Estoy intentando interceptar el tráfico de la capa de aplicación utilizando ataques de nivel de red. En particular, me he topado con este interesante artículo aquí.
Brevemente, usa el envenenamiento ARP para hacer el control de la máquina del atacante y usa iptables para reenviar el tráfico http y SSL para hacer eructos en la máquina del atacante.
Mi configuración:
- OnePlus X con punto de acceso como enrutador
- Windows 10 32 bit PC como víctima (varios navegadores ejecutándose)
- Kali Linux 2018 para PC de 64 bits como atacante (Wireshark, burp suite y Ejecución de la parodia ARP)
Todo funciona bien, el envenenamiento ARP hace su trabajo y puedo ver los paquetes en Wireshark. Todas las solicitudes de DNS realizadas y todos los datos HTTP sin cifrar son visibles en Wireshark. Además, eructar está bien configurado e intercepta el tráfico, incluso el tráfico HTTPS. Por ejemplo, probé enlace y pude verlo en burp.
Luego probé bing.com y también pude verlo en eructo. Pero cuando intenté conectarme a Facebook o Google desde la máquina víctima, no veo ningún tráfico en eructos. No hay una sola señal de tráfico a Facebook o Google en burp. Ni siquiera mensajes de error. Sin embargo, puedo ver las solicitudes de DNS hechas a Facebook y Google en Wireshark. Y luego sigue un intercambio de flujo de TCP, que obviamente debe ser la respuesta de solicitud de esos dos sitios. Esto significa que el tráfico pasa a través de mi máquina Kali Linux. Entonces, ¿por qué no puedo interceptar el tráfico en eructos?
Probé este problema en Chrome 66 y en el navegador Opera (ambos actualizados) en mi máquina víctima. Ambos tienen el mismo comportamiento.
Podía ver errores específicos de hsts antes de importar la CA de eructo en la raíz de confianza de mis víctimas. Después de la importación, cuando puedo interceptar el tráfico a bing.com, ¿por qué no puedo interceptar el tráfico a Facebook o Google? ¿Qué magia está en el trabajo que me impide verla en eructos?
Cualquier ventaja sería apreciada. Gracias.