22 julio 2013

Zarp: Framework para Ataques de Red

El grupo Ballast Security cuenta, entre otras muchas, con una herramienta bastante interesante que seguro que en el futuro podremos añadir a nuestro "arsenal". Zarp más que una herramienta, es un framework para realizar ataques a nivel de red con el fin de explotar redes locales, sin incluir ataques directos sobre sistemas (al contrario que metasploit). ¿Estamos por fin ante una posible alternativa a Cain & Abel pero para sistemas Linux?


Gracias a Zarp, podremos deshacernos de tantos scripts y herramientas que utilizamos de forma individual, pudiendo recopilar la mayoría de ataques dentro de este ámbito en un mismo ejecutable, y de forma centralizada. 

Pensando además en el framework de HD Moore, desde la herramienta podemos disponer de un conjunto de sesiones o comunicaciones abiertas (sección Sessions) tras un ataque satisfactorio, a las que posteriormente realizar un conjunto de ataques (post-explotación). Un caso típico sería, en primer lugar, realizar un ataque de poisoning y seguidamente, iniciar un sniffer de red enfocado a comunicaciones HTTP y obtener credenciales de autenticación a través del protocolo.

Entre las categorías de ataques a realizer destacan las siguientes agrupaciones:

[1] Poisoners

Dentro de esta categoría tendremos módulos que nos permitirán el envenenamiento de sistemas en red para realizar ataques de man-in-the-middle, robo de sesiones, etc, incluyendo protocolos DNS, DHCP, ARP, etc. Zarp realiza envenenamiento DHCP estableciendo un servidor 'rogue' intermedio escuchando paquetes DHCP-ACK o DHCP-DISCOVER. Con DNS ocurre de la misma manera: se interceptarán peticiones DNS y se responderá con paquetes maliciosos. También tendremos lo referente a ARP spoofing, redirección ICMP, etc.



[2] Denial of Service

Imaginaos el juego que da esta categoría, debido a la variedad de ataques de Denegación de Servicio que se pueden realizar. Actualmente Zarp cuenta con ataques Teardrop, IPv6 NDP RA, Nestea, LAND, TCP SYN, SMB2, e incluso el ataque publicado por KingCope sobre Denegación de Servicio por IGMP en kernels de Linux desde la 2.6.36 a la 3.2.1.



[3] Sniffers

Al igual que ocurre con Metasploit, en Zarp se disponen de determinados módulos idóneos para realizar una acción posterior a, por ejemplo, haber envenenado las comunicaciones entre sistemas en la red. En el apartado de sniffers, se cuenta con módulos específicos de obtener información concreta sobre flujos HTTP, contraseñas, conexiones a bases de datos, e incluso modificación de paquetes al vuelo.



[6] Services

En este caso, el propósito de estos módulos es la de actuar emulando un conjunto de servicios y servidores para que posibles víctimas se conecten a nosotros y posteriormente, obtener credenciales. Muy útil sobretodo a la hora de actuar como un honepot de estos servicios de manera rápida y sencilla.



La herramienta actualmente está en su versión 0.1.3, está preparada para entornos Linux con python y scapy preinstalados, y en sus próximos pasos destacaa la inclusión de ataques sslstrip, implantar un módulo de pass-the-hash, modificación de tráfico, etc. Además, en la página del proyecto se encuentran una serie de ejemplos entre los que se emulan situaciones reales para este tipo de ataques de red.

La página principal de la herramientra se encuentra en esta URL: 

7 comments :

sniffador dijo...

Ola k ase ?



Yo si no se sniffa coca, como que pasando

Security By Default dijo...

Buenas sniffador, gracias por tu comentario!

De momento ese módulo no está implementado según los desarrolladores, y tampoco lo tienen en el TODO.

De nuevo, ¡gracias!

Sniffador dijo...

illooooo ! Premoooh !
no me andes borrando los comments joio.
El comentario nunca te borraría a ti.


Como me borren los comment voy a tené que hablá con los Jeronymous , ya tu sabes ... serius problems ...


arooo primoh,


Cuando le metan el SSLtrip va a estar to rexulohn , eh o no ?
pos no veas como sería premoh, si le ponen el SSLtripi .Pa fliparlo en colore premohhh.


Un saludo hamijo !

Sniffador dijo...

Esta es la cara que se te pone cuando ves que SBD bloquea IPS...

YAOMING

aaaaaaaaaaaaaaaaaro primo, ponerle diques al mar , coone

missterioso dijo...

Mala Folla que tienen

Sniffado dijo...

En este post solo se permitiran mensajes que xupen la polla a SBD.

aaaaaaaaaaro premooooh

GonzaloMontesDeOca dijo...

Excelente, un all-in-one