Foro de elhacker.net

Buenas,

tengo una duda, sobre si algo se puede hacer algo, aver si me lo saben decir :). Estaba leyendo un post de aquí de como explotar una vulnerabilidad del IE para el cual es necesario que la víctima ejecute una URL 'modificada'.

El tema es, si estamos en LAN con la máquina, se puede hacer MitM y poner un flitro para que cualquier link pase a ser nuestra URL mágica. Pero claro, en ese caso la victima se daria cuenta, porque no acabria viendo lo que esperaba, siempre acabaria en una página en blanco.
O si me monto servidor web en mi máquina, y dirijo las conexiones todas a mi máquina, en el index puedo poner un refresco automatico a la URL modificada.

La duda es, todo esto no se podria hacer de forma transparente?? Haciendo que después de la URL modificada abra la real... o algo así. Se podria? Como??
Es solo una curiosidad que me vino leyendo el post... :P

Saludos!!

claro que se puede, por ej:

<script type="text/javascript">
<!--
window.location = "http://www.google.com/"
//-->
</script>

Un iframe?, un http-refresh?

Lo de kamsky, sigamos que es una Re-Dirección. Lo que podria hacer es una ventana PopUp, que ejecute la URL Maligna, dejando la URL Destino abierta!.

El usuario verá las 2 paginas, 1 Original; 1 en Blanco! Por lo general se cierra la ventana PopUp inmeditamente, pensando que es Spam!

Vale, pero con eso solo puedo hacer una redirección. Si lo pongo como inyección de tráfico, acabrá en la URL modificada. Y si lo pongo en mi server también... no pueden hacerse dos saltos de esta manera.

Con un iframe... sé, es interesante. Mirare aver como se haria, supongo que lo interesante seria dejar el frame a 0%.

Y lo de los popups como se hace?? Luego lo miro, pero ahora me tengo que ir. :P

Saludos y gracias chicos!!  :)

Si mal no recuerdo es así:

<script>open('URLPagina.html','',''top=1,left=1,width=1,height=1');</script> 

lo que necesitas para un MITM es un brigde, entonces cuando por ejemplo yo abra gmail.com la conexión pasará por mi servidor WEB y mi servidor WEB deberá ser capaz de obtener el contenido real de gmail y funcionar commo puente, o sea.. las cookies que recibo deben ser las mismas que envío al igual que cada header.

De esta forma tu servidor WEB es el que tendrá la oportunidad de manipular el contenido del sitio.

Ahora, no necesariamente puedes usar un servidor WEB con un archivo php que sirva de brigde sino que también puedes hacer un ejecutable que se ponga a escucha al puerto 80 y luego que obtenga el header "host: {host aca}" y se conecte a {host aca} al puerto 80 del servidor remoto.

Luego tendrias dos tipos de logs o uno solo si lo prefieres al estilo de live headers para firefox.


Y desde el mismo programa puedes dejar unos parámetros para modificar el contenido de algo.

Ahora en el caso de google el login va via ssl pero si el brigde es fiel a los paquetes que entrega y envía no habrá problema pero como capturas la contraseña?
al terminar el logueo enviará al usuario a su bandeja de entrada sin https, en ese instante tomas el token anti csrf y le cambias la contraseña de forma automatizada desde el mismo programa o si no solo sirve de monitoreo no se, ahi ves lo que necesites hacer.


[yo] <--> [MITM] <--> [servidor web]
             |
[logueo tráfico y modifico paquetes]   

Por curiosidad, con que modificais o inyectais paquetes aparte de con filtros en ettercap? Hay más maneras?

Cuando dices bridge, yo entiendo que es enlazar dos interfaces, una con otra, y hacer de *router*. Pero también se puede hacer envenenando las tablas arp, así lo hago yo por ahora. No?

En fin, ahora voy a poner el php que he ido a probar y no lo tengo configurado en el apache.  :P

Saludos y gracias!! :)

***
Se puede modificar el propio tráfico... sin VM? Así no tengo que estar en máquinas separadas. He probado con ettercap pero no puedo meterme entre mi mismo y el router...

Que tal.

Puedes intentar con surfjacking y redireccionando con el Location Header despues para llevarle a la web que quieras, creo.


Saludos =)

pero vamos a ver... si esk no es eso lo que quiere, no?

tan solo quiere que despues de la url modificada se cargue la url original!

sería como guardar una variable en el .php que contenga la URL que raelmente se queria visitiar, y al cabo de 3 segundos o los que sean que se redireccione al contenido de esa variable:S

Sí, la idea es esa. Aunque incrustando un popup también me pareció buena idea. Iré probando todo poco a poco.

Ahora estoy mirando de montar lo que dice WHK de filtrar el tráfico en el servidor web local. Aver como me las apaño... :P

Saludos!! ;)

Utiliza los filtros de ettercap es mas facil... solamente remplaza el </html> por un <iframe blabla></html>

saludos

el problema de usar filtros ettercap ( o al menos a mi me lo parece que no tengo ni idea xD ) es que no se trata de redirigir trafico tal cual, sino de obtener la web a la que se queria acceder y pasarsela a tu pagina spoofeada para que ésta redirija al sitio correcto.

bien pensado quiza no sea tan dificil, en este plan:


trafico entrante con destino:   www.web.php
redirigir trafico a:   localhost/index.php?pagina=www.web.php


y tu pagina mediante el tipico $_GET pues que redirija al rato...

el problema es como decirle al filtro de ettercap que te incluya en la redirección parte del mensaje original hmm! xD

Para hacer lo que dices bastaria un filtro que susstituyera <a href= por <a href=www.miweb.php?pagina=, entonces ya podré tratar su petición como una variable en mi página.
Te referias a eso con lo de 'parte del mensage original'?? Esque no se si lo entendí...

saludos!! :)

**

nonononnoo recuerda que un MITM para que sea MITM efectivo no debe haber variación en el código fuente, absolutamente ninguna variación porque si yo entro y veo un iframe en paypal está claro que no me voy a loguear xD, es mejor enviar y recibir los paquetes lo mas fiel posible y si quieres pues captura los datos o modifica solamente lo que sea necesario como textos a mostrar, cookies, etc.

Digamos que cuando loguee le guardas los datos que ingresó en el input en un texto tuyo para despues verlos, o talves capturar su cookie o reemplazarsela por la cookie de una sesión infectada , no se.

Un MITM para que puede ser aprobechada aparte de obtener cuentas y datos agenos?
recuerdas que hay sitios como la descarga de google chrome y los plugines de ie8 que no te piden confirmación para ejecutarlos como si lo hace firefox? eso se debe a que el explorador chrome e ie8 contienen una withelist con urls de los cuales si es permitido ejecutar instaladores y lo que sea sin la necesidad de alguna confirmación, buena puerta para enviar backdoors o rootkits, cuando abra algo le haces un location desde el header de la request hacia la descarga de algun plugin o instalador y ya está.

Dale un vistazo acá:
http://foro.elhacker.net/analisis_y_diseno_de_malware/beefyproxy_mitm_web_con_modificacion_de_contenido-t252828.0.html

Muy interesante el Beefyproxy, lo he probado en mi LAN pero me da un error cuando accedo al directorio /ui/ para ver los resultados... parece ser que no encuentra el archivo config.inc.php, es más, no lo tengo.

Pero bueno, no es el tema. xD El tema es el MitM con el serv. web. Más o menos es lo que hace el beefyproxy, da como resultado la página real, permitiendo modificar paquetes, logear, etc.

Pero nose como se haria eso... es a base de php?? Coger variables, solicitar página, entregar página, etc, etc... no??

Yo esque una vez(hace tieeempo) me saqué la pass del gmail usando la suite dsniff(arpspoof, dnspoof, webmitm) y el ssldump. Pero claro... ahí el proceso era MUCHO más automático, ahora... la cosa cambia, hay muchos pasos que hay que realizar (supongo) desde un index.php bien escrito localizado en mi server, y ahí ya se me va de las manos... xD Entonces me gustaria que me explicaran, si tienen el gusto, como funciona todo esto, o que directamente me paseis si teneis un doc donde lo hagan, ya que he buscado en google pero solo encuentro tipicos howtos de un mitm... y no es lo que busco, sino algo más *profundo*.

También he estado jugueteando con los filtros en ettercap, y las redirecciones, popups, iframes funcionan de perlas! :P Solo que aveces hay páginas en las cuales no introduce el filtro y no logro entender porqué... por ejemplo aquí en el foro, o en google tampoco... en estas el filtro no hace nada... es por algún sistema de protección? o es cosa mia??

Bueno, gracias por preocuparos y ayudarme!!  :)

Buenas noches!