Uso MITMf per sostituire le immagini su HTTP e tutto funziona correttamente. Ma come posso sostituire le immagini su siti come Google o Facebook che utilizzano HTTPS?
Il mio comando attuale:
sudo python mitmf.py -i wlan0 --spoof --arp --hsts --gateway 192.168.1.254 --target 192.168.1.43 --imgrand --img-dir /home/pi/spof/better/MITMf/img/
Per siti come google e facebook diversi browser hanno precaricato le impostazioni HSTS (enforce HTTPS) e HPKP (certificato / chiave pubblica pinning). Ciò significa che il browser sa che questi siti dovrebbero essere raggiungibili solo da https e come dovrebbe apparire il certificato. Ciò significa che lo stripping di SSL e l'intestazione HSTS (cioè l'opzione --hsts ) non funzioneranno contro questi siti. Funzionerà solo contro siti in cui il browser non sa (ancora) che HTTPS è obbligatorio.
Quello di cui hai bisogno è fare un vero SSL man nel mezzo dove hai una connessione HTTPS dal browser al tuo uomo nel proxy centrale e dal proxy al server reale. In questo caso la connessione HTTPS al client è firmata da certificati creati dal proxy e il proxy CA pertinente deve essere configurato esplicitamente come trusted all'interno del browser / sistema operativo.
Ma da uno sguardo a mitmf non vedo che offra un'opzione per fare il vero uomo SSL nel mezzo, può solo eseguire lo stripping SSL (ovvero eseguire il downgrade su HTTP semplice) che non è di aiuto in caso di HSTS / HPKP precaricato. Quindi avresti bisogno di usare altri strumenti come mitmproxy .
L'intero punto di utilizzo di HTTPS è che impedisce tali attacchi che interrompono l'integrità della connessione. Dovresti eseguire un SSL MiTM e interrompere l'SSL. Tuttavia, interrompere SSL significherà che il browser dell'utente chiederà all'utente questa interruzione in SSL e sarà necessario dipendere dall'utente ignorando tali errori. Ricorda inoltre che sta diventando sempre più difficile interrompere SSL a causa di meccanismi come HSTS , Certificate Pre Loading, and Pinning
Leggi altre domande sui tag tls man-in-the-middle mitmf