Red sin servidor DNS ¿a qué IP mandan las requests?

[Kaxperday]

Buenas, estoy montando un servidor DNS para bypassear el HSTS y necesito mandar las DNS request a la IP del servidor DNS de la red, pero CREO que hay redes que no tienen servidores DNS dedicados, entonces me he preguntado que a donde mandan las requests, ¿a la IP del router y el la resuelve, o simplemente estoy equivocado y todas las redes tienen servidores DNS con su IP sin excepciones?.

En definitiva, lo que quiero saber es si "GetNetworkParams" de windows, me dará el valor siempre del servidor DNS tenga o no tenga el servidor DNS dedicado, y también estaría bien saber que pasa cuando hay 2 servidores DNS, cual elegir si es indiferente o no.

Bah que seguramente con la función sobre, supongo que el tema habrá llegado fruto de delirios de la noche XD.

Un saludo y gracias.

[engel lex]

siempre debe haber dns asignado, en tal caso normalmente se asigna a la compuerta de enlace como el dns y que el resuelva, si no hay dns, el equipo manda broadcast tratando de buscarlo, si no mal recuerdo así lo desarrolla el protocolo standard

[warcry.]

si no te he entedido mal, lo que pretendes es hacer un dns spoofing y decirle al navegador que https://goole.es que en vez de ser la 216.58.208.131 va a ser una ip de tu red local, o una ip publica de un dominio tuyo.

hasta ahi bien,


y como solucionas que los navegadores tienen una lista interna de sitios web prefijados que solo trabajan con HTTPS, todos los principales navegadores actuales trabajan con HSTS, Chrome, IE11, Firefox, Microsoft Edge, etc.

[Kaxperday]

si no te he entedido mal, lo que pretendes es hacer un dns spoofing y decirle al navegador que https://goole.es que en vez de ser la 216.58.208.131 va a ser una ip de tu red local, o una ip publica de un dominio tuyo.

hasta ahi bien,


y como solucionas que los navegadores tienen una lista interna de sitios web prefijados que solo trabajan con HTTPS, todos los principales navegadores actuales trabajan con HSTS, Chrome, IE11, Firefox, Microsoft Edge, etc.

No, no es así como funciona el bypass a HSTS. Como dices los navegadores tienen para ciertos dominios forzada la carga con HTTPS, de hecho busqué esa lista de dominios que usan HSTS que podéis encontrarla aquí: https://cs.chromium.org/chromium/src/net/http/transport_security_state_static.json además de otros enlaces.

Para bypassear la carga de estos dominios en HTTPS es fácil, basta con utilizar el protocolo DNS cuando se resuelve el dominio de esa web que usa HTTPS, y devolvemos un DNS response con un nombre de alias o canonico (CNAME), así pues cuando pregunte por DNS cual es la IP de google.com, le devolveremos la IP de google pero modificaremos esa DNS response metiendola CNAME diciendo que no es google.com sino gooogle.com, ese nuevo dominio será el que aparezca al usuario cuando trate de cargar google.com, y al no estar este dominio en la lista HSTS queda bypasseado eso si la página será igual que google, la única desventaja será que el usuario en la barra de tareas no verá google.com sino wwww.google.com, solo hay que echarle imaginación y poner el dominio que menos llame la atención, también hayque tener en cuenta que solo será para los HSTS los demás será el dominio original el que se utilice. Este es el método que tengo pensado utilizar aunque desconozco si ha sido mejorado.

Respecto a lo de engelx es lo que imaginaba, supongo que al llamar a "GetNetworkParams" si no tiene servidor dns fijado a una IP, supongo que tendrá la del router por defecto o algo así, siempre debe de tener uno asignado, así que utilizare esa función para lanzar mensajes DNS al servidor y resolver los dominios, luego solo será modificarlos con el CNAME y añadirlo a la lista de dominios en URLMonitor.

Saludos y gracias.

[warcry.]

¿lo que tu quieres hacer es esto sin hacer el MITM?

https://www.bettercap.org/blog/sslstripping-and-hsts-bypass/

[Kaxperday]

¿lo que tu quieres hacer es esto sin hacer el MITM?

https://www.bettercap.org/blog/sslstripping-and-hsts-bypass/

Ahí viene bien explicado, no puedo hacer eso sin hacer el MITM, por supuesto hay que hacer previamente el MITM, sino como puedo redirigir el tráfico de los demás equipos al mío para así poderles modificar el tráfico a mi antojo.

MITM + SSLStrip + DNSProxy = Acceso a todo el tráfico de la red, a no ser que fuercen https pero siempre puedes no fordwardear dicha conexión si quieres.

Saludos.

[warcry.]

valep, pues ahi tienes la solucion, usa betteracp 

[Kaxperday]

valep, pues ahi tienes la solucion, usa betteracp 

Wow, no he preguntado sobre como bypassear HSTS, de hecho te lo he explicado como hacerlo XD, mi duda se trata no sobre como usar un programa para alcanzar un fin sino más bien como llegar al programa.

PD hay decenas de programas como bettercap, pero son para linux, yo lo estoy programando para windows XD algo como el intercepter, pero que funcione XD.

Saludos.

[warcry.]

Wow, no he preguntado sobre como bypassear HSTS, de hecho te lo he explicado como hacerlo XD, mi duda se trata no sobre como usar un programa para alcanzar un fin sino más bien como llegar al programa.

PD hay decenas de programas como bettercap, pero son para linux, yo lo estoy programando para windows XD algo como el intercepter, pero que funcione XD.

Saludos.

ok, no entendi bien tu primer post, de hecho sigo sin verlo claro 

Lo que quieres es currarte un programita que baypassee el HSTS. Si quieres cuando lo tengas listo, mandamelo que le eche un ojo 

Bien por culturilla, ayer me quede un poco mosca, por lo que comentabas de que era tan facil bypassear el HSTS con el CNAME.

bueno pues estuve haciendo una pruebecillas con bettercap y con Google Chrome, no me sacaba ni lo del facebook.

pense que era tema del navegador y hice doble click en edge, ese gran desconocido 
y ahi por lo menos lo del facebook me salio, mal, lento y con muchos intentos pero me salió.

a lo que voy con este rollo, es que me di cuenta de que borrando el historial de chrome tambien sale lo del facebook, mal, lento y con muchas repeticiones, (menos mal que estoy en una red cableada), y me pongo a leer los log de bettercap, y leo, "esperando a que caduque la cookie", vamos que como el navegador tenga una cookie, no te hace el bypass.

otra cosa, google tambien utiliza HSTS, pero no hay manera de que se suplante la pagina, ¿y esto por que se produce?

supongo, o que los navegadores tienen predefinidas unas "cookies" para ciertas url que no permiten el CNAME, o que directamente las ip a las que atacan no incluyen subdominios y no se puede bypassear.

lo dicho esto ultimo son suposiciones.

[Kaxperday]

ok, no entendi bien tu primer post, de hecho sigo sin verlo claro  

Lo que quieres es currarte un programita que baypassee el HSTS. Si quieres cuando lo tengas listo, mandamelo que le eche un ojo  

Bien por culturilla, ayer me quede un poco mosca, por lo que comentabas de que era tan facil bypassear el HSTS con el CNAME.

bueno pues estuve haciendo una pruebecillas con bettercap y con Google Chrome, no me sacaba ni lo del facebook.

pense que era tema del navegador y hice doble click en edge, ese gran desconocido  
y ahi por lo menos lo del facebook me salio, mal, lento y con muchos intentos pero me salió.

a lo que voy con este rollo, es que me di cuenta de que borrando el historial de chrome tambien sale lo del facebook, mal, lento y con muchas repeticiones, (menos mal que estoy en una red cableada), y me pongo a leer los log de bettercap, y leo, "esperando a que caduque la cookie", vamos que como el navegador tenga una cookie, no te hace el bypass.

otra cosa, google tambien utiliza HSTS, pero no hay manera de que se suplante la pagina, ¿y esto por que se produce?

supongo, o que los navegadores tienen predefinidas unas "cookies" para ciertas url que no permiten el CNAME, o que directamente las ip a las que atacan no incluyen subdominios y no se puede bypassear.

lo dicho esto ultimo son suposiciones.

Muy interesante yo nunca he probado el ataque, por curiosidad ¿que te aparecia en la url de facebook?, ¿algo del estilo wwww.facebook.com?.

Respecto a lo que comentas de google puede ser que cargue en HTTPS siempre porque incluye también a sus subdominios en la lista de HSTS, así pues si el CNAME dice que google.com está en wwww.google.com por ejemplo, entonces automáticamente ve que es un subdominio de google y por consecuente se conecta con el por HTTPS, si en cambio pasaría a ser gooogle.com no creo que pudiera cargar en HTTPS.

La verdad que si que va lento aunque depende de páginas, si no son muy pesadas tardan prácticamente lo mismo, donde ya se nota algo más de diferencia es con windows ya que el fordward tienes que hacerlo tu manualmente mandando paquetes en modo promiscuo y recibiendolos, en vez de que lo haga el SO con iptables, pueden perderse algunos paquetes en el proceso de fordward... pero siempre mejorable.

Saludos.