Quería ver cuántas combinaciones de sitios web y navegadores siguen siendo vulnerables a un ataque de eliminación de tls (como, al implementar HSTS o deshabilitar el uso de HTTP de texto simple). Para hacerlo, quería verlo de primera mano utilizando la herramienta sslstrip, pero no pude hacerlo funcionar (siguiendo las instrucciones en la página del proyecto): la suplantación de ARP aparentemente funciona bien, ya que la PC de destino ya no puede navegar. , pero sslstrip no recibe nada.
Intenté escuchar con un socket TCP en el puerto redirigido por iptables, pero no recibí nada, por lo que también excluí iptables, y ahora solo estoy tratando de recibir conexiones directamente en el puerto utilizado por el cliente víctima. Lo intenté habilitando y deshabilitando el reenvío de IP (con /proc/sys/net/ipv4/ip_forward ) y usando wifi o Ethernet como la interfaz del host atacante, pero nada cambia:
Este es el comando que estoy usando desde el host atacante (dirección 192.168.1.33 hostname macbook , una caja de Linux 3.11):
sudo arpspoof -i eth0 -t 192.168.1.31 192.168.1.1
( 192.168.1.1 es la puerta de enlace) y luego
sudo socat TCP4-LISTEN:80 STDOUT
en el host de la víctima ( 192.168.1.31 ):
socat - TCP4:192.168.1.1:80
Puedo abrir la conexión, pero si intento algo, no recibo nada en el host atacante (el hecho de señalar socat a la dirección IP del atacante obviamente funciona)
traceroute muestra que, aparentemente, la falsificación ARP es exitosa:
> traceroute 192.168.1.1
traceroute to 192.168.1.1 (192.168.1.1), 30 hops max, 60 byte packets
1 macbook.local (192.168.1.30) 2.719ms 5.932ms *
2 * * *
3 * * *
4 * * *
5 * * *
[snip]
28 * * *
29 * * *
30 * * *
arp -n de salida desde el host víctima
Address HWtype HWaddress Flags Mask Iface
192.168.1.33 ether 00:1d:4f:fc:af:fc C wlan0
192.168.1.1 ether 00:1d:4f:fc:af:fc C wlan0