1. 1. Para obtener información de interfaces de red activas:
ifconfig
El salida del comando anterior:
eth0
Link encap:Ethernet HWaddr 00:14:85:9C:CC:55
inet addr:192.168.0.2 Bcast:192.168.1.255 Mask:255.255.255.0
inet6 addr: fe80::214:85ff:fe9c:cc55/64 Scope:Link
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:7856 errors:0 dropped:0 overruns:0 frame:0
TX packets:7856 errors:0 dropped:0 overruns:0 carrier:0
RX bytes:492016 (480.4 KiB) TX bytes:398 (398.0 b)
Interrupt:201 Memory:e1000000-0
lo
Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0
inet6 addr: ::1/128 Scope:Host
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1455 errors:0 dropped:0 overruns:0 frame:0
TX packets:5 errors:0 dropped:0 overruns:0 carrier:0
RX bytes:1917382 (1.8 MiB) TX bytes:1917382 (1.8 MiB)
En el salida anterior:
Link encap:Ethernet -Especifica el tipo de interfaz
HWaddr 00:14:85:9C:CC:55 -Especifica la dirección hardware o MAC
inet addr:192.168.0.12 -Especifica la dirección IP asignada a la interfaz de red
BackTrack se lanza el ataque:
# hping2 10.1.1.13 --rand-source –S --destport 80 --faster --debug –w 2048

2. Episodio de Pentesting (Parte VI)
Compartir este artículo: Compartir con TwitterCompartir con Facebook
Hola! hoy seguiremos con nuestra cadena Episodio de Pentesting hablando sobre el
proceso de envenenamiento DNS.
A grandes rasgos un envenenamiento DNS, más conocido por su traducción en
inglés DNS Poissoning, es una forma de ataque MiTM en el que el atacante hará que
el PC atacado resuelva las direcciones con un servidor de DNS “alterado”. Esto
puede parecer un poco complejo al principio, pero vamos a explicarlo de forma más
detallada.
Primero introduciremos un nuevo concepto que no se definió en el tutorial porque
consideré que era más conveniente verlo justo en el momento de su necesidad. Así
que a continuación se explicará que es el Protocolo ARP (Adress Resolution
Protocol) y el envenenamiento de su cache.
Básicamente es un protocolo responsable de encontrar la dirección MAC
correspondiente a una determinada IP. Imaginemos ordenador A y ordenador B.
ARP Request: El ordenador A pregunta en la red a quién pertenece una
determinada IP, pongamos 192.168.1.1.
ARP Reply: Todos los demás ordenadores de la red ignorarán la petición a
excepción del que tenga esa dirección IP. Este ordenador contestará con un paquete
que contendrá la IP requerida y su dirección MAC.
El protocolo fue diseñado para ser simple y eficiente pero su mayor defecto es la
ausencia de autenticación. Como resultado, no hay manera de autenticar la IP con la
dirección MAC contenida en el ARP Reply. Además, el host ni siquiera comprueba si
fue enviada la respuesta ARP desde la misma IP que se solicitó en la petición.
Esto quiere decir que si un ordenador A, envía una petición y recibe una respuesta
ARP, el protocolo no puede comprobar si la IP corresponde con su MAC. Incluso si
un host no envió una petición ARP pero si recibe una respuesta ARP, confía en la
información de respuesta y actualiza su cache ARP.
Por tanto, como podemos observar parece fácil explotar el débil protocolo ARP. Es
posible enviar a la red entera una respuesta ARP en la que cualquier IP está
mapeada a cualquier MAC.

3. La vulnerabilidad anterior permite el ataque a una LAN de varias formas, en este
caso, y como ya hemos indicado anteriormente utilizaremos la técnica Man in the
Middle, que nos permitirá hacer sniff a todo el tráfico entre dos PC de la red.
Para conseguir esto, supongamos que mi PC es el host A, y mi router es el host B.
Mi ordenador tiene una IP-A y una MAC-A, y el router una IP-B y una MAC-B.
La máquina C, o sea, la que realizará el ataque, envía una respuesta ARP a B que
mapea IP-A con MAC-C, y otra respuesta ARP hacia A que mapea IP-B con MAC-C.
Por tanto ahora cualquier paquete enviado desde A a B o desde B a A, llegará a C.
Entonces es momento de activar en C, IP forwarding (Redireccionamiento IP), que
permite redireccionar A a B. Es este momento cuando C se encuentra justo en medio
de la conexión entre A y B, y tenemos un ataque Man in the Middle en toda regla.
Toda esta teoría es imprescindible, pero creo que es hora de pasar a la práctica.
Os presento a Ettercap, que nos permitirá poner en práctica este ataque. En esta
ocasión vamos a utilizar la interfaz gráfica por su comodidad, ya que es un rollazo
aprenderse la ingente cantidad de comandos que tiene la CLI, y no es cómodo para
trabajar. En caso de no querer iniciar Xorg, podemos usar Ettercap –C, que funciona
con una interfaz creada con curses. Así que iniciamos Ettercap introduciendo en la
terminal “ettercap -G”.
A continuación hacemos click en “Sniff -> Unified Sniffing” y se nos abrirá una
ventana de selección en la que podremos escoger cualquiera de las interfaces
disponibles. Como estoy trabajando en VB,elijo eth0.

4. (Ettercap en modo Unified Sniffing)
Ahora vamos a escanear la red para ver los equipos, por lo que hacemos click en
“Hosts -> Scan for host”. Y cuando esté completado en “Hosts -> Host List”. Ahora
vemos información interesante, que son todos los host de la red listados con
direcciones MAC correspondientes. Nos disponemos a hacer un ataque MiTM, por
tanto seleccionamos un host y pulsamos en “Add to Target 1” y hacemos lo mismo
con el otro host que queramos interceptar pero esta vez lo añadimos en “Add to
Target 2”.

5. (Seleccionando objetivos en Ettercap)
Ahora seleccionamos “Mitm -> Arp Poisoning” y marcamos la opción de Sniff Remote
Connection. Una vez hecho esto iniciamos el Sniff desde “Start -> Start Sniffing”
Una vez que los paquetes están pasando por nuestro PC, lo que necesitamos es
direccionar a la víctima a la dirección IP en la que hemos inyectado el exploit, para
ello lo que vamos a hacer es redireccionar el DNS usando un plugin de Ettercap que
se llama dns-spoof. Pero antes debemos editar el archivo de configuración que
Ettercap dedica al dns. Si estáis habituados al archivo de Linux hosts (/etc/hosts)
veréis que la configuración se hace del mismo modo, así que desde una terminal nos
vamos a editar el archivo de configuración de DNS de Ettercap.
“nano /usr/local/share/ettercap/etter.dns”
Aquí añadimos las líneas que queramos para redireccionar cualquier dirección a
nuestra IP. Yo he puesto la dirección de la UJA añadiendo esto:

6. *.ujaen.es A 192.168.1.27
ujaen.es A 192.168.1.27
Una vez hemos hecho eso, solo queda activar el plugin, y todo estará listo.

7. Phishing al “FACEBOOK” con Backtrack 5.
Filed under: Anexos by jonavargas — 2 comentarios
mayo 23, 2012
En esta ocacion demostraremos como Hackear una pagina web… “FACEBOOK”.
Utilizaremos las herramientas de ingeniería social que nos proporciona el backtrack
5.
Pasos:
1.- Cargamos el backtrack
2.- Buscamos la ruta especifica para el ataque: BACKTRACK –> EXPLOITATION
TOOLS —> SOCIAL ENGENEERING TOOLS —> SOCIAL ENGENEERING
TOOLKIT –> SET.
3.- Una vez que abrimos se nos presenta una lista de opciones de la
cual escojamos la opción 2
WEBSITE ATTACK VECTORS

8. 4.- Al escoger la opción anterior se nos presentara otra lista de opciones
escojamos la opcion 3
CREDENTIAL HARVESTER ATTACK METHOD
5.- Nuevamente se nos presentara una lista de opciones escojamos la opcion 2:
SITE CLONER.

9. 6.- Luego de haber hecho esta serie de pasos ya casi estamos listos para poder
hackear el facebook lo que nos toca ahora es colocar la url a del sitio a clonar:
http://www.facebook.com
7.- El backtrack nos clona la pagina sin necesidad de que nosotros
hagamos algún diseño.

10. 8.- Ahora procederemos a enviar un correo a nuestra victima con la direccion del
backtrack en cual ya a clonado la pagina.
9.- La victima abre su correo y da clic en el enlace.
10.- Nos direcciona a la pagina del facebook clonada, el usuario ingresa sus datos
11.- Backtrack nos da el usuario y la contraseña

12. ngeniería Social con Backtrack
En estos momentos estoy trabajando en seguridad de la información de tiempo completo, por
lo que cada día es más complejo colocar cosas en el blog, sin embargo sigo con el mismo
animo de hace 4 años y pretendo seguir, solo que de pronto encontraran que muchas de las
entradas se vuelven más a procedimientos de seguridad.
Bueno hecha esta aclaración y como siempre esto surge debido a una necesidad o a algún
inconveniente, esta vez se me presento porque un "cliente" me pidió que le demostrara como
es un ataque de DNS Spoofing, en Internet existen cientos de PDF que lo explican muy bien
como este de SANS o coloquen en google "DNS Spoofing filetype:pdf" y encontraran otros
más. Pero el lo quería ver en vivo y en directo, así que usando el post de hackplayers y el de
the geek stuff, cree una plataforma convincente para demostrarle al señor como se hacia un
ataque de este tipo.
Antes de empezar una frase de mi sensei Bl4ck_D4wn para que la tengan en cuenta "La
herramienta no hace al profesional, su capacidad de análisis y de conocimiento es la que lo
hace bueno o malo"
Bueno voy a explicar que se pretende hacer, la dirección IP 10.1.200.48 es la maquina de la
victima, cuyo DNS es la dirección 10.1.10.170 y para el ataque usaremos una maquina con
Bactrack 5R2 en al IP 10.1.25.64, como ven todo es una red LAN, sin embargo, el objetivo es
tomar las credenciales de autenticación de un correo externo de la organización.
Entonces el ataque costa de dos fases, la primera clonar el sitio web, para lo que usaremos el
SET (Social-Engineering Toolkit) y la segunda fase el ataque de DNS Spoofing que lo
haremos con Ettercap-GTK.
Para la primera fase abrimos el SET que se encuentra en el PATH /pentest/exploits/set
o gráficamente en la ruta Backtrack -> Explotation Tools -> Social Engineering Tools -
> Social Engineering Toolkit -> set, una vez ingreses la consola es bastante fácil de entender,
y no me puedo poner a explicarla completa sino no acabo, entonces en el primer menú escoges
la opción 1 - Social-Engineering Attacks, en el segundo menú escoges 2 - Web Site Attack
Vector, en el tercer menú escoges la opción 2 - Site Cloner, donde se ve lo siguiente

13. En la primera pregunta que es "IP address for the POST back in Harvester/Tabnabbing"
colocas la IP de la maquina atacante, y en la segunda pregunta "enter the url to clone" colocas
la URL que se desea clonar. Para este caso voy a usar una pagina del correo corporativo de
una organización, por lo cual es que tengo que borrar las direcciones IP y las URL, pero
espero que sea claro el proceso.
Bueno esta fase ya esta lista para capturar los datos con los que "engañaremos" a los usuarios,
debemos dejar esto hay activo y como dije esperando los datos de los usuarios.
Ahora empezaremos con la segunda fase del proceso, acá vamos a hacer el DNS Spoofing, lo
cual se realiza con ettercap y en Internet existen mil vídeos y blogs de como hacerlo, sin
embargo acá lo colocare. Lo primero para la demostración es verificar como esta la
configuración en la maquina de la victima, por lo que en la siguiente imagen veremos la
configuración IP y la respuesta del DNS que da la pagina que anteriormente clonamos.
Ya con estos datos entonces prepararemos el archivo del DNS con los datos que nosotros
necesitamos que resuelva cuando le hagamos la solicitud al servidor sobre la pagina que ya
tenemos clonada y lista para "engañar" a la victima. Para esto Ettercap ya tiene listo un
archivo en la ubicación /usr/local/share/ettercap/etter.dns al cual le debemos añadir las lineas
de DNS con los datos que necesitamos, respetando la configuración de un sistema de DNS,
aunque el archivo tiene ejemplos, si quieres aprender de DNS te recomiendo leer esto. Yo
necesitaba añadir una única linea que se ve así
Bueno entonces abrimos el ettercap-gtk, para hacerlo por el entorno gráfico aunque si desean
hacerlo por comandos es completamente viable y efectivo, solo que me quedaba más
complicado para explicar. una vez en ettercap entonces seleccionamos Sniff -> Unified
Sniffing y seleccionas la tarjeta donde vas a realizar el ataque, como se ve en la imagen a la
derecha.

14. Ya con todas las opciones activas, seleccionamos Hosts -> Scan Hosts y una vez termine el
escaneo en esa misma pestaña seleccionamos Host List, lo cual nos muestra la lista detallada
de todos los equipos detectados en la red. Seleccionamos la IP victima y le damos click en Add
Target 1 y después seleccionamos la IP del servidor DNS y le damos click en Add Target 2,
una vez tienes eso le das en la pestaña Targets -> Currents y puedes confirmar que los tengas
bien, aunque realmente el orden no importa, se debe ver así.
Bueno entonces estas preparado para envenenar el DNS, por lo que lo primero es dar click en
Mitm -> ARP Poisoning, en la ventana que te sale seleccionas que solo escuche las conexiones
remotas en "sniff remote connections" , con esto estas diciéndole a la maquina victima que la
MAC del DNS ya no es la que conoce sino que es la tuya, luego para iniciar le das click en
Start -> Start sniffing.
Bueno ya hay tienes mucho listo y adelantado, ahora por medio de una adición de ettercap,
vamos a indicarle que el envenenamiento de ARP es con el propósito de hacer falsificaciones
en el DNS, para esto damos click en Plugins -> Manage the plugins y veremos la siguiente
ventana, donde como se ve en la imagen seleccionaremos dns_spoof.

15. Bueno ya con eso lo único que toca hacer es esperar a que la victima caiga, para la
demostración, entonces volvemos a hacer el nslookup desde la maquina victima y como verán
ya no le resuelve la IP pública sino la privada que configuramos en el archivo y además en el
ettercap se registra que satisfactoriamente se ha hecho el spoofing.
Entonces del lado del usuario el ve la pagina de correo tal cual como siempre y accede los
datos para el correo y en el SET veremos que nos quedan registrados así

16. Y tas la captura al usuario le sale nuevamente la pantalla que ingrese los datos, por lo que
usualmente ellos piensan que la colocaron mal y ya en ese momento nosotros tenemos los
datos y ellos están conectados directamente a su correo entonces ya ingresaran sin
inconvenientes.

17. 5 punto
Ettercap Filters Fun - YouTube
http://www.irongeek.com/i.php?page=security/ettercapfilter