StreamDivert

StreamDivert ist ein Tool, um eingehende und ausgehende Netzwerkverbindungen auf einem System mit einem Man-in-the-Middle-Angriff abzufangen oder weiterzuleiten. Es hat die Fähigkeit, zum Beispiel alle eingehenden SMB-Verbindungen zu Port 445 an einen anderen Server weiterzuleiten oder nur bestimmte eingehende SMB-Verbindungen von einer bestimmten Gruppe von Quell-IPs an einen anderen Server weiterzuleiten. Zusammengefasst kann StreamDivert:

• Alle eingehenden Verbindungen zu einem bestimmten Port an ein anderes Ziel weiterleiten.
• Eingehende Verbindungen von einer bestimmten Quell-IP an einen Port zu einem anderen Ziel weiterleiten.
• Eingehende Verbindungen an einen SOCKS(4/5)-Server weiterleiten.
• Alle ausgehenden Verbindungen zu einem bestimmten Port an ein anderes Ziel weiterleiten.
• Ausgehende Verbindungen zu einer bestimmten IP und Port an ein anderes Ziel weiterleiten.
• TCP-, UDP- und ICMP-Verkehr über IPv4 und IPv6 verarbeiten.
• Umgeleitete Pakete über eine bestimmte Netzwerkschnittstelle erzwingen.

Binaries herunterladen

Vorkompilierte Binärdateien für StreamDivert können hier heruntergeladen werden.

Verwendung

Wie verwenden Sie StreamDivert? Führen Sie das Tool mit Administratorrechten aus:

streamdivert.exe config_file [-f] [-v]

Die Konfigurationsdatei enthält Einträge für Streams, die Sie umleiten möchten. Ein Beispiel für eine Konfigurationsdatei:

//Divert all inbound TCP connections to port 445 (SMB) coming from 10.0.1.50 to 10.0.1.49 port 445
tcp < 445 10.0.1.50 -> 10.0.1.49 445

//Divert all inbound TCP connections to port 445 (SMB) coming from 10.0.1.51 to a local SOCKS server
tcp < 445 10.0.1.51 -> socks

//Divert all inbound TCP connections to port 445 (SMB) coming from fe80::f477:846a:775d:d37 to fe80::20c:29ff:fe6f:88ff port 445
tcp < 445 fe80::f477:846a:775d:d37 -> fe80::20c:29ff:fe6f:88ff 445

//Divert all inbound TCP connections to port 445 (SMB) to 10.0.1.48 port 445
tcp < 445 0.0.0.0 -> 10.0.1.48 445

//Divert all inbound UDP connections to to port 53 (DNS) to  10.0.1.49 port 53
udp < 53 0.0.0.0 -> 10.0.1.49 53

//Divert all inbound ICMP packets coming from 10.0.1.50 to 10.0.1.49
icmp < 10.0.1.50 -> 10.0.1.49

//Divert all outbound TCP connections to 10.0.1.50, port 80 to 10.0.1.49 port 8080
tcp > 10.0.1.50 80 -> 10.0.1.49 8080

//Send all packets going to 10.0.1.50 port 80 and prefer interface 9 to send them. If the interface does not exist or is not up, the packets are send from the default interface.
tcp > 10.0.1.50 80 -> 10.0.1.50 80 interface 9

//Force all packets going to 10.0.1.50 port 80 over interface 9, or drop the packets if the interface does not exist or is not up.
tcp > 10.0.1.50 80 -> 10.0.1.50 80 force interface 9

//Divert all outbound UDP connection to port 53 (DNS) to 10.0.1.49 port 53
udp > 0.0.0.0 53 -> 10.0.1.49 53

Das [-f]-Flag modifiziert bei Angabe die Windows-Firewall, um eine Ausnahme für die Anwendung hinzuzufügen, sodass eingehender Verkehr korrekt an einen anderen Port umgeleitet wird. Das [-v]-Flag steuert die Ausführlichkeit der Protokollierung. Wenn angegeben, protokolliert StreamDivert Details über umgeleitete Pakete und Streams.

Einige Anwendungsfälle

• Ausgehenden C&C-Verkehr an einen lokalen Socket umleiten für dynamische Malware-Analyse.
• Eingehende SMB-Verbindungen eines kompromittierten Hosts an Responder/ntlmrelayx umleiten (nützlich in Penetrationstests).
• Verkehr über reservierte Ports leiten. Nützlich, wenn eine Netzwerkfirewall dazwischen ist. Zum Beispiel...
  • Eine Meterpreter-Shell über Port 445 leiten.
  • Einen SOCKS-Server auf Port 3389 ausführen.
• ...

Hilfe! Meine Pakete/Verbindungen werden nicht korrekt umgeleitet!

Ein wichtiger Punkt bei der Konfiguration umgeleiteter Verbindungen ist, dass Sie keine widersprüchlichen umgeleiteten Streams haben. Gegeben die folgende Beispiel-Konfigurationsdatei:

icmp < 0.0.0.0 -> 10.0.1.50
icmp > 10.0.1.49 -> 10.0.1.48

Diese beiden umgeleiteten Streams werden sich gegenseitig beeinträchtigen, da Pakete für den ersten umgeleiteten Stream auch vom zweiten Paket-'Umleiter' erfasst werden. Im Allgemeinen treten diese Probleme nur bei UDP und ICMP sowie bei der Verwendung von Wildcards auf.

Beachten Sie auch, dass das Umleiten von IPv4 zu einer IPv6-Adresse und umgekehrt für UDP- und ICMP-Verkehr nicht unterstützt wird.

Mitwirken an StreamDivert

Gewünschte Funktionen:

• IP range support
• ...