Sniffare pswd di rete

Sto parlando dei dati di autenticazione di servizi come Telnet, FTP e POP3 in quanto vengono trasmessi in chiaro sulla rete.
Su una rete non commutata, ciascun dispositivo della rete considera solo i pacchetti a lui destinati, ma puoi impostare un dispositivo in modalità promiscua per esaminare anche i pacchetti destinati ad altri.
Puoi sniffare tutto il traffico trasmesso sulla rete alla ricerca dei dati di autenticazione di caselle email, server FTP, sessioni Telnet…
Nella prima parte ti illustrerò come effettuare lo sniffing del traffico attraverso un utile strumento: tcpdump.
Lo sniffing di pacchetti in modalità promiscua su una rete non commutata può consentire di ottenere molte informazioni utili…Sei pronto?
Iniziamo.

Apri un terminale (Applicazioni –> Accessori –> Terminale) e digita:
sudo tcpdump -l -X ‘ip host 192.168.1.91′
Al posto di 192.168.1.91, chiaramente dovrai mettere l’indirizzo Ip sul quale vuoi effettuare l’azione di Sniffing.
Attendi e guarda con attenzione cosa accade nel tuo terminale, sulla destra vedrai tanti “simboli” che, a prima vista, non significano niente.
Non è così, abituati a guardare e controlla riga per riga alla ricerca dell’ USER e della PASS. Se guardi bene troverai all’interno tutti i dati e la tipologia di connessione stabilita.
Tcpdump è senza dubbio un ottimo sniffer, ma esistono anche degli strumenti più “raffinati” e specializzati nella ricerca di nomi utente e password.
In questa seconda parte ti illustrerò l’utilizzo di dsniff, uno sniffer specializzato nella ricerca dei dati importanti.
Se non hai installato questo tool, apri un terminale e digita:

sudo apt-get install dsniff

Adesso puoi procedere con lo sniffing vero e proprio.
Non dovrai fare altro che digitare, sempre da terminale:

sudo dsniff -n

e attendere…
Avrai in chiaro User e Pass come puoi vedere dall’immagine sotto, nel quale ho sniffato i miei dati di accesso ad un server FTP.

Guida Ettercap (Man In The Middle)

Ambiente: Linux
Inizieremo con l’installazione di Ettercap, proseguiremo con un piccolo attacco alla propria rete, per concludere con una dettagliata guida all’utilizzo.
Ti vedo già impaziente…pronto a carpire ogni singola parola che scriverò…rimboccati le maniche e iniziamo!

Installare Ettercap

Se stai utilizzando una distribuzione come Ubuntu ti basta aprire un terminale (Applicazioni –> Accessori –> Terminale) e digitare:
sudo apt-get install ettercap-gtk
Aspetta qualche secondo e sei pronto per partire con l’attacco vero e proprio.

Attacco con Ettercap

Eseguiamo Ettercap, da terminale:
sudo ettercap -G
oppure vai nel menù Applicazioni –> Internet –> Ettercap
In questo modo avrai l’interfaccia grafica di Ettercap davanti ai tuoi occhi.

Imposta lo Sniffing

Clicca su Sniff –> Unified Sniffing (oppure Shift + U). Si aprirà una maschera dove potrai selezionare l’interfaccia di rete che vuoi utilizzare, seleziona e premi OK.
Adesso dovrai cercare gli altri pc connessi alla rete. Per far questo ti basta cliccare su Hosts –> Scan for Hosts (oppure Ctrl + S), aspetta qualche secondo che Ettercap analizzi la rete e andando su Hosts –> Hosts List potrai visualizzare gli altri pc connessi.

Scegli la tua vittima

Se vuoi avvelenare il pc con indirizzo ip 192.168.1.2 ed il router 192.168.1.1 non dovrai fare altro che aggiungerli come target al tuo attacco

Per far questo basta che selezioni la riga contenente l’Ip 192.168.1.1 e clicchi su Add to target 1, successivamente clicchi sulla riga contenente l’Ip 192.168.1.2 e Add to taget 2. Se vuoi avvelenare tutte le macchine connesse puoi tranquillamente saltare questo passaggio.
Puoi anche vedere quali Target hai selezionato: Targets –> Currents Targets

ARP poisoning

Clicca su Mitm –> ARP Poisoning, si aprirà una finestra e a meno che tu non abbia particolari esigenze puoi lasciare deselezionato tutto e dare l’OK.

Inizia lo Sniffing

Clicca su Start –> Start Sniffing in questo modo Ettercap inizierà a sniffare tutti i dati che vengono trasmessi sulla rete.

Vuoi approfondire l’argomento vero? Ne sono sicuro. Per questo puoi scaricare la guida in PDF in Italiano: Man in The Middle Attacks.

Fonte Articolo: Erriko.it

Scansione porte con Nmap

 
Ambito: Linux
La scansione delle porte è un metodo per determinare quali porte sono in ascolto e accettano connessioni. Dovete sapere che molti servizi sono eseguiti su porte standard, quindi si possono determinare facilmente quali servizi sono in esecuzione.
La scansione più semplice consiste nel tentare di stabilire una connessione TCP su tutte le porte possibili del sistema preso in esame. E' d' obbligo sapere però che questo metodo è molto semplice da effettuare ma anche molto semplice da rilevare, inoltre quando si stabilisce una connessione, il servizio solitamente registra l’indirizzo IP in un file di log.
Chiaramente per non essere scoperti sono state implementate svariate soluzioni che andremo a trattare in questo articolo.
Lo strumento Open Source più diffuso nel campo delle scansione di porte è senza dubbio: Nmap, scritto da Fyodor.
Vediamo insieme alcuni tipi di scansioni:

Scansione SYN stealth

Una scansione SYN (chiamata anche semiaperta), è un tipo di scansione in cui non viene effettivamente aperta una connessione TCP completa. Una connessione per essere stabilita deve completare il processo di handshaking. In questo caso si dovrebbe inviare un pacchetto SYN , ricevere un pacchetto SYN/ACK e rinviare un pacchetto ACK.
Nel nostro caso invieremo solamente un pacchetto SYN e staremo ad aspettare una risposta: se riceveremo un pacchetto SYN/ACK possiamo dedurre che la porta accetta connessioni, si registra questo avvenimento e si rimanda un pacchetto RST per chiudere la connessione.
Vediamo come usare Nmap per effettuare una scansione  SYN.
Se non hai ancora installato il tool puoi aprire il terminale e digitare: sudo apt-get install nmap. Siamo pronti…
Apriamo un terminale e digitiamo il seguente comando:

sudo nmap -sS URLsitovittima (oppure inserite l’IP)

Come puoi vedere dall’immagine adesso hai un quadro completo sulle porte che accettano connessioni o meno.

Scansioni FIN, X-mas e Null

Questa volta andremo ad inviare un pacchetto privo di senso ad ogni porta del sistema.
Se una porta è in ascolto, il pacchetto verrà ignorato, mentre nel caso in cui una porta fosse chiusa, verrà rinviato un pacchetto RST.
Questo ci può tornare molto utile per capire quali porte accettano connessioni senza aprire effettivamente una connessione. Queste scansioni sono meno facili da rilevare ma bisogna comunque prestare la massima attenzione, in quento si potrebbero rilevare inaffidabili.
Per effettuare questo tipo di scansione basta aprire un terminale e digitare:

sudo nmap -sF URLsitovittima –> FIN
sudo nmap -sX URLsitovittima –> X-mas
sudo nmap -sN URLsitovittima –> NULL

Esche (decoy)

Un metodo per non essere rilevati consiste nel nascondersi tra delle “esche”.
Il concetto è quello di effettuare svariate scansioni da indirizzi IP esca. Le risposte ottenute da queste connessioni contraffatte non ci serviranno direttamente ma ci serviranno come diversivo.
Se vogliamo per esempio effettuare una scansione con esca (decoy) dell’ IP 192.168.42.72, e usare come esche 192.168.42.10 e 192.168.42.11 basterà aprire un terminale e digitare:

sudo nmap -D 192.168.42.10,192.168.42.11 192.168.42.72

Se questa piccola introduzione ti ha stimolato la fantasia e hai voglia di approfondire l’argomento, ti consiglio di leggere la Guida di Riferimento di Nmap.