Перехоплення WEB трафіку через протокол WPAD за допомогою Intercepter-NG
WPAD - WebProxy Auto-Discovery. Протокол автоматичного отримання налаштувань проксі в локальній мережі підтримується практично всіма веб-браузерами та рядом інших програм.
З самого початку свого існування WPAD став гріхом у безпеці, тому що дозволяє дуже легко перехопити потік даних, видаючи себе за легітимний сервер проксі. Незважаючи на те, що ця вразливість існує давно і досить легко експлуатується, ця атака не набула великої популярності. Причин лише кілька.
По-перше, вона дозволяє перехоплювати тільки веб-трафік клієнта, і багатьом простіше запустити arp poison і перехопити набагато більше. По-друге для її здійснення хоч і не потрібно якихось складних маніпуляцій, але все ж таки необхідно запустити і налаштувати ряд сервісів:
1. Необхідно зареєструвати в мережі ім'я WPAD. 2. Необхідно запустити веб-сервер та створити файл wpad.dat. 3. Необхідно запустити проксі-сервер.
Якщо на Unix це робиться досить швидко, то на Windows виконання подібних операцій потребує більше часу та зусиль. Додатково виникає проблема із перейменуванням у мережі. Досить підозріло буде виглядати комп'ютер з ім'ям 'WPAD' у мережевому оточенні, а якщо захочеться застосувати інструмент на зразок nbtool для того, щоб приховано відповідати на запити імені 'WPAD', то доведеться зупинити netbios ns службу Windows для звільнення 137 udp порту і відповідно .
Тим не менш, є велика кількість потенційних жертв у будь-якій мережі, тому що за умовчанням Internet Explorer (а відповідно і Chrome) намагаються автоматично отримати налаштування проксі засобами WPAD.
В Intercepter-NG проведення атаки на WPAD повністю автоматизоване і відбувається за кілька секунд. Завдяки використанню WinPcap немає потреби прослуховувати сокети або перейменовувати власне netbios ім'я. Вказувати конкретних жертв не потрібно, видача зміни відбувається всім, хто запитує. На вибір можна вручну вказати проксі-сервер, який буде видаватися клієнтам або використовувати вбудований socks. В останньому випадку для перехоплення трафіку, крім самого Intercepter-NG, більше нічого не потрібно.
Хардкорна конфа за С++. Ми запрошуємо лише профі.