Lưu ý : Bài viết này là demo chứng minh cho tầm quan trọng của việc quản trị

mạng chứ không phải hướng dẫn các bạn đi “chôm” pasword ! Đối với vai trò 1
Administrator thì không phải build up một network cho chạy là xong, mà phải
kiểm soát và phải có phương hướng bảo mật cho network của mình. (Các tên nhân
vật và tình huống câu chuyện là do tôi hư cấu)

Vụ án xảy ra tại công ty Frog Co ltd, có chú Ếch Con là IT chịu trách nhiệm chính
của công ty Frog Co, công ty hoạt động ngày càng phát triển mạnh mẽ mà Sếp (Hai
Nhái) vẫn không tăng lương cho chú Ếch nhà ta (nhân viên làm tại công ty Frog Co
luôn có tiêu chí là “thêm việc chứ không thêm lương”). Công ty dùng mạng
workgroup (mạng ngang hàng) và đều sử dụng thiết bị thuộc hàng “cổ lổ sỉ” (còn
dùng Hub), chú Ếch muốn đề xuất mua một cái gì hoặc xin đi học cái gì đều bị Sếp
bác bỏ bởi vì sếp ta luôn có một quan niệm : “cái gì còn sài được thì cứ sài”. Sau
nhiều ngày sống trong “áp bức và bốc lột” (e hèm !!! nói hơi quá, hihi) nên chú Ếch
nhà ta muốn làm một cái gì đó để chứng tỏ mô hình mạng đang dùng hoàn toàn không
an toàn, cần phải mua thêm thiết bị mới và triển khai các mô hình mạng
Domain/Firewall/IDS …. để an toàn hơn và cũng như để chứng tỏ mình làm được
nhiều việc mà tại sao Sếp lại …. không tăng lương.

Vậy chú Ếch nhà ta phải làm gì để tạo tiếng vang, để chứng minh cho Sếp thấy là
mạng hiện tại không an toàn ? Có nhiều phương án hiện ra trong đầu Ếch : cài trojan
chôm password Sếp ? Lấy dữ liệu trong laptop Sếp ? … và phương án cuối cùng nó
nghĩ ra là dùng chương trình sniff để đọc lén email của Sếp cũng như …. chôm
password email của Sếp. Chương trình Sniff mà Ếch chọn là Cain & Abel.

Vụ án 1 : Ông Sếp khóc huhu vì thằng Ếch biết được password email

Mô hình mạng công ty Frog Co như sau :

- Trên máy tính của Ếch cài đặt phần mềm Cain & Abel.
- Phần mềm Cain đòi hỏi phải có WinPcap (WinPcap là một phần trong bộ tool packet
sniffer, dùng để capture các gói tin trên mạng)
- Ếch ta vào CMD, dùng lệnh net view để xem các host đang kết nối trong mạng của
mình.
- Sau khi đã biết được hostname của ông Sếp (hostname : DAODUYHIEU) thì chú
Ếch liền ping để xem IP là gì.
- Ếch khởi động chương trình Cain và chọn card mạng để sniffer.
- Ếch chạy Mac Address Scanner để xem MAC và IP đang kết nối trong host
- Kết quả đã hiện ra, Ếch đã thấy được IP : 192.168.7.251 ứng với hostname của sếp
nó là DAODUYHIEU.
- Ếch tiến hành bắt gói tin từ máy sếp tới router (router ở đây với IP : 192.168.7.200)
- Quá trình sniffer đã bắt đầu, chú Ếch lúc này cười hehe và chit chat đợi chờ Sếp ta
check mail (thiệt là ác quá đi, hehe)
- Sếp ta vẫn không hay biết có một thằng Ếch đang có dã tâm “chôm” password của
mình và cứ đăng nhập để check mail.
- Sếp đã đăng nhập vào mail và đọc mail.
- Lúc này chú Ếch nhà ta mới mở Cain lên và xem “tiến độ” như thế nào. E hèm,
trong tab ARP đã bắt được các gói ARP-Cert và ARP-HTTPS rồi. Hehe, Ếch ta cười
thầm trong bụng.
- Ếch chuyển sang tab Password thì … oh yeah !!! Tất cả mọi thứ nó cần đã ở đây,
mục đích của nó đã thành công rồi. Theo như kết quả của nó thu thập được thì email
của ông Sếp là daoduyhieu_lab@yahoo.com và password là MatKhau.
Chú Ếch liền thông báo với Sếp là đã biết password của Sếp. Sếp ta không nói gì
nhưng thật sự hoang mang vì chỉ mới hôm qua tới nay nó đã lấy được password của
mình rồi. Trong một buổi nhậu chiều tại quán Thu Nở – 17 Võ Thị Sáu – Phan Thiết
(Quán này tui hay nhậu hải sản nên giới thiệu luôn, hehe) Sếp (Hai Nhái) đã bày tỏ
“tâm sự” này với anh Ba Cóc (anh Ba Cóc cán bộ của một cơ quan nhà nước, cũng là
hàng Sếp) sự tình, vậy theo anh là có nên nâng cấp hệ thống của mình lên không ? Có
nên cho thằng Ếch đi học cái khóa học gọi là bảo mật gì đó không ? Anh Ba Cóc trầm
ngâm suy nghĩ (thực chất anh Ba Cóc mù tịt, nhưng cũng làm ra vẻ … trầm ngâm),
đột nhiên Ba Cóc liền nhớ ra thằng Tư Nòng Nọc đệ tử của mình trên cơ quan liền
giới thiệu với Hai Nhái đại khái là “thằng Tư Nòng Nọc trên cơ quan tui khá lắm, nó
được tui cho đi học ở nước ngoài hoài, và cũng nghe nói là một héc cờ (hacker) gì đó
nha”. Hai Nhái như mở cờ trong bụng liền xin số và gọi ngay cho “chiên” gia Tư
Nòng Nọc xin ý kiến, “chiên” gia Tư Nòng Nọc suy nghĩ liền phán rằng “Anh Hai
Nhái khi vào email nhớ chọn ghi nhớ vào máy luôn thì không ai làm gì được đâu”.
Sếp Hai Nhái vui mừng liền sáng mai áp dụng chiêu này rồi bảo với Ếch rằng “tui
mới được chiên gia bảo mật hướng dẫn cách phòng chống rồi, nếu chú vào được
email tui lần nữa thì tui sẽ duyệt dự án nâng cấp của chú và cho chú đi học một khóa
bảo mật”.

Sau tuyệt chiêu của Tư Nòng Nọc chỉ cho Sếp Hai Nhái thì làm sao Ếch sniff được
User/Password mà vào hộp thư của Sếp? Vậy dự án của Ếch có được thực hiện hay
không ? Ếch có được đi học bảo mật hay không ? Hồi sau sẽ rõ.
Vụ án 2 : Thằng Ếch Con cười haha vì lại một lần nữa đọc trộm email của Sếp
Hai Nhái

Sau chiêu đăng nhập và ghi nhớ password của Tư Nòng Nọc chỉ cho Sếp Hai Nhái thì
kế hoạch sniff lúc Sếp đăng nhập của thằng Ếch đã thất bại. Vậy làm thế nào đây ? Nó
liền lục lọi các kiến thức mà nó đã biết để sắp xếp một cách logic quyết lấy được một
xuất đi học bảo mật mà nó hằng mơ ước.

Đối với HTTP, sau việc đăng nhập thành công, để không phải hỏi lại nhiều lần thông
tin đăng nhập. Web server sẽ lưu xuống máy client những thông tin cần thiết để kiểm
tra lại, các thông tin lưu này được gọi cookie. Các cookie sẽ khác nhau ở từng website
và do người lập trình thiết lập. Và ngoài thông tin xác thực user cookie còn có thể
mang nhiều giá trị khác mà người thiết kế muốn.

Mỗi cookie lưu trên máy Client gồm các thông tin: Name, Content, Domain, Path,
Expire date. Vậy nếu có được các cookie có giá trị, ta có thể kết nối đến Server với tư
cách user sở hữu cookie đó.

Nghĩ đến đây rồi thì Ếch bắt đầu tiến hành, để làm được việc này nó cần phải chuẩn bị
nhiều đồ nghề.

- Công cụ Cain & Abel để ARP spoofing.

- Sniff cookie với ferret

- Trình duyệt FireFox và add-on Cookie Editor

Sau khi mọi thứ đồ nghề đã download sẵn hết rồi thì chú Ếch nhà ta mới hí hửng
chuẩn bị … hành sự (tiếp tục con đường tội ác, hehe)

- Ếch ta vào CMD nhảy tới folder chứa ferret và gõ lệnh ferret.exe -W để xem thông
tin chương trình cũng như số thứ tự card mạng mà nó muốn tiến hành sniffer.

- Sau khi xác định card mạng nó gõ lệnh ferret.exe -i 2 để tiến hành sniffer trên card
số 2 và lướt web âm thầm đợi ông sếp check mail (thiệt là ác quá đi, hehe)
- Vừa được nửa lon Pepsi (chú ếch nhà ta có tật nghiện pepsi, thiếu pepsi là cái đầu nó
ngu hẳn ra, hihi) thì nó nhận được khá nhiều thông tin HTTP GET, toàn bộ các thông
tin này sẽ được lưu trong file hamster.txt ở cùng thư mục với ferret
- Ếch mở file hamster.txt ra thì đập vào mắt nó là “linh tinh hầm bà lằng” giá trị,
nhưng nó chỉ để ý đến 2 giá trị “Y” & “T”.

- Nó mở FireFox, truy cập http://mail.yahoo.com và chọn Cookie Editor để xóa tất cả

các giá trị đăng lưu. Nó nhập vào đó 2 giá trị “Y” & “T” mà nó sniff được và save lại.
- Tất cả đã hoàn tất, nó lại truy cập http://mail.yahoo.com và “úm ba la sì bùa”, nó đã
đăng nhập được vào hộp thư daoduyhieu_lab@yahoo.com của sếp dựa vào cookie mà
nó sniff được.
- Nó lại tiếp tục đem kết quả này trình Sếp thì lúc này Sếp mới thật sự quan tâm. Sếp
đã quyết định tài trợ cho Ếch Con đi học một khóa bảo mật và khi nó học xong thì sẽ
tiến hành dự án nâng cấp hệ thống mạng của công ty Frog Co cho tốt hơn.

- Qua bài học này Sếp Hai Nhái rút ra được kết luận là

+ Cần lắng nghe các tâm tư nguyện vọng của nhân viên, xét thấy phù hợp thì nên triển
khai để tránh gặp trường hợp “có hối cũng không kịp”.

+ Khoan hẵn nghe lời “xàm tấu” của những người được gọi là “chiên gia”.

Giải pháp chống sniffer

Việc detect sự hiện diện của sniffer trong LAN là một việc không đơn giản tí nào bởi
vì sniffing là một hành động passive (thụ động), nó không trực tiếp tác động và gây
thay đổi (cụ thể) nào để có thể nhận ra nó một cách dễ dàng. Không có một software
nào có thể detect được sniffer một cách nhanh chóng và chính xác. Vì vậy để giảm
thiểu Sniff thì ta nên áp dụng các phương pháp sau :

- Giải pháp cho việc chống bị sniff thì có: gán Static Mac-Address, dùng SSL,
VPN,VLAN, Switch (hỗ trợ DHCP snooping, monitor port ).
- Detect sniff thì có hai cách nền tảng: detect promiscuous mode của NIC (từng host)
và theo dõi tình trạng nội mạng (trọn bộ LAN).

Ảnh : Gán Static Mac-Address cho máy Sếp

Ảnh : Trình Sniffer sẽ không bắt được thông tin đăng nhập

Và đối với việc an toàn thông tin, điều đầu tiên và quan trọng nhất là quy định về
an toàn thông tin. Nếu quy định đưa ra một cách rõ ràng và cụ thể cho mức độ vi
phạm (như bị kỷ luật, cho nghỉ việc, bị truy tố trước pháp luật….) thì cơ hội thực hiện
các hành động xâm phạm thông tin bất hợp pháp sẽ giảm thiếu ở mức tối đa. Không ai
muốn đón nhận cái hiểm họa đến với mình nếu như hiểm họa ấy không đủ để đánh
đổi điều mình cần lấy.
Vụ án 3 : Thằng Ếch chôm luôn password của Tư Nòng Nọc

Sau vụ án số 2, thằng Ếch đã hai lần vào đọc trộm email của Sếp Hai Nhái thì Sếp
sáng mắt hẳn ra. Lúc này Sếp Hai Nhái mới thấy vai trò quan trọng của một người
quản trị mạng và cơ sở hạ tầng mạng. Sau này Sếp Hai Nhái đâm ra thích thằng Ếch
bởi vì cá tính của nó (có trách nhiệm và không chịu an phận) nên đi đâu cũng dắt nó
theo từ việc ký hợp đồng tới ăn nhậu.

Vào một buổi cuối tuần đẹp trời, Sếp Hai Nhái dẫn theo thằng Ếch, Sếp Ba Cóc dẫn
theo Tư Nòng Nọc cùng ra quán Xuân Vàng (quán bên bờ kè ở Phan Thiết) nhậu vài
ve thư giãn. Sau một hồi chuyện trên trời dưới đất, anh Ba Cóc cứ khoe được cấp trên
tài trợ nhiều kinh phí đầu tư cơ sở vật chất :
- Nào là máy tính mới, máy chủ mới, máy in mới …. kể cả con “xế hộp” mới … nên
cơ quan tôi cứ như đổi mới hẳn ra. Nghe đâu cấp trên sắp cấp cho một khu đất có địa
lý đẹp để xây mới và chuyển cơ quan về đó ….

Còn Tư Nòng Nọc thì cũng dâng lên theo cao trào của Sếp mà nói với thằng Ếch Con
là :

- Chú mày cố gắng đọc sách nhiều một chút, nếu cần thì cứ liên hệ với anh mày, anh
mày sẽ cho chú mượn máy quyển “1001 thủ thuật registry” và “Quản trị Windows
Server 2003 Tiếng Việt” … thì chú mày sẽ khỏe re như anh. Setup mạng theo như
sách xong thì chỉ có việc ngồi đọc báo vì mọi thứ hết sức bảo mật. Chú có thể chôm
được password của Sếp chú trong hệ thống mạng của công ty chú chứ qua cơ quan
anh thì hông có cửa đâu, anh bảo mật chặt chẽ lắm … khà khà.

Thằng Ếch cũng chỉ cười và cụng ly và cảm ơn cho có lệ vì thực chất nó đã đọc mấy
quyển Training kit 290 (Managing and Maintaining a Microsoft Windows Server
2003 Environment) và 291 (Implementing, Managing, and Maintaining a Windows
Server 2003 Network Infrastructure) rồi. Theo nó thì mấy quyển quản trị Windows
bằng tiếng Việt đọc vào chỉ không hiểu thêm vì có rất nhiều từ trong chuyên nghành
nên giữ lại thì tác giả dịch sát ván thành tiếng Việt luôn, thành ra nó không hiểu gì.
Sếp Hai Nhái cũng không ưu gì cái thói khoe khoang đó nên nói nhỏ với nó “bữa nào
chú mày sang đó quậy nó một phen đi, tao ghét mấy thằng yếu mà ra gió”.

Vào một ngày nọ, Sếp Hai Nhái nhờ sang cơ quan Ba Cóc lấy giúp một số phim tư
liệu vì làm quảng cáo, thằng Ếch hí hửng vì cơ hội đã tới liền quơ ngay cái laptop
compaq của nó bỏ vào balô và sang cơ quan của Ba Cóc & Tư Nòng Nọc. Tới cơ
quan nó đợi Tư Nòng Nọc burn đĩa liền xin một sợi cable mạng để ra net đỡ buồn, nó
mở laptop và “chít” cable mạng vào và khởi động Cain & Abel (laptop của thằng Ếch
lúc nào cũng được cài đặt sẵn các Hack tools như : Cain & Abel, Nmap, Wireshark,
Metasploit Framework, Pwdump … để đụng đâu là đánh đó.

Thằng Ếch đã scan được 2 host và bắt đầu tiến hành ARP Poison
Tiến trình Poison đang bắt đầu, thằng Ếch liền mở Yahoo Messenger lên để ngụy
trang (ngụy trang kiểu Úc, hehe)
Thật là vô phúc cho anh Tư Nòng Nọc, anh ta không hay biết là thằng Ếch đang có dã
tâm chôm password và đang sniff nên cứ vô tư truy cập sang máy sếp Ba Cóc để lấy
dữ liệu.
Thằng Ếch mừng thầm vì cái nó đợi đã đây rồi, chết chưa Tư Nòng Nọc.
Nó liền gởi gói SMB (Server Message Block) mà nó đã sniff được sang tab Cracker
để tiền hành giải mã.
Nó dùng cách Brute-Froce Attack để giải mã cái “đống bùi nhùi” mà nó sniff được.
Nó nhấn Start và chờ đợi
Bùm beng, password đã được giải mã rồi, thằng Ếch xém chút là hô to lên vì đã có
password Admin của thằng cha Tư Nòng Nọc rồi.
Đố các bạn sau khi chú Ếch nhà ta đưa cái password này cho anh Tư Nòng Nọc thì
cảm giác của anh Tư Nòng Nọc sẽ như thế nào ? Phần này tui xin để cho các bạn tự
hình dung, còn tui thì đi ngủ đây. hehe

Have a good day.

Phản hồi : Leave a Comment »

Thẻ: ca, cain & abel, Password
Chuyên mục : Thủ thuật

ARP spoofing và Cain & Abel

12 01 2009

Mục đích của bài viết : Khai thác ARP trong mạng LAN và
cách phòng tránh

Bài này hướng dẫn lấy thông tin tài khoản yahoo của máy
tính cùng mạng

* Trước khi đọc tiếp phần phía dưới, tôi xin lưu ý là bài viết này chỉ
hướng dẫn cách đọc nội dung chat Yahoo của người khác (tất nhiên
 là không phải nội dung người đó chat với mình rồi) chứ không
hướng dẫn cách lấy password Yahoo nhé.
Thật ra thì cách dễ nhất để đọc chat của người khác là…lén đứng
sau lưng người ta mà nhìn , nhưng mà tôi sẽ không chịu trách
nhiệm nếu bạn bị người đó phát hiện, hậu quả bạn tự gánh chịu lấy
nhé . Thôi, nói lan man vậy đủ rồi, let’s go.

Phần 1: Lý thuyết

Giả sử tôi có mô hình mạng như bên dưới:

Ở đây, tôi đóng vai 1 Attacker và muốn “nghe lén” cuộc “nói
chuyện” giữa 2 máy A và B. Nếu bạn nào có biết qua về mạng máy
tính thì sẽ biết 1 máy tính có 1 địa chỉ IP và 1 địa chỉ MAC (nó tương
tự như số nhà bạn ấy mà), các địa chỉ này dùng để nhận diện 1 máy
tính trên mạng. Giả sử A muốn nói chuyện với B nhưng nó chỉ biết
địa chỉ IP của B mà không biết địa chỉ MAC của B, A lập tức gửi 1
gói tin ARP Request ra toàn mạng và hỏi rằng: “Ê, ku nào có địa chỉ
IP là x.y.z.t nói tao biết địa chỉ MAC của mày là nhiêu?”. Khi đó, cả
máy B lẫn máy Attacker đều nhận được gói tin này, nhưng chỉ có B
hồi đáp lại cho A bằng 1 gói tin ARP Reply, báo cho A biết địa chỉ
MAC của mình. Khi đã có đủ thông tin về địa chỉ IP và MAC của máy
B, A bắt đầu trao đổi dữ liệu với B. Địa chỉ MAC của B sẽ được A lưu
lại trong Cache để lần sau nếu có trao đổi dữ liệu với B thì không
cần phải hỏi địa chỉ MAC nữa. Tuy nhiên, vấn đề nằm ở chỗ giao
thức ARP hoạt động ở tầng 2, trong khi địa chỉ IP lại nằm ở tầng 3
(trong mô hình 7 tầng OSI) nên A sẽ không thể kiểm chứng được
thông tin có đúng là máy B với địa IP x.y.z.t có địa chỉ MAC như vậy
không. Bây giờ, Attacker chỉ cần gửi 1 gói tin ARP Reply cho A và
báo rằng: “Ê, tao B nè. Giờ địa chỉ MAC của tao là a-b-c-d chứ
không giống hồi nãy nữa nha”. Vì không thể kiểm chứng được thông
tin này nên A cũng nhắm mắt đưa chân ghi thông tin này vào
Cache, đè lên thông tin chính xác về B đã ghi nhận ở bước trước. He
he, như vậy, bây giờ mỗi lần thay vì A gửi dữ liệu cho B thì nó lại
gửi đến máy Attacker. Nhưng một vấn đề khác lại xảy ra: nếu thông
tin không đến được máy B thì máy B đâu có biết mà trả lời máy A,
vậy sao gọi là “nghe lén” A và B “nói chuyện” được? Cách đơn giản
là Attacker đánh lừa luôn cả B để B tưởng máy Attacker là máy A,
khi dữ liệu từ A gửi đến B (nhưng thực ra là đến Attacker), Attacker
sẽ giữ lại 1 bản và chuyển tiếp đến cho B. Khi B trả lời lại cho A
(cũng lại đến Attacker), Attacker cũng sẽ giữ lại 1 bản và chuyển
tiếp đến cho A. Đến đây thì chắc các bạn cũng hình dung ra cách
mà Attacker nghe lén A và B nói chuyện rồi há. Attacker trong
trường hợp này được gọi là “Man-in-the-middle”.

Phần 2: Thực hành

Đọc xong phần lý thuyết trên, có bạn sẽ théc méc: “Ủa, sao ông nói ông chỉ tui cách
đọc chat Yahoo của người khác mà sao từ nãy giờ toàn nói gì mà máy A, máy B, rồi
máy Attacker tùm lum hết trơn, chả thấy nói tới Yahoo đâu hết”. “Bình tĩnh nào bạn,
tui gợi ý nhé: dù cho bạn có chat với ai đi nữa, thì nội dung chat của bạn cũng phải đi
từ máy bạn đến cái modem ADSL để ra internet chứ phải không nào?”. “À, hình như
tui có vẻ hiểu hiểu rồi đó. Có phải là cái máy mình muốn đọc nội dung chat sẽ đóng
vai trò máy A, còn modem ADSL sẽ đóng vai trò máy B trong mô hình trên không?”.
“Hoan hô, đúng rồi đó. Tui biết bạn thông minh lắm mà. Nhưng mà đó chỉ là lý thuyết
thôi, chúng ta không thể tay không mà bắt giặc được. Bạn cần chuẩn bị cho tôi mấy
thứ đồ nghề sau:
1. Cain & Abel: http://www.oxid.it/downloads/ca_setup.exe
2. Yahoo Messenger Monitor Sniffer v3.2:
http://www.mediafire.com/?52nyhzmg3gc (Vui lòng xem kỹ hướng
dẫn cài đặt có trong file tải về nhé !)
OK. Nhớ là cài đặt đầy đủ vô máy nhé Let’s go.

Một vài hình ảnh trước khi bắt đầu tấn công:

Hình trên là ARP cache (để xem dùng lệnh apr -a) của máy A trước khi bị tấn công.
Internet Address chính là địa chỉ IP, còn Physical Address chính là địa chỉ MAC. Địa
chỉ 192.168.1.1 là địa chỉ IP của modem ADSL (đóng vai trò máy B), có địa chỉ MAC
là 00-01-38-56-fc-eb, còn địa chỉ 192.168.1.3 là địa chỉ IP của máy Attacker (máy tui
nè), có MAC là 00-16-d3-fd-99-a2. Địa chỉ IP của máy A là 192.168.1.2 (ở dòng
Interface đó ).
Bây giờ chạy Cain & Abel. Giao diện thằng Cain nè:

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh
gốc với kích thước là 782×391

OK. Nếu máy bạn chỉ có 1 card mạng thì không cần làm bước bên dưới. Vì máy tôi có
nhiều card mạng nên cần phải chỉ định card mạng sẽ dùng. Bấm vào menu Configure
để mở cửa sổ Configuration và chọn card mạng (chọn cái nào có IP trùng với IP mình
đang có). Bấm OK.
Tiếp theo, chọn tab Sniffer ở trên, sau đó chọn tiếp tab Hosts ở
dưới. Bấm tiếp vào biểu tượng thứ 2 từ bên trái qua, ngay bên dưới
cái logo Cain (bạn sẽ thấy nó lõm vào). Bấm tiếp vào dấu cộng (+)
màu xanh. Cửa sổ MAC Address Scanner hiện ra. Để mặc định và
bấm OK. Bước này ta sẽ quét tất cả các địa chỉ IP và địa chỉ MAC
của tất cả các máy trong cùng mạng LAN.
Kết quả thu được:

Ủa, cái thằng 192.168.1.4 ở đâu ra vậy kìa??? He he, có gì khó hiểu đâu, cái thằng ở
cùng phòng với tui nó mới đi chơi về, giờ nó mở máy tính lên nên tui quét được địa
chỉ máy nó luôn đó mà.

Chuyển tiếp qua tab ARP (cạnh tab Hosts)

Bạn nhấp chuột vào ô trắng phía trên để kích hoạt dấu cộng (+)
màu xanh. Bấm vô cái dấu cộng (+) đó. Màn hình sau xuất hiện:
Chọn địa chỉ IP của máy A (192.168.1.2) ở bên tay trái, sau đó chọn địa chỉ máy B
(192.168.1.1) ở bên phải. Bấm OK.

Bây giờ mới là bước thực sự tấn công nè. Bạn bấm vào biểu tượng tròn màu vàng
cạnh biểu tượng bạn mới bấm lõm xuống hồi nãy, biểu tượng này:
Nhìn lại cửa sổ Cain, bạn sẽ thấy địa chỉ của máy A với Status là Poisoning (đang đầu
độc).

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh
gốc với kích thước là 681×62

Rồi, bạn cứ để đó cho Cain làm nhiệm vụ. Ta quay lại với máy A
xem điều gì đã xảy ra:

Ô kìa, bạn đã thấy sự khác lạ rồi đó. Bây giờ địa chỉ MAC của máy B đã bị đổi thành
00-16-d3-fd-99-a2 (là địa chỉ MAC của Attacker) chứ không còn là 00-01-38-56-fc-
eb như ban đầu nữa.

Bây giờ mở chương trình Yahoo Messenger Monitor Sniffer lên. Giao diện em nó
đây:

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh
gốc với kích thước là 653×458

Cũng tương tự như đối với Cain, nếu máy bạn có nhiều card mạng,
bạn phải chọn card mạng sẽ lắng nghe thông tin. Bấm vào menu
Option, chọn Select Adapter và chọn card mạng ứng với địa chỉ IP
mà mình đang có.
Đây là cửa sổ chat trên máy A:

Còn đây là kết quả ta thu được (tất nhiên là trên máy Attacker):

Hình ảnh này đã được thay đổi kích thước. Click vào đây để xem hình ảnh
gốc với kích thước là 679×319
Đến đây thì ta đã hoàn toàn bắt được các thông tin chat của người
ngồi ở máy A. Có bạn hài lòng, tuy nhiên cũng sẽ có bạn cắc cớ hỏi:
“Ủa, sao hình ở trên gõ có 1 lần mà mình lại bắt được tới 2 lần?”.
Câu trả lời là vì thông tin chat này từ máy A đến máy Attacker, sau
đó Attaker sẽ chuyển tiếp đến cho máy B (modem ADSL) nên nó sẽ
bị nhân lên gấp đôi.

Vậy có giải pháp nào để chống lại việc bị đánh lừa địa chỉ MAC như vậy không? Câu
trả lời là có. Khi đó, bạn sẽ phải gán tĩnh (cố định) địa chỉ MAC ứng với địa chỉ IP
bằng câu lệnh:
arp -s <địa chỉ IP máy B> <địa chỉ MAC máy B>,
Ví dụ: arp -s 192.168.1.2 00-01-38-56-fc-eb

Phản hồi : Leave a Comment »

Thẻ: cain & abel
Chuyên mục : Thủ thuật

Kỹ thuật Sniff Password sử dụng Cain & Abel

12 01 2009

Cain & Abel là một trong những công cụ đứng trong top các công cụ về security. Các
bạn có thể tại phiên bản mới nhất tại download
Hiện tại mình sử dụng phiên bản Cain & Abel v4.9.3
Cain & Abel v4.9.3 released
New features:
- Added Windows Mail (Vista) Password Decoder for POP3, IMAP, NNTP, SMTP
and LDAP accounts.
- Added PTW WEP cracking attack.
- Added Windows Vista support in Wireless Password Decoder.
- Wireless Password Decoder now uses DLL injection under XP.

Các tính năng của Cain thì khỏi phải nói , quá trời trời luôn, ở đây mình chỉ giới thiệu
Sniff Password. Các bạn có thể tham khảo thêm những tính năng của nó trong tài liệu
kèm theo chương trình.

Bước 1: Sau khi install xong Cain và khởi động Cain thì ta cần phải cấu hình Network
Adapter cho đúng.
Trên menu của Cain chọn Configure –> lựa chọn Network Adapter phù hợp
Click Start Sniffer
Bước 2: Lựa chọn Tab Sniffer –> Scan MAC Addresses, ở đây sẽ ra danh sách các địa
chỉ IP mà chương trình Scan được
Bước 3: Tab bên dưới của Tab Sniffer lựa chọn phần APR. Tai khung APR ta có thể
thêm địa chỉ IP mà cần sniff. Lựa chọn IP đích , IP nguồn
Bước 4: Và click Start APR, và ngồi chờ password “về làng”

Các bạn có thể xem video clip sau để biết rõ hơn

Trong đoạn video clip mình sẽ sniff password gửi từ máy có IP: 192.168.1.7.
Địa chỉ IP máy mình là 192.168.1.6 có sử dụng chương trình Cain đang chờ dzớt bất
kỳ password nào mà máy 192.168.1.7 đệ trình

RefLink: http://vnitblog.com/TUT%20sniff%20cain%20va
%20abel_www.vnitblog.com.htm