Un ataque de hombre en el medio (MITM) es cuando un atacante interrumpe una conversación de red establecida o transferencia de datos. El atacante se sienta en medio de la ruta de transmisión y luego finge o actúa como un participante legítimo en la conversación.
En la práctica, los atacantes se sientan entre solicitudes entrantes y respuestas salientes. Como usuario, aún cree que está hablando directamente con un servidor de destino legítimo o una aplicación web como Facebook, Twitter, banca en línea y otros. Sin embargo, en realidad enviará solicitudes a un intermediario que luego se comunica con su banco o aplicación en su nombre.
Imagen de Imperva
De esta manera, la persona en el medio verá todo, incluidas todas sus solicitudes y respuestas que recibe del objetivo o servidor de destino. Además de ver toda la conversación, la persona en el medio puede alterar sus solicitudes y respuestas, robar sus credenciales, dirigirlo a un servidor que controlan o cometer otros delitos cibernéticos.
Por lo general, un atacante puede interceptar el flujo de comunicación o los datos de cualquiera de las partes en una conversación. El atacante puede modificar la información o enviar enlaces maliciosos o respuestas a ambas partes legítimas. En la mayoría de los casos, esto puede no ser detectado por algún tiempo hasta que se hagan daños importantes más tarde.
Los métodos comunes de los ataques de hombre en el medio incluyen
Análisis de paquetes: el atacante utiliza diversas herramientas para inspeccionar los paquetes de red en un nivel bajo. Sniffing permite a los atacantes ver paquetes de datos a los que no tienen acceso.
Inyección de paquetes: – Cuando los atacantes inyectan paquetes maliciosos en canales de datos. Antes de incrustar, los delincuentes primero usan el olfato para determinar cómo y cuándo enviar paquetes maliciosos. Después de la inyección, los paquetes malos se mezclan con paquetes válidos en el flujo de comunicación.
Secuestro de sesión: en la mayoría de las aplicaciones web, el proceso de inicio de sesión crea un token de sesión temporal para que el usuario no tenga que ingresar una contraseña para cada página o cualquier solicitud futura. Desafortunadamente, un atacante que usa varias herramientas de olfateo puede identificar y usar el token de sesión, que ahora puede usar para enviar solicitudes que se posan como un usuario legítimo.
Separación SSL: los atacantes pueden usar el método de desactivación SSL para interceptar paquetes legítimos, modificar las solicitudes basadas en HTTPS y enrutarlos al equivalente inseguro de HTTP. En consecuencia, el host comenzará a realizar solicitudes sin cifrar al servidor, exponiendo así datos confidenciales en texto sin formato que es fácil de robar.
Consecuencias de los ataques de MITM
Los ataques MITM son peligrosos para cualquier organización, ya que pueden conducir a pérdidas financieras y de reputación.
Por lo general, los delincuentes pueden obtener y usar mal el mal uso de la información confidencial y personal de una organización. Por ejemplo, pueden robar credenciales como nombres de usuario y contraseñas, información de la tarjeta de crédito y usarlas para transferir fondos o realizar compras no autorizadas. También pueden usar credenciales robadas para instalar malware o robar otra información confidencial que pueden usar para chantajear a una empresa.
Por esta razón, es fundamental proteger a los usuarios y los sistemas digitales para minimizar los riesgos de los ataques MITM.
Herramientas de ataque MITM para equipos de seguridad
Además de utilizar soluciones y prácticas de seguridad robustas, debe utilizar las herramientas adecuadas para probar sus sistemas e identificar vulnerabilidades que pueden ser explotadas por los atacantes. Para ayudarlo a tomar la decisión correcta, estos son algunas de las herramientas de ataque HTTP MITM para investigadores de seguridad.
Hetty
Hetty es un conjunto de herramientas HTTP de código abierto rápido con características potentes para apoyar a los investigadores de seguridad, los equipos y la comunidad de Bug Bounty. Herramienta liviana con interfaz web incorporada Next. js incluye un proxy HTTP en el medio.
- Permite búsquedas de texto completo
- Tiene un módulo de remitente que le permite enviar solicitudes HTTP manualmente en función de cualquiera de las solicitudes deshabilitadas desde el registro de proxy o creándolas desde cero.
- Un módulo de atacante que le permite enviar solicitudes HTTP automáticamente.
- Instalación fácil e interfaz fácil de usar
- Envíe manualmente las solicitudes HTTP comenzando desde cero, creando una solicitud o simplemente copiándola desde el registro de proxy.
Bateador
BetterCap es una herramienta integral y escalable de inteligencia de red y ataque.
Esta solución fácil de usar proporciona analistas de ingeniería, expertos en seguridad y equipos rojos con todas las capacidades para probar o atacar Wi-Fi, IP4, redes IP6, dispositivos Bluetooth de baja energía (BLE) y dispositivos HID inalámbricos. Además, la herramienta tiene capacidades de monitoreo de red y otras características, como la creación de puntos de acceso falso, el analizador de contraseñas, el plato DNS, la captura del apretón de manos, etc.
- Potente red de red incorporada para identificar datos de autenticación y recopilar credenciales.
- poderoso, extensible
- Inspeccione y pruebe activa y pasivamente hosts de red IP para posibles vulnerabilidades de MITM.
- Interfaz de usuario basada en la web fácil de usar e interactiva que le permite realizar una amplia gama de ataques MITM, capturar credenciales, monitorear el tráfico HTTP y HTTP, etc.
- Extraiga todos los datos que recopila, como credenciales POP, IMAP, SMTP y FTP, hosts de URL y HTTPS visitados, cookies HTTP, datos HTTP publicados y más. Luego lo presenta en un archivo externo.
- Manipule o modifique el tráfico TCP, HTTP y HTTPS en tiempo real.
Proxy. py.
Proxy. py es un servidor WebSockets de código abierto ligero, HTTP, HTTPS y HTTP2 Proxy. Disponible en un solo archivo de Python, esta herramienta rápida permite a los investigadores inspeccionar el tráfico web, incluidas las aplicaciones cifradas con TLS, al tiempo que consumen recursos mínimos.
- Es una herramienta rápida y escalable capaz de manejar decenas de miles de conexiones por segundo.
- Características programables como servidor web incorporado, servidor proxy, configuración de enrutamiento HTTP, etc.
- Tiene un diseño liviano que utiliza 5-20 MB de RAM. También se basa en las bibliotecas estándar de Python y no requiere dependencias externas.
- Un tablero personalizable en tiempo real que se puede extender con complementos. También le brinda la capacidad de probar, monitorear, personalizar y controlar proxy. py en tiempo de ejecución.
- La herramienta Secure utiliza TLS para proporcionar cifrado de extremo a extremo entre Proxy. py y el cliente.
Mitmproxi
MITMProxy es una solución proxy HTTPS de código abierto fácil de usar.
En general, esta herramienta fácil de instalar funciona como una proxy SSL HTTP de Man-in-the-Middle y tiene una interfaz de consola que le permite inspeccionar y modificar el flujo de tráfico en la mosca. Puede usar la herramienta basada en línea de comandos como un proxy HTTP o HTTPS para registrar todo el tráfico de red, ver qué solicitan los usuarios y reproducirlos. Típicamente, Mitmproxy se refiere a un conjunto de tres herramientas poderosas; MITMProxy (interfaz de la consola), MitmWeb (interfaz web) y Mitmdump (versión de línea de comando).
- Una herramienta interactiva y robusta para analizar y modificar el tráfico HTTP
- Herramienta flexible, estable, confiable, fácil de instalar y usar
- Le permite interceptar y modificar las solicitudes y respuestas HTTP y HTTPS sobre la mosca
- Registre y guarde las conversaciones HTTP del lado del cliente y del lado del servidor, luego vuelva a reproducirlas y analizarlas en el futuro.
- Crear certificados SSL/TLS para la intercepción sobre la marcha
- Las características de proxy inversa le permiten redirigir el tráfico de red a otro servidor.
Eructar
BURP es una herramienta de escaneo de vulnerabilidad automatizada y escalable. La herramienta es una buena opción para muchos profesionales de seguridad. Por lo general, permite a los investigadores probar aplicaciones web e identificar vulnerabilidades que los delincuentes pueden explotar y lanzar ataques MITM.
Utiliza un flujo de trabajo impulsado por el usuario para proporcionar una vista directa de la aplicación de destino y cómo funciona. Operando como un proxy web, Burp media entre el navegador web y los servidores de destino. En consecuencia, le permite interceptar, analizar y modificar el tráfico de solicitudes y respuesta.
- Interceptar e inspeccionar el tráfico de red sin procesar en ambas direcciones entre el navegador web y el servidor.
- Rompe la conexión TLS en el tráfico HTTPS entre el navegador y el servidor de destino, lo que permite a un atacante ver y modificar datos cifrados.
- Elección de usar el navegador incorporado de Burps o un navegador web estándar externo.
- Solución de escaneo de vulnerabilidad automatizada, rápida y escalable. Le permite escanear y probar aplicaciones web de manera más rápida y eficiente, identificando así una amplia gama de vulnerabilidades.
- Mostrar solicitudes y respuestas HTTP interceptadas individuales
- Revise manualmente el tráfico interceptado para comprender los detalles del ataque
Attercap
EtterCap es un analizador de tráfico de red de código abierto e interceptor.
La herramienta integral de ataque MITM permite a los investigadores analizar una amplia gama de protocolos y huéspedes de red. También puede registrar paquetes de red en LAN y otros entornos. Además, el analizador de tráfico de red multipropósito puede detectar y detener los ataques del hombre en el medio.
- Interceptar tráfico de red y capturar credenciales, como contraseñas. También puede descifrar datos cifrados y extraer credenciales, como nombres de usuario y contraseñas.
- Adecuado para análisis de paquetes profundos, pruebas, monitoreo del tráfico de la red y proporcionando filtrado de contenido en tiempo real.
- Admite escucha activa y pasiva, análisis y análisis de protocolos de red, incluso con cifrado
- Analice la topología de la red e instale sistemas operativos instalados.
- Interfaz gráfica de usuario fácil de usar con opciones de GUI interactivas y no interactivas.
- Utiliza técnicas de análisis como secuestro de ARP, filtrado de direcciones IP y MAC y otras para interceptar y analizar el tráfico
Prevenir los ataques de MITM
Los ataques MITM no son fáciles de detectar porque se encuentran lejos de los usuarios, y son difíciles de detectar porque los atacantes hacen que todo parezca normal. Sin embargo, existen varias técnicas de seguridad que las organizaciones pueden usar para evitar ataques de tipo «atacante en el medio». Éstas incluyen;
- Proteja las conexiones a Internet en el trabajo o en las redes domésticas, por ejemplo, utilizando soluciones y herramientas de seguridad efectivas en sus servidores y computadoras, soluciones de autenticación fuertes
- Cifrado forzado de WEP/WAP para puntos de acceso
- Asegúrese de que todos los sitios web que visite sean seguros y tengan HTTP en la URL.
- No haga clic en correos electrónicos y enlaces sospechosos
- Habilite HTTPS y desactive los protocolos TLS/SSL inseguros.
- Use redes privadas virtuales siempre que sea posible.
- Use las herramientas anteriores y otras soluciones HTTP para identificar y eliminar todas las vulnerabilidades de «hombre en el medio» que pueden ser explotadas por los atacantes.
