[Remote-Router]Fake DNS and Phishing/Exploiting attack

In pochissimi, cambiano la password al router -.-’ per comodità si lascia quella di default, quella facile da ricordare o.O

User: admin
Password: admin

In questo modo, se il router è raggiungibile dall’esterno, oppure se un utente, riesce ad entrare nella nostra rete può sfruttando i dns effettuare attacchi mirati verso il vostro il pc :D
Gli attacchi vanno dal phishing:
Wiki:

In the field of computer security, phishing is the criminally fraudulent process of attempting to acquire sensitive information such as usernames, passwords and credit card details by masquerading as a trustworthy entity in an electronic communication. Communications purporting to be from popular social web sites, auction sites, online payment processors or IT administrators are commonly used to lure the unsuspecting public. Phishing is typically carried out by e-mail or instant messaging.

fino a per prendere il controllo remoto del pc vittima :D

Tutto questo sfruttando i dns.
Quando riusciamo ad entrare nei router, oltre a cambiare l’ssid del wifi in “Che stronzo che sie” / “Sei un merda” e stronzate varie possiamo cambiare i dns.
Ad esempio io ho quelli di google o.O

I server dns, volgarmente parlando, non fanno altro che restituire l’ip del sito internet a cui ci stiamo connettendo, ad esempio se digitiamo www.clshack.com:
; <<>> DiG 9.7.0-P1 <<>> www.clshack.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 29740
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
;; QUESTION SECTION:
;www.clshack.com. IN A
;; ANSWER SECTION:
www.clshack.com. 31 IN A 94.141.22.26
;; Query time: 127 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Thu Aug 19 19:12:04 2010
;; MSG SIZE rcvd: 48
Ci restituisce:
94.141.22.26

Prima che venga effettuata la query al dns server, linux passa dal file /etc/hosts mentre windows passa da:
# For Windows 9x and ME place this file at "C:\Windows\hosts"
# For NT, Win2K and XP use "C:\windows\system32\drivers\etc\hosts"
# or "C:\winnt\system32\drivers\etc\hosts"
# For Windows 7 and Vista use "C:\window\system32\drivers\etc\"
# or "%systemroot%\system32\drivers\etc\"
Se un malintenzionato/virus modifica i vostri file hosts in ad esempio:
127.0.0.1 www.google.com
Ogni volta che digitate google.com, verrete reindirizzati su 127.0.0.1 ma l'url non cambierebbe :D
Pensate a un virus/ malintenzionato che modifica questi file o.O

Beh comunque dicevamo, se il sito digitato non è presente nel nostro file host, e nemmeno nella nostra cache(esistono programmi che cachano sul nostro pc gli indirizzi ip appartenenti ai siti per velocizzare la navigazione... ) il pc chiede al server dns di dargli l'indirizzo ip del sito :D

Se abbiamo un nostro server dns o.O possiamo dirgli che google, corrisponda a facebook e così via :D
Immagine esempio :D => (potrei andare a fare il grafico pff )

E adesso passiamo alla pratica :D vediamo come attaccare milioni di router :D

Quasi tutti i router, hanno una autentificazione http basic quindi sfruttando il mio piccolo script, possiamo craccarli:
[PHP]BruteForce Http basic authentication
Una volta trovata la password del router, possiamo impostare il nostro server dns:
[PYTHON]Fake DNS Server

Ora possiamo sbizzarci con metasploit, oppure in modo più automatico, =>
[How To] Social Engineering Toolkit with Metasploit

Basta solo impostare la falsa risposta nel falso dns server, cosi il nostro amico viene reindirazzato dove vogliamo noi :D
Ad esempio su un server creato da metasploit che sfrutta una certa vulnerabilità ecc ecc, tutto questo è semplicissimo o.O
Ed è colpa di chi non cambia la password di default nei router...
In un ora, si riescono a trovare anche 50 password di router e vanno dall'admin:admin all'admin:1234

Related posts:

1. Come scoprire le password dei router
2. [cronaca]Man in the Middle attack:Guida con ettercap
3. PyLoris 3.0: for testing a Denial of Service (DoS) attack
4. [CVE-2010-1297]Metasploit:Flash Player 9x, 10.0 Remote code Excution
5. [PYTHON]Fake DNS Server

This entry was posted on Sunday, August 29th, 2010 at 9:31 am and is filed under GNU/Linux, Hacking, Programming, Software. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.

Tagged with: attack • Hacking • phishing • remote • router • tool