拦截全球！Intercepter-NG 1.0 周年纪念版

2017年2月16日，星期四

我几乎忘了向国外观众介绍新版本，所以在几个月后的现在进行弥补。在您阅读项目最新消息之前，我想总结一些您显然不知道的关于Intercepter-NG的事实。这是有史以来第一个拥有以下功能的应用程序：

Windows平台原生且功能完整的SSLStrip实现
SSH2协议的自动化中间人攻击
功能完整的组策略劫持技术
SMB劫持技术和首个NTLMv2上的SMBRelay
ICMP DNS中间人或"全双工icmp重定向"攻击
通过结合不同技术半自动化嗅探iOS设备有价值信息的能力
强大稳定的LDAP中继技术
MySQL LOAD DATA注入技术

…

经过十年的开发（是的，这是项目的年龄），Intercepter-NG版本号终于达到了1.0。根据既定传统，Windows更新每年发布一次，这个周年纪念版本证明非常成功。我要感谢所有在这些年里协助我测试、提供详尽反馈并创造性启发项目的人。

让我们从一些次要功能开始这次回顾，把最好的留到最后。

RAW模式中添加了将选定数据包导出到.pcap文件的功能。启用自动保存功能后，包含授权数据的数据包将被记录到单独的.pcap文件中。
现在可以在SSL中间人攻击中提到的额外SSL端口字段中输入多个用逗号分隔的端口号。
在对使用非英语语言的域控制器应用LDAP中继攻击时，可以在专家设置中手动指定添加用户所需的组。例如，可以输入俄语对应的"Администраторы домена"而不是"Domain Admins"。
修复了在某些NTLMv2SSP哈希中无法正确暴力破解密码的错误。
暴力破解模式的多项改进。新增：HTTP的SSL支持，LDAP暴力破解的UTF8支持。还新增了：VNC、Vmware认证守护进程和RDP协议。RDP暴力破解现在可在Windows 7/8/2008/2012上运行。支持NLA和任何语言的登录名/密码。不支持RDP安全层。
多项常规改进和更改。欺骗功能现在默认关闭。

FATE

FATE模式包含两个新功能：FAke siTE（虚假网站）和FAke updaTE（虚假更新）。

FAke siTE的主要目的是绕过SSL和其他防御机制从任何网络资源获取授权数据。这是通过克隆授权页面并创建存储在嵌入式伪Web服务器上的模板来实现的。您可以在本文末尾的视频中查看工作流程。默认情况下，Intercepter包含一个accounts.google.com的模板，因为原始页面需要先填写登录名再填写密码。然而，该模板进行了一些小改动，以使两个字段同时处于活动状态。在攻击之前，必须指定存储模板的域。攻击开始时，重定向到所选域的注入会注入到受害者的流量中，随后Intercepter会自动对目标地址执行DNS欺骗。视频中显示了mail.yandex.ru的站点克隆例程。

Linux爱好者熟悉Evilgrade工具，它允许利用自动更新机制并注入任意有效负载。实际上，这个向量被高度高估了。首先，Evilgrade支持的应用程序列表大部分已经过时。其次，绝大多数最流行的应用程序使用安全例程检查更新。尽管如此，我们都听说过大型厂商软件更新机制中存在臭名昭著的缺陷。可能这样的事情将来也会发生。因此，在Intercepter-NG中添加了Evilgrade的等效功能。支持的软件列表相当有限。如果需要，可以添加自己的模板。您可以在mics\FATE\updates中查看它们的结构。请向我发送公开更新的示例软件，我们将共同扩大数据库。

X-Scan

我曾经喜欢中国团队Xfocus开发的网络安全扫描器"X-Scan"。它轻量级，具有友好的界面和良好的功能。在2000年代中期，它允许做很多事情，但后来其开发停止了，如今它不太有用。这就是为什么我想创建它的现代等效版本，但直到最近才实现。为了向原始软件致敬，网络扫描器在Intercepter-NG中以相同的名称出现。

该扫描器是先前版本中原始端口扫描器的替代品。让我们看看它能做什么。

扫描开放端口并启发式确定以下协议：SSH、Telnet、HTTP\Proxy、Socks4\5、VNC、RDP。
确定开放端口上是否存在SSL，读取横幅和不同的Web头。
发现代理或SOCKS时，检查它们是否向外开放。
检查无密码访问VNC服务器，检查SSL是否存在HeartBleed漏洞。读取DNS version.bind。
根据数据库检查Web服务器上可能存在ShellShock漏洞的脚本的可用性。根据数据库检查目录和文件的200 OK列表以及robots.txt中的目录列表。
通过SMB确定操作系统版本。如果允许匿名访问，获取本地时间、运行时间和公共资源列表以及本地用户。对识别出的用户自动启动密码暴力破解。
通过分析响应时间，根据嵌入列表确定SSH用户。对识别出的用户自动启动密码暴力破解。如果枚举没有找到任何用户（枚举并非在所有版本上都有效），则仅对root启动暴力破解。
自动暴力破解HTTP Basic和Telnet。由于telnet协议的特性，可能会出现误报。

可以扫描本地网络以及互联网上的任何目标。您可以输入要扫描的端口列表：192.168.1.1:80,443或范围：192.168.1.1:100-200。也可以输入要扫描的地址范围：192.168.1.1-192.168.3.255。

为了获得更准确的结果，一次只能扫描三个主机。在最后一刻添加了对SSL证书数据的验证。例如，如果遇到单词Ubiquiti且端口22开放，则自动启动SSH用户ubnt的暴力破解。这对用户为"admin"的Zyxel硬件同样适用。

对于扫描器的第一个版本，其功能已经足够并且调整得相当好。请将您的想法和建议发送给我。