Forza i dispositivi collegati per utilizzare http anziché https

1

Sono molto nuovo agli attacchi MITM e stavo girando sulla mia rete domestica oggi ..

Quando sniffing il mio iPhone cercando di connettersi ad alcuni account di posta elettronica ho notato che mostra un messaggio che indica che la connessione non è sicura, quindi chiede se si desidera solo continuare o chiudere la connessione. Se viene premuto Continua, invierà l'e-mail e la password in testo semplice.

In ogni caso, mi chiedevo se esistesse un modo per impedire qualsiasi connessione tramite https e forzare tutto attraverso http. Non sono interessato se chiede all'utente o no.

    
posta Scott Cassidy 11.10.2014 - 06:16
fonte

2 risposte

1

Se non sei preoccupato che all'utente venga richiesto, intercetti le connessioni più HTTPS mediante proxy. Invece di consentire all'utente di connettersi direttamente al sito richiesto, è necessario collegarli a un intermediario che controlli e quindi utilizzarlo per connettersi al sito che hanno richiesto. In questo modo la sessione HTTPS del client termina sulla tua casella, con il tuo certificato SSL che detieni la chiave privata, e quindi decifri il traffico sul lato client, e dal momento che è il tuo proxy che sta facendo la connessione al server loro volevo davvero parlare, il tuo proxy ora è il client per quella connessione SSL e hai anche pieno accesso al traffico da quella parte.

Questo richiederà all'utente, perché ovviamente il tuo certificato SSL, quello sul loro server a cui gli utenti si stanno connettendo, non sarà un certificato valido per i siti a cui stanno effettivamente tentando di accedere, quindi le app client (o almeno) visualizza questo come un attacco e avvisa gli utenti di non fidarsi della connessione. Come menzionato P4cK3tHunt3R, puoi evitare l'avvertimento installando il tuo cert come root attendibile sui dispositivi client, nel qual caso non saranno più in grado di discernere (in generale) che il certificato non sia effettivamente valido e affidabile per il sito stanno cercando di connettersi a.

Oltre al proxy, esistono altri modi per eseguire il downgrade delle connessioni come un MitM attivo, come SSLStrip, che funzionerà in alcuni casi e non in altri.

In alcuni casi, il proxy funziona anche meglio di quanto pubblicizzato, in particolare con le app mobili, che sono note per ignorare gli avvisi dei certificati e accettare felicemente i certificati non attendibili senza preoccuparsi di informare l'utente di quanto non sia sbagliato. In altri casi, non funzionerà affatto, a causa di pratiche come il blocco dei certificati in cui un browser o un'altra applicazione si fida solo dei certificati specifici e rifiuterà di accettare il certificato, anche se sarebbe altrimenti valido e affidabile.

    
risposta data 11.10.2014 - 15:52
fonte
-1

Non puoi forzare alcun sito web a utilizzare http invece di https. Puoi fare solo una cosa, creare il tuo certificato e collegarlo in tutti i browser, quindi ogni volta che tra un client e un server non verrà richiesto all'utente. Oltre a questo, puoi anche provare a eseguire il downgrade della versione ssl per utilizzare la vulnerabilità nota contro ssl.

    
risposta data 11.10.2014 - 13:01
fonte

Leggi altre domande sui tag