داخل Aggregated Tap ساده ترین نوع tap فقط یک پورت فیزیکی برای اسنیف کردن ترافیک دوطرفه هستش
برای استفاده ازش هم اون سمت که in هستش رو به سیستم هدف وصل کنیم اون سمت که out هستش رو هم به سوئیچ وصل کنیم و پورت monitor روی Tap رو هم به دیوایسی که میخوایم باهاش اسنیف کنیم وصل میکنیم



Nonaggregated Tap هم شبیه Aggregated Tap هستش ولی یکم پیچیده تر میشه ولی خب انعطاف بیشتری میده به ما برای کپچر کردن ترافیک

تو این حالت دوتا پورت برای اسنیفرمون هستش که ترافیک خروجی و ورودی رو باهاش تفکیک شده دریافت کنه

مثالام جوری بود که انگار فقط برای ترافیک یه سیستم میشه ازش استفاده کرد ولی شما با یکم خلاقیت میتونید با قرار دادن Tap بین سوئیچ و روتر یا داخل ساختار های درختی با قرار دادن بین لایه Distribution و Core میتونید تمام ترافیک بینشون رو کپچر کنید

این روش بنظر خودم مناسبه هر ساختاری هستش

➖➖➖➖➖
ARP Cache Poisoning

همین اول کار بگم در صورت ناچار بودن سمت این روش بیاید چون اصلا پایدار نیستش

ما دونوع ادرس دهی داخل شبکه داریم که تو لایه های 2 و 3 انجام میشه ادرس دهی لایه 3با ایپی انجام میشه و ادرس دهی لایه 2 با Mac وقتی که سیستم ها بخوان تو لایه 2 همدیگه رو پیدا کنن از پروتکلی به اسم Arp استفاده میکنن وقتی ندونن تو شبکشون کدوم ایپی چه مکی داره از ARP Request بصورت Broadcast استفاده میکنه ک تو بستش میپرسه صاحب دستگاه فلان ایپی چه Mac داره
و دستگاهی که صاحب این ایپی باشه یک ARP Reply میفرسته که حاوی Macخودش هستش و سیستم اون رو داخل ARP Cache خودش ذخیره میکنه و موقع پر کردن ادرس لایه 2 ازش استفاده میکنه

نحوه کار ARP Cache Poisoning هم اینجوری هستش که ما ARP Cache سیستم هدف رو دستکاری میکنیم که به جای اینکه ترافیک بصورت عادی بین سیستم هدف و روتر جا به جا بشه بعد از مسموم سازی کش ARP از دیوایس اسنیفر عبور کنه و خب این تکنیک خودش یه اتک حساب میشه
و خب اینکه چطور اینکارو انجام بدیم تو این پست جایی نداره ولی یه اشاره کوچیک بکنم، با استفاده از ابزار bettercap و مشخص کردن سیستم هدف و ادرس روتری که گت وی سیستم حساب میشه میتونیم به راحتی از این اتک استفاده کنیم

ولی بازم میگم این روش اصلا استیبل نیستش و پیشنهادش نمیکنم


➖➖➖➖➖

امیدوارم که از این پست خوشتون بیاد با تشکر
CHANNEL

ADCS Attack Techniques Cheatsheet🫆

https://docs.google.com/spreadsheets/d/1E5SDC5cwXWz36rPP_TXhhAvTvqz2RGnMYXieu4ZHx64


@mandegar_sec | channel
Group🕊

سلام دوستان امیدوارم حالتون خوب باشه
همینجور که معلومه فعالیتمون رو از سر گرفتیم
و میخواستم در مورد یه برنامه ای صحبت کنم
NSEs
قبلا یه گروه هم داشتش که اخر پستامون لینکش رو میزاشتیم ،گپمون نزدیک ۵۰۰ تا ممبر داشتش مثل خیلی گپ های دیگه امنیت صحبت هایی که هیچ سودی نداشتن، حاشیه ... که الان برداشتیمش، اولش قصد داشتم به کل پاکش کنم ولی خب یکسری برنامه ها گفتم بزاریم داخلش
که همه باهم تو هر حوزه ای از امنیت و تو هر سطحی که هستیم علممون رو شیر کنیم و باهم چیزای جدید یاد بگیریم
و اما هر کسیم که فعالیت نداشته باشه با کمال احترام حذفش میکنیم از گروه
الانم ممبر هارو اوردم زیر ۱۰۰ تا و از این به بعد کسی بخواد عضو گپ بشه از زیر یکسری فیلتر ها ردش میکنیم که بعدا شرمنده همدیگه نشیم.

اگر کسی قصد داشت تو این برنامه باشه به ایدی خودم پیام بده
T.me/mitm8

تو این پست قراره درباره نحوه کار فیلتر هایی که داخل وایرشارک TCPDUMP .... میبینیم صحبت کنیم .

این ابزارا سینتکس پکت فیلترینگ رو از خودشون در نمیارن یا اینکه از صفر بسازنش
خیلیاشون از Berkeley Packet Filter (BPF) syntax استفاده میکنن که قرار درباره نحوه کارش صحبت کنیم اول بنظر خیلی ساده میاد ولی باهاش میشه فیلتر های خیلی پیچیده ای نوشت که درمورد همشون میخوایم صحبت کنیم .
من برای مثال زدن قراره از ابزار وایرشارک استفاده کنم که هم اکثرتون میشناسیدش و ازش استفاده میکنید .
به پکت فیلترینگ یه اشاره کلی بکنم ، یا میخوایم داخل ترافیک مورنظرمون یه سری پکت هارو نبینیم یا فقط یه سری پکت هارو ببینیم
وایرشارک دو نوع اصلی فیلتر ارائه میده که Capture filters و Display filters هستن
Capture filters رو قبل از شروع کپچر کردن ازش استفاده میکنیم و Display filters رو بعد از اینکه کپچرمون رو کردیم رو کل ترافیک اعمال میکنیم که استفاده بیشتری داره چون داخل Capture filters فقط چیزی که فیلتر میکنیم رو نشون میده و بقیه پکت هارو کلا نمیاره تو ابزار ولی Display filters همه چی کپچر میشن بسته به نیازمون چیزی که بخوایم و نخوایم رو میبینیم البته Capture filters اگه جایی پرفورمنس هم مهم باشه یا مقدار ترافیک خیلی زیاده باشه هم میتونه مفید باشه

برای استفاده از Capture filters از تب Capture بخش Optins و کارت شبکه مورنظرمون تو ستون Capture filter فیلتر موردنظرمون رو مینویسیم و Display filters هم همونجایی که پکت ها رو درحال کپچر شدن مشاهده میکنیم میتونیم فیلترشون کنیم بیشتر از این درمورد ابزار صحبت نمیکنم تا همینجاشم برای این بود اگه خواستید عملی هم پیش برید .

1.1

این ابزارا اکثر از libpcap/WinPcap استفاده میکنن که ایناهم برای فیلترینگ از Berkeley Packet Filter استفاده میکنن و بخاطر همین BPF رایج هستش

فیلتری که با BPF ساخته میشه بهش expression میگن و هر expression از یک یا چند تا primitive تشکیل شده خود primitive هم از یک یا چند تا qualifier ساخته میشه به همراه یک ID بیاید یه مثال بزنیم

dst host 192.168.0.10 && tcp 80

dst =qualifier

host=qualifier

192.168.0.10 =ID

&& = Operator

tcp=qualifier

port=qualifier

80=ID

البته ما qualifier مختلف داریم که عکسش رو میزارم براتون (عکس 1.1)

با ترکیب dst host یک qualifier و با 192.168.0.10 که ایدی هست یک primitive ساخته میشه که این primitive به تنهایی خودش expression هستش و فقط ترافیک با ادرس مقصد 192.168.0.10 رو کپچر میکنه .

ما میتونیم از عملگرهای منطقی استفاده کنیم که برای ترکیب primitive ها و ساخت expression های پیشرفته تر

&& = AND
|| = OR
! = NOT

مثلا

src host 192.168.0.10 && port 80

فقط ترافیکی رو کپچر میکنه که که ادرس سورسش 192.168.0.1 و پورتش 80 باشه

فیلتر های Addressing و Hostname
بیشتر فیلتر هایی که میسازیم ،حول یک دستگاه شبکه خاص یا گروهی از دستگاه ها میچرخه .
بسته به شرایط ،فیلتر میتواند بر اساس ادرس IPV6.IPV4,MAC,Hostname DNS دستگاه باشه .

چند تا مثال ساده بزنیم

host 2001:db8:85a3::8a2e:370:7334

برای فیلتر بر اساس ادرس IPV6

host testserver2

یا مثلا بر اساس Hostname

ether host 00-1a-a0-52-e2-a0

یا فیلتر کرد بر اساس MAC

که حالا میتونیم با چیز های مختلف ترکیبشون کنیم که جالب تر باشن مثلا اضافه کردن src/dst مشخصه که برای فیلتر ورودی خروجی هستش بالاترم نمونشو دیدیم

فیلتر های PORT

این فیلتر ها هم مثل فیلتر های روی host هستن
براساس پورت های استفاده شده یا نشده میتونید فیلتر رو انجام دهید برای سرویس و اپلیکیشن هایی که از پورت شناخته شده استفاده میکنن مفیده .

مثال ها

port 8080

ترافیکی که پورت مبدا یه مقصدش 8080 باشه

!port 8080

هر ترافیکی ترافیکی که پورت مبدا یه مقصدش 8080 باشه

dst port 80

فقط پورت مقصد 80 باشه

و همینجوری میتونید با بقیه فیلتر ها ترکیبش کنید.

فیلتر های Protocol

فیلتر های پروتکل به ما اجازه میدن پکتارو بر اساس پروتکل های خاصی فیلتر کنیم که non-application layer هستن و نمیشه فقط با پورت تعریفشون کرد .

مثلا ترافیک

icmp

البته میرسیم به جای جالب ماجرا تا اینجا چیزای که یادگرفتیم چیزای ساده ای بودن ولی میخوایم الان یکی از نقاط قوت اصلی BPF رو یاد بگیریم .

با سینتکس BPF امکان برسی هر بایت از هدر پروتکل هستش برای ساخت فیلتر های خیلی خاص .
توی ترابل شوتینگ های حرفه ای و CTF ها استفاده زیادی ازشون میشه .

فیلتر های پیشرفته تو این بخش به ما اجازه میدن تعداد مشخصی از هر بایت رو از یک مکان خاص تو پکت بگیرید .

بریم برای یه مثال جالب

فرض کنیم میخوایم براساس فیلد type تو هدر ICMP فیلتر انجام بدیم .فیلد type تو ابتدای پکت( offset 0) قرار گرفته برای مشخص کردن مکان ،offset رو باید داخل کروشه [] کنار qualifier پروتکل بنویسیم مثلا

icmp[0]

و اینجوری میتونیم به بایت یک اشاره کنیم

icmp[0] == 3

برای گرفتن پکت هایی که type3(destination unreachable ) هستن مینویسیم

icmp[0] == 8 || icmp[0] == 0

برایecho request (type 8)یاecho reply (type 0)

خیلی فیلتر جالبیه ولی تا اینجا یادگرفتیم که روی یک بایت فیلترمون رو اعمال کنیم الان میخوایم یاد بگیریم بایت های بیشتری رو فیلتر کنیم و محدوده فیلتر هارو داخل هدر رو بزرگتر کنیم (همزمان هدر های بیشتری تو فیلترمون باشن )

مثلا فرض کنید میخوایم ICMP destination-unreachable, host-unreachable (type 3, code 1).
فقط کپچر کنیم یعنی با دوتا هدر سر کار داریم ک هرکدوم یک بایتی هستن و پشت هم قرار گرفتن .
باید دوبایت از افست 0 مشخص کنیمش با مقدار هگزشون یعنی 0x0301
در نتیجه میشه این :

icmp[0:2] == 0x0301

بیایم یه سناریو رایج رو هم برسی کنیم و این پست رو به اتمام برسونیم

وقتی میخوایم پکتی رو کپچرکنیم که فلگ خاصی رو مد نظرمون هست داخل TCP میتونیم از تکنیکی که الان یاد گرفتیم استفاده کنیم

فلگ ها داخل TCP تو افست 13 قرار دارن و هر فلگ یک بیت خاصی داره جدولشو میزارم (عکس 1.2)
مثلا اگه بخوایم پکتی رو فیلتر کنیم که توش از فلگ RST استفاده شده باشه (RSTدر بیت شماره۴)از عملگر & (bitwise AND) استفاده میکنیم:

tcp[13] & 4 == 4

یا برای PSH :

tcp[13] & 8 == 8

و این هم از بخش جذاب BPF .

این سورس رو هم میتونید براش مطالعه بکنید جالب بود
https://biot.com/capstats/bpf.html
➖➖➖➖➖

امیدوارم که از این پست خوشتون بیاد با تشکر
CHANNEL

1.2

متاسفانه پوریای عزیز مدیر کانال هیون فوت شده
خدا به خانوادش صبر بده ،رفیق خوبی برای ما بود خدا رحمتش کنه🖤🖤🖤

فرزند ایران و جان فدای میهن پوریا شهبا
دانشجوی عزیز و مهربون و با پشتکار
نامت تا ابد پیش هممون جاودانه
تسلیت میگم به خانواده ی شهبا
غم آخرتون باشه
عزیزانم لطفا مواظبت کنید متاسفانه اوضاع اصلا جالب نیست
امیدوارم سلامت باشیدو این روز ها بگذره

پوریا عزیزم هنوز باور ندارم نیستی 🖤

اصلا وضع خوبی نیست