Capturar contraseñas y correos electronicos en HTTPS

[KR4XT4]

alguien que me pueda ayudar estoy entrando al mundo del hacking y soy un novato y quisiera saber si hay alguna forma de capturar contraseñas y correos electronicos que viajan por https usando un sniffer de red como wireshark o ettercap


Mod: Indicar asuntos descriptivos.

[engel lex]

si, es posible, ni por accidente simple... si fuera simple, o lo hubieran actualizado para hacerlo seguro o simplemente no se usara...

basicamente la unica forma está en falsificar la pagina y luego vencer el hsts  que es mucho mas complicado

[El_Andaluz]

Es posible haciendo un ataque Man In The Middle que consiste en ponernos a «escuchar» las comunicaciones entre el servidor y el propio cliente.

Aquí tienes algo mas de información: https://www.redeszone.net/seguridad-informatica/sslstrip/

[engel lex]

Es posible haciendo un ataque Man In The Middle que consiste en ponernos a «escuchar» las comunicaciones entre el servidor y el propio cliente.

Aquí tienes algo mas de información: https://www.redeszone.net/seguridad-informatica/sslstrip/

recuerda que hay con cualquier servidor decentemente cifrado el sslstrip de nada funciona por el hsts

engañar al servidor y convertir todo el HTTPS de una web en HTTP (sin cifrar)

y muchos servidores en plano ni si quiera tienen respuesta http mas que solicitar el aumento a https

[kub0x]

Hacer Man-In-The-Middle (MITM) y DNS-Spoofing sigue siendo viable en redes locales. pero como bien comenta el compañero engel lex, existen protecciones que evitan la degradación de la sesion HTTPS a HTTP. Hace años, por el 2010 y en adelante, era posible redireccionar a la víctima al puerto 80 (HTTP). El servidor redireccionaría al cliente de nuevo a HTTPS ya que los links del HTML aparecerían todos bajo HTTPS, pero el atacante los convertiría a HTTP haciendo posible ningún tipo de redirección a HTTPS (con SSLStrip). La víctima notaría la ausencia del "candado" en la página web, nada más.

Ahora, HSTS hace que la conexión falle siempre que el TLS handshake no se cumpla, y para engañar al cliente aquí necesitas un certificado firmado por una entidad de confianza (CA) que esté en la lista de certificados confiables del navegador (Firefox, Chrome etc). Los navegadores vienen con HSTS configurado para múltiples webs y otras se configura al visitar el sitio por primera vez.