Атака «человек посередине» (MITM) — это когда злоумышленник прерывает установленный сетевой разговор или передачу данных. Злоумышленник сидит в середине пути передачи, а затем притворяется или действует как законный участник разговора.
На практике злоумышленники располагаются между входящими запросами и исходящими ответами. Как пользователь, вы будете по-прежнему полагать, что разговариваете напрямую с законным целевым сервером или веб-приложением, таким как Facebook, Twitter, онлайн-банк и другие. Однако на самом деле вы будете отправлять запросы посреднику, который затем общается с вашим банком или приложением от вашего имени.
Изображение от Imperva
Таким образом, человек посередине будет видеть все, включая все ваши запросы и ответы, которые вы получаете от целевого или целевого сервера. Помимо просмотра всего разговора, человек посередине может изменить ваши запросы и ответы, украсть ваши учетные данные, направить вас на сервер, который он контролирует, или совершить другие киберпреступления.
Как правило, злоумышленник может перехватить коммуникационный поток или данные любой стороны в разговоре. Затем злоумышленник может изменить информацию или отправить вредоносные ссылки или ответы обоим законным участникам. В большинстве случаев это может оставаться незамеченным в течение некоторого времени, пока позже не будет нанесен большой ущерб.
Оглавление
Распространенные методы атаки «человек посередине»
Анализ пакетов: злоумышленник использует различные инструменты для проверки сетевых пакетов на низком уровне. Сниффинг позволяет злоумышленникам видеть пакеты данных, к которым у них нет доступа.
Внедрение пакетов: — когда злоумышленники внедряют вредоносные пакеты в каналы передачи данных. Перед внедрением преступники сначала используют сниффинг, чтобы определить, как и когда отправлять вредоносные пакеты. После внедрения плохие пакеты смешиваются с действительными в коммуникационном потоке.
Перехват сеанса: в большинстве веб-приложений процесс входа в систему создает временный токен сеанса, чтобы пользователю не приходилось вводить пароль для каждой страницы или любого будущего запроса. К сожалению, злоумышленник, использующий различные инструменты сниффинга, может идентифицировать и использовать токен сеанса, который теперь он может использовать для отправки запросов, выдавая себя за законного пользователя.
Разделение SSL: Злоумышленники могут использовать метод отключения SSL для перехвата законных пакетов, изменения запросов на основе HTTPS и направления их в небезопасный эквивалент HTTP. Следовательно, хост начнет делать незашифрованные запросы к серверу, тем самым раскрывая конфиденциальные данные в виде простого текста, который легко украсть.
Последствия MITM-атак
MITM-атаки опасны для любой организации, так как могут привести к финансовым и репутационным потерям.
Обычно преступники могут получить и использовать конфиденциальную и личную информацию организации не по назначению. Например, они могут украсть учетные данные, такие как имена пользователей и пароли, данные кредитной карты, и использовать их для перевода средств или совершения несанкционированных покупок. Они также могут использовать украденные учетные данные для установки вредоносных программ или кражи другой конфиденциальной информации, которую они могут использовать для шантажа компании.
По этой причине крайне важно защитить пользователей и цифровые системы, чтобы свести к минимуму риски MITM-атак.
Инструменты MITM-атак для групп безопасности
Помимо использования надежных решений и методов обеспечения безопасности, вам необходимо использовать необходимые инструменты для проверки ваших систем и выявления уязвимостей, которыми могут воспользоваться злоумышленники. Чтобы помочь вам сделать правильный выбор, вот некоторые из инструментов атаки HTTP MITM для исследователей безопасности.
Хетти
Хетти — это быстрый набор инструментов HTTP с открытым исходным кодом и мощными функциями для поддержки исследователей безопасности, команд и сообщества по поиску ошибок. Облегченный инструмент со встроенным веб-интерфейсом Next.js включает HTTP-прокси в середине.
Ключевая особенность
- Позволяет выполнять полнотекстовый поиск
- Он имеет модуль отправителя, который позволяет отправлять HTTP-запросы вручную на основе либо выключенных запросов из журнала прокси, либо путем их создания с нуля.
- Модуль злоумышленника, позволяющий автоматически отправлять HTTP-запросы.
- Простая установка и удобный интерфейс
- Вручную отправьте HTTP-запросы, начав с нуля, создав запрос или просто скопировав его из журнала прокси-сервера.
Беттеркап
Беттеркап представляет собой комплексный и масштабируемый инструмент сетевой разведки и атаки.
Это простое в использовании решение предоставляет специалистам по инженерному анализу, экспертам по безопасности и красным группам все возможности для тестирования или атаки на сети Wi-Fi, IP4, IP6, устройства Bluetooth с низким энергопотреблением (BLE) и беспроводные HID-устройства. Кроме того, инструмент имеет возможности мониторинга сети и другие функции, такие как создание поддельной точки доступа, анализатор паролей, спуфер DNS, захват рукопожатия и т. д.
Ключевая особенность
- Мощный встроенный сетевой сниффер для идентификации данных аутентификации и сбора учетных данных.
- мощный, расширяемый
- Активно и пассивно проверяйте и тестируйте узлы IP-сети на наличие потенциальных уязвимостей MITM.
- Простой в использовании и интерактивный пользовательский веб-интерфейс, который позволяет проводить широкий спектр MITM-атак, перехватывать учетные данные, контролировать HTTP и HTTP-трафик и т. д.
- Извлеките все данные, которые он собирает, такие как учетные данные POP, IMAP, SMTP и FTP, посещенные URL-адреса и хосты HTTPS, файлы cookie HTTP, опубликованные данные HTTP и многое другое. Затем он представляет его во внешнем файле.
- Манипулируйте или изменяйте трафик TCP, HTTP и HTTPS в режиме реального времени.
Прокси.py
Прокси.py это легкий прокси-сервер WebSockets, HTTP, HTTPS и HTTP2 с открытым исходным кодом. Доступный в одном файле Python, этот быстрый инструмент позволяет исследователям проверять веб-трафик, включая приложения, зашифрованные по протоколу TLS, потребляя при этом минимальные ресурсы.
Ключевая особенность
- Это быстрый и масштабируемый инструмент, способный обрабатывать десятки тысяч соединений в секунду.
- Программируемые функции, такие как встроенный веб-сервер, прокси-сервер, настройка маршрутизации HTTP и т. д.
- Он имеет легкий дизайн, который использует 5-20 МБ ОЗУ. Кроме того, он опирается на стандартные библиотеки Python и не требует никаких внешних зависимостей.
- Настраиваемая панель управления в режиме реального времени, которую можно расширить с помощью плагинов. Это также дает вам возможность проверять, отслеживать, настраивать и контролировать proxy.py во время выполнения.
- Безопасный инструмент использует TLS для обеспечения сквозного шифрования между proxy.py и клиентом.
Митмпрокси
митпрокси — это простое в использовании прокси-решение HTTPS с открытым исходным кодом.
Как правило, этот простой в установке инструмент работает как HTTP-прокси SSL «человек посередине» и имеет консольный интерфейс, который позволяет вам проверять и изменять поток трафика на лету. Вы можете использовать инструмент на основе командной строки в качестве прокси-сервера HTTP или HTTPS для записи всего сетевого трафика, просмотра того, что запрашивают пользователи, и воспроизведения их. Обычно mitmproxy относится к набору из трех мощных инструментов; mitmproxy (консольный интерфейс), mitmweb (веб-интерфейс) и mitmdump (версия для командной строки).
Ключевая особенность
- Интерактивный и надежный инструмент анализа и модификации HTTP-трафика
- Гибкий, стабильный, надежный, простой в установке и использовании инструмент
- Позволяет перехватывать и изменять запросы и ответы HTTP и HTTPS на лету
- Записывайте и сохраняйте разговоры HTTP на стороне клиента и на стороне сервера, а затем воспроизводите и анализируйте их в будущем.
- Создавайте сертификаты SSL/TLS для перехвата на лету
- Функции обратного прокси позволяют перенаправлять сетевой трафик на другой сервер.
Отрыжка
Отрыжка — это автоматизированный и масштабируемый инструмент сканирования уязвимостей. Инструмент является хорошим выбором для многих специалистов по безопасности. Как правило, это позволяет исследователям тестировать веб-приложения и выявлять уязвимости, которые преступники могут использовать и запускать MITM-атаки.
Он использует управляемый пользователем рабочий процесс, чтобы обеспечить прямое представление о целевом приложении и о том, как оно работает. Работая как веб-прокси-сервер, Burp является посредником между веб-браузером и целевыми серверами. Следовательно, это позволяет перехватывать, анализировать и модифицировать трафик запросов и ответов.
Ключевая особенность
- Перехватывать и проверять необработанный сетевой трафик в обоих направлениях между веб-браузером и сервером.
- Разрывает TLS-соединение в HTTPS-трафике между браузером и целевым сервером, что позволяет злоумышленнику просматривать и изменять зашифрованные данные.
- Выбор использования встроенного браузера Burps или внешнего стандартного веб-браузера.
- Автоматизированное, быстрое и масштабируемое решение для сканирования уязвимостей. Оно позволяет быстрее и эффективнее сканировать и тестировать веб-приложения, тем самым выявляя широкий спектр уязвимостей.
- Отображение отдельных перехваченных HTTP-запросов и ответов
- Вручную просмотрите перехваченный трафик, чтобы понять подробности атаки.
Эттеркап
Эттеркап это анализатор и перехватчик сетевого трафика с открытым исходным кодом.
Комплексный инструмент для атак MITM позволяет исследователям анализировать широкий спектр сетевых протоколов и хостов. Он также может регистрировать сетевые пакеты в локальной сети и других средах. Кроме того, многоцелевой анализатор сетевого трафика может обнаруживать и останавливать атаки типа «человек посередине».
Ключевая особенность
- Перехватывайте сетевой трафик и перехватывайте учетные данные, например пароли. Кроме того, он может расшифровывать зашифрованные данные и извлекать учетные данные, такие как имена пользователей и пароли.
- Подходит для глубокого анализа пакетов, тестирования, мониторинга сетевого трафика и обеспечения фильтрации контента в реальном времени.
- Поддерживает активное и пассивное прослушивание, анализ и анализ сетевых протоколов, в том числе с шифрованием
- Проанализируйте топологию сети и установите установленные операционные системы.
- Удобный графический пользовательский интерфейс с интерактивными и неинтерактивными опциями работы с графическим интерфейсом.
- использует методы анализа, такие как перехват ARP, фильтрация IP- и MAC-адресов и другие, для перехвата и анализа трафика
Предотвращение MITM-атак
Выявить MITM-атаки непросто, поскольку они происходят вдали от пользователей, и их трудно обнаружить, поскольку злоумышленники заставляют все выглядеть нормально. Однако существует несколько методов обеспечения безопасности, которые организации могут использовать для предотвращения атак типа «злоумышленник посередине». Это включает;
- Защитите интернет-соединения на работе или в домашних сетях, например, используя эффективные решения и инструменты безопасности на ваших серверах и компьютерах, надежные решения для аутентификации
- Принудительное шифрование WEP/WAP для точек доступа
- Убедитесь, что все веб-сайты, которые вы посещаете, безопасны и имеют HTTPS в URL-адресе.
- Не нажимайте подозрительные сообщения электронной почты и ссылки
- Включите HTTPS и отключите небезопасные протоколы TLS/SSL.
- По возможности используйте виртуальные частные сети.
- Использование вышеуказанных инструментов и других HTTP-решений для выявления и устранения всех уязвимостей «человек посередине», которыми могут воспользоваться злоумышленники.