On m'a envoyé un MP pour me demander un tutorial, quelqu'un voudrait convaincre son patron d'utiliser HTTPS.
L'attaque se déroulera en trois temps :
1- on trouve la cible sur le réseau
2- on lance l'attaque MITM
3- on regarde les paquets qui transitent et on choppe les mots de passe.
1°) Ici, il faut deux choses, trouver l'adresse IP de la victime, Alice, et l'adresse IP de la passerelle. C'est donc entre ces deux entités que passent le contenu auquel on veut avoir accès.
Pour ça, on peut utiliser nmap, zenmap ou autoscan par exemple. (zenmap et autoscan ne sont que des front-end à nmap) Pour trouver le bon ordinateur, le bon indicateur, c'est le nom de la machine. Pour nmap, faites simplement (en modifiant la plage IP pour s'adapter au réseau où vous êtes) : # nmap -A 192.168.1.1-255
2°) On a l'IP d'Alice, celle de la passerelle, il faut donc maintenant créer un contexte MITM.
Pour ça, plusieurs solutions, la plus efficace : l'ARP poisoning (même si dans ce cas, utiliser l'attaque ICMP de ettercap peut être plus efficace, je vous conseille de lire le man qui est très instructif). En gros, on ouvre ettercap, on commence le sniffing (unified). Ensuite on fait un scan des hosts, on selectionne l'IP de Alice, on la met en target1 et l'IP de la passerelle qu'on met en target 2 (ou l'inverse, peu importe).
Ensuite, menu MITM, on lance une attaque arp poisonning, on attend un peu et nous voila en contexte MITM. (on peut vérifier que l'arp poisonning fonctionne avec un plugin, manage plugin > et on double clique sur chk_poison.)
Nous voila dans un contexte MITM, qu'est ce que ca veut dire ? Que toutes les communications entre Alice et la passerelle passeront par votre ordinateur (Alice croit que votre adresse mac est la passerelle, donc tous ses messages vous arrive à vous, vous les envoyez ensuite à la passerelle et vice versa).
3°) À partir de là, il vous suffit de lancer wireshark et vous verrez tous ces paquets. Mais c'est moins pratique.
On va donc utiliser dsniff. Ce petit logiciel regarde ce qu'il se passe sur votre interface réseau, comme wireshark, mais tout ce qu'il vous donnera, c'est ce qui nous intéresse : les mots de passe. Ça doit s'utiliser comme ça : dsniff -i eth0
On attend, dès que un mot de passe arrive sur l'interface, il sera affiché, et voila. (ça marche avec des tas de protocoles)
Ah, par contre, une attaque arp ca peut augmenter la latence de la cible, et diminuer sa BP. Et ça se détecte en regardant son cache ARP si on connait déja l'adresse mac de la passerelle. Ce qui a peu de chances d'arriver chez beaucoup de personnes lambda.
# Attaque Man In The Middle.
Posté par Sébastien B. . En réponse au journal WireShark la capture réseau. Évalué à 2.
L'attaque se déroulera en trois temps :
1- on trouve la cible sur le réseau
2- on lance l'attaque MITM
3- on regarde les paquets qui transitent et on choppe les mots de passe.
1°) Ici, il faut deux choses, trouver l'adresse IP de la victime, Alice, et l'adresse IP de la passerelle. C'est donc entre ces deux entités que passent le contenu auquel on veut avoir accès.
Pour ça, on peut utiliser nmap, zenmap ou autoscan par exemple. (zenmap et autoscan ne sont que des front-end à nmap) Pour trouver le bon ordinateur, le bon indicateur, c'est le nom de la machine. Pour nmap, faites simplement (en modifiant la plage IP pour s'adapter au réseau où vous êtes) :
# nmap -A 192.168.1.1-2552°) On a l'IP d'Alice, celle de la passerelle, il faut donc maintenant créer un contexte MITM.
Pour ça, plusieurs solutions, la plus efficace : l'ARP poisoning (même si dans ce cas, utiliser l'attaque ICMP de ettercap peut être plus efficace, je vous conseille de lire le man qui est très instructif). En gros, on ouvre ettercap, on commence le sniffing (unified). Ensuite on fait un scan des hosts, on selectionne l'IP de Alice, on la met en target1 et l'IP de la passerelle qu'on met en target 2 (ou l'inverse, peu importe).
Ensuite, menu MITM, on lance une attaque arp poisonning, on attend un peu et nous voila en contexte MITM. (on peut vérifier que l'arp poisonning fonctionne avec un plugin, manage plugin > et on double clique sur chk_poison.)
Nous voila dans un contexte MITM, qu'est ce que ca veut dire ? Que toutes les communications entre Alice et la passerelle passeront par votre ordinateur (Alice croit que votre adresse mac est la passerelle, donc tous ses messages vous arrive à vous, vous les envoyez ensuite à la passerelle et vice versa).
3°) À partir de là, il vous suffit de lancer wireshark et vous verrez tous ces paquets. Mais c'est moins pratique.
On va donc utiliser dsniff. Ce petit logiciel regarde ce qu'il se passe sur votre interface réseau, comme wireshark, mais tout ce qu'il vous donnera, c'est ce qui nous intéresse : les mots de passe. Ça doit s'utiliser comme ça :
dsniff -i eth0On attend, dès que un mot de passe arrive sur l'interface, il sera affiché, et voila. (ça marche avec des tas de protocoles)
Si vous n'avez pas compris grand chose, il y a des tas de tutos pour faire tout ça, pour ettercap :
http://openmaniak.com/fr/ettercap.php
pour dsniff, la page sur le wiki de backtrack :
http://wiki.backtrack-fr.net/index.php/Dsniff
Ah, par contre, une attaque arp ca peut augmenter la latence de la cible, et diminuer sa BP. Et ça se détecte en regardant son cache ARP si on connait déja l'adresse mac de la passerelle. Ce qui a peu de chances d'arriver chez beaucoup de personnes lambda.