Seth

Seth è uno strumento scritto in Python e Bash per eseguire MitM su connessioni RDP tentando di declassare la connessione al fine di estrarre le credenziali in chiaro. È stato sviluppato per aumentare la consapevolezza e informare sull'importanza di connessioni RDP configurate correttamente nel contesto di penetration test, workshop o conferenze. L'autore è Adrian Vollmer (SySS GmbH).

Utilizzo

Eseguilo così:

$ ./seth.sh <INTERFACCIA> <IP ATTACCANTE> <IP VITTIMA> <IP GATEWAY|IP HOST> [<COMANDO>]

A meno che l'host RDP non sia sulla stessa sottorete della macchina vittima, l'ultimo indirizzo IP deve essere quello del gateway.

L'ultimo parametro è opzionale. Può contenere un comando eseguito sull'host RDP simulando WIN+R tramite iniezione di eventi di pressione dei tasti. L'iniezione dei tasti dipende dal layout di tastiera utilizzato dalla vittima - attualmente è affidabile solo con il layout inglese US. Suggerisco di evitare caratteri speciali utilizzando powershell -enc <STRINGA>, dove STRINGA è il tuo comando codificato in UTF-16le e Base64. Tuttavia, calc dovrebbe essere abbastanza universale e fa il suo dovere.

Lo script shell esegue ARP spoofing per ottenere una posizione Man-in-the-Middle e reindirizza il traffico in modo che passi attraverso un proxy RDP. Il proxy può essere chiamato separatamente. Ciò può essere utile se vuoi usare Seth in combinazione con Responder. Usa Responder per ottenere una posizione Man-in-the-Middle ed esegui Seth contemporaneamente. Esegui seth.py -h per maggiori informazioni:

usage: seth.py [-h] [-d] [-f] [-p LISTEN_PORT] [-b BIND_IP] [-g {0,1,3,11}]
               [-j INJECT] -c CERTFILE -k KEYFILE
               target_host [target_port]

RDP credential sniffer -- Adrian Vollmer, SySS GmbH 2017

positional arguments:
  target_host           host di destinazione del servizio RDP
  target_port           porta TCP del servizio RDP di destinazione (default 3389)

optional arguments:
  -h, --help            mostra questo messaggio di aiuto ed esci
  -d, --debug           mostra informazioni di debug
  -f, --fake-server     esegui un attacco 'falso server'
  -p LISTEN_PORT, --listen-port LISTEN_PORT
                        porta TCP su cui ascoltare (default 3389)
  -b BIND_IP, --bind-ip BIND_IP
                        indirizzo IP a cui associare il servizio falso (default tutti)
  -g {0,1,3,11}, --downgrade {0,1,3,11}
                        declassa il protocollo di autenticazione a questo (default
                        3)
  -j INJECT, --inject INJECT
                        comando da eseguire tramite iniezione di eventi di pressione dei tasti
  -c CERTFILE, --certfile CERTFILE
                        percorso del file del certificato
  -k KEYFILE, --keyfile KEYFILE
                        percorso del file della chiave

Seth

Più Popolari

Demo

Requisiti

Disclaimer