Arquivo da categoria ‘scanner’

Usando msn shadow e dsniff para capturar conversas de msn, icq etc…

Lógica do sniffing para capturar conversar em rede:

Tem alguém na sua rede, batendo papo no msn com outra pessoa, daí você usa o arpspoof para avisar todos computadores da rede, que o seu computador está como servidor, Sendo assim, tudo que entrar ou sair da rede terá que passar pelo seu computador(tipo um proxy transparente).

Daí, entra a tarefa do msn shadow que capturará todas as conversas.

Vamos la, para voce entender melhor o tutorial…

A ferramenta MSN Shadow possui a funcao de capturar as mensagens instantaneas que trafega pela rede com protocolos como MSN, Yahoo messenger, jabber. A ferramenta pode ser usada tanto com rede sem fio como em rede com fio, bastando simplesmente selecionar a interface de rede na qual encontra-se ligado.

O MSN Shadow permite visualizar em tempo real as mensagens instantaneas que trafegam pela rede, e tambem existe a possibilidade de capturar as conversas que ocorrem por meio de video conferencia podendo ser salvo em formato de video.

Para que o ataque seja realizado com sucesso, primeiro devemos ativar o encaminhamento de pacotes IP para que o tráfego da rede chegue aos destinos predefinidos.

O dsnif auxilia o MSN Shadow na captura dos pacotes com a ferramenta arpspoof. O arpspoof é executado contra o gateway da rede, fazendo com que todos os pacotes tenham que passar primeiro pela maquina do investigador, fazendo isso todo o trafego da rede passa primeiro pela maquina que está sendo executado o MSN Shadow.

Ativaçao do encaminhamento de pacotes IP:

#echo 1 > /proc/sys/net/ipv4/ip_forward

Execuçao do comando arpspoof que enviará pacotes de broadcast, avisando toda a rede que os ip’s possuem o endereço Mac da maquina atacante:

#arpspoof [endereco Ip do gateway]

#arpspoof [endereco IP da vitima]

OBS: Si você não quiser e/ou não saber usar o arpspoof, basta usar o caim e abel que eu já ensinei em um tutorial antes.

Entre neste link:

https://juancarloscunha.wordpress.com/2009/05/27/escaneamento-com-shadow-security-scanner/

Suponha que você seja o segurança de rede da sua empresa, e todos os usuários reclamam que a conexão com a internet toda hora cai… Você, talvez como quase todos os gerentes de segurança em rede irá tentar resetar o modem da empresa. Porem, depois de resetar o modem, acontece novamente o problema dos usuários reclamarem… Daí, vem a pergunta… Como identificar uma possível DDOS( denial of service – negação de serviço)?

Existem muitas ferramentas que ajudam a voce identificar esse ataque.. Vou dar um belo exemplo usando o wireshark(Ethereal).

O Wireshark é uma ferramenta que verifica os pacotes transmitidos pelo dispositivo de comunicação (placa de rede, placa de fax modem, etc) do computador. O objetivo deste software, também conhecido como sniffer, é detectar problemas de rede, conexões suspeitas, auxiliar no desenvolvimento de aplicativos e qualquer outra atividade relacionada a rede.

Você pode baixa-lo no link abaixo:

http://www.baixaki.com.br/download/wireshark.htm

Abra o wireshark e ative o capturador de pacotes

1

Depois disso, basta começar a ver os pacotes trafegando na rede. No caso, do teste onde eu mesmo estava manejando duas maquinas.

1º Maquina é o atacante

2º Maquina do segurança

Na maquina do atacante deu um broatcast em toda rede, fazendo com que a mesma fique lenta e  conseqüentemente perderia a conexão com a internet de todos os computadores da rede.

Na maquina do segurança, eu usei o wireshark para identificar quem era o autor de toda aquela bagunça.

Veja na imagem:

broadcast

Na hora que eu comecei a capturar pacotes com o wireshark, então percebi que o ip 192.168.1.3 estava mandando pacotes para toda a rede(broadcast).

Repare que na ultima coluna chamada “Info”, tem algumas informações…

Who hás 192.168.1.45?  tell 192.168.1.3

O ip que está depois da palavra “tell” é o atacante(192.168.1.3) e o ip que esta depois do “Who hás” é o alvo.

Neste caso, todas as maquinas estavam sendo os alvos… repare que todas as linhas tem um ip diferente, Neste caso o atacante está atacando toda a rede, por isso que a internet de todos esta caindo.

Para acabar com este problema de broadcast, basta você adquirir um roteador ou switch gerenciável, e configurá-lo para recusar broadcast em excesso em toda a rede.

Depois de descobrir o ip do autor de quem está fazendo a zona na rede, basta ir ao individuo de bater na cara dele e depois cuspir no computador dele…kkkkkkkkkkkkkk

Brincadeira… Tome as decisões de acordo com a política de segurança da empresa onde você trabalha.

Todo programa é vulnerável a alguma falha!

Vou citar aqui algumas das falhas mais comuns e bestas de hoje em dia…

Buffer overflow: gets (), a função scanf (), sprintf (), strcat (), strcpy ()

Formato string vulnerabilidades: printf (), fprintf (), vprintf (), snprintf (), vsnprintf (), o syslog ()

Race conditions: acesso (), chown (), chgrp (), chmod (), o mktemp (), tempnam (), tmpfile (), tmpnam ()

Número aleatório vulnerabilidades aquisição: rand (), random ()

Essas são somente algumas das falhas mais famosas que programadores na hora que estão criando seus programas, cometem, Porem não podemos culpar os programadores até porque todos nós somos humanos, logo, Somos errôneos.

Citarei aqui alguns programas de escaneamento de vulnerabilidades.

Alguns programas não escanneiam vulnerabilidades de programas feitos por você mesmo ou por outras pessoas, porem você quer encontrar uma vulnerabilidade de sua autoria.. Código Fonte vulnerabilidades de segurança irá varia entre linguagens e plataformas.

Itens para procurar em C código incluem:

Shell metacharacter vulnerabilidades: exec (), popen (), system ()

ALGUNS DOS PROGRAMAS MAIS UTILIZADOS QUE AJUDAM A DESCOBRIR FALHAS…

Flawfinder 1.27

Este é um  programa que analisa o codigo fonte e relatorios possiveis deficiencias de segurança(falha), ordenadas por nivel de risco. É muito util para encontrar e remover rapidamente, pelo menos, alguns potenciais problemas de segurança antes de um programa amplamente divulgado ao publico.(para linux)

RATAS da Secure Software Solutions

Escaneia C, C + +, Perl, PHP e Python o código fonte para potenciais vulnerabilidades de segurança.

ITS4 de Cigital:

Escaneia código fonte procurando potencialmente vulneráveis função chamadas e pré código fonte análise para determinar o nível de risco.

PScan: Um pequeno problema scanner para arquivos de origem C. Peak quantification using Statistical Comparative ANalysis

BOON: Buffer Overrun detecção.  BOON é uma ferramenta para a saturação do buffer, e  automaticamente encontrar vulnerabilidades em código fonte C. Saturações de buffer são um dos tipos mais comuns de falhas de segurança.

MOPS: Programas de Segurança MOdelchecking propriedades. MOPS é uma ferramenta para encontrar bugs de segurança e de programas em C para verificar a conformidade com as regras de programação defensiva.

Cqual: Uma ferramenta para a inclusão de tipo qualificatórias para C. cqual digitado é baseado em uma ferramenta de análise para encontrar bugs em programas C.

MC: Meta-Nível Compilação

SLAM: Microsoft

ESC/Java2: Extensão Static. Verificado para Java

Splint: Programação Segura Lint. Splint é uma ferramenta para verificar estaticamente  programas C de vulnerabilidades de segurança e codificação erros.

Ciclomotor: Um Modelo-Verificador de Pushdown Sistemas

JCAVE: JavaCard applet Verificação Ambiente

Toolkit Boop: Utiliza captação e requinte para determinar a acessibilidade de pontos no programa um programa C . É uma ferramenta baseada no modelo verificando os algoritmos do SLAM toolkit para um subconjunto da linguagem de programação Externas C .

Blast: Berkeley Software Lazy Abstraction Verificação Ferramenta

Uno: Simples ferramenta para análise de código fonte

PMD: Scans Java de código fonte e olha para os potenciais problemas

C + + Teste: Unidade de ensaio e ferramenta de análise estática

FONTE: tech-faq

Em um dos meus posts passados, Eu criei um tutorial de como fazer o ataque de Man in the Middle usando o achilles. Hoje vou mostrar a mesma coisa, porem de uma forma muito mais avançada, pois é feita com uma ferramenta muito mais avançada também…Ferramenta chamada: CAIM E ABEM

O CAIM é muito mais avançado do que o achilles, pois o caim é usado de forma mais complexa e também usa de uma transparência, (Lembra do proxy transparente? Si não lembra veja o post que eu criei na categoria rede), O proxy transparente é usado para facilitar a vida de um segurança de rede, pois ele não precisa configurar cada browser de cada computador! Exemplo:

1

Então, essa configuração em cada navegador, não mais precisará, pois teremos uma ferramenta mais avançada.

Então vamos começar.

A interface do caim e Abel é a seguinte:

2

Eu já andei fazendo um scan na minha rede, como vocês podem ver.

Primeiramente teremos que Fazer um escaneamento em toda a rede, para ver os computadores, e para isso teremos que ativar as duas opções especificadas abaixo…

3

Ative estas opções para começar a sniffar e capturar pacotes…

Logo após isso, faça um venenamento em todas as redes, com o arp.

Eu já falei aqui no blog sobre envenenamento com arp, basta você olhar em outros posts

Depois disso quando alguem da rede entrar em um site com segurança ssh (https), automaticamente o caim irá gerar um certificado e tentará burlar a segurança da rede.

Si sua estiver vulnerável a este ataque, então concerteza quando você tentar fazer o Man in the Middle na sua rede, dará certinho.

4

Neste exemplo eu burlei o certificado do yahoo, e descobri a senha do yahoo de uma “pessoa”.

Si alguém tiver alguma pergunta a me fazer sobre este post ou assuntos semelhantes, pode mandar por um comentário…

Si não tiver nenhuma pergunta, deixe seu comentário, ou sua critica construtiva.

Nesta seção nós discutiremos as ferramentas que você precisará de setup seu ambiente de Metasploit.

Wireshark

Wireshark (conhecido mais cedo como etéreo) é uma de ferramentas de análise sniffing mais popular e de tráfego da rede. Wireshark funciona em Windows assim como uma maioria das variações de UNIX que incluem o linux, solaris, FreeBSD, e assim por diante.

Os tarballs e os binários da fonte podem ser transferidos de http://www.wireshark.org.

IDA

O IDA é uma das ferramentas de eliminação de erros as mais populares para Windows.

Primeiramente, o IDA é um separador, que mostra o código do conjunto de um binário (uma biblioteca de ligação executável ou dinâmica [DLL]). Igualmente vem com características avançadas que tentam fazer compreendendo o código do conjunto tão fácil como possível. Em segundo, é igualmente um depurador de programas, que permite que o usuário pise através da lima binária para determinar as instruções reais que estão sendo executadas, e a seqüência em que a execução ocorre. O IDA é amplamente utilizado para a pesquisa da vulnerabilidade da análise e do software do malware, entre outras

finalidades. O IDA pro pode ser comprado em http://www.datarescue.com.

UltraEdit

UltraEdit e EditPlus são editores de texto poderosos e são projetados especialmente para o código da escrita. Suportam a sintaxe color-coded que destaca para uma variedade de línguas, incluindo o Perl e o rubi. UltraEdit pode ser comprado em http://www.ultraedit.com.

Nmap/Nessus

Nmap e Nessus são as ferramentas de facto para fazer a varredura de sua rede antes das façanhas de lançamento. Agora que Metasploit pode integrar saídas de Nessus e de Nmap em sua própria base de dados, e usa então aquele para configurar que explora para funcionar, você precisa definitivamente de assegurar-se de que você tenha as versões as mais atrasadas e grandes dos estes software instalado em seu sistema. Também, Metasploit pode lanç Nmap dentro do msfconsole

Fonte: livro metasploit tooking

Criei este tutorial para as pessoas que gostariam saber sobre o dsniff, pois sao poucos os
que escrevem sobre o dsniff… E é um pouco dificil achar tutoriais sobre o mesmo.
Entao vamos ao que intereça…

INSTALANDO O DSNIFF e usando pacotes do dsniff
OBS: exemplo feito com Ubuntu…

Voce pode baixar o pacote do dsniff no site: http://monkey.org/~dugsong/dsniff/
ou tambem pode baixar e instalar atraves do console:

apt-get install dsniff

TODOS ELES SAO MUITO SIMPLES DE USAR”,porem um pouco complexo de entender…
———-
O QUE É DSNIFF || QUAIS OS PACOTES DSNIFF || PARA QUE SERVEM?

arpspoof -> Serve para redirecionar pacotes a partir de um host-alvo (ou todos os hosts).
esta é uma forma extremamente eficaz de sniffing tráfego em um interruptor.
kernel encaminhamento IP (ou um programa que realiza Userland
o mesmo)
arpspoof => No arp poisoning, o micro do atacante envia pacotes com respostas forjadas
para requisiçoes ARP de outros micros da rede. Como eu já criou um tutorial falando do ARP,
todos já sabem que o ARP é utilizado para descobrir os endereços MAC dos demais computadores
da rede,  pois o switches nao entendem endereços ip. Esses pacotes forjados fazem com que os outros micros passem a enviar seus pacotes para o micro do atacante, que é configurado para  capturar as transmissões e retransmitir os pacotes originais para os destinatários corretos.
arpspoof -i eth0 192.168.1.1
Com isso, o arpspoof passará a enviar pacotes de broadcast para toda a rede, avisando todos os micros que o novo endereço MAC do “192.168.1.1” é o endereço da sua máquina. Isso fará com que ela passe a receber o tráfego destinado a ele, permitindo que você o capture.

EM TODOS OS PACOTES DO DSNIFF, PARA SABER COMO USAR OS PACOTES BASTA DIGITAR A OPÇAO “-h”, sem aspas, é logico né!
EXEMPLO…:
root@beast-desktop:~# arpspoof -h
Version: 2.4
Usage: arpspoof [-i interface] [-t target] host
//Basta escolher a opçao desejada… E tome cuidado com isso
——————————————————————-

dnsspoof -> Forjar respostas para arbitrário endereço DNS / ponteiro consultas sobre
da LAN. isto é útil em contorneando hostname baseados em acesso
de controle, ou na execução de uma variedade de man-in-the-middle
ataques (HTTP, HTTPS, SSH, Kerberos, etc.)
dnsspoof => É utilizado para forjar respostas a solicitaçoes DNS em uma LAN. É util para contornar regras de acesso baseadas no nome do host ou para implementar diversos ataques tipo main-inthe-middle baseados em DNS

root@beast-desktop:~# dnsspoof -h
Version: 2.4
Usage: dnsspoof [-i interface] [-f hostsfile] [expression]
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————

dsniff -> Sniffer senha. puxadores FTP, Telnet, SMTP, HTTP, POP,
poppass, NNTP, IMAP, SNMP, LDAP, rlogin, RIP, OSPF, PPTP
MS-CHAP, NFS, VRRP, YP / NIS, SOCKS, X11, CVS, IRC, AIM, ICQ,
Napster, PostgreSQL, Meeting Maker, Citrix ICA, Symantec
pcAnywhere, NAI Sniffer, Microsoft SMB, Oracle SQL * Net, Sybase
e Microsoft SQL auth info(Captura praticamente tudo de dados configenciais).
Dsniff detecta automaticamente e minimamente analisa cada
protocolo de aplicaçao, e só salva os interessante bits, apenas registrando
autenticação única tentativas. completa o TCP/IP remontagem é
fornecidos pela libnids

root@beast-desktop:~# dsniff -h
Version: 2.4
Usage: dsniff [-cdmn] [-i interface | -p pcapfile] [-s snaplen]
[-f services] [-t trigger[,…]] [-r|-w savefile]
[expression]
//Basta escolher a opçao desejada… E tome cuidado com isso
———————————————————————————

filesnarf -> Salva arquivos selecionados a partir de NFS inalado tráfego na actual
directório de trabalho.

Copia na maquina do hacker os arquivos trafegando em uma conexao NFS (network file system) entre dois outros computadores.
root@beast-desktop:~# filesnarf -h
Version: 2.4
Usage: filesnarf [-i interface | -p pcapfile] [[-v] pattern [expression]]
//Basta escolher a opçao desejada… E tome cuidado com isso
———————————————————————–

macof -> Inundar a rede local com aleatória endereços MAC (causando
algumas chaves para não abrir em modo de repetição.
Como switches que travam nao sao uma boa propaganda, os fabricantes normalmente utilizam a segunda opçao
, o que faz com que a maioria dos switches baratos e quase todos os hub-switches sejam vulneraveis a esse tipo de ataque…

um exemplo para utilizar o macof:
macof -i eth0 -n 100000
A maioria dos hub-switches sao capazes de armazenar entre 1000 e 8000 endereços MAC na memoria, de forma que bombardeando o hub-switche com 100000 endereços MAC diferentes(o que demora cercca de um minuto e meio em uma rede de 100 megabits) voce consegue chavear qualquer aparelho vulneravel para modo failopen.

root@beast-desktop:~# macof -h
Version: 2.4
Usage: macof [-s src] [-d dst] [-e tha] [-x sport] [-y dport]
[-i interface] [-n times]
//Basta escolher a opçao desejada… E tome cuidado com isso
—————————————————————————-
mailsnarf -> Uma maneira rápida e fácil violar as comunicações electrónicas
Privacy Act de 1986 (18 USC 2701-2711), Capturar emails.

Reproduz na maquina invasora mensagens de email sendo transmitidas por POP ou SMTP. com modificaçoes no codigo do programa, é possivel ler tambem mensagens IMAP e UUCP. As mensagens sao armazenadas em formato mailbox – legivel por praticamente todos os programas de email existentes.

root@beast-desktop:~# mailsnarf -h
Version: 2.4
Usage: mailsnarf [-i interface | -p pcapfile] [[-v] pattern [expression]]
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————–

msgsnarf -> Gravar as mensagens selecionadas AOL, Messenger,
2000 ICQ, IRC, Yahoo! Messenger, chat, sessões…

Registra toda a conversaçao entre duas pessoas que estejam usando os serviços de mensagem instantanea.
root@beast-desktop:~# msgsnarf -h
Version: 2.4
Usage: msgsnarf [-i interface | -p pcapfile] [[-v] pattern [expression]]
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————-
sshmitm -> SSH main-in-the-middle. proxies e sniffs SSH tráfego
redirecionada por dnsspoof, capturando SSH senha logins, e
opcionalmente seqüestro sessões interativas. Só protocolo SSH
versão 1 é (nem nunca será) suportada – este programa é bem
perigoso, pois as pessoas caem neste truque sem querer.

Age como um intermediário(uma especie de proxy) para conexoes SSH. Uma vez desviada a conexao(com ferramentas como, por exemplo, o dnspoof), o sshmitm pode farejar o trafego a procura de logins e senhas e mesmo capturar a sessao. Aporçao mitm do nome significa man-in-the-middle.

root@beast-desktop:~# sshmitm -h
Version: 2.4
Usage: sshmitm [-d] [-I] [-p port] host [port]
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————–
sshow -> SSH ferramenta de análise de tráfego. analisa criptografado SSH-1 e SSH-2
tráfego, identificando autenticação, os comprimentos de
senhas entrou em sessões interativas, e linha de comando
comprimentos.

root@beast-desktop:~# sshow -h
Usage: sshow [-d] [-i interface | -p pcapfile]

//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————-
tcpkill -> Mata conexões TCP em andamento (útil para libnids baseado em aplicações
que requerem um completo TCP 3-PMS para Criação TCB).
SERVE PARA DERRUBAR CONEXOES.. BASTA SELECIONAR A CONEXAO.

root@beast-desktop:~# tcpkill -h
Version: 2.4
Usage: tcpkill [-i interface] [-1..9] expression
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————-

tcpnice -> Controla a velocidade da conexao entre dois nós sem prejudicar
o restante da rede. É interessante para reduzir a velocidade de
uma conexao e, com isso, monitora-la “ao vivo”

root@beast-desktop:~# tcpnice -h
Version: 2.4
Usage: tcpnice [-A] [-I] [-M] [-i interface] expression
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————-

urlsnarf -> Fareja requisiçoes HTTP e as apresenta no formato common log Format ou CLE

root@beast-desktop:~# urlsnarf -h
Version: 2.4
Usage: urlsnarf [-n] [-i interface | -p pcapfile] [[-v] pattern [expression]]
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————-

webmitm -> HTTP / HTTPS main-in-the-middle. age tambem como intermediario, desta vez para
conexoes HTTP/HTTPS. Util para conseguir senhas de acesso a sites e informaçoes
normalmente inseridas em formularios como numeros de cartoes de credito e informaçoes
“criptografadas”.

root@beast-desktop:~# webmitm -h
Version: 2.4
Usage: webmitm [-d] [host]
//Basta escolher a opçao desejada… E tome cuidado com isso
————————————————————————-
webspy -> envia URLs inalado a partir de um cliente para o seu local Netscape,
navegador para exibir em tempo real (como o alvo surfa, o navegador
surfa com eles, automaticamente)”Muito divertido”.

root@beast-desktop:~# webspy -h
Version: 2.4
Usage: webspy [-i interface | -p pcapfile] host
//Basta escolher a opçao desejada… E tome cuidado com isso
——————————————————————–

Veja mais em…:
http://www.dicas-l.com.br/print/20080109.html
http://www.gdhpress.com.br/redes/leia/index.php?p=cap5-17