOS - www.apple.com/library/test/success.html
Android e O Chrome faz uma solicitação / generate_204 para um de seus domínios.
O ponto principal aqui é o uso de HTTP simples. Isso é feito para que o portal cativo possa enviar um redirecionamento para o cliente para a página de autorização.
Agora vou descrever como você pode criar um portal cativo usando apenas Intercepter-NG e realizar um ataque MiTM.
Vamos usar ARP Spoofing contra o destino escolhido para os testes, que seja o Windows 10. Então precisamos "isolar" o destino da Internet, como uma armadilha de portal real faz. Neste caso, bastará habilitar SSL MiTM e a "Internet" na forma de um navegador e todos os serviços que utilizam HTTPS em seu trabalho deixarão de funcionar, pois haverá problemas para confiar no certificado SSL.
Diante da inacessibilidade do HTTPS, o destino iniciará os mecanismos de verificação de conexão descritos anteriormente. Especialmente para a implementação do Portal Cativo, um manipulador para tais verificações foi adicionado ao Intercepter, como resultado, ele enviará ao destino um redirecionamento para o seu próprio endereço IP. No modo FATE do interceptor, um servidor web simples é usado e você também pode selecionar um modelo com uma página do portal. Como resultado, o alvo será enviado para o portal que criamos.
Aqui estão alguns pontos interessantes:
1. O Windows tem muitos processos de rede diferentes em execução em segundo plano. Se, durante sua execução, ocorrer uma conexão malsucedida, um mecanismo para determinar o estado da rede pode ser iniciado. Estando sob ataque, o Windows detectará o redirecionamento do Intercepter e abrirá um navegador com nosso portal. Imagine a situação: a sessão do usuário é bloqueada, o usuário retorna ao local de trabalho, faz o login - e a página do invasor na web imediatamente aparece na tela.
2. Ocorre um ataque, o alvo abre o Chrome e tenta fazer login no Google. Um erro SSL foi detectado porque MiTM ativado, o Chrome envia uma solicitação / generate_204 - O interceptor responde com um redirecionamento e o Chrome abre a página do portal em uma nova guia.
Essa técnica funciona em redes sem fio e com fio, a qualquer momento, não apenas após a conexão com a rede. Vários testes foram realizados em smartphones Android - o vôo é normal. Ainda não está claro com a Apple, nas versões 12 e 13 do iOS, nenhuma solicitação HTTP de diagnóstico foi encontrada ao bloquear HTTPS. É possível resolver esse problema no futuro.
O escopo deste portal MiTM é limitado apenas pela imaginação. Um pouco mais de detalhes e uma demonstração completa são apresentados no próximo videoclipe. Ele mostra a interceptação da entrada do usuário, a autorização do Twitter usando SSL Strip e HSTS Spoofing, bem como a interceptação da autorização SSL Vkontakte.
→ A montagem atualizada pode ser baixada no Github. As
informações são fornecidas para revisão, use-as para boas ações. Chat do telegrama disponível .