Mensajes

Estoy usando una maquina virtual Kali Linux, y mi objetivo es aprender sobre la seguridad informatica y distintas vulnerabilidades que existen en sistemas populares como Windows o Android.

Hasta el momento he testeado y usado herramientas como Metasploit, Sqlmap, Etthercap.

He visto y aprendido estos temas:

Usar metasploit, generar payloads y exploits
usar SqlMAP
Hacer DNS Spoofing mediante Etthercap en una RED
Monitorear trafico de red con Bettercap
Clonar sitios webs en mi apache local mediante SetoolKit


me gustaria aprender otros temas que sean interesantes tambien, y que sean usados en el mundo de la seguridad y pentesting, queria saber si alguno me recomendaria algun tema en particular para que me ponga a investigar, utilizo la ultima version de Kali Linux y mi objetivo principal es aprender a realizar actividades mas comunes y hechas por hackers o pentestings.

Gracias.

[bettercap]

Bueno en realidad menciono esta herramienta, pero me pasa con todas las herramientas en las cuales tengo que hacer un ataque de tipo ARP Spoof.

Veran mi objetivo es monitorear el trafico de una RED y saber cuales paginas estan visitando, es decir, monitorear una IP local y de forma remota ver las conexiones o las paginas a las que visita en su navegador, me decidi optar por la herramienta Bettercap 2 (la nueva version) ya que es sencilla y detalla mas facil lo que yo nesesito saber que son las paginas que visita la persona.

Entonces, basicamente coloco el comando bettercap en una terminal en Kali.

Despues seteo el target con

set arp.spoof.targets 192.168.1.138

Seguidamente activo el sniffer con

activo el sniff

net.sniffer on

por ultimo activo el arp spoof

arp.spoof on


el prolema esta en que cuando activa este tipo de ataque MITM el ordenador objetivo queda sin conexion a muchos sitios web, por ejemplo si intento entrar a Google carga normalmente, pero si intento entrar a Facebook o otros sitios tarda mucho tiempo en cargar  y termina saliendo el mensaje que no se ha podido cargar la pagina.

Quiero aclarar que no estoy habilitando la opcion de DNS Spoofing, es decir cambiar la DNS de las webs, solo estoy activando el ataque MITM Arp Spoof para capturar con el Sniffer el trafico que la persona genera en ese equipo.


Como dije arriba estoy usando Bettercap 2 (la nueva version) pero tambien he intentado con otros programas como Ettercap en el caso de Ettercap la opcion seria ARP Poisoning .

El prolema que me genera basicamente es que releantiza mucho la conexion del equipo a tal punto de dejarlo casi sin conexion, la persona no puede navegar bien, aveces las webs cargan durante algunos segundos y despues rapidamente se quedan sin conexion de nuevo, Google por ejemplo, me carga bien, pero cualquier otra pagina que intento ingresar (Facebook, Discord, este foro) dice que el sitio ha tardado demasiado en responder (Google chrome)

Cabe destacar que cuando paro el Ataque MITM la web carga normalmente de nuevo.. y como aclare arriba no estoy habilitando el Plugin de DNS Spoof, solamente capturo los paquetes ARP para capturar con el sniffer las webs que visita la persona.

Hola buenas tardes, basicamente estoy buscando una herramienta que me permita identificar dentro de una red la ip local del equipo y la web a la que esta visitando, ya sea http o https..

Estoy utilizando Wireshark, en filtro pongo http, efectivamente si ingreso a una web sin certificado SSL los datos los puedo ver y puedo detallar la ip de la maquina y la URL del sitio que esta visitando dentro de ese paquete.

Sin embargo si ingreso a una web con certificado SSL como facebook, Google entre otras, no puedo capturar o determinar cual son los paquetes que debo ver para poder saber que ese equipo visito ese sitio.

Por lo que tengo entendido, obiamente los sitios con SSL (https) traen encriptacion en la transmicion de los paquetes por ejemplo no podria ver datos como usuarios o contraseñas obiamente, cosa que en sitios http puedes ver en peticiones POST enviadas.

Basicamente solo nesesito saber que sitio esta visitando la persona nada mas, y de ser posible que me sirva tanto para HTTP como para HTTPS

Gracias

[/etc/ettercap/etter.conf]

Hola, estoy probando esto de dns spoof en Ettercap, vi varios tutoriales en youtube y hago lo siguiente..

Primero configuro el archivo /etc/ettercap/etter.conf

y coloco lo siguiente:

al principio de todo coloco esto:

Código [Seleccionar] Expandir

[privs]
ec_uid = 0                # nobody is the default
ec_gid = 0                # nobody is the default

Despues en las lineas que estan comentadas abajo las descomento

# if you use iptables:
   redir_command_on = "iptables -t nat -A PREROUTING -i %iface -p tcp --dport %port -j REDIRECT --to-port %rport"
   redir_command_off = "iptables -t nat -D PREROUTING -i %iface -p tcp --dport %port -j REDIRECT --to-port %rport"

Aplico cambios y guardo.

despues voy al archivo /etc/ettercap/etter.dns

Alli coloco el DNS spoof basicamente de la siguiente manera

Código [Seleccionar] Expandir

################################
# microsoft sucks ;)
# redirect it to www.linux.org
#



google.com      A 192.168.1.138
*.google.com    A   192.168.1.138
www.google.com  PTR 192.168.1.138


Aplico cambios y guardo

Inicio mi servidor Apache en mi maquina Kali Linux y verifico que pueda ingresar desde mi pc fisica (windows) efectivamente puedo ingresar sin prolemas

Inicio despues Ettercap via linea de comandos con lo siguiente

ettercap -T -q -i eth0 -M arp:remote -P dns_spoof //192.168.1.1// //192.168.1.138//

192.168.1.1 es la puerta de enlace de mi router 192.168.1.138 mi maquina fisica..

Me arroja esta salida:

Código [Seleccionar] Expandir

2 hosts added to the hosts list...

ARP poisoning victims:

GROUP 1 : 192.168.1.1 E4:18:6B:64:4B:8C

GROUP 2 : 192.168.1.138 02:94:A1:CB:43:8C
Starting Unified sniffing...


Text only Interface activated...
Hit 'h' for inline help

Activating dns_spoof plugin...


despues voy a la maquina fisica y coloco un ping google.com en la consola

efectivamente el ping va dirijido a lo que seria la ip 192.168.1.138

En la consola de Ettercap me salta esto cuando intento abrir google.com en cualquier navegador.

Código [Seleccionar] Expandir

dns_spoof: A [www.google.com] spoofed to [192.168.1.138]


En definitiva el Spoof esta funcionando correctamente

sin embargo cuando intento abrir el navegador y coloco google.com, no me carga, intente con internet explorer, google chrome y fiferox.

aveces me salta error de certificado y aveces queda cargando y me dice se ha restablecido la conexion

Cabe destacar que pruebo de nuevo ingresando la IP del apache al que es rederigido y el apache carga normalmente, es decir, esta funcionando.. en la consola salta como que el ping de google.com es esa ip del apache, pero en el navegador no carga, ningun navegador. no se cual es el prolema, si es un error de seguridad de los navegadores o si estoy haciendo algo mal.. gracias un saludo

que servidor web está corriendo el kali? está usando algun sistema como f2b o algo?

si haces un DoS esa es la consecuencia usualmente... mas aun si es de tu maquina a tu maquina... hay ataques lentos, pero son para casos puntuales, tienes que preparar un ambiente para eso

el servidor web por default de sistemas kali es apache, pero en fin, el objetivo mio no es tirar un servidor web si no denegarle la salida a internet al equipo, descubri que mandando paquetes de tipo UDP al puerto 80 le deniega el servicio a internet, sin embargo al hacer tanto flood de paquetes consume mucha banda ancha y la red en general se vuelve inestable, perjudicando no solo la ip atacada si no toda la red en general, por lo tanto yo tambien me quedo sin internet.

Por eso buscaba algun metodo que basicamente permita hacer un DoS a un equipo dentro de RED local, y que sirva tanto para Wifi como para Ethernet, a su vez que no cause tanta inestabilidad en la red, es decir que si yo ataco a otra ip yo siga teniendo internet o no sufra que se me ponga lento ni nada.

dependerá de la capacidad del servidor que tengas instalado y la configuración, estás seguro que los paquetes están llegando? a que servicio se lo intentas hacer?

ataco mediante el protocolo TCP al puerto 80 a la ip local de la otra PC, uso un modulo de metasploit que viene implementado, el internet sigue andando bien en ambas maquinas..

despues probe desde la pc fisica (windows) me descargue una herramienta bastante conocida llamada LOIC y intente hacer lo mismo atacar la ip de Kali en este caso, pero en el protocolo UDP, y efectivamente se cae la conexion de la otra maquina, pero con la unica desventaja que pone muy inestable a toda la red, es decir le hace un flood de paquetes UDP a la otra maquina pero tambien se cae el internet de la maquina atacante, supongo que es debido a que ocupa mucho ancho de banda y pone lento toda la red en general..

no sabran algun metodo para hacer Dos Local pero sin que ponga lento la red general, en lugar de mandar paquetes tal vez algun ataque de desauntentificacion quizas..

Por ejemplo he probado utilizar Aireplay y la direccion MAC de la computadora, para hacer un ataque de desauntentificacion, el prolema es que solo funciona para redes WIFI, para equipos que esten conectados bajo ETHERNET (cable) creo que la denegacion de servicio no se produce

[Running module against 192.168.1.7 SYN flooding 192.168.1.7:80...[/b]sin embargo el equipo sigue teniendo acceso a internet no veo que se produsca una denegacion de servicio.. ¿que podria estar pasando? tambien otra pregunta que tenia para hacerles es si el equipo esta conectado en Ethernet (cableada) o por red WIFI la denegacion de servicio se tendria que producir lo mismo? eso eran mis dudas basicamente espero me puedan ayudar]

mi objetivo es hacer una denegacion de servicio a internet dentro de un equipo local que esta conectado a mi misma red.

Estoy utilizando una maquina virtual de Kali que esta conectada bajo mi misma interfaz de red es decir el mismo puerta de enlace (192.168.1.1) despues inicio un modulo de Metasploit para hacer un Synflood el modulo es (auxiliary/dos/tcp/synflood)

seteo la ip LOCAL en este caso mi pc fisica que tiene la ip 192.168.1.7 (WIFI)

me arroja esta salida:

• Running module against 192.168.1.7
  
  
• SYN flooding 192.168.1.7:80...[/b]
  
  sin embargo el equipo sigue teniendo acceso a internet no veo que se produsca una denegacion de servicio.. ¿que podria estar pasando? tambien otra pregunta que tenia para hacerles es si el equipo esta conectado en Ethernet (cableada) o por red WIFI la denegacion de servicio se tendria que producir lo mismo? eso eran mis dudas basicamente espero me puedan ayudar
  

lo que te digo, si lograr abrir ese puerto remotamente, quiere decir que lograste entrar al sistema, adquirir permisos de administrador y hacer modificaciones en el firewall... es decir... el primer paso fue entrar, lo que haría a eternal blue innecesario...

en windows 7 al instalar acepta entrar al grupo hogar y compartir archivos que es lo que un usuario común haría... usualmente los sistemas son mayormente seguros de fabrica, las decisiones del usuario son las que debilitan al sistema (por ejemplo desactivar el uac como se hacia mucho en vista y w al principio)

no es que lo haya logrado, lo que quiero es saber como lograrlo! no puedo acceder al sistema si no consigo abrir ese puerto de alguna manera, ya sea mediante algun otro exploit o fallo del sistema.. lo que busco o pregunto es COMO LOGRARLO..

espero entiendas lo que trato de decir.. mi duda basicamente era si es posible hacer eso

[AGREGO: mi intencion es explotar mi propio sistema sin la nesesidad de que yo interactue o haga cambios en el, suponiendo que soy una persona que se instala windows 7.. y hay otro individuo dentro de mi misma red e intenta entrar en mi sistema (suponiendo) en tal caso que yo no abra el puerto 445 mi atacante no podra ingresar al sistema. entonces yo poniendome en el lugar del atacante nesesito saber como hacer uso de eternalblue cuando el puerto 445 esta cerrado.]

esa pregunta es del tipo "mis llaves se quedaron dentro del auto, como abro el auto para sacar mis llaves y entrar al auto", es decir, si ya entraste, ya estas adentro, no necesitas salir y volver a entrar

la forma en como normalmente los usuarios abren ese puerto es cuando se unen al "grupo hogar", aunque tal vez haya otras vulnerabilidades, no sean tan "poderosas" como eternal blue, pero si puedes abrir ese puerto, ya no es necesario el uso de eternal blue, ya que pudiste hacer cambios a nivel de administrador en el sistema (cosa que eternal blue como tal no puede, tienes que sumarle un ataque de aumento de privilegios)

Hola disculpa pero no entendi tu respuesta, el exploit de Eternalblue solamente me funciona cuando agrego una regla de entrada en el firewall de windows y agrego el puerto 445.

Es decir, si intento explotar el sistema con la ausencia de esa regla no puedo entrar en el sistema. por eso mi pregunta era el como poder usar este exploit de eternalblue cuando el puerto local del firewall de windows se encuentra cerrado.

Mi idea era de abrir este puerto remotamente sin la nesesidad de que le tenga que decir al usuario que lo abra. ¿me entiendes?

de lo contrario el exploit no funciona


AGREGO: mi intencion es explotar mi propio sistema sin la nesesidad de que yo interactue o haga cambios en el, suponiendo que soy una persona que se instala windows 7.. y hay otro individuo dentro de mi misma red e intenta entrar en mi sistema (suponiendo) en tal caso que yo no abra el puerto 445 mi atacante no podra ingresar al sistema. entonces yo poniendome en el lugar del atacante nesesito saber como hacer uso de eternalblue cuando el puerto 445 esta cerrado.

Hola antes que nada quiero aclarar que la informacion que ando buscando es con fines eticos y de pentesting en mis propios sistemas, bueno la verdad es que tengo vairas maquinas virtuales Windows 7 de 64 bits y algunas de 32 bits...

he notado que todas las maquinas apenas las instalas desde sus inicios si no aplicas los parches de seguridad de Windows Update, todas son  vulnerables al exploit SMB de metasploit.

El prolema esta en que cuando instalas por default windows 7 cualquier version, el puerto local 445 (SMB) viene cerrado, y es nesesario que la persona vaya al firewall de windows y cree una regla abriendo el puerto 445.

Cuando instalo windows 7 ,  tengo el Windows Defender activado y no agrego ninguna regla de entrada.. entonces cuando intento explotar el sistema desde metasploit simplemente no logra inyectar el exploit en el sistema..

Esto es algo que todos los sistemas operativos windows 7 traen por default, es decir que los puertos 445 vienen siempre cerrados, por lo tanto si la persona no ha abierto tal puerto el exploit en la mayoria de los casos pareciese ser inutil.

despues intente agregar la regla y efectivamente el exploit funciona perfectamente, incluso teniendo el Windows defender activado logra penetrar el sistema, pero con la unica exepcion que tengo que abrir el puerto manualmente dentro del firewall de windows.

Entonces mi duda basicamente es ¿Una persona puede abrir el puerto 445 Remotamente sin nesesidad de que el usuario interactue con el Firewall de Windows, para posteriormente iniciar la explotacion?

¿Es posible esto? si es asi, ¿que metodos utilizarian?


Aclaro que la pregunta va orientada a fines de pentesting y no con malas intenciones..

Bueno eso era todo, un saludo.