DANH MỤC TỪ VIẾT TẮTHình 7 : Các câu lệnh thực thi trong SSLsplit Hình 8: Chặn bắt đăng nhập để lấy thông tin đăng nhập trang google Hình 9: Tên của tổ chức đơn vị phát hành CA thực Hình
Trang 1HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
KHOA CÔNG NGHỆ THÔNG TIN
HỌC PHẦN: AN TOÀN MẠNG
Bài báo cáo cuối kỳ : Tìm hiểu Công cụ SSLsplit trên Kali Linux Cài đặt thử nghiệm công cụ SSLsplit Kali Linux
Giảng viên hướng dẫn: TS Đặng Minh Tuấn
Sinh viên thực hiện: Trần Quang Thạo
Mã sinh viên: B18DCAT238
Hà Nội, tháng 12 năm 2021
Trang 2MỤC LỤC
Trang 3DANH MỤC TỪ VIẾT TẮT
Hình 7 : Các câu lệnh thực thi trong SSLsplit
Hình 8: Chặn bắt đăng nhập để lấy thông tin đăng nhập trang google
Hình 9: Tên của tổ chức đơn vị phát hành CA thực
Hình 10: Chặn bắt lưu lượng truy cập tài khoản gmail
Hình 11: Trang chủ của wifi Pineapple
Hình 12: IP của máy được kết nối vào
Hình 14: Nhật ký thời gian thực hiện phân tách
Hình 15: Truy cập thiết bị dùng để liên kết
Hình 16: Thông tin được chặn bắt và hiển thị
Hình 17: Trang login để vào trang chủ VPN
Trang 4đó thầy còn chỉ dạy thêm nhiều kiến thức khác ngoài lề, có ích cho tất cả các ngànhtrong trường Môn học này giúp em có thêm kiến thức chuyên môn về chuyênngành mà em đang học và kiến thức về việc làm một bài báo cáo tốt nghiệp điềunày là rất cần thiết đối với một sinh viên năm cuối như em.
Do vốn kiến thức còn nhiều hạn chế và khả năng tiếp thu thực tế còn nhiều
bỡ ngỡ Bài báo cáo của em khó tránh khỏi nhiều thiếu sót và có nhiều chỗ chưachính xác, kính mong thầy xem xét và góp ý để bài báo cáo của em được hoàn thiệnhơn
Lời cuối cùng, em xin kính chúc thầy luôn khỏe mạnh, thành công và hạnhphúc
Hà Nội, ngày 29 tháng 11 năm 2021
Sinh ViênTrần Quang Thạo
Trang 5Chương I Giới thiệu về SSL
1 Tìm kiếm và khai thác các lỗ hổng của SSL
SSL là viết tắt của từ Secure Sockets Layer SSL là tiêu chuẩn của công nghệbảo mật, truyền thông mã hoá giữa máy chủ Web server và trình duyệt Tiêu chuẩnnày hoạt động và đảm bảo rằng các dữ liệu truyền tải giữa máy chủ và trình duyệtcủa người dùng đều riêng tư và toàn vẹn SSL hiện tại cũng là tiêu chuẩn bảo mậtcho hàng triệu website trên toàn thế giới, nó bảo vệ dữ liệu truyền đi trên môitrường internet được an toàn
SSL đảm bảo rằng tất cả các dữ liệu được truyền giữa các máy chủ web và các
trình duyệt được mang tính riêng tư, tách rời
SSL đảm bảo rằng tất cả các dữ liệu được truyền giữa các máy chủ web và các
trình duyệt được mang tính riêng tư, tách rời
Sản phẩm lý tưởng dành cho các cổng thương mại điện tử Mỗi e-store làmột sub-domain và được chia sẻ trên một hoặc nhiều địa chỉ IP Khi đó, để triểnkhai giải pháp bảo bảo mật giao dịch trực tuyến (đặt hàng, thanh toán, đăng ký &đăng nhập tài khoản,…) bằng SSL, chúng ta có thể dùng duy nhất một chứng chỉ sốWildcard cho tên miền chính của website và tất cả sub-domain
Khi Website gởi cho trình duyệt một chứng chỉ SSL, Trình duyệt sẽ gởichứng chỉ này đến một máy chủ lưu trữ các chứng chỉ số đã được phê duyệt Cácmáy chủ này được thành lập bởi những công ty uy tín như GlobalSign, VeriSign
2 Tổng quan về SSL
SSL hoặc Secure Sockets Layer là một giao thứcbảo mật Internet dựatrên mã hóa Nó được phát triển lần đầu tiên bởi Netscape vào năm 1995 với mụcđích đảm bảo quyền riêng tư, xác thực và tính toàn vẹn dữ liệu trong truyền thôngInternet SSL là tiền thân của mã hóa TLS hiện đại được sử dụng ngày nay.bởi kỹthuật làm cho các trang web tải và thực thi các tập lệnh độc hại trong trình duyệtthay vì đọc nội dung từ các khung liền kề nhau
Trang 6Hình 1: Mô hình HTTP và HTTPS
Ban đầu, dữ liệu trên Web được truyền bằng văn bản đơn giản mà bất cứ aicũng có thể đọc nếu họ chặn tin nhắn Ví dụ: nếu người tiêu dùng truy cập vào mộttrang web mua sắm, đặt hàng và nhập số thẻ tín dụng của họ trên trang web, số thẻtín dụng đó sẽ đi qua Internet mà không bị cản trở
SSL được tạo ra để khắc phục vấn đề này và bảo vệ quyền riêng tư của ngườidùng Bằng cách mã hóa bất kỳ dữ liệu nào đi giữa người dùng và máy chủ web,SSL đảm bảo rằng bất kỳ ai chặn dữ liệu chỉ có thể nhìn thấy một mớ hỗn độn củacác ký tự Số thẻ tín dụng của người tiêu dùng hiện đã an toàn, chỉ hiển thị trêntrang web mua sắm nơi họ nhập nó
SSL cũng ngăn chặn một số loại tấn công mạng nhất định: Nó xác thực cácmáy chủ web, điều này rất quan trọng vì những kẻ tấn công thường sẽ cố gắng thiếtlập các trang web giả mạo để lừa người dùng và đánh cắp dữ liệu Nó cũng ngănchặn những kẻ tấn công giả mạo dữ liệu trong quá trình vận chuyển, như con dấuchống giả mạo trên thùng chứa thuốc
SSL là tiền thân trực tiếp của một giao thức khác được gọi là TLS (TransportLayer Security) Năm 1999, Lực lượng đặc nhiệm kỹ thuật Internet (IETF) đã đềxuất một bản cập nhật cho SSL.Sự khác biệt giữa phiên bản cuối cùng của SSL(3.0) và phiên bản đầu tiên của TLS không quyết liệt; việc thay đổi tên được ápdụng để biểu thị sự thay đổi quyền sở hữu
Trang 7Ngày nay hầu hết các trang web sử dụng giao thức HTTPS an toàn đối vớithông tin liên lạc giữa máy khách và máy chủ web, nhờ giao thức này sử dụng TLS
và các thuật toán mật mã được kết hợp trong đó, thông tin liên lạc được mã hóađiểm-tới-điểm, ngoài ra, tính xác thực của kết nối và thậm chí là tính toàn vẹn của
dữ liệu được kiểm tra, do đó tội phạm mạng không thể sửa đổi các gói một cáchnhanh chóng
❖ Cuộc tấn công SSL:
Khi chúng tôi thực hiện một cuộc tấn công ARP Spooping và chúng tôi đặtmột máy đánh hơi để nắm bắt tất cả lưu lượng truy cập, những gì chúng tôi làm làdung lượng tất cả lưu lượng mạng được tạo ra bởi một máy tính nhất định (nạnnhân) Trong trường hợp bạn sử dụng các giao thức không an toàn như HTTP hoặcFTP, có thể dễ dàng xem tất cả các thông tin liên lạc, thông tin xác thực và thậm chí
cả cookie phiên của bạn
Vì lý do này, rất nguy hiểm khi kết nối với nơi công cộng WiFi mạng hoặcmạng không đáng tin cậy, bởi vì bất kỳ tội phạm mạng nào cũng có thể thực hiệncuộc tấn công Man in the Middle này và nắm bắt tất cả thông tin
Nếu chúng tôi sử dụng một giao thức an toàn như HTTPS, kẻ tấn công sẽ cóthể nắm bắt tất cả thông tin mà không gặp vấn đề gì, tuy nhiên, hắn sẽ không thểđọc bất kỳ nội dung nào của nó, tức là hắn sẽ không thể xem thông tin xác thực,cookie phiên hoặc hoàn toàn không có gì, bởi vì tất cả lưu lượng truy cập được mãhóa end-to-end (từ máy khách đến máy chủ web)
❖ Ví dụ về tấn công SSL Stripping:
Các cuộc tấn công SSL Strippping bao gồm thiết lập proxy HTTP / HTTPS
để “nâng” giao thức HTTPS được mã hóa này và nạn nhân sử dụng giao thứcHTTP để có thể nắm bắt tất cả thông tin và xem dữ liệu bên trong
❖ Quy trình sẽ phải được thực hiện để vi phạm kết nối HTTPS sẽ như sau:
Thực hiện một cuộc tấn công Giả mạo ARP đối với nạn nhân để chuyển
tiếp tất cả lưu lượng mạng cho chúng tôi trước khi chuyển nó đến bộ định tuyến,bằng cách này, chúng tôi sẽ nắm bắt tất cả thông tin mà nạn nhân này gửi và nhận
Chúng tôi đặt máy đánh hơi hoạt động Ví dụ, WireShark là một lựa chọn
rất tốt, nó là một trong những phần mềm hoàn chỉnh và dễ sử dụng nhất, và nó hoàntoàn miễn phí
Kiểm tra xem chúng tôi có đang nắm bắt tất cả không lưu lượng truy cập
của nạn nhân, bằng cách này, chúng tôi sẽ đảm bảo rằng ARP Spoofing và trìnhđánh hơi đang hoạt động chính xác Trong trường hợp này, chắc chắn chúng ta chỉ
Trang 8có thể thấy DNS, ICMP và các lưu lượng khác ở dạng văn bản rõ ràng, nhưngkhông thấy lưu lượng HTTPS vì nó được mã hóa end-to-end.
Hình 2: Bắt lưu lượng mạng bằng SSLstrip
Khi chúng ta đã thực hiện ba bước này, những gì chúng ta phải làm là địnhcấu hình proxy HTTP / HTTPS sử dụng các công cụ miễn phí, chẳng hạn nhưBettercap là công cụ tốt nhất mà chúng tôi có thể sử dụng để thực hiện kiểu tấncông này Khi chúng tôi đã định cấu hình proxy HTTP / HTTPS này, những gì sẽxảy ra sẽ như sau:
- Trình dò tìm mạng mà chúng tôi đã kích hoạt trước đó sẽ nắm bắt tất cảlưu lượng HTTP và hiển thị cho chúng tôi bằng văn bản rõ ràng thông tinđăng nhập của người dùng, cookie phiên và mọi thứ nạn nhân đang làm
Trang 9Hình 3: Dò và bắt lưu lượng HTTP
Như bạn có thể thấy, khả năng thực hiện một cuộc tấn công tước SSL có sẵncho tất cả mọi người sử dụng các công cụ miễn phí như Bettercap cho Linux.Trênthực tế, trong bài viết này, bạn có một hướng dẫn đầy đủ để bạn thực hiện kiểm trabảo mật và kiểm tra xem một mục tiêu nhất định có thể sử dụng nó để chống lạichúng tôi hay chúng tôi được bảo vệ trước kiểu tấn công này
❖ Cách phòng chống
● Loại tấn công này được sử dụng rộng rãi bởi tội phạm mạng để lấy tất
cả lưu lượng truy cập của nạn nhân, đặc biệt là trong các mạng côngcộng, cho dù đó là mạng có dây hay mạng WiFi công cộng
● Tuy nhiên, nếu ai đó có thể xâm nhập vào mạng WiFi của chúng tôi,chúng tôi sẽ ở trong cùng một kịch bản: chúng tôi đang ở trên cùngmột mạng cục bộ với tội phạm mạng, chúng có thể khiến chúng tôi trởthành một cuộc tấn công ARP Spoofing và cũng là một cuộc tấn côngSSL Stripping
● Cuộc tấn công SSL Stripping này không thể ngăn chúng thực hiệnđiều đó với chúng ta nếu chúng ta đang ở trên cùng một mạng cục bộvới kẻ tấn công, nhưng những gì chúng ta có thể làm là ngăn nó hoạtđộng hiệu quả, tức là không thể "nâng" kết nối HTTPS
Rằng web đã bật HSTS
Cuộc tấn công SSL Stripping này không thể ngăn chúng thực hiệnđiều đó với chúng ta nếu chúng ta đang ở trên cùng một mạng cục bộvới kẻ tấn công, nhưng những gì chúng ta có thể làm là ngăn nó hoạtđộng hiệu quả, tức là không thể "nâng" kết nối HTTPS, để tính bảomật sẽ tiếp tục được duy trì và chúng tôi sẽ có thể điều hướng mộtcách an toàn
Hình 4: Mô hình tấn công HTTP
Trang 10● Ngày nay, nhiều máy chủ web của các trang web khác nhau được địnhcấu hình chính xác với chính sách bảo mật này, để bảo vệ người dùngcủa họ Các cookie này được lưu trữ trong trình duyệt web của kháchhàng sẽ hết hạn, tuy nhiên, điều cần làm là đặt thời hạn đó là tối đa(một năm), để bảo vệ khách hàng lâu nhất có thể.
● Phần tiêu cực của HSTS là, nếu đây là lần đầu tiên chúng tôi truy cậpmột trang web và họ thực hiện tước SSL, tính năng này sẽ không thểbảo vệ chúng tôi Việc bảo vệ là từ lần truy cập thứ hai vì cookie sẽ đãđược tải xuống, trừ khi chúng tôi có danh sách các trang web được tảitrước trong trình duyệt web của mình, như xảy ra với các “trang weblớn” như Google và các dịch vụ khác
Hình 5: Bảo vệ truy cập trong SSL
● Trong máy chủ web Apache, chúng tôi sẽ phải kết hợp lệnh sau:
Header luôn đặt «max-age = 31536000; includeSubDomains »
● Trong máy chủ web Nginx, chúng tôi sẽ phải kết hợp lệnh sau:add_header «max-age = 31536000;
❖ Sử dụng VPN
● Một phương pháp khác để tránh kiểu tấn công này vào các kết nối HTTPS là
sử dụng VPN dịch vụ Mạng riêng ảo hoặc VPN chịu trách nhiệm mã hóa tất
cả các thông tin liên lạc điểm-điểm trong một đường hầm, do đó, kẻ tấn côngbiến chúng tôi thành một cuộc tấn công ARP Spoofing và đặt một kẻ dò tìm,
sẽ chỉ nhìn thấy tất cả lưu lượng được mã hóa, anh ta không thể nhìn thấy bất
Trang 11kỳ giao thức bổ sung, vì độ phân giải DNS cũng đi bên trong đường hầmVPN.
● Có thể tội phạm mạng cố gắng “ném” đường hầm VPN này, trên thực tế, hắn
có thể đạt được nó bằng cách chèn các gói và làm cho dịch vụ VPN ngừnghoạt động để bảo mật, tuy nhiên, chúng ta phải nhớ rằng VPN có một tínhnăng gọi là Kill-Switch
● Chức năng Kill-switch cho phép bạn chặn hoàn toàn lưu lượng truy cậpInternet trong trường hợp đường hầm VPN bị đổ hoặc có sự cố nào đó, bằngcách này, chúng tôi sẽ đảm bảo rằng dữ liệu của chúng tôi không bị lọc vàchúng không thể tạo cho chúng tôi bất kỳ loại nào khác của các cuộc tấncông Luôn luôn tốt hơn nếu ở lại mà không có kết nối Internet hơn là bịđánh cắp thông tin
- Thực hiện một đường truyền SSH
● Một cách khác để bảo vệ bạn trước các cuộc tấn công SSL Stripping là thựchiện một đường hầm SSH với sự chuyển hướng của lưu lượng truy cập Kỹthuật này bao gồm kết nối với máy chủ SSH từ xa được tin cậy và thiết lậpproxy SOCKS để cấu hình sau này trong trình duyệt web
● Bằng cách này, chúng tôi sẽ chuyển hướng lưu lượng truy cập của trình duyệtweb thông qua máy chủ SSH mà chúng tôi đã kết nối Để làm như vậy,chúng ta phải làm theo các bước sau:
o Định cấu hình máy chủ SSH theo cách an toàn, thay đổi cổng, xác thựctốt và bộ mật mã tốt
o Định cấu hình máy chủ SSH này trong các chương trình như PuTTY vàcho phép chuyển tiếp hoặc chuyển tiếp, trong một proxy SOCKS5 cụ thể
Hình 6: Mô hình SSH Tunnel
Trang 12Chương II Giới thiệu về SSLsplit
1 Tổng quan về SSLsplit
SSLsplit là một proxy TLS / SSL trong suốt chung để thực hiện các cuộc tấncông man-in-the-middle trên tất cả các loại giao thức giao tiếp an toàn Sử dụngSSLsplit, người ta có thể chặn và lưu lưu lượng truy cập dựa trên SSL và do đólắng nghe bất kỳ kết nối an toàn nào
SSLsplit được thiết kế để chấm dứt minh bạch các kết nối được chuyểnhướng đến nó bằng cách sử dụng công cụ dịch địa chỉ mạng SSLsplit sau đó chấmdứt SSL /TLS và bắt đầu kết nối SSL / TLS mới với địa chỉ đích ban đầu, đồng thờighi nhật ký tất cả dữ liệu được truyền
Bên cạnh hoạt động dựa trên NAT, SSLsplit cũng hỗ trợ các điểm đến tĩnh và
sử dụng tên máy chủ được SNI chỉ định là điểm đến thượng nguồn SSLsplit hoàntoàn là một proxy trong suốt và không thể hoạt động như một proxy HTTP hoặcSOCKS được cấu hình trong trình duyệt
SSLsplit hỗ trợ các kết nối TCP, SSL, HTTP và HTTPS đơn giản trên cảIPv4 và IPv6 Nó cũng có khả năng tự động nâng cấp TCP đơn giản lên SSL để hỗtrợ chung SMTP STARTTLS và các cơ chế nâng cấp tương tự SSLsplit hỗ trợ đầy
đủ Chỉ dẫn tên Máy chủ (SNI) và có thể làm việc với các phím RSA, DSA vàECDSA và các bộ mật mã DHE và ECDHE Tùy thuộc vào phiên bản OpenSSLđược xây dựng chống lại, SSLsplit hỗ trợ SSL 3.0, TLS 1.0, TLS 1.1 và TLS 1.2 vàtùy chọn SSL 2.0
Đối với các kết nối SSL và HTTPS, SSLsplit tạo và ký chứng chỉ X509v3giả mạo khi đang bay, bắt chước chủ đề dn của chứng chỉ máy chủ gốc, phần mởrộng subjectAltName và các đặc điểm khác
SSLsplit có khả năng sử dụng các chứng chỉ hiện có mà khóa riêng có sẵn,thay vì tạo ra các chứng chỉ giả mạo SSLsplit hỗ trợ chứng chỉ CN tiền tố NULLnhưng nếu không không thực hiện khai thác đối với các lỗ hổng xác minh chứngchỉ cụ thể trong ngăn xếp SSL / TLS
SSLsplit thực hiện một số biện pháp phòng thủ chống lại các cơ chế thường
sẽ ngăn chặn các cuộc tấn công MitM hoặc làm cho chúng khó khăn hơn
SSLsplit có thể từ chối các yêu cầu OCSP một cách chung chung Đối vớicác kết nối HTTP và HTTPS, SSLsplit mangles tiêu đề để ngăn chặn ghim khóacông khai do máy chủ hướng dẫn (HPKP), tránh các hạn chế bảo mật giao thôngnghiêm ngặt (HSTS), tránh thực thi Chứng nhận minh bạch (Mong đợi-CT) vàngăn chặn chuyển sang QUIC / SPDY, HTTP / 2 hoặc WebSockets (Nâng cấp,
Trang 13Giao thức thay thế) Nén HTTP, mã hóa và giữ sống bị vô hiệu hóa để làm cho cácbản ghi dễ đọc hơn.
Các tùy chọn ghi nhật ký bao gồm các tệp kết nối SSLsplit truyền thống vàtệp nhật ký nội dung cũng như các tệp PCAP và phản ánh lưu lượng truy cập đượcgiải mã đến giao diện mạng Ngoài ra, chứng chỉ, bí mật chính và thông tin quytrình địa phương có thể được ghi lại
2 Yêu Cầu
SSLsplit phụ thuộc vào các thư viện OpenSSL, libevent 2.x, libpcap và libnet 1.1.xtheo mặc định; libpcap và libnet là không cần thiết nếu tính năng phản chiếu bị bỏqua Bản dựng phụ thuộc vào việc GNU thực hiện và môi trường POSIX.2 trong Nếu có, pkg-config được sử dụng để xác định vị trí và cấu hình các phụ thuộc Cácbài kiểm tra đơn vị tùy chọn phụ thuộc vào thư viện kiểm tra.PATH
SSLsplit hiện đang hỗ trợ các hệ điều hành và cơ chế NAT sau:
● FreeBSD: pf rdr và divert-to, ipfw fwd, ipfilter rdr
● OpenBSD: pf rdr-to và divert-to
● Linux: netfilter REDIRECT và TPROXY
● Linux: netfilter REDIRECT và TPROXY
Hỗ trợ thông tin quy trình cục bộ () hiện có sẵn trên Mac OS X và FreeBSD.-iCác tính năng và khả năng tương thích SSL / TLS phụ thuộc rất nhiều vào phiênbản OpenSSL được liên kết Để có kết quả tối ưu, hãy sử dụng bản phát hànhOpenSSL hoặc LibreSSL gần đây
3 Cách hoạt động
SSLsplit hoạt động khá giống với các công cụ proxy SSL trong suốt khác:
Nó hoạt động như một người trung gian giữa khách hàng và máy chủ thực tế Vớiđiều kiện lưu lượng truy cập đang được chuyển hướng đến máy chủ mà SSLsplitđang chạy (bằng cách thay đổi cổng mặc định, giả mạo ARP hoặc các phương tiệnkhác, xem bên dưới) SSLsplit chọn kết nối SSL và giả vờ là máy chủ mà máykhách đang kết nối
Để làm như vậy, nó tự động tạo ra một chứng chỉ và ký nó bằng khóa riêngcủa chứng chỉ CA mà khách hàng phải tin tưởng
Ví dụ: nếu khách hàng muốn gửi e-mail bằng máy chủ Gmail SMTP an toàn(smtp.gmail.com trên cổng 465), SSLsplit tạo chứng chỉ cho "smtp.gmail.com" và
do đó giả vờ là máy chủ thư Gmail đối với khách hàng
Trang 14Theo hướng ngược dòng (hướng tới máy chủ thư Gmail thực tế), SSLsplitkết nối với máy chủ giống như một máy khách bình thường - chuyển tiếp tất cả lưulượng truy cập mà máy khách thực tế viết trên ổ cắm SSL.
Nếu bạn quan tâm đến một chút chi tiết, vui lòng kiểm tra phần "Nó hoạtđộng như thế nào" của bài đăng về chặn HTTPS với mitmproxy Khái niệm cơ bản
là như nhau, vì vậy nó phải tương đối dễ hiểu
4 Màn hình giao diện
SSLsplit hỗ trợ giao diện console giúp thao tác nhanh qua các câu lệnh:
Hình 7 : Các câu lệnh thực thi trong SSLsplit
Ngoài ra còn hỗ trợ thêm giao diện GUI giúp tương tác với công cụ một cách trựcquan, dễ hiểu hơn
5 Cài đặt và chạy SSLsplit
a Chuyển hướng lưu lượng truy cập
● Hướng dẫn này giả định rằng bạn đã đặt hệ thống kẻ tấn công của mình ở
đâu đó giữa máy nạn nhân và máy chủ Điều này có thể được thực hiện theonhiều cách khác nhau - đây là một số ví dụ:
o Sử dụng giả mạo ARP để chuyển hướng lưu lượng truy cập của nạnnhân bằng cách xuất bản bản đồ sai từ địa chỉ MAC cổng tiêu chuẩnđến địa chỉ IP của kẻ tấn công Bạn không cần truy cập vật lý vàothiết bị của nạn nhân để làm điều đó Kiểm tra công cụ arpspoof
Trang 15o Sử dụng giả mạo ARP để chuyển hướng lưu lượng truy cập của nạnnhân bằng cách xuất bản bản đồ sai từ địa chỉ MAC cổng tiêu chuẩnđến địa chỉ IP của kẻ tấn công Bạn không cần truy cập vật lý vàothiết bị của nạn nhân để làm điều đó Kiểm tra công cụ arpspoof.
o Giả các mục DNS với máy chủ DNS trả về địa chỉ IP của kẻ tấn côngcho một số (hoặc tất cả) tên miền nhất định Xem hướng dẫn của tôi
về giả mạo DNS với Dnsmasq để tìm hiểu cách làm điều đó
o Chuyển hướng lưu lượng truy cập cho các tên miền riêng lẻ bằngcách sửa đổi các mục trong tệp /etc / máy chủ của máy của nạn nhân
● Như đã đề cập ở trên, cách dễ nhất là chỉ cần thay đổi địa chỉ cổng mặc địnhtrong thiết bị của nạn nhân thành địa chỉ IP của kẻ tấn công Điều đó đảmbảo rằng tất cả lưu lượng truy cập đi qua máy của bạn Và vì sau này chúngtôi cần cài đặt chứng chỉ CA, dù sao chúng tôi cũng cần truy cập vật lý vàomáy của nạn nhân
❖ Cài đặt
● Hiện tại, không có gói Debian nào trong kho lưu trữ cho SSLsplit Mã đượclưu trữ trên các gương khác nhau, được quản lý bởi tác giả DanielRoethlisberger,cũng như trên Github
● Để tải xuống và biên dịch SSLsplit, hãy chạy các lệnh sau:
● Thư mục tạm thời được tạo tại /tmp / sslsplit sau đó được sử dụng để đổ tệpnhật ký kết nối và dữ liệu thô của các ổ cắm SSL đến và đi
❖ Tạo và cài đặt chứng chỉ CA gốc
● Để SSLsplit hoạt động như một người trung gian cho các kết nối SSL, nócần có khả năng tạo và ký các chứng chỉ mà nạn nhân tin tưởng Để làm nhưvậy, nạn nhân phải có chứng chỉ CA gốc của kẻ tấn công trong cửa hàng ủythác của mình Tùy thuộc vào loại máy khách (trình duyệt máy tính để bàn,điện thoại di động), cài đặt chứng chỉ gốc khác nhau một chút (xem ở đâycho Firefox, Windows, Android, )
Trang 16● Nếu bạn chưa có khóa và chứng chỉ riêng CA tự ký, bạn có thể tạo khóariêng bằng các lệnh sau:
openssl genrsa -out ca.key 4096openssl req -new -x509 -days 1826 -key ca.key -out ca.crtLệnh đầu tiên tạo khóa riêng RSA 4096 bit ở định dạngPEM(ca.key),và lệnh thứ hai sử dụng khóa riêng này để tạochứng chỉ CA gốc tự ký(ca.crt)
❖ Bật chuyển tiếp IP và công cụ NAT (iptables)
● Trong ví dụ này, SSLsplit sẽ chạy trên hai cổng: 8080 cho các kết nối TCPkhông SSL như HTTP, SMTP hoặc FTP và 8443 cho các kết nối SSL nhưSMTP qua SSL, HTTPS, v.v Để chuyển tiếp các gói đến máy của kẻ tấncông đến các cổng nội bộ này, động cơ NAT trong iptables có thể được sửdụng
sysctl -w net.ipv4.ip_forward=1iptables -t nat -F
iptables -t nat -A PREROUTING -p tcp dport 80 -jREDIRECT to-ports 8080
iptables -t nat -A PREROUTING -p tcp dport 443 -jREDIRECT to-ports 8443
iptables -t nat -A PREROUTING -p tcp dport 587 -jREDIRECT to-ports 8443
iptables -t nat -A PREROUTING -p tcp dport 465 -jREDIRECT to-ports 8443
iptables -t nat -A PREROUTING -p tcp dport 993 -jREDIRECT to-ports 8443
iptables -t nat -A PREROUTING -p tcp dport 5222 -jREDIRECT to-ports 8080
● Các lệnh trên trước tiên cho phép chuyển tiếp IP (sysctl ) để kích hoạtchức năng bộ định tuyến của hệ thống Sau khi chạy lệnh này, Linux sẽchuyển tiếp các gói IP không dành cho máy cục bộ đến cổng tiêu chuẩn /mặc định của nó, do đó hoạt động như một bộ định tuyến
● Để ngăn Linux chuyển tiếp mọi thứ ngay lập tức, các quy tắc NAT có thểđược xác định Trong ví dụ này, một số gói nhất định được chuyển hướngđến cảng địa phương 8080 và 8443 Các gói cho lưu lượng văn bản thuầntúy trên các cổng HTTP (80) và WhatsApp (5222) được chuyển hướng đếncổng 8080 và các gói lưu lượng truy cập dựa trên SSL trên các cổng HTTPS(443), IMAP qua SSL (993), SMTP qua SSL (465 và 587) được chuyểnhướng đến cổng 8443