Cain & Abel [ for hacking...]

Cain & Abel ne yapar? “Man in the Middle” olarak adlandırılan “ortadaki adam” saldırısını, ARP zehirlemesi kullanarak gerçekleştirir böylece ağ’daki kullanıcıların özel bilgilerini görmektedir. Bunu yaparken desteklediği protokoller oldukça fazladır böylelikle örneğin bir banka/alışveriş sitesinde kredi kartını kullanan bir kullanıcının site/sayfa SSL’li dahi olsa bilgilerini görmek mümkündür. Program kablosuz ağ’lara bağlanarak gene bu tip işlemlerin yapılmasını desteklemektedir.
Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=121202

Yazının anlaşılabilmesi için belki bildiğiniz belkide bilmediğiniz bazı protokolleri ve terimleri açıklamak gerekli. Lütfen ne kadar “biliyorumda” desenizde “SÖZLÜK” bölümünü gözden geçirmeyi ihmal etmeyin.


Sözlük:
ARP (http://tr.wikipedia.org/wiki/ARP); Address Request Protocol, lokal ağ’larda paketlerin gönderilmesini/alınmasını sağlayan ikinci katmanda (L2) çalışan protokol. OSI (http://tr.wikipedia.org/wiki/OSI_Modeli) katmanlama modeline göre temel amacı, L3’den gelen adresleme paketlerine L2 adresleme paketlerini eklemektir. DOD (http://en.wikipedia.org/wiki/DoD_model) katmanlama modeline göre temel amacı, L2’den gelen adresleme paketlerine L1 adresleme paketlerini eklemektir.

IP (http://tr.wikipedia.org/wiki/IP); Internet Protocol, internet ağ’ına bağlı her cihazın kendine ait en az bir adet IP adresi vardır bu adres başka hiçbir cihazda yoktur. Böylelikle “adresleme” sağlanmaktadır. IP protokol’ünü geliştiren ekip DOD modelini geliştirmiştir ve daha sonra geliştirilen OSI modelini “benimsememiştir”. Bu bakımdan bilişime yeni başlayan birinin L2’si eskilerin L1’ine denk gelmektedir, bu da bazen karışıklıklara sebep olmaktadır.

IPv4 (http://tr.wikipedia.org/wiki/IP_adresi); 32bit uzunluğuna sahiptir, güvenlik özelliği yoktur. Bu bakımdan güvenli haberleşmeyle ilgili protokoller daha üst katmanlarda çalışır.

IPv6 (http://tr.wikipedia.org/wiki/IPv6); 128bit uzunluğundadır, güvenlik özelliği vardır. Yaklaşık 10 yıldır geliştirilmektedir ve yaygınlaşması için belirlenen plana göre 2007 yılında tüm dünyanın geçmesi beklenmektedir.

Ethernet; Dünyada en yayğın olarak kullanılan arabirimin adıdır. 1973 yılında Xerox firması tarafından geliştirilmiş ve standartları DEC, Intel ve Xerox tarafından belirlenmiştir. Yaygın kullanıma 3Com firması sunmuştur.

Wirespeed (http://en.wikipedia.org/wiki/Wirespeed); Switch’e gelen paketin işlenmesi gecikmelere sebep olur (switch marka modeline göre; 10Mbit 40-70ms, 100Mbit 11-30ms, 1Gbit 4-8ms). Wirespeed özelliğine sahip switch’te böyle bir gecikme yaşanmaz. Böylece örneğin 1Gbit hızındaki porttan saniyede enaz 84byte’lık 1.448.000 adet, 1500byte’lık 83.333 paket (10Mbit’te 84byte’lık 14.880 adet, 100Mbit’te 84byte’lık 148.800 adet” veya “10Mbit’te 1500byte’lık 833 paket, 100Mbit’te 1500byte’lık 8.333 paket) gecikmeksizin işlenerek geçer.

Switch (http://tr.wikipedia.org/wiki/Switch); Anahtarlayıcı, portlarına takılı cihazların, host’ların, sunucuların ve istemcilerin macid’lerini ve hangi port’larda olduklarını kendi üstündeki bir tabloda tutarak ve sürekli güncelleyerek, “a” port’undan gelen paketin hedef macid’sini tablodan bulup, uyan port “b”ye gönderir.

PoE (http://en.wikipedia.org/wiki/Power_over_Ethernet); Power over Ethernet, ethernet portuna bağlanan PoE desteği bulunan cihaza (örneğin ip kamera) elektrik (1.8-60 volt) verilmesini sağlar. Böylece cihazın ayrıca bir elektrik kablosu kullanması gerekmez. Kullanılan CATx kablonun kaliteli olmasına özellikle dikkat edilmelidir.

L1 (http://tr.wikipedia.org/wiki/Physical) OSI; Birinci katman fiziksel katman, paketin hangi tür arabirim ile aktarılacağını ve iletimini sağlar. Üst katmanlardan gelen paketler binary olarak kodlanmışken bu katmanda, arabirimin tipine göre elektrik veya ışık sinyallerine çevirilir.
Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=121202

L2 (http://tr.wikipedia.org/wiki/Data_Link) OSI; İkinci katman veri bağlantısı katmanı, genellikle arabirimin içindedir bazı durumlarda işletim sistemi sürücüsü olarakta adlandırılır. Diğer cihazları/sunucu/istemcileri bulma, verinin gönderilme zamanının denetimi, iletimi ve hata kontrolümü yapar.

L3 (http://tr.wikipedia.org/wiki/Network) OSI; Üçüncü katman ağ katmanı, örneğin IP ve icmp bu katmanda çalışır, paketin ağ dışında bir başka ağ’a gönderilip gönderilmeyeceğine ve gönderilmesi durumunda paketteki adres değişimlerinden sorumludur.

L4 (http://tr.wikipedia.org/wiki/Transport) OSI; Dördüncü katman taşıma katmanı, veri paketlerinin arabirimin tipine göre ne kadarlık olacağına karar verip ayrımlarda bulunur. Port işlemleri bu katmanda yer alır, TCP ve UDP gibi protokollerin çalıştığı katmandır.

N-B (http://en.wikipedia.org/wiki/Non-blocking_I/O); Non-Blocking, switch’in, tüm portlarının hızlarının toplamından daha yüksek kapasiteli işleme gücü varsa, paket kaybı olmaksızın tüm portları tam kapasite çalıştırabileceğiniz anlamına gelir.

Gbit (http://en.wikipedia.org/wiki/Gbit); 1000Mbit’lik hız değerini temsil eder. Bu tür bir ortamda kaliteli switch, kablo ve kablolama kalitesi iyi durumdaysa saniyede enaz “84byte’lık 1.488.000 adet veya 1500byte’lık 83.333 adet paket geçebilir.

UpLink; Switch ortamlarda istemci ve sunucu hariç diğer bağlantıların yapıldığı port’lara verilen isimlendirmedir.

DHCP (http://tr.wikipedia.org/wiki/DHCP); Dynamic Host Configuration Protocol, ağ’daki host’lara istemci’lere otomatik olarak IP ve diğer servislerle ilgili IP adreslerini veren servistir.

MacID (http://tr.wikipedia.org/wiki/MAC_adresi); Media Access Control, 48bit uzunluğunda dır ve ilk 24bit üretici numaralarına ayrılmıştır, kanal 24bit her üreticinin kendi vereceği sıra numaraları gibi düşünülebilir. Dünyada üretilen arabirimlerin (örneğin ethernet kartınız) hiçbirinin macid’si diğeri ile aynı değildir, böylece ARP adreslemesi sorunsuz olarak çalışır.



Peki yönetici ile Cain&Abel kullanan arasında ne fark vardır? Temeldeki teknik fark şudur, birinci yöntemde ağda fazladan paket oluşumunu engelleyip yükü switch üstünde tutarak dinleme yapılmaktadır ve sorunu çözmeye yönelik kullanılır. ARP zehirleme saldırısında ise art niyetli kişi söz konusudur ve ağda fazladan paket oluşmasına sebep olarak ağdaki tüm switch’lere yük bindirir.

Dummy kullanıcı nedir? Böyle birşeyin varlığından haberi bile yokken “hacker (lamer)” arkadaşı veya bir “hacker (lamer)”la yaptığı konuşmada ARP Poisoning lafını merak eder, google açıp “arp poison” yazar ikinci linke (http://www.oxid.it/cain.html) tıklar...


Sonrasında;





Resim 01; Programı kurduktan sonra resimdeki adımları takip ederek hangi arabirimden paketleri göndereceğini/alacağını seçiyoruz. Örnekte 192.168.1.1 ip adresine sahip olan arabirim seçilmiştir. WinPcap yazılı olmadan program arabirimlerle haberleşemeceğinden çalışmaz. WinPcap programın içinden çıkmaktadır ve programın yüklenmesi esnasında kuruplup/kurulmayacağı kullanıcıya sorulmaktadır. Resimde “start” seçenekleri kapatılmıştır böylece ayarları yapana kadar program boş yere bilgisayarı meşgul etmeyecektir.





Resim 02; Kullanıcı ağ’daki diğer cihazları/istemcileri/sunucuları aramak için bu pencereyi kullanmaktadır.





Resim 03; Ağ’daki tarama sonucunda dinlenecek (zehirlenecek) istemci/sunucu seçiminin yapılacağı bölüm. Burda dikkat edilmesi gereken nokta “3” nolu işarettir. “3” nolu bölüme “tıklamadığı” sürece “4” nolu seçenek aktif olmayacaktır. Cain & Abel v2.9




Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=121202

Resim 04; Zehirleme bağlatılıp “1” gelen/giden paketlerin görüldüğü ekrandır. Eğer gelen/giden paketler 0’dan (sıfır) büyükse zehirleme başarılı olmuş demektir.





Resim 05; Örnek ağ’da kullanıcının email (pop3) şifresinin zehirleme sayesinde görüntülendiğini görmektesiniz. “username ve password” sütunlarına dikkat.



Resim 06; Örnek ağ’da kullanıcının bir başka bilgisayarın paylaşımına bağlanmak için kullandığı “kullanıcı adı ve şifre” ve bunlara ait hash’lenmiş bilginin içeriği görülmektedir. “6” nolu işaretteki seçenek ile bu hash’lenmiş bilginin içindeki şifrenin bulunması için, programın ilgili bölümüne hash’lenmiş bilginin aktarımı görülmektedir.





Resim 07; Şifre kırma ekranında çeşitli metodlar kullanılarak şifrenin bulunması (kırılması) gerçekleştirilir. Şifrenin uzunluğuna, kullanılan metoda, şifrenin karmaşıklığına ve şansınıza göre bu işlemler 1-2 saniye ile binlerce yıl arasında sürebilir.


"Dummy" kullanıcıyı yakalama; Kullanıcı heyecanla ağdaki herşeyi dinlemeye kalkacağından ağdaki trafik artacak ve switchler üzerindeki yük belirgin olarak artacaktır, bunu en basit “ışıklardan” veya switchler’i monitör ediyorsanız cpu’ların kullanım yüzdeleri artacaktır.

Basitçe yakalama, en yoğun cpu yüzdesi veya ışıkların sürekli yandığı switch’e bağlı kullanıcıları gözlemlemektir. İleri düzey yakalama, xarp yazılımı “http://www.chrismc.de/developing/xarp/index.htm” windows tabanlı sunucu/istemci’lere veya arpwatch yazılımı “http://ee.lbl.gov/” linux, bsd, unix tabanlı sunucu/istemci’lere yüklenerek arp cache’lerde ki değişiklikler görülebilir.