6 HTTP MITM-Angriffstools für Sicherheitsforscher

Ein MITM-Angriff (Man-in-the-Middle) liegt vor, wenn ein böser Akteur eine bestehende Netzwerkkonversation oder Datenübertragung unterbricht. Der Angreifer setzt sich in die Mitte des Übertragungsweges und gibt sich dann als legitimer Teilnehmer des Gesprächs aus

In der Praxis positionieren sich die Angreifer zwischen eingehenden Anfragen und ausgehenden Antworten. Als Benutzer werden Sie weiterhin glauben, dass Sie direkt mit dem legitimen Zielserver oder der Webanwendung sprechen, z. B. Facebook, Twitter, Online-Bank und andere. In Wirklichkeit senden Sie jedoch Anfragen an den Man-in-the-Middle, der dann in Ihrem Namen mit Ihrer Bank oder Anwendung spricht

Der Mann in der Mitte sieht auch alles, einschließlich aller Ihrer Anfragen und Antworten, die Sie vom Zielserver erhalten. Der Mann in der Mitte kann nicht nur die gesamte Konversation einsehen, sondern auch Ihre Anfragen und Antworten ändern, Ihre Anmeldedaten stehlen, Sie zu einem von ihm kontrollierten Server leiten oder andere Cyberkriminalität begehen.

Im Allgemeinen kann der Angreifer den Kommunikationsstrom oder die Daten einer der beiden Gesprächsparteien abfangen. Der Angreifer kann dann die Informationen verändern oder bösartige Links oder Antworten an beide legitimen Teilnehmer senden. In den meisten Fällen kann dies für einige Zeit unentdeckt bleiben, bis später ein großer Schaden entsteht

Übliche Techniken für Man-in-the-Middle-Angriffe

Packet Sniffing: - Der Angreifer verwendet verschiedene Tools, um die Netzwerkpakete auf einer niedrigen Ebene zum Inspirieren. Das Sniffing ermöglicht es Angreifern, Datenpakete zu sehen, für die sie keine Zugriffsberechtigung haben.

Packet Injection: - Angreifer schleusen bösartige Pakete in die Datenkommunikationskanäle ein. Vor der Injektion verwenden die Kriminellen zunächst Sniffing, um herauszufinden, wie und wann sie die bösartigen Pakete senden können. Nach der Injektion vermischen sich die schädlichen Pakete mit den gültigen Paketen im Kommunikationsstrom.

Session Hijacking: In den meisten Webanwendungen wird bei der Anmeldung ein temporäres Sitzungs-Token erstellt, damit der Benutzer nicht für jede Seite oder jede zukünftige Anfrage das Passwort erneut eingeben muss. Leider kann ein Angreifer, der verschiedene Sniffing-Tools einsetzt, das Session-Token identifizieren und verwenden, um damit Anfragen zu stellen, die vorgeben, der rechtmäßige Benutzer zu sein.

SSL-Stripping: Angreifer können die SSL-Stripping-Technik verwenden, um die legitimen Pakete abzufangen, die HTTPS-basierten Anfragen zu ändern und sie an das unsichere HTTP-Äquivalenzziel zu leiten. Infolgedessen wird der Host eine unverschlüsselte Anfrage an den Server stellen und somit sensible Daten als Klartext ausgeben, der leicht zu stehlen ist.

Die Folgen von MITM-Angriffen

MITM-Angriffe sind für jedes Unternehmen gefährlich, da sie zu finanziellen und Reputationsverlusten führen können

In der Regel können die Kriminellen sensible und private Informationen des Unternehmens erlangen und missbrauchen. So können sie beispielsweise Zugangsdaten wie Benutzernamen und Kennwörter oder Kreditkartendaten stehlen und diese für Überweisungen oder nicht autorisierte Einkäufe verwenden. Sie können gestohlene Zugangsdaten auch dazu verwenden, Malware zu installieren oder andere sensible Informationen zu stehlen, mit denen sie das Unternehmen erpressen können.

Aus diesem Grund ist es wichtig, dass die Benutzer und digitalen Systeme zu schützen, um die Risiken von MITM-Angriffen zu minimieren

MITM-Angriffstools für Sicherheitsteams

Neben der Verwendung zuverlässiger Sicherheitslösungen und -praktiken müssen Sie auch die notwendigen Tools einsetzen, um Ihre Systeme zu überprüfen und Schwachstellen zu identifizieren, die Angreifer ausnutzen können. Damit Sie die richtige Wahl treffen können, stellen wir Ihnen hier einige der HTTP MITM-Angriffstools für Sicherheitsforscher vor

Hetty

Hetty ist ein schnelles Open-Source-HTTP-Toolkit mit leistungsstarken Funktionen zur Unterstützung von Sicherheitsforschern, Teams und der Bug Bounty Community. Das leichtgewichtige Tool mit einer eingebetteten Next.js-Webschnittstelle umfasst einen HTTP-Man-in-the-Middle-Proxy

Wichtigste Merkmale

• Ermöglicht Ihnen die Durchführung einer Volltextsuche
• Es verfügt über ein Absendermodul, mit dem Sie HTTP-Anfragen manuell senden können, entweder auf der Grundlage der Abfragen aus dem Proxy-Protokoll oder indem Sie sie von Grund auf neu erstellen.
• Ein Angreifermodul, mit dem Sie HTTP-Anfragen automatisch senden können
• Einfache Installation und leicht zu bedienende Benutzeroberfläche
• Senden Sie die HTTP-Anfragen manuell, indem Sie entweder bei Null anfangen, die Anfrage erstellen oder einfach aus dem Proxy-Protokoll kopieren.

Bettercap

Bettercap ist ein umfassendes und skalierbares Tool zur Netzwerkaufklärung und für Angriffe

Die benutzerfreundliche Lösung bietet Reverse Engineers, Sicherheitsexperten und Red Teams alle Funktionen, um Wi-Fi-, IP4- und IP6-Netzwerke, Bluetooth Low Energy (BLE)-Geräte und drahtlose HID-Geräte zu testen oder anzugreifen. Darüber hinaus verfügt das Tool über Netzwerküberwachungsfunktionen und andere Funktionen wie die Erstellung gefälschter Zugangspunkte, Passwort-Sniffer, DNS-Spoofer, Handshake-Erfassung usw.

Wichtigste Funktionen

• Ein leistungsstarker integrierter Netzwerk-Sniffer zur Identifizierung von Authentifizierungsdaten und zum Abgreifen von Anmeldeinformationen
• leistungsstark, erweiterbar
• Aktives und passives Sondieren und Testen von IP-Netzwerkhosts auf potenzielle MITM-Schwachstellen.
• Einfach zu bedienende und interaktive webbasierte Benutzeroberfläche, die es Ihnen ermöglicht, eine Vielzahl von MITM-Angriffen durchzuführen, Anmeldedaten zu erschnüffeln, den HTTP- und HTTP-Verkehr zu kontrollieren, usw.
• Extrahieren Sie alle gesammelten Daten wie POP-, IMAP-, SMTP- und FTP-Anmeldeinformationen, besuchte URLs und HTTPS-Hosts, HTTP-Cookies, HTTP-Posting-Daten und mehr. Es stellt sie dann in einer externen Datei dar.
• Manipulieren oder ändern Sie den TCP-, HTTP- und HTTPS-Datenverkehr in Echtzeit.

Proxy.py

Proxy.py ist ein leichtgewichtiger Open-Source WebSockets-, HTTP-, HTTPS- und HTTP2-Proxyserver. Das schnelle Tool, das in einer einzigen Python-Datei verfügbar ist, ermöglicht es Forschern, den Webverkehr zu untersuchen, einschließlich TLS-verschlüsselter Anwendungen, und verbraucht dabei nur minimale Ressourcen

Wichtigste Merkmale

• Es ist ein schnelles und skalierbares Tool, das Zehntausende von Verbindungen pro Sekunde verarbeiten kann.
• Programmierbare Funktionen wie ein eingebauter Webserver, Proxy und HTTP-Routing-Anpassung usw.
• Es ist leichtgewichtig und benötigt nur 5-20MB RAM. Außerdem stützt es sich auf die Standard-Python-Bibliotheken und benötigt keine externen Abhängigkeiten.
• Ein in Echtzeit anpassbares Dashboard, das Sie mit Plugins erweitern können. Es bietet Ihnen außerdem die Möglichkeit, die proxy.py zur Laufzeit zu überprüfen, zu überwachen, zu konfigurieren und zu steuern.
• Das sichere Tool verwendet TLS, um eine Ende-zu-Ende-Verschlüsselung zwischen der proxy.py und dem Client zu gewährleisten.

Mitmproxy

Der mitmproxy ist eine benutzerfreundliche, quelloffene HTTPS-Proxy-Lösung

Das einfach zu installierende Tool arbeitet im Allgemeinen als SSL-Man-in-the-Middle-HTTP-Proxy und verfügt über eine Konsolenschnittstelle, mit der Sie den Datenverkehr im laufenden Betrieb überprüfen und ändern können. Sie können das befehlszeilenbasierte Tool als HTTP- oder HTTPS-Proxy verwenden, um den gesamten Netzwerkverkehr aufzuzeichnen, zu sehen, was die Benutzer anfordern und sie wiederzugeben. Normalerweise bezieht sich mitmproxy auf einen Satz von drei leistungsstarken Tools: mitmproxy (Konsolenschnittstelle), mitmweb (webbasierte Schnittstelle) und mitmdump (Befehlszeilenversion)

Wichtigste Merkmale

• Interaktives und zuverlässiges Tool zur Analyse und Änderung des HTTP-Verkehrs
• Ein flexibles, stabiles, zuverlässiges, einfach zu installierendes und zu verwendendes Tool
• Ermöglicht es Ihnen, HTTP- und HTTPS-Anfragen und -Antworten spontan abzufangen und zu verändern
• Sie können die HTTP-Konversationen auf Client- und Serverseite aufzeichnen und speichern, um sie in Zukunft wieder abzuspielen und zu analysieren
• Generieren Sie die SSL/TLS-Zertifikate, die Sie abfangen wollen, im Handumdrehen
• Reverse-Proxy-Funktionen ermöglichen es Ihnen, den Netzwerkverkehr an einen anderen Server weiterzuleiten.

Rülpsen

Rülpsen ist ein automatisiertes und skalierbares Tool zum Scannen von Sicherheitslücken. Das Tool ist eine gute Wahl für viele Sicherheitsexperten. Im Allgemeinen ermöglicht es den Forschern, Webanwendungen zu testen und Schwachstellen zu identifizieren, die Kriminelle ausnutzen und MITM-Angriffe starten können.

Es verwendet einen benutzergesteuerten Arbeitsablauf, um einen direkten Einblick in die Zielanwendung und deren Funktionsweise zu erhalten. Als Web-Proxy-Server fungiert Burp als Vermittler zwischen dem Webbrowser und den Zielservern. So können Sie den Anfrage- und Antwortverkehr abfangen, analysieren und modifizieren

Wichtigste Funktionen

• Abfangen und Untersuchen des rohen Netzwerkverkehrs in beiden Richtungen zwischen dem Webbrowser und dem Server
• Unterbricht die TLS-Verbindung im HTTPS-Verkehr zwischen dem Browser und dem Zielserver und ermöglicht es dem Angreifer, verschlüsselte Daten einzusehen und zu verändern.
• Wahlweise Verwendung des eingebetteten Burps-Browsers oder eines externen Standard-Webbrowsers
• Automatisierte, schnelle und skalierbare Lösung zum Scannen von Schwachstellen. Sie ermöglicht es Ihnen, Webanwendungen schneller und effizienter zu scannen und zu testen und so eine Vielzahl von Schwachstellen zu identifizieren.
• Anzeige einzelner abgefangener HTTP-Anfragen und -Antworten
• Manuelle Überprüfung des abgefangenen Datenverkehrs, um die Details eines Angriffs zu verstehen.

Ettercap

Ettercap ist ein Open-Source-Analysator und Abfangjäger für den Netzwerkverkehr

Das umfassende Tool für MITM-Angriffe ermöglicht es Forschern, eine Vielzahl von Netzwerkprotokollen und Hosts zu zerlegen und zu analysieren. Es kann auch die Netzwerkpakete in einem LAN und anderen Umgebungen registrieren. Darüber hinaus kann der vielseitig einsetzbare Network Traffic Analyzer Man-in-the-Middle-Angriffe erkennen und stoppen

Wichtigste Funktionen

• Fangen Sie den Netzwerkverkehr ab und erfassen Sie Anmeldedaten wie Passwörter. Außerdem kann er verschlüsselte Daten entschlüsseln und Anmeldeinformationen wie Benutzernamen und Passwörter extrahieren.
• Geeignet für Deep Packet Sniffing, Tests, Überwachung des Netzwerkverkehrs und Inhaltsfilterung in Echtzeit.
• Unterstützt aktives und passives Abhören, Sezieren und Analysieren von Netzwerkprotokollen, einschließlich solcher mit Verschlüsselung
• Analysieren Sie eine Netzwerktopologie und ermitteln Sie die installierten Betriebssysteme.
• Benutzerfreundliche grafische Benutzeroberfläche mit interaktiven und nicht-interaktiven GUI-Bedienoptionen
• nutzt Analysetechniken wie das Abfangen von ARP, IP- und MAC-Filterung und andere, um den Datenverkehr abzufangen und zu analysieren

Verhinderung von MITM-Angriffen

Die Identifizierung von MITM-Angriffen ist nicht sehr einfach, da sie fernab der Benutzer stattfinden und schwer zu erkennen sind, da die Angreifer alles normal aussehen lassen. Es gibt jedoch mehrere Sicherheitspraktiken, die Unternehmen anwenden können, um Man-in-the-Middle-Angriffe zu verhindern. Dazu gehören

• Sichern Sie die Internetverbindungen in Ihrem Arbeits- oder Heimnetzwerk, z.B. durch den Einsatz effektiver Sicherheitslösungen und -tools auf Ihren Servern und Computern sowie zuverlässiger Authentifizierungslösungen
• Erzwingen Sie eine starke WEP/WAP-Verschlüsselung für die Zugangspunkte
• Stellen Sie sicher, dass alle Websites, die Sie besuchen, sicher sind und HTTPS in der URL enthalten.
• Vermeiden Sie das Anklicken verdächtiger E-Mails und Links
• Erzwingen Sie HTTPS und deaktivieren Sie unsichere TLS/SSL-Protokolle.
• Verwenden Sie, wenn möglich, virtuelle private Netzwerke.
• Verwenden Sie die oben genannten Tools und andere HTTP-Lösungen, um alle Man-in-the-Middle-Schwachstellen zu identifizieren und zu beseitigen, die Angreifer ausnutzen können.