[VIDEO] MITM Attack: Stripping SSL & Sniffing http

 

Introduction:

Pour cette vidéo, nous utiliserons plusieurs techniques très connues.

La première est "MITM Attack" soit "l'attaque de l'homme du milieu". Elle est très facile à exécuter et peut-être dévastatrice pour vos informations personnelles. Celle-ci nous permet de nous placer comme son nom l'indique entre la ou les cibles et la passerelle permettant d’accéder à Internet (Box de votre FAI par exemple). Nous utiliserons Arpspoof pour cette partie.

Une fois cette opération effectuée, le trafic transitera sur votre carte réseau avant d'être redirigé vers son destinataire initial (le but étant d'être totalement transparent pour l'utilisateur ciblé). Ainsi nous pourrons lire tout ce qui transite en clair à travers votre interface grâce à divers outils de sniffing (ici nous utiliserons Ettercap)

La seconde partie est bien plus grave puisque nous feront croire à notre cible qu'elle utilise effectivement une connexion https alors qu'elle sera redirigé malgré elle vers du http. Moxie Marlinspike (le créateur de cet outil) est allé encore plus loin puisque celui-ci nous permet même d'afficher le favicon (petit cadenas) sur la barre d'état du navigateur. Je ne vous expliquerais pas tout dans les détails, mais sachez qu'il existe des solutions plus ou moins efficaces pour palier à cette faille. J'y reviendrais plus tard.

A partir de là, je pense que vous l'aurez compris, tout ce qui sera redirigé avec sslstrip sera en clair !

SSLSTRIP a été présenté lors de la Black Hat DC 2009.

Outils:

Tous les outils utilisés dans cette vidéo sont disponible sur Backtrack 5 R3.

arpspoof 2.4

ettercap 0.7.4.1

sslstrip 0.9

Commandes:

nmap 192.168.0.0/24

gedit /etc/etter.conf
# décommenter ligne
redir_command_on = "iptables...

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 8080
arpspoof -i eth0 -t 192.168.0.46 192.168.0.254

ettercap -T -q -l 8080 -i eth0

cd /pentest/web/sslstrip
python sslstrip.py -k -l 8080  

Solutions:

Il existe plusieurs manières de régler cette faille, je vous propose de voir deux d'entre elles.

La première consiste à agir sur les paramètres de votre compte (google par exemple).
Depuis quelques temps déjà, il est possible de configurer dans les options de votre compte une connexion systématique via https. Dés lors, en cas de snipping, vous ne pourrez plus accéder à votre boite mail mais cela vous empêchera d'être vulnérable en cas de sniffing. Ceci n'est pas possible partout, mais facebook le propose également par exemple. Faites un tour dans les options de sécurité :-)

La seconde manière bien plus draconienne, consiste à empêcher le MITM.

Pour cela, il est nécessaire d'avoir quelques notions sur le fonctionnement du spoofing, mais ce n'est pas très compliqué. En résumé, Arpspoof va inonder le cache ARP de votre routeur avec l'adresse MAC de sa cible mais l'@IP de l'attaquant afin que le routeur soit persuadé que l’attaquant est le poste cible. Il en fait de même avec sa cible et, de cette manière, il se retrouve au milieu et redirige le trafic des deux côtés!

C'est là que nous pouvons intervenir, car si vous définissez sur le poste cible une entrée statique sur le cache ARP qui résout l'@IP/MAC de votre routeur, arpspoof sera incapable de rediriger votre connexion.

Il y a tout de même un inconvénient à cela. Si l'attaquant tente de corrompre votre table ARP mais n'y parvient pas, il peut tout de même corrompre celle de votre routeur. Du coup, plus de connexion sur votre poste puisque votre routeur renvoi "votre trafic" vers l'attaquant...

La solution est de définir une entrée fixe de chaque poste du réseau également sur le routeur, mais cela dépend beaucoup de votre matériel. A vous de vous renseigner à ce sujet...

Pour ce faire, voici les commandes à exécuter sous LINUX & WINDOWS:

# Afficher la table ARP
arp -a

# Ajouter une entrée statique
# arp -s @IP @MAC
arp -s 192.168.0.46 11:22:33:44:55

# Supprimer une entrée statique
# arp -d @IP
arp -d 192.168.0.46

PS: pour connaître l'adresse MAC de votre passerelle, il suffit de regarder dans votre table ARP et de chercher la ligne avec l'adresse IP correspondante.

Musiques:

Excision Datsik - Deviance (Dirtyphonics remix)
Krewella - Killin it (Dirtyphonics remix)
Skrillex - Scary Monsters & Nice Sprites (Dirtyphonics remix)

Vidéo:

Durée de la vidéo: 13'44

Durée de la capture: 14'50