Cum să interceptați cookie-urile. O modalitate ușoară de a fura o prăjitură

Mulți utilizatori nici nu realizează că completând login-ul și parola la înregistrarea sau autorizarea pe o resursă de Internet închisă și apăsând ENTER, aceste date pot fi ușor interceptate. Foarte des sunt transmise prin rețea într-o formă neprotejată. Prin urmare, dacă site-ul pe care încercați să vă conectați folosește protocolul HTTP, atunci este foarte ușor să captați acest trafic, să îl analizați folosind Wireshark și apoi să folosiți filtre și programe speciale pentru a găsi și decripta parola.

Cel mai bun loc pentru a intercepta parolele este în nucleul rețelei, unde traficul tuturor utilizatorilor merge către resurse închise (de exemplu, mail) sau în fața routerului pentru a accesa Internetul, la înregistrarea cu resurse externe. Am instalat o oglindă și suntem gata să ne simțim ca un hacker.

Pasul 1. Instalați și rulați Wireshark pentru a capta traficul

Uneori este suficient să selectăm doar interfața prin care intenționăm să captăm trafic și să facem clic pe butonul Start. În cazul nostru, facem o captură prin rețeaua wireless.

Captarea traficului a început.

Pasul 2. Filtrarea traficului POST capturat

Deschidem un browser și încercăm să ne autentificăm la orice resursă folosind un nume de utilizator și o parolă. După finalizarea procesului de autorizare și deschiderea site-ului, încetăm să captăm trafic în Wireshark. Apoi, deschideți analizorul de protocol și vedeți un număr mare de pachete. În această etapă, majoritatea profesioniștilor IT renunță pentru că nu știu ce să facă în continuare. Dar știm și suntem interesați de pachete specifice care conțin date POST care sunt generate pe mașina noastră locală la completarea unui formular pe ecran și sunt trimise la un server la distanță atunci când faceți clic pe butonul „Autentificare” sau „Autorizare” din browser.

Introduceți un filtru special în fereastră pentru a afișa pachetele capturate: http.cerere.metoda == “POST "

Și în loc de o mie de pachete, vedem doar unul cu datele pe care le căutăm.

Pasul 3. Găsiți numele de utilizator și parola

Un clic dreapta rapid al mouse-ului și selectați elementul din meniu Urmărește TCP Steam

După aceea, textul va apărea într-o nouă fereastră, care în cod restabilește conținutul paginii. Să găsim câmpurile „parolă” și „utilizator”, care corespund parolei și numelui de utilizator. În unele cazuri, ambele câmpuri vor fi ușor de citit și nici măcar criptate, dar dacă încercăm să captăm trafic atunci când accesăm resurse foarte cunoscute precum Mail.ru, Facebook, Vkontakte etc., atunci parola va fi codificată. :

HTTP / 1.1 302 Găsit

Server: Apache / 2.2.15 (CentOS)

X-Powered-By: PHP / 5.3.3

P3P: CP = "NOI ADM DEV PSAi COM NAV OUR OTRO STP IND DEM"

Set-Cookie: parola = ; expiră = Joi, 07-Nov-2024 23:52:21 GMT; cale = /

Locație: loggedin.php

Lungimea conținutului: 0

Conexiune: aproape

Content-Type: text / html; set de caractere = UTF-8

Astfel, in cazul nostru:

Nume de utilizator: networkguru

Parola:

Pasul 4. Determinarea tipului de codificare pentru decriptarea parolei

Mergem, de exemplu, pe site-ul http://www.onlinehashcrack.com/hash-identification.php#res și introducem parola noastră în fereastra de identificare. Mi s-a dat o listă de protocoale de codare în ordinea priorității:

Pasul 5. Decriptarea parolei utilizatorului

În această etapă, putem folosi utilitarul hashcat:

~ # hashcat -m 0 -a 0 /root/wireshark-hash.lf /root/rockyou.txt

La ieșire, am primit o parolă decriptată: simplepassword

Astfel, folosind Wireshark, nu putem doar să rezolvăm problemele de funcționare a aplicațiilor și serviciilor, ci și să ne încercăm ca un hacker, interceptând parolele pe care utilizatorii le introduc în formularele web. De asemenea, puteți afla parolele pentru căsuțele poștale ale utilizatorilor folosind filtre simple pentru afișare:

• Protocolul POP și filtrul arată astfel: pop.request.command == „USER” || pop.request.command == „PASS”
• IMAP și filtrul vor fi: imap.request conține „login”
• protocol SMTP și va trebui să introduceți următorul filtru: smtp.req.command == „AUTH”

și utilități mai serioase pentru decriptarea protocolului de codare.

Pasul 6. Ce se întâmplă dacă traficul este criptat și folosește HTTPS?

Există mai multe opțiuni pentru a răspunde la această întrebare.

Opțiunea 1. Conectare pentru a deconecta conexiunea dintre utilizator și server și pentru a capta traficul în momentul în care se stabilește conexiunea (SSL Handshake). În momentul stabilirii unei conexiuni, puteți intercepta cheia de sesiune.

Opțiunea 2. Puteți decripta traficul HTTPS utilizând fișierul jurnal cu cheia de sesiune înregistrat de Firefox sau Chrome. Pentru a face acest lucru, browserul trebuie să fie configurat să scrie aceste chei de criptare într-un fișier jurnal (exemplu bazat pe FireFox) și ar trebui să obțineți acest fișier jurnal. În esență, trebuie să furați fișierul cheie de sesiune de pe hard diskul altui utilizator (ceea ce este ilegal). Ei bine, atunci captează traficul și folosește cheia rezultată pentru a-l decripta.

Clarificare. Vorbim despre browserul web al unei persoane care încearcă să fure o parolă. Dacă ne referim la decriptarea propriului trafic HTTPS și dorim să exersăm, atunci această strategie va funcționa. Dacă încercați să decriptați traficul HTTPS al altor utilizatori fără a accesa computerele lor, nu va funcționa - aceasta este atât criptare, cât și confidențialitate.

După ce primiți cheile pentru opțiunea 1 sau 2, trebuie să le înregistrați în WireShark:

1. Accesați meniul Editare - Preferințe - Protocoale - SSL.
2. Setați marcajul „Reasamblați înregistrările SSL care acoperă mai multe segmente TCP”.
3. „Lista de chei RSA” și faceți clic pe Editare.
4. Introducem date în toate câmpurile și scriem calea în fișier cu cheia

Ați observat că revenind pe un site pe care l-ați vizitat deja, site-ul vă recunoaște și se deschide cu setările pe care le-ați folosit ultima dată? Da, și destul de des? Acest lucru se datorează cookie-urilor, care stochează informații despre vizitatori precum login, parola, ID-ul sesiunii și alte variabile necesare identificării vizitatorului și afișarii conținutului paginii în funcție de preferințele utilizatorului, selectate de acesta în timpul ultimei vizite la resursă. Programul WebCookiesSniffer va arăta utilizatorului cookie-urile și conținutul acestora al site-urilor care sunt vizualizate de utilizator în browser.

Vizualizarea modulelor cookie

Deschideți un site web și WebCookiesSniffer captează cookie-uri în timp real. Utilitarul adaugă toate modulele cookie capturate într-un tabel care stochează date despre gazdă, calea solicitării, lungimea totală a cookie-ului, numărul de variabile din cookie și cookie-ul însuși cu numele variabilelor și ale valorilor. Informațiile colectate despre cookie-uri WebCookiesSniffer le pot salva într-un fișier text. Programul are, de asemenea, capacitatea de a genera un raport HTML pentru toate cookie-urile sau pentru cele selectate. Pentru ca programul să funcționeze, trebuie să instalați driverul WinPcap (inclus în arhiva cu WebCookiesSniffer). Pentru a face ca programul WebCookiesSniffer să fie limba rusă, copiați fișierul WebCookiesSniffer_lng.ini (inclus și în arhivă) în directorul utilitarului.

Capturi de ecran ale WebCookiesSniffer

Cookie-uri - informatii sub forma unui fisier text stocat pe computerul utilizatorului de catre site. Conține date de autentificare (login/parolă, ID, număr de telefon, adresa căsuței poștale), setări utilizator, starea accesului. Stocat în profilul browserului.

Hacking cookie-uri Este furtul (sau „deturparea”) a unei sesiuni de vizitator a unei resurse web. Informațiile închise devin disponibile nu numai pentru expeditor și destinatar, ci și pentru o terță parte - persoana care a interceptat.

Instrumente și tehnici pentru spargerea cookie-urilor

Pe lângă abilități, dexteritate și cunoștințe, hoții de computere, ca și omologii lor din viața reală, au, desigur, propriile lor instrumente - un fel de arsenal de chei principale și sonde. Să aruncăm o privire la unele dintre cele mai populare trucuri de hacker pe care le folosesc pentru a extrage cookie-uri de la publicul larg de pe Internet.

Mirositoare

Programe speciale pentru monitorizarea si analiza traficului in retea. Numele lor vine de la verbul englezesc „sniff” literalmente „snif out” pachetele transmise între noduri.

Dar atacatorii folosesc un sniffer pentru a intercepta datele de sesiune, mesajele și alte informații confidențiale. Obiectele atacurilor lor sunt în principal rețele nesecurizate, unde cookie-urile sunt trimise într-o sesiune HTTP deschisă, adică practic nu sunt criptate. (Wi-Fi-ul public este cel mai vulnerabil în acest sens.)

Următoarele metode sunt utilizate pentru a injecta un sniffer în canalul de Internet între site-ul utilizatorului și serverul web:

• „Ascultarea” interfețelor de rețea (hub-uri, comutatoare);
• ramificarea și copierea traficului;
• conexiune la golul din canalul de rețea;
• analiză prin intermediul unor atacuri speciale care redirecționează traficul victimei către un sniffer (MAC-spoofing, IP-spoofing).

XSS înseamnă Cross Site Scripting. Este folosit pentru a ataca site-uri web pentru a fura datele utilizatorilor.

Cum funcționează XSS este următorul:

• un atacator injectează cod rău intenționat (un script special deghizat) pe un site web, forum sau mesaj (de exemplu, atunci când conversezi pe o rețea socială);
• victima vizitează pagina infectată și activează codul instalat pe computerul său (clic, urmărește un link etc.);
• la rândul său, codul rău intenționat declanșat „extrage” datele confidențiale ale utilizatorului din browser (în special cookie-uri) și le trimite către serverul web al atacatorului.

Pentru a „implanta” motorul software XSS, hackerii exploatează tot felul de vulnerabilități din serverele web, serviciile online și browserele.

Toate vulnerabilitățile XSS sunt împărțite în două tipuri:

• Pasiv. Atacul se obține prin solicitarea unui script specific pe o pagină web. Codul rău intenționat poate fi introdus în diferite forme pe o pagină web (de exemplu, într-o bară de căutare a site-ului). Cele mai susceptibile la XSS pasiv sunt resursele care nu au filtrare a etichetelor HTML atunci când sosesc datele;
• Activ. Situat direct pe server. Și sunt declanșate în browserul victimei. Ele sunt utilizate în mod activ de escroci în tot felul de bloguri, chat-uri și fluxuri de știri.

Hackerii își camuflează cu atenție scripturile XSS, astfel încât victima să nu suspecteze nimic. Schimbă extensia fișierului, dau codul ca imagine, motivează să urmărească linkul, atrag cu conținut interesant. Ca urmare: un utilizator de PC care nu și-a stăpânit propria curiozitate, cu propria sa mână (clic al mouse-ului) trimite cookie-uri de sesiune (cu autentificare și parolă!) Autorului scriptului XSS - un răufăcător al computerului.

Înlocuirea cookie-urilor

Toate cookie-urile sunt salvate și trimise către serverul web (de la care „au venit”) fără nicio modificare – în forma lor originală – cu aceleași valori, șiruri și alte date. Modificarea deliberată a parametrilor acestora se numește cookie-uri de falsificare. Cu alte cuvinte, atunci când un cookie este înlocuit, atacatorul este o iluzie. De exemplu, atunci când se efectuează o plată într-un magazin online, suma plății din cookie se modifică în jos - astfel există o „economie” la achiziții.

Cookie-urile furate pentru o sesiune pe o rețea socială din contul altcuiva sunt „inserate” într-o altă sesiune și pe alt PC. Proprietarul cookie-urilor furate are acces deplin la contul victimei (corespondență, conținut, setări paginii) atâta timp cât aceasta se află pe pagina ei.

Cookie-urile sunt „editate” folosind:

• funcțiile „Gestionați cookie-urile...” în browser-ul Opera;
• Add-uri Manager de cookie-uri și Manager avansat de cookie-uri pentru FireFox;
• Utilitare IECookiesView (doar Internet Explorer);
• un editor de text, cum ar fi AkelPad, NotePad sau Windows Notepad.

Acces fizic la date

O schemă de implementare foarte simplă, constă din mai mulți pași. Dar este eficient numai dacă computerul victimei cu o sesiune deschisă, de exemplu Vkontakte, este lăsat nesupravegheat (și suficient de mult timp!):

1. O funcție javascript este introdusă în bara de adrese a browserului, afișând toate modulele cookie salvate.
2. După apăsarea „ENTER”, toate apar pe pagină.
3. Cookie-urile sunt copiate, salvate într-un fișier și apoi transferate pe o unitate flash USB.
4. Pe alt PC, cookie-urile sunt înlocuite într-o nouă sesiune.
5. Accesul la contul victimei este deschis.

De regulă, hackerii folosesc instrumentele de mai sus (+ altele) atât în ​​combinație (deoarece nivelul de protecție pe multe resurse web este destul de ridicat), cât și separat (când utilizatorii sunt excesiv de naivi).

XSS + sniffer

1. Se creează un script XSS, care specifică adresa sniffer-ului online (de fabricație proprie sau a unui serviciu anume).
2. Codul rău intenționat este salvat cu extensia .img (format imagine).
3. Apoi, acest fișier este încărcat pe pagina site-ului, pe chat sau într-un mesaj privat - unde va fi efectuat atacul.
4. Atenția utilizatorului este atrasă de „capcana” creată (aici intră în vigoare ingineria socială).
5. Dacă capcana este declanșată, snifferul interceptează cookie-urile din browserul victimei.
6. Biscuitul deschide jurnalele de adulmecare și preia fursecurile furate.
7. Apoi, efectuează o înlocuire pentru a obține drepturile proprietarului contului folosind instrumentele de mai sus.

Protejarea cookie-urilor de hacking

1. Utilizați o conexiune criptată (folosind protocoale și metode de securitate adecvate).
2. Nu răspunde la link-uri îndoielnice, imagini, oferte tentante pentru a te familiariza cu „noul software gratuit”. Mai ales de la străini.
3. Utilizați numai resurse web de încredere.
4. Încheiați o sesiune autorizată apăsând butonul „Ieșire” (și nu doar închideți fila!). Mai ales dacă contul a fost conectat nu de pe un computer personal, ci, de exemplu, de pe un computer dintr-un Internet cafe.
5. Nu utilizați funcția „Salvare parolă” a browserului. Acreditările stocate cresc în mod dramatic riscul de furt. Nu fi leneș, nu acorda câteva minute de timp pentru a introduce parola și a te autentifica la începutul fiecărei sesiuni.
6. După ce navigați pe web - vizitați rețelele sociale, forumurile, chat-urile, site-urile - ștergeți cookie-urile salvate și ștergeți memoria cache a browserului.
7. Actualizați în mod regulat browserele și software-ul antivirus.
8. Utilizați extensii de browser care protejează împotriva atacurilor XSS (de exemplu, NoScript pentru FF și Google Chrome).
9. Periodic în conturi.

Și cel mai important - nu vă pierdeți vigilența și atenția în timp ce vă odihniți sau navigați pe internet!

Bună ziua, aș dori să dedic acest articol scurt, mai degrabă o scurtă descriere, celui mai simplu mod de a intercepta cookie-urile într-o rețea wi-fi. Ce sunt cookie-urile și de ce sunt necesare, nu vă voi spune aici dacă o persoană are ideea de a intercepta „produse de panificație”; pe o rețea fără fir, cred că ar trebui să știe ce este și de ce are nevoie. Pot spune un singur lucru, cu ajutorul acestor fișiere puteți obține acces la conturile altor persoane de pe diverse site-uri care necesită ca utilizatorii să treacă prin procesul de autentificare (de exemplu, mail.ru, vkontakte.ru etc.).

Deci sa începem. În primul rând, trebuie să găsim rețeaua wireless în sine, cu o poartă deschisă pentru a accesa Internetul și este de dorit ca această rețea să aibă o mulțime de clienți. De exemplu, orice rețea din mall-uri mari, aeroporturi, diverse cafenele este potrivită, în astfel de locuri oamenii folosesc de obicei acces wi-fi la Internet, pentru a citi corespondența, a verifica conturile pe diverse site-uri de întâlniri, a viziona jurnalul live și tot felul de forumuri . Asta e tot, exact ce ne trebuie. După ce am decis asupra alegerii locației rețelei, după ce am studiat orele specifice ale numărului maxim de clienți, vom trece direct la ostilități. Pentru asta avem nevoie de un laptop cu adaptor wi-fi si un anumit set de programe. În cazul meu, am folosit un laptop Acer Aspire 3610, un card wi-fi client D-Link DWL G650 și BackTrack3 instalat.

Vă sfătuiesc să utilizați acest sistem de operare, deoarece include deja întregul set de programe de care ați putea avea nevoie, iar cel mai important avantaj este că nu trebuie să instalați Backtrack pe hard disk, puteți porni acest sistem de operare direct de pe un cd -disc sau unitate flash.

Acum să trecem la software-ul necesar. Am folosit kismet pentru a detecta rețele și WifiZoo pentru a intercepta cookie-urile. Mă voi opri asupra celui de-al doilea program în detaliu. WifiZoo este un scanner pasiv ethernet și colectează destul de multe informații utile precum: pop3, trafic smtp, cookie http / authinfo, msn, acreditări ftp, trafic de rețea telnet, nbt etc. Singurul dezavantaj al acestui program este lipsa modului Channel Hopping, WifiZoo doar ascultă interfața wireless și nu poate, ca să spunem așa, să sară de la canal la canal. Dar acest dezavantaj este compensat de un alt program, Kismet, care acceptă acest mod. Pentru a rula WifiZoo aveți nevoie de:

• piton
• scapy
• Kismet

Așa că lansăm programul, mai întâi lansăm Kismet, pentru a susține modul de salt al canalului, apoi lansăm direct WifiZoo, ar trebui să vedeți o fereastră ca aceasta:

Acum nu mai rămâne decât să stai și să aștepți să interceptezi ceva, tot ce interceptează programul poate fi găsit în jurnalele, care se află în directorul cu programul / logs /. De asemenea, puteți lansa interfața GUI, care se ridică automat la http la 127.0.0.1:8000

Nu voi scrie despre toate caracteristicile acestui program minunat, cred că voi înșivă vă veți da seama de restul posibilităților și, din moment ce momentan ne interesează doar cookie-uri. Faceți clic pe linkul etichetat cookie-uri și vedeți ce am interceptat:

Imaginea arată că cookie-ul conține linia wordpress_logged_in_= admin. Această valoare este necriptată în cookie și poate fi interceptată cu ușurință folosind utilitarul Ahile, dar, de regulă, în cele mai multe cazuri, doar hash-ul unei anumite intrări poate fi văzut în Ahile. Înainte de a trimite o solicitare către server, puteți încerca să înlocuiți acest șir cu unul similar (deși în acest caz nu are sens) - numărul de încercări nu este limitat. Apoi, prin trimiterea acestei cereri către server folosind butonul Trimite, puteți primi un răspuns de la server destinat administratorului.

În exemplul anterior, puteți înlocui direct ID-ul utilizatorului. În plus, numele parametrului, a cărui înlocuire a valorii oferă oportunități suplimentare hackerului, poate fi următorul: utilizator (de exemplu, USER = JDOE), orice expresie cu șirul ID (de exemplu, USER = JDOE sau SESSIONID = BLAHBLAH), admin (de exemplu, ADMIN = TRUE), sesiune (de exemplu, SESSION = ACTIV), coș (de exemplu, CART = FULL) și expresii precum TRUE, FALSE, ACTIVE, INACTIVE. De obicei, formatul cookie-urilor depinde foarte mult de aplicația pentru care sunt utilizate. Cu toate acestea, aceste sfaturi pentru găsirea defectelor aplicațiilor folosind module cookie funcționează pentru aproape toate formatele.

Contramăsuri la nivelul clientului pentru cookie-uri

În general, utilizatorul ar trebui să fie atent la site-urile Web care utilizează cookie-uri pentru a autentifica și stoca date sensibile. De asemenea, trebuie reținut faptul că un site Web care utilizează cookie-uri pentru autentificare trebuie să suporte cel puțin SSL pentru a cripta numele de utilizator și parola, deoarece în lipsa acestui protocol, datele sunt transmise necriptate, ceea ce permite interceptarea acestora folosind cel mai simplu software. . pentru a vizualiza datele trimise prin rețea.

Kookaburra Software a dezvoltat un instrument pentru a facilita utilizarea cookie-urilor. Instrumentul se numește CookiePal ( http://www.kburra.com/cpal.html (vezi www.kburra.com)). Acest program este conceput pentru a alerta utilizatorul atunci când un site Web încearcă să instaleze un cookie pe o mașină, iar utilizatorul poate permite sau refuza această acțiune. Funcții similare pentru blocarea cookie-urilor sunt disponibile în prezent în toate browserele.

Un alt motiv pentru instalarea regulată a actualizărilor browserului web este defectele de securitate dezvăluite în mod constant în aceste programe. De exemplu, Bennet Haselton și Jamie McCarthy au creat un script care, după ce fă clic pe un link, preia cookie-uri de pe un computer client. Ca urmare, întregul conținut al cookie-urilor care se află pe computerul utilizatorului devine disponibil.

Acest tip de hacking se poate face și folosind mânerul

Pentru a preveni ca astfel de lucruri să ne amenințe datele personale, fac acest lucru singur și sfătuiesc pe toată lumea să actualizeze întotdeauna software-ul care funcționează cu cod HTML (clienți de e-mail, playere media, browsere etc.).

Mulți oameni preferă să blocheze pur și simplu primirea cookie-urilor, cu toate acestea, majoritatea site-urilor Web necesită cookie-uri pentru a fi vizualizate. Concluzie - dacă în viitorul apropiat există o tehnologie inovatoare care face posibilă renunțarea la cookie-uri, programatorii și administratorii vor răsufla ușurați, iar în timp ce cookie-ul rămâne o bucată delicioasă pentru un hacker! Acest lucru este adevărat, deoarece nu există încă o alternativă mai bună.

Contramăsuri pe partea serverului

În cazul recomandărilor pentru securitatea serverului, experții dau un sfat simplu: nu utilizați mecanismul cookie în mod inutil! Este necesar mai ales să fiți atenți atunci când utilizați cookie-uri care rămân în sistemul utilizatorului după încheierea sesiunii de comunicare.

Desigur, este important să înțelegem că cookie-urile pot fi folosite pentru a securiza serverele Web pentru a autentifica utilizatorii. Dacă, totuși, aplicația în curs de dezvoltare trebuie să utilizeze cookie-uri, atunci acest mecanism ar trebui configurat astfel încât să fie utilizate diferite chei cu o perioadă scurtă de valabilitate pentru fiecare sesiune și, de asemenea, să încercați să nu puneți în aceste fișiere informații care pot fi folosit de hackeri pentru hacking (cum ar fi ADMIN = TRUE).

În plus, pentru a vă face cookie-urile mai sigure, puteți utiliza criptarea pentru a preveni extragerea de informații sensibile. Desigur, criptarea nu rezolvă toate problemele de securitate atunci când lucrați cu tehnologia cookie, dar această metodă va preveni cele mai simple hack-uri descrise mai sus.