MITM_Intercept

طريقة أقل احترافية قليلاً لاعتراض وتعديل البروتوكولات غير HTTP عبر Burp وغيرها مع دعم اعتراض SSL و TLS. هذه الأداة مخصصة للباحثين ومختبرِي الاختراق التطبيقي الذين يقومون بتقييم أمان العملاء السميكين (Thick Clients).

نسخة محسّنة من المشروع الرائع mitm_relay.

القصة

كجزء من عملنا في قسم الأبحاث في CyberArk Labs، احتجنا إلى طريقة لفحص اتصالات SSL و TLS عبر TCP، مع إمكانية تعديل محتوى الحزم أثناء التنقل. هناك عدة طرق للقيام بذلك (مثل امتداد Burp Suite المعروف NoPE)، لكن لم يعمل أي منها معنا في بعض الحالات. في النهاية عثرنا على mitm_relay.

mitm_relay هي طريقة سريعة وسهلة لإجراء MITM لأي بروتوكول يعتمد على TCP من خلال برامج اعتراض HTTP الحالية مثل وكيل Burp Suite. وهي مفيدة بشكل خاص لتقييم أمان العملاء السميكين. لكنها لم تعمل بشكل كامل معنا، لذا احتجنا إلى تخصيصها. بعد الكثير من التخصيصات، تطلب كل تغيير جديد الكثير من العمل، وانتهى بنا الأمر إلى إعادة كتابة كل شيء بطريقة معيارية أكثر.

نأمل أن يجد الآخرون هذا السكريبت مفيدًا، ونأمل أن تكون إضافة الوظائف سهلة.

كيف يعمل

في البداية، يجب تكوين عناوين ومنافذ المستمعين. لكل مستمع، يجب أيضًا تكوين هدف (عنوان ومنفذ). سيتم تغليف كل البيانات المستلمة من المستمع في نص طلب HTTP POST مع عنوان URL يحتوي على "CLIENT_REQUEST". سيتم تغليف كل البيانات المستلمة من الهدف في نص طلب HTTP POST مع عنوان URL يحتوي على "SERVER_RESPONSE". يتم إرسال هذه الطلبات إلى خادم اعتراض HTTP محلي.

هناك خيار لتكوين وكيل HTTP واستخدام أداة مثل burp suite كأداة اعتراض HTTP وعرض الرسائل هناك. بهذه الطريقة، من السهل تعديل الرسائل باستخدام ميزة "Match and Replace" من Burp، أو الامتدادات، أو حتى يدويًا (تذكر أن آلية المهلة للبروتوكول المعترض يمكن أن تكون قصيرة جدًا).

طريقة أخرى لتعديل الرسائل هي باستخدام سكريبت بايثون سيقوم خادم اعتراض HTTP بتشغيله عند استلام الرسائل.

سيتم طباعة نص الرسائل المرسلة إلى خادم اعتراض HTTP في الصدفة. سيتم طباعة الرسائل بعد التغييرات إذا تم تقديم سكريبت التعديل. بعد كل التعديلات، سيعيد خادم الاعتراض أيضًا الصدى كجسم استجابة HTTP.

لفك تشفير اتصال SSL/TLS، يجب تزويد mitm_intercept بشهادة ومفتاح يقبلهما العميل عند بدء المصافحة مع المستمع. إذا كان الخادم الهدف يتطلب شهادة محددة للمصافحة، فهناك خيار لإعطاء شهادة ومفتاح.

مخطط صغير يوضح تدفق حركة المرور النموذجي:

الاختلافات عن mitm_relay

mitm_intercept متوافق مع الإصدارات الأحدث من Python 3 (Python 3.9) ومتوافق أيضًا مع Windows (على سبيل المثال، socket.MSG_DONTWAIT غير موجود في Windows). أبقينا على خيار استخدام "STARTTLS" وأطلقنا عليه اسم "Mixed" mode. تم تحديث استخدام ملف مفتاح SSL (الخيار المدمج لاستخدامه جديد من Python 3.8)، وأضفنا خيار تغيير رأس sni. الآن، تتم إدارة الاتصالات الواردة والصادرة بواسطة socketserver، ويتم إرسال جميع البيانات إلى فئة فرعية من ThreadingHTTPServer التي تتعامل مع تمثيل البيانات وتعديلها. بهذه الطريقة، من الممكن رؤية التغييرات المطبقة بواسطة سكريبت التعديل في الاستجابة (مفيد لاستخدام Burp). أيضًا، يمكننا الآن تغيير التشفيرات المتاحة التي يستخدمها السكريبت باستخدام تنسيق قائمة تشفيرات OpenSSL.

المتطلبات الأساسية

1. Python 3.9
2. requests: $ python -m pip install requests

الاستخدام

usage: mitm_intercept.py [-h] [-m] -l [u|t:]<interface>:<port> [[u|t:]<interface>:<port> ...] -t
                         [u|t:]<addr>:<port> [[u|t:]<addr>:<port> ...] [-lc <cert_path>]
                         [-lk <key_path>] [-tc <cert_path>] [-tk <key_path>] [-w <interface>:<port>]
                         [-p <addr>:<port>] [-s <script_path>] [--sni <server_name>]
                         [-tv <defualt|tls12|tls11|ssl3|tls1|ssl2>] [-ci <ciphers>]

mitm_intercept version 1.6