Intercept the planet!: Intercepter-NG 0.9.10 is out
Intro
很高兴推出Intercepter-NG 0.9.10新版本，该版本显著扩展了工具的应用范围。本概述将以描述新攻击向量为主，结合技术细节和黑客故事元素，而非枯燥地列举新功能。
Network Scan
修复和改进了许多小功能，无需一一列举。主要模式是网络扫描，特别是Smart Scan功能。除了IP、MAC地址、网卡制造商和操作系统信息外，新增了计算机名称输出。现在还可获取Netbios名称或iOS设备名称，后者使用MDNS协议（基于Apple的Bonjour）。所有名称保存到缓存文件，若后续扫描无法动态获取主机名，则从缓存读取。新增Auto ARP Poison功能（在专家设置中启用），只需添加1个目标主机，Intercepter会自动定期扫描网络并添加新目标。
Bruteforce Mode
新增SMTP和POP3的TLS支持，以及TELNET认证暴力破解。超时后活动线程从相同位置重启，继续破解过程。新增Single Mode，指示每个新L/P对需建立新连接验证，提高某些协议的速度。日志保存到brute.txt。
Traffic Changer
实现了流量篡改功能，但需注意：只能替换相同大小的数据，不改变包长度。限制源于应用层协议，如HTTP的Content-length字段。示例：若将"12345"改为"12356"，浏览器仅下载5字节；若改为"1234"，浏览器等待超时。支持文本和二进制数据（C风格语法，如"\x01\x02\x03"）。HTTP流量篡改需启用"Disable HTTP gzip encoding"选项。
HSTS Spoofing
实现了SSL Strip时的HSTS绕过。技术简单但实现复杂，结果有限。示例：Chrome访问ya.ru，SSL Strip处理"Войти в почту"链接，但授权POST到passport.yandex.ru仍用SSL（因在Chrome preloaded列表）。解决方案：替换host名为paszport.yandex.ru（需DNS Spoofing指向原IP）。该过程自动化，用户无需干预。预定义替换列表在misc\hsts.txt（默认含yandex、gmail等）。注意：若用户直接输入facebook.com，攻击无效；仅当从其他资源（如Google）链接时有效。实现问题包括站点子域名逻辑不可预测和Web代码特性可能使绕过失效。默认域名并非总是有效。当前DNS Spoofing需DNS服务器不在本地网络，以拦截DNS请求。
SSL Strip本身在新版本中显著改进。
Forced Download and JS Inject
两者属于HTTP Injection模式。Forced Download强制目标下载攻击者指定文件（如.exe），源显示为当前访问站点（如adobe.com）。单次触发后需重新启用。JS Inject未在UI显式控制，因本质是HTTP inject，但区别：不替换.js脚本而是追加代码，避免破坏原功能。
SSL MiTM
完全重写SSL MiTM代码，更快更稳定。证书生成算法改进：添加额外DNS记录，所有证书用同一密钥签名（misc\server）。若目标信任此自签名证书，可监听所有SSL流量（无SSL Pinning时）。Cookie Killer现支持SSL连接。新增黑名单（misc\ssl_bl.txt）和白名单（misc\ssl_wl.txt）排除或强制SSL MiTM应用。指定extra ssl port时无需read\write类型，只需端口号。所有流量写入ssl_log.txt。
Group Policy Hijacking
killer-feature：首次公开完整功能实现。利用SMB漏洞，约1.5小时可访问域内任何计算机（除域控制器）。每90+随机分钟成员从DC请求组策略（\DC\SYSVOL\domain.name\Policies\UUID\gpt.ini）。若版本变化，客户端请求CSE（如logon脚本）。攻击者中间人篡改任务，但默认CSE禁用，仅能修改注册表（通过GptTmpl.inf）。原方法用AppInit_Dll（已禁用多年），新方法通过注册表调试器（如为calc.exe指定debuger.exe）。限制：若用户无管理员权限，无法删除调试器。最终解决方案：劫持taskhost.exe（由svchost以SYSTEM权限启动），立即获取SYSTEM shell，无需用户交互。攻击自动化，可批量目标。无需域成员身份，只需启用"Network access: Let Everyone permissions apply to anonymous users"。测试时用gpupdate加速。验证于Windows 7/8.1（已打补丁）和2008R2/2012R2域。
防护措施：Microsoft发布MS15-011补丁（UNC Hardened Access），需手动配置。威胁对所有用户同等。
Десерт
非新功能，而是结合现有功能的攻击向量，针对无线网络和移动设备（如iOS）。ARP poison效果有限，通常仅能截获浏览器cookie。SSL MiTM因证书信任失败无效。新场景：用户用Instagram应用时连接失败，打开浏览器见alert要求安装证书（如"请为%domain%安装新证书"），可能安装攻击者证书（通过Forced Download下载misc\server.crt）。结合JS Inject和SSL MiTM实现：
- JS Inject添加alert。
- Forced Download根证书。
- 启用SSL MiTM和ssl strip。
- 目标SSL连接失败，浏览器显示alert和证书。
Cookie Killer支持Facebook等应用。针对iCloud、Instagram、VK新增iOS Killer功能，重置会话并截获重新认证（AppStore因SSL Pinning无效）。测试于iOS 5/6和8.4。
Outro
原计划添加LUA或DLL插件支持，但用户兴趣低。下版本可能明年发布，Android功能更新或秋季推出。欢迎反馈和请求。
演示视频可用。
项目联系人
- 网站: sniff.su
- 邮箱: intercepter.mail@gmail.com
- 博客: intercepter-ng.blogspot.ru
- Twitter: twitter.com/IntercepterNG
信息仅供教育用途，作者不承担使用后果。
作者: Intercepter