🕵🏼 👊🏼 🙄 बीच के हमले की तकनीकों में कुछ आदमी के बारे में 📆 🛸 ➰

बिट विकिपीडिया: "मैन इन द मिडल" हमला (अंग्रेजी: मैन इन द मिड, मिटीएम अटैक) क्रिप्टोग्राफी में एक शब्द है जो एक ऐसी स्थिति को दर्शाता है जहां एक हमलावर अपने स्वयं के पत्राचार के संदेशों को पढ़ने और संशोधित करने में सक्षम है , जिसमें से कोई भी बाद का नहीं हो सकता। चैनल में उनकी मौजूदगी के बारे में अनुमान लगाएं।
इस लेख में, हम पारित जानकारी को संशोधित किए बिना, http-कनेक्शन पर निष्क्रिय हमले की विधि पर विचार करेंगे। तो, किसी तरह से, आप शारीरिक रूप से या दूर से डेटा चैनल में जा सकते हैं, एक पुल स्थापित कर सकते हैं, या बस गेटवे का रूट कंट्रोल प्राप्त कर सकते हैं। उन्होंने रूटकिट स्थापित किया, स्रोतों के साथ ठिकानों को मिलाया, वेब शेल अपलोड किया, क्रोन में टाइम बम लगाया, और अब क्या?

हम एक आरक्षण करेंगे कि यह लेख सुरक्षित कनेक्शन के लिए हैकिंग के तरीकों पर चर्चा नहीं करता है, उदाहरण के लिए, एसएसएल। हम यह भी नहीं बताते हैं कि हमारे पास यह रूट एक्सेस कैसे था, साज़िश के लिए कमरा छोड़ दें। मूल अधिकारों के बिना पहुंच का कोई मतलब नहीं है, क्योंकि नीचे वर्णित उपयोगिताओं के लिए उच्च विशेषाधिकार की आवश्यकता होती है।

अब हम कहां से शुरू करें?

और तुरंत tcpflow उपयोगिता बचाव के लिए आता है। इसकी मदद से हम वेब सेशन ऑथराइजेशन हैश, कुकीज और पासिंग डेटा को रिकॉर्ड कर सकते हैं, साथ ही ज्यादातर फाइल जैसे कि पिक्चर, आर्काइव, मल्टीमीडिया भी लूट सकते हैं।
Ifconfig कमांड जारी करने के माध्यम से, हमें पता चलता है कि सिस्टम में कौन से इंटरफेस हैं, मार्ग के माध्यम से हमें पता चलता है कि ट्रैफिक हमारे साथ कैसे चलता है। प्रवेश द्वार के मामले में, हमारे पास कम से कम दो इंटरफेस होंगे, जिनमें से एक नियम के रूप में, आंतरिक नेटवर्क में दिखता है, दूसरा "बाहर"। केवल एक चीज जिसे हमें जानना चाहिए और हमेशा याद रखना चाहिए कि स्थानीय नेटवर्क से आने वाला कनेक्शन "बाहरी" इंटरफ़ेस में आउटगोइंग होगा।
तो, आइए, "आंतरिक" इंटरफ़ेस से, उदाहरण के लिए, कुछ http कनेक्शनों को पकड़ें:
#tcpflow पोर्ट 80 -i eth1

वर्तमान निर्देशिका में बहुत सारी सत्र फाइलें बननी शुरू हो जाती हैं। याद रखें कि रखने योग्य तकनीक के लिए धन्यवाद, एक कनेक्शन में कई अनुरोध किए जा सकते हैं, जिसका अर्थ है कि उनमें से कई एक फ़ाइल में लिखे जा सकते हैं। फ़ाइलों में हेडर http-हेडर के रूप में होता है, और प्रेषित डेटा। यह कुछ इस तरह दिखता है:
HTTP / 1.1 200 ठीक है
दिनांक: मंगल, ०१ नवंबर २०११ १२:२५:१। GMT
सर्वर: अपाचे
अंतिम-संशोधित: बुध, 14 सितंबर 2011 03:48:00 GMT
ईटाग: "1111111-22222-333333333"
स्वीकार-रंग: बाइट्स
सामग्री-लंबाई: 4451
कीप-अलाइव: टाइमआउट = 15, अधिकतम = 100
कनेक्शन: कीप-अलाइव
सामग्री-प्रकार: छवि / पीएनजी
.PNG ... IHDR ....... d ....., T + 3 .... गामा .... 7 ....... tEXtSoftware.Adobe ImageReadyq.e <... .PLTE ........ 2..j ..... * .. N .. \ ...........> ............ .. और .. वी ........ $ ........ आर..एल ..: .................... .मम .................. आर ....., ........ बी ...... यूयू। {{.... ……………। ए .. \ _ ……………! ........ z…। } ........ l..7..H..u..M ..... d ..... A .. = ............। ....... & ff .......... ~~ ...... | ........... U ..-........ ..................... | ........ सी..ई ...

छानने

आइए प्राधिकरण डेटा वाले लाइनों द्वारा डेटा को फ़िल्टर करने का प्रयास करें।
#egrep -ir "प्राधिकरण | कुकी"।
आउटपुट कुछ इस तरह दिखेगा।

गुणवत्ता के लिए क्षमा करें, कार्यशील सर्वर की स्क्रीन।
कुकीज़ के साथ, सब कुछ सरल है, बस सत्र को चुराने के लिए कुछ कुकी संपादक के माध्यम से उन्हें अपने ब्राउज़र में चलाएं। यह याद रखना चाहिए कि कभी-कभी कुकीज़ ग्राहक के आईपी पते और यहां तक कि उसके उपयोगकर्ता एजेंट से भी जुड़ी होती हैं, इसलिए केवल कुकीज़ को हटाने से काम नहीं चलेगा। HTTP AUTH को उनमें से कुछ को डिकोड करना आसान है:

बेसिक, युगल लॉगिन: पासवर्ड संचारित इनकोडेड बेस 64 है। इस स्थिति में, हम प्राधिकरण से एक पंक्ति लेते हैं और इसे बेस 64 डिकोडर में डिकोड करते हैं, हमें प्रपत्र उपयोगकर्ता नाम की एक पंक्ति मिलती है: पासवर्ड
डाइजेस्ट, MD5 फ़ंक्शन (उपयोगकर्ता नाम: दायरे: पासवर्ड) से हैश पारित किया गया है । यह यहाँ और अधिक जटिल है। आप "ए: बी: सी" फॉर्म की लाइनों के सभी मैचों को इंद्रधनुष-तालिकाओं के माध्यम से खोजने की कोशिश कर सकते हैं, जहां ए लॉगिन है, बी दायरे है, सी पासवर्ड है। इस तरह के संयोग इतने अधिक नहीं होने चाहिए कि उन सभी को बाद में छांटना असंभव हो।
अन्य: सार्वजनिक कुंजी, केर्बरोस, टीएलएस / एसएसएल - हम विचार नहीं कर रहे हैं।

हम HTTP POST विधि भेजने के सभी मामलों में भी रुचि रखते हैं, इसमें अक्सर पृष्ठों पर प्राधिकरण डेटा होता है।
#egrep -rnH "POST" ।/
POST /auth.php HTTP / 1.1
होस्ट: blabla.ru
उपयोगकर्ता-एजेंट: मोज़िला / 5.0 (विंडोज़ एनटी 5.1; आरवी: 7.0.1) गेको / 20100101 फ़ायरफ़ॉक्स / 2.0.1
स्वीकार करें: टेक्स्ट / html, एप्लिकेशन / xhtml + xml, एप्लीकेशन / xml; q = 0.9, * / *; q / =
स्वीकार-भाषा: आरयू- ru, ru; q = 0.8, en-us; q = 0.5, en; q = 0.3
स्वीकार-एनकोडिंग: गज़िप, अपस्फीति
स्वीकार-सारसेट: विंडोज़ -१२५१, यूटीएफ-;; q = ०. windows, *; q = ०. windows
DNT: 1
कनेक्शन: जीवित रखें
संदर्भकर्ता: http: //bla.ru/auth.php
कुकी: __utma = 25445499.32598290.132041700.132014354.132015499.3; __utmc = 25445439; __utmz = 25445499.132014100.1.1.utmcsr = (प्रत्यक्ष) utmccn = (प्रत्यक्ष) | utmcmd = (कोई नहीं);
सामग्री-प्रकार: आवेदन / x-www-form-urlencoded
कंटेंट-लेंथ: 72
पाठ = ब्लाबला और लॉगिन = उपयोगकर्ता नाम और पासवर्ड = ओलोलो और वीएफओ = onPOST /bla.php HTTP - 1.1

फ़ाइल पर कब्जा

इसके अलावा, सबसे महत्वपूर्ण उपयोगिता के साथ संयोजन में tcpflow फ़ाइलों को रोकना, या उन्हें कच्चे कैप्चर किए गए डेटा की एक सरणी से निकालना उपयोगी है। ऐसा करने के लिए, tcpflow द्वारा चुराई गई कनेक्शन फाइल्स सबसे महत्वपूर्ण है।
# सबसे महत्वपूर्ण ।/*
# ls -la ./output/
कुल 48
drwxr-xr-- 5 रूट रूट 4096 Nov 1 18:01।
drwxr-xr-x 3 रूट रूट 32768 Nov 1 18: 01 ...
-rw-r - r-- 1 रूट रूट 0 Nov 1 18:01 लेखा परीक्षा
drwxr-xr-- 2 रूट रूट 4096 Nov 1 18:01 flv
drwxr-xr-- 2 रूट रूट 4096 Nov 1 18:01 html
drwxr-xr-- 2 रूट रूट 4096 Nov 1 18:01 php

यह भी अचानक पता चला कि इस उपयोगिता की मदद से टूटी हुई मीडिया से फ़ाइलों को पुनर्प्राप्त करना संभव है , क्योंकि यह हस्ताक्षर के साथ फ़ाइलों का पता लगाने में अच्छा है। उदाहरण के लिए, foremost.conf में आप कस्टम फ़ाइल प्रकारों के लिए हस्ताक्षर भी लिख सकते हैं।

अन्य कार्य उदाहरण हैं

Snup गेटवे पर FTP कनेक्शनों का अवरोधन:
#tcflow 'गेटवे स्नूप और (पोर्ट फ़ुटप या फ़ुटप-डेटा)'
अनएन्क्रिप्टेड मेल ट्रैफ़िक का अवरोधन:
#tcpflow tcp पोर्ट 110
#tcpflow tcp पोर्ट 25

फ़ंक्शन tcpxtract tcpflow के समान फ़ंक्शन करता है। एक माध्यमिक उपयोगिता httpflow भी है, लेकिन इसका उपयोग मुख्य रूप से http कनेक्शन डीबग करने के लिए किया जाता है।

निष्कर्ष

इस प्रकार, हमने दिखाया कि शिक्षा और जटिल ज्ञान के बिना, चैनल के लिए भौतिक या दूरस्थ रूट एक्सेस, सरल उपयोगिताओं का उपयोग करके आप किसी भी उपयोगकर्ता डेटा को रोक सकते हैं। लेख एक समीक्षा से अधिक है, क्योंकि मैं एक और पुस्तक "डाउनलोड-संकलन" नहीं लिखना चाहता था। जिज्ञासु लोगों को इसकी आवश्यकता नहीं है, वे पहले से ही समझते हैं कि वे क्या चाहते हैं, और एक शुरुआत केवल लेख में उल्लिखित सभी सामग्री का अध्ययन करने और खोज का उपयोग करने के लिए बाध्य है।

मैं क्या असफल रहा

Tcpflow पाइप के माध्यम से उपयोगिताओं का एक गुच्छा रखो | सबसे पहले। वे जाहिरा तौर पर एक-दूसरे के दोस्त नहीं हैं।
स्वीकार-एन्कोडिंग के साथ संपीड़ित html फ़ाइलों को निकालने के लिए : gzip, सबसे महत्वपूर्ण का उपयोग करते हुए, यह स्पष्ट है कि सबसे महत्वपूर्ण इस तरह के डिकोडिंग का समर्थन नहीं करता है। मैंने त्वरित खोज में इसके लिए उपयोगिताओं को नहीं पाया। हालांकि, यह मैन्युअल रूप से किया जा सकता है, प्रत्येक फ़ाइल के लिए आपको http हेडर ट्रिम करने और एसडीटीएन के माध्यम से गज़िप / टार / डिफ्लेट में फ़ीड करने की आवश्यकता है।

उपयोगी साहित्य:

# पुरुष प्रधान
#man tcpflow
#man tcpxtract
www.voidspace.org.uk/python/articles/authentication.shtml
secure.wikimedia.org/wikipedia/ru/wiki/%D0%A7%D0%B5%D0%BB%D0%BE%D0%B2%D0%B5%D0%BA_%D0%BF%D0%BE%D1 % 81% D0% B5% D1% 80% D0% B5% D0% B4% D0% B8% D0% BD% D0% B5
secure.wikimedia.org/wikipedia/ru/wiki/%D0%A1%D0%BD%D0%B8%D1%84%D1%84%D0%B5%D1%80
www.circlemud.org/jelson/software/tcpflow
secure.wikimedia.org/wikipedia/en/wiki/Digest_access_authentication
encrypted.google.com/search?q=foremost+linux
www.debian-administration.org/articles/558
stackoverflow.com/questions/2866864/extract-payload-from-tcpflow-output
tcpxtract.sourceforge.net
विश्लेषण और हैकिंग टूल का एक सेट www2.opensourceforensics.org/tools/unix
serversniff.blogspot.com/2009/08/extracting-files-from-tcpdump.html

बीच के हमले की तकनीकों में कुछ आदमी के बारे में