Seg. Informatica


Ettercap


Ettercap es un interceptor/sniffer/registrador para LANs con switch. Soporta direcciones activas y pasivas de varios protocolos (incluso aquellos cifrados, como SSH y HTTPS). También hace posible la inyección de datos en una conexión establecida y filtrado al vuelo aun manteniendo la conexión sincronizada gracias a su poder para establecer un Ataque Man-in-the-middle(Spoofing).Muchos modos de sniffing fueron implementados para darnos un conjunto de herramientas poderoso y completo de sniffing.
Funciones
Inyección de caracteres en una conexión establecida emulando comandos o respuestas mientras la conexión está activa.
Compatibilidad con SSH1: puede interceptar users y passwords incluso en conexiones "seguras" con SSH.
Compatibilidad con HTTPS: intercepta conexionesmediante http SSL (supuestamente seguras) incluso si se establecen a través de un proxy.
Intercepta tráfico remoto mediante un túnel GRE: si la conexión se establece mediante un túnel GRE con un router Cisco, puede interceptarla y crear un ataque "Man in the Middle".
"Man in the Middle" contra túneles PPTP (Point-to-Point Tunneling Protocol).
Plataforma: Linux / Windows Ultima versión: NG-0.7.4Soporte de Plug-ins[editar · editar código]
Colector de contraseñas en: Telnet, FTP, POP, Rlogin, SSH1, ICQ, SMB, MySQL, HTTP, NNTP, X11, Napster, IRC, RIP, BGP, SOCKS 5, IMAP 4, VNC, LDAP, NFS, SNMP, Half-Life,Quake3, MSN, YMSG.
Filtrado y sustitución de paquetes.
OS fingerprint: es decir, detección del sistema operativo remoto.
Mata conexiones.
Escaner de LAN: hosts, puertos abiertos,servicios...
Busca otros envenenamientos en la misma red.
Port Stealing (robo de puertos): es un nuevo método para el sniff en redes con switch, sin envenenamiento ARP".



Ettercap nos propone dos modos, el por defecto (unified sniff) o el bridged sniff, unos siendo interactivo y el otro no.

Una vez que empieza a rastrear el tráfico, obtendrás un listado de todas las conexiones activas,junto a una serie de atributos acerca de su estado (active, idle, killed, etc.). El asterisco indica que una contraseña fue recogida en esa conexión. (Esta info fue obtenida de la página oficial del Ettercap y nos da una idea de lo potente que es esta herramienta).




En este tutorial voy a enseñar cómo usar ettercap para realizar un ataque de infiltración en red local como es el MitM (Man inthe Middle -> Hombre en el Medio).
Podemos usar este ataque para interceptar tráfico entre dosmáquinas de una red para luego analizarlo.
Voya obviar algunas explicaciones, remitiendo a otro artículo de este blog, en el que explico esto mismo llevado a cabo con otros programas y explico los cómo y por qué vamos haciendo cada cosa.
Estos ataques son útiles para multitud de cosas, podemos usarlopara probar la seguridad de nuestra red y la de aplicaciones; podemos interceptar contraseñas enviadas en texto plano y nombres de usuario. Y en este tutorial se quedará en eso. También podemos usar filtros y plugins como colectores de contrseñas en muchos protocolos, como telnet o ftp, y más cosas, pero no quiero alargar mucho el post así que me limitaré a explicar tan solo los ataques MitM.
Unataque Mitm consiste básicamente en poner tu ordenador en el medio de una conexión interceptando todos los paquetes. Como sabemos, los paquetes de una red interna, por ejemplo un router que da acceso a internet a varios ordenadores, van en doble sentido, hay paquetes pasando desde el router al ordenador y viceversa.
Como vimos en el otro artículo, el ARP Posoning nos permite hacernos con lospaquetes de cualquiera de los sentidos, o de ambos. En este tutorial veremos como interceptar la comunicación entre un ordenador y el router.
Las IPs de las máquinas en este tutorial son:
192.168.1.35: máquina atacante con Ubuntu.
192.168.1.36: máquina víctima con Windows 7 Home Premium
192.168.1.1: router
Lo primero abrimos una terminal y ejecutamos ettercap con permisos de superusuario y...