Merci à tous de m'avoir suivi.
Je continue mon aventure dans le domaine du pentesting ... sans vous le montrer ...
Bonne route à tous.
samedi 3 octobre 2009
jeudi 28 mai 2009
SSLStrip (Video)
SSLStrip est un script python sorti lors de la conférence Black Hat 2009.
C'est un outil absolument fabuleux mais très très dangereux car il va permettre le détournement du trafic sécurisé HTTPS en redirigeant vers du HTTP.
Le vice est même poussé jusqu'au favicon où un petit cadenas y est remplacé.
NE VOUS CROYEZ PLUS SÉCURISÉ EN ALLANT SUR VOS COMPTES !!!
Que ça soit gmail, hotmail, facebook, youtube, ebay, ou encore paypal, et j'en passe ... fini le temps du faux certificat!
Certains croiront qu'en activant l'option "toujours utiliser le protocole https lors de vos connections" seront dispensés de cette attaque :
FAUX, car l'envoi du nom d'utilisateur + mot de passe est bien reçu par l'attaquant avant que la configuration de votre compte soit prise en charge!
Bref, cet outil est une vraie petite merveille d'autant plus qu'il est possible de l'utiliser sur le réseau avec un MITM, un softAP, ou encore en sniffant le réseau Tor (oui c'est pas bien tout le monde le sait).
Je n'ai qu'une chose à vous dire : HTTPS pwned!
Un petit extrait video histoire de vous mettre l'eau à la bouche ...
Bonne visualisation à tous et bon test ^^ :
L'outil SSLStrip sera surement disponible dans la distribution backtrack4 Final.
En attendant, vous pouvez le télécharger ici :
http://www.thoughtcrime.org/software/sslstrip/sslstrip-0.2.tar.gz
Pour plus d'informations :
http://www.thoughtcrime.org/software/sslstrip/
http://www.googleesttonami.net/?q=sslstrip
C'est un outil absolument fabuleux mais très très dangereux car il va permettre le détournement du trafic sécurisé HTTPS en redirigeant vers du HTTP.
Le vice est même poussé jusqu'au favicon où un petit cadenas y est remplacé.
NE VOUS CROYEZ PLUS SÉCURISÉ EN ALLANT SUR VOS COMPTES !!!
Que ça soit gmail, hotmail, facebook, youtube, ebay, ou encore paypal, et j'en passe ... fini le temps du faux certificat!
Certains croiront qu'en activant l'option "toujours utiliser le protocole https lors de vos connections" seront dispensés de cette attaque :
FAUX, car l'envoi du nom d'utilisateur + mot de passe est bien reçu par l'attaquant avant que la configuration de votre compte soit prise en charge!
Bref, cet outil est une vraie petite merveille d'autant plus qu'il est possible de l'utiliser sur le réseau avec un MITM, un softAP, ou encore en sniffant le réseau Tor (oui c'est pas bien tout le monde le sait).
Je n'ai qu'une chose à vous dire : HTTPS pwned!
Un petit extrait video histoire de vous mettre l'eau à la bouche ...
Bonne visualisation à tous et bon test ^^ :
L'outil SSLStrip sera surement disponible dans la distribution backtrack4 Final.
En attendant, vous pouvez le télécharger ici :
http://www.thoughtcrime.org/software/sslstrip/sslstrip-0.2.tar.gz
Pour plus d'informations :
http://www.thoughtcrime.org/software/sslstrip/
http://www.googleesttonami.net/?q=sslstrip
mardi 12 mai 2009
Wifitap (Video)
Aujourd'hui je voulais vous parler d'un tool qui me tient à cœur et qui fait partie de la liste d'outil indispensable pour tout bon Wardriver.
Wifitap est un outil de communication sur les réseaux Wi-Fi par injection de trafic.
Il permet de communiquer avec les stations associées à un point d'accès Wifi tout en étant en mode monitoring.
Il permet donc de sniffer, communiquer avec les stations, mais aussi de lancer d'éventuelles attaques SANS être connecté au réseau! (oui oui vous avez bien lu)
En fait, Wifitap crée une interface tuntap à travers laquelle nous pouvons injecter du trafic IP.
Dans cet exemple, juste un ping, scan et dns spoofing vous seront montrés, de quoi vous donner quelques idées.
Enjoy :
L'outil Wifitap est disponible dans la distribution backtrack.
(BT4F soon ?)
Pour le télécharger, il se trouve ici :
http://sid.rstack.org/code/wifitap.tgz
Pour plus d'informations :
http://sid.rstack.org/index.php/Wifitap
Wifitap est un outil de communication sur les réseaux Wi-Fi par injection de trafic.
Il permet de communiquer avec les stations associées à un point d'accès Wifi tout en étant en mode monitoring.
Il permet donc de sniffer, communiquer avec les stations, mais aussi de lancer d'éventuelles attaques SANS être connecté au réseau! (oui oui vous avez bien lu)
En fait, Wifitap crée une interface tuntap à travers laquelle nous pouvons injecter du trafic IP.
Dans cet exemple, juste un ping, scan et dns spoofing vous seront montrés, de quoi vous donner quelques idées.
Enjoy :
L'outil Wifitap est disponible dans la distribution backtrack.
(BT4F soon ?)
Pour le télécharger, il se trouve ici :
http://sid.rstack.org/code/wifitap.tgz
Pour plus d'informations :
http://sid.rstack.org/index.php/Wifitap
Inscription à :
Articles (Atom)
