Instructeur: Nu zal alles wat we tot
nu toe gedaan hebben alleen werken tegen HTTP pagina's.
De reden waarom het werkt tegen HTTP is
dat, zoals we hebben gezien,
de gegevens in HTTP worden verzonden als platte tekst.
Het is dus tekst die mensen zoals wij kunnen lezen en begrijpen.
Daarom kunnen wij, als de man
in het midden, deze tekst
lezen en als we willen, deze tekst naar believen
wijzigen.
Nu, dit is duidelijk een probleem
en dit probleem werd opgelost in HTTPS.
Zoals u weet, gebruiken de meeste websites HTTPS.
De reden waarom, zoals
ik al zei, omdat het een veiligere versie van HTTP
is en in principe werkt
het zo dat het een extra laag toevoegt aan HTTP, waar de S vandaan
komt.
Het is dus een beveiligd HTTP-protocol
en deze extra laag versleutelt de platte tekst die HTTP
verstuurt.
Dus als iemand erin slaagt de man in het midden te worden, zal hij
deze gegevens kunnen lezen, maar de gegevens
zullen wartaal zijn.
Het zal niet leesbaar zijn voor
de persoon die de verbinding onderschept.
HTTPS vertrouwt op TLS of SSL om de gegevens te versleutelen
en dit is zeer moeilijk te breken.
Om dit te omzeilen is de eenvoudigste
methode dan ook om HTTPS-verbindingen
te downgraden naar HTTP.
Dus omdat wij de man in het midden
zijn, kunnen wij controleren of het doelwit een HTTPS-website
opvraagt en in plaats van hem de HTTPS-versie van die website te
geven, geven wij hem de HTTP-versie.
Zo worden de gegevens in platte tekst verzonden
en kunnen we ze lezen, precies zoals ik in de vorige
lezing heb laten zien.
Om dit te doen, moeten we handmatig
een tool genaamd SSL Strip configureren en gebruiken
en ik toon hoe dit te doen in mijn meer geavanceerde cursussen,
maar gelukkig heeft bettercap een caplet dat dit
allemaal voor ons doet.
Ik heb deze caplet zelf ook aangepast om
hem betrouwbaarder en op meer websites te laten werken.
Zorg er dus voor dat je de aangepaste Kali afbeelding gebruikt
die ik voor deze cursus heb gemaakt,
want die wordt standaard geleverd met dit aangepaste caplet.
Als je het originele Kali wilt gebruiken,
dan moet je dit caplet handmatig downloaden en in het
juiste pad zetten.
Ik gebruik hier de aangepaste Kali,
dus dat hoef ik niet te doen.
Ik kan gewoon bettercap draaien en het gebruiken,
maar voordat ik dat doe,
wil ik naar de home directory gaan en het spoof caplet
aanpassen dat we in de vorige lezingen hebben gebruikt.
En ik wil slechts één ding veranderen.
Dus ik ga er rechts op klikken
en het openen met Leafpad.
En wat ik wil veranderen is een optie toevoegen
aan de snuiver hier.
Dus zoals je weet, deze lijn net. sniff on zet mijn sniffer
aan, maar voordat ik hem
aanzet, wil ik het net
instellen. snuiven. lokaal naar waar.
En wat deze optie doet, is bettercap
vertellen om alle gegevens te sniffen, zelfs
als het denkt dat dit lokale gegevens zijn.
De reden waarom ik deze optie op waar zet,
is dat zodra we de HTTPS-bypass caplet gebruiken, het lijkt
alsof de gegevens vanaf onze computer worden
verzonden.
Dus bettercap zal denken dat deze wachtwoorden
aan mij toebehoren, aan mijn
computer en het zal ze niet op het scherm tonen.
Daarom zetten we het op waar, zodat
we alle gebruikersnamen en wachtwoorden
kunnen zien die worden verzonden op de
websites die we zullen downgraden van HTTPS naar HTTP.
Dus ik ga dit opslaan, Control +
S en afsluiten, Control + Q en
nu zijn we eigenlijk klaar om deze
caplet te gaan gebruiken en te
zien hoe we HTTPS kunnen downgraden naar HTTP en wachtwoorden
kunnen stelen van inlogpagina's die standaard
HTTPS gebruiken.
Dus ik ga naar mijn terminal en
gebruik bettercap precies zoals ik het
eerder gebruikte.
Dus we doen bettercap, de naam van het programma.
We geven het onze interface
na het iface argument.
We gebruiken het caplet argument
om een caplet te specificeren dat moet worden
uitgevoerd zodra we het programma uitvoeren
en we draaien de spoof caplet, degene
die we in de vorige lezing hebben gebouwd en die
het ARP spoofing commando uitvoert en de sniffer
voor ons uitvoert.
Dus ik druk op Enter.
En zoals u kunt zien, werd alles uitgevoerd zoals verwacht.
Als we helpen, zien
we alle lopende modules en hebben
we de arp. spoof en de sniffer met
de verkenning en met de sonde.
Dus dit is precies wat we wilden van onze caplet.
Dus allereerst is de HSTS bypass caplet een
van de vele caplets die bettercap levert.
Als u al deze caplets wilt opnoemen,
kunt u caplets doen. tonen en zoals je ziet,
krijg je een lijst
van alle caplets die je hebt
en hun locatie in het systeem.
De caplet die ik wil uitvoeren is de hstshijack caplet.
Deze hier.
En om een van deze caplets uit te voeren,
hoeft u alleen maar letterlijk de naam ervan in te typen.
En zoals gewoonlijk kunt u de Tab gebruiken om automatisch te voltooien.
Dus om onze caplet hier uit te voeren,
hoef ik alleen maar hs in te typen en op Tab
te drukken en zoals je kunt zien,
vult hij automatisch voor mij de capletnaam
in.
Als ik nu op Enter druk, wordt de folder met
al zijn opties geladen en
wordt hij voor mij uitgevoerd.
Dus zoals je kunt zien, omdat we geen fouten zien,
betekent dit dat alles is uitgevoerd zoals verwacht.
Dus laten we naar de Windows machine gaan,
wat HTTPS pagina's doorzoeken en kijken
of we gegevens, gebruikersnamen, wachtwoorden en URL's die
ze op hun computer invoeren, kunnen afluisteren.
Dus ik heb mijn Windows machine hier.
Ik heb Chrome geïnstalleerd.
Dit is de laatste versie van Chrome ten tijde
van het opnemen van deze lezing.
Een heel goed idee voordat u al deze dingen probeert,
is om uw surfgegevens te verwijderen,
want de websites die we gaan proberen te openen, kunnen
in de cache staan en ze kunnen gewoon uit uw cache
worden geladen.
Dit gebeurt alleen als u steeds dezelfde website
bezoekt, meestal bij het testen.
Daarom is het een heel goed
idee om Control + Shift + Delete te gebruiken
en te klikken op Browsegegevens wissen.
Zorg ervoor dat dit allemaal is aangeklikt.
Zorg ervoor dat het staat ingesteld op
Altijd en klik op Wissen om alles te verwijderen.
En laten we naar een website gaan die HTTPS
gebruikt.
Een goed voorbeeld is LinkedIn. com.
En perfect.
Als je hier bovenaan kijkt,
zie je dat de website over HTTP laadt,
niet over HTTPS.
Daarom kunnen we alles zien wat de gebruiker in deze vakken
invoert.
Dus laten we een gebruikersnaam plaatsen.
Laten we het instellen op zaid@zsecurity. org.
En ik zet een wachtwoord als 1234567890.
Het maakt niet echt uit.
U kunt elk wachtwoord gebruiken.
En ik druk op Enter om in te loggen.
Dit is fout, dus we krijgen duidelijk een foutmelding,
maar als we teruggaan naar Kali, zoals
je kunt zien, vangen we al deze gegevens op
omdat ze niet meer over HTTPS worden verzonden.
Het wordt verzonden over HTTP.
En als je hier kijkt, zie
je dat we inloggegevens hebben vastgelegd.
Het wordt naar LinkedIn gestuurd. com.
Verzonden naar deze specifieke URL, een login URL en je kan zien dat de
gebruikersnaam zaid@zsecurity is. org.
En het wachtwoord is 123 tot en met 90.
Dus dat is echt, echt goed.
Laten we nog een HTTPS-website testen.
Laten we naar StackOverflow gaan. com.
Nogmaals, u kunt bovenaan zien
dat het via HTTP laadt, niet via HTTPS.
Dus ik ga op Inloggen klikken.
En nogmaals, ik zet mijn e-mail.
Zaid@zsecurity. org.
En we geven een wachtwoord als 1234567890.
Druk op Enter.
En laten we weer naar de Kali machine gaan.
Scroll deze keer naar beneden, want we zitten bovenaan vast.
En perfect, je kunt zien dat we hier een POST verzoek hebben.
Het wordt naar deze specifieke URL gestuurd.
Nogmaals, u kunt login zien in de URL.
U kunt de website zelf zien.
Stackoverflow. com.
En als we iets verder naar beneden scrollen, zien we dat
de gebruikersnaam zaid@zsecurity is. org en het wachtwoord
weer, 123, helemaal tot 90.
Dus dat is echt, echt goed.
Nu kunnen we elke HTTPS-verbinding downgraden
naar HTTP, zolang de doelwebsite HTTPS
gebruikt, niet HSTS.
Deze methode werkt dus tegen vrijwel alle websites
die HTTPS gebruiken, behalve de echt populaire websites,
zoals Facebook, Twitter enzovoort.
Dus laat me je een snel voorbeeld zien.
Als ik hierheen ga en probeer naar Facebook te gaan. com, zult u zien dat de website
werd geladen via HTTPS, niet via HTTP,
ook al hebben we onze caplet
correct geconfigureerd en ook al kunnen we HTTPS-verbindingen
op veel websites, zoals LinkedIn en Stack Overflow, downgraden.
Dit gebeurt omdat Facebook HSTS gebruikt, wat iets
moeilijker te omzeilen is.
In de volgende lezing
zullen we meer vertellen over wat HSTS is, waarom het
lastig te omzeilen is en hoe je het
gedeeltelijk kunt omzeilen en toch gebruikersnamen
en wachtwoorden kunt krijgen van de websites
die het implementeren, zoals Facebook,
Twitter enzovoort.