mitm6

mitm6は、Windowsのデフォルト設定を悪用してデフォルトのDNSサーバを乗っ取るペネトレーションテストツールです。DHCPv6メッセージに応答することで、被害者にリンクローカルIPv6アドレスを提供し、攻撃者のホストをデフォルトDNSサーバに設定します。DNSサーバとして、mitm6は攻撃者が選択したDNSクエリに選択的に応答し、被害者のトラフィックを正規のサーバではなく攻撃者マシンにリダイレクトします。攻撃の詳細については、mitm6に関するブログ記事を参照してください。Mitm6は、WPADスプーフィングと資格情報の中継のために、impacketのntlmrelayxと連携するように設計されています。

依存関係とインストール

mitm6はPython 2.7および3.xの両方と互換性があります。お使いのバージョンの要件は pip install -r requirements.txt でインストールできます。どちらの場合も、mitm6は以下のパッケージを使用します。

• Scapy
• Twisted
• netifaces

Python 2.7の場合、ipaddress バックポートモジュールを使用します。 PyPIから最新リリースを pip install mitm6 でインストールするか、このgitリポジトリをクローンした後、ソースから最新バージョンを python setup.py install でインストールできます。

使用方法

インストール後、mitm6 というコマンドラインプログラムとしてmitm6が使用可能になります。Scapyを使用したrawパケットキャプチャを利用するため、root権限で実行する必要があります。mitm6はデフォルトでネットワーク設定を自動検出し、プライマリインターフェースをスプーフィングに使用します。おそらく指定する必要があるオプションは、スプーフィング対象のAD domain のみです。高度な調整には、以下のオプションが利用可能です。

usage: mitm6 [-h] [-i INTERFACE] [-l LOCALDOMAIN] [-4 ADDRESS] [-6 ADDRESS] [-m ADDRESS] [-a] [-r TARGET] [-v] [--debug]
             [-d DOMAIN] [-b DOMAIN] [-hw DOMAIN] [-hb DOMAIN] [--ignore-nofqdn]

mitm6 - pwning IPv4 via IPv6
For help or reporting issues, visit https://github.com/dirkjanm/mitm6

optional arguments:
  -h, --help            show this help message and exit
  -i INTERFACE, --interface INTERFACE
                        Interface to use (default: autodetect)
  -l LOCALDOMAIN, --localdomain LOCALDOMAIN
                        Domain name to use as DNS search domain (default: use first DNS domain)
  -4 ADDRESS, --ipv4 ADDRESS
                        IPv4 address to send packets from (default: autodetect)
  -6 ADDRESS, --ipv6 ADDRESS
                        IPv6 link-local address to send packets from (default: autodetect)
  -m ADDRESS, --mac ADDRESS
                        Custom mac address - probably breaks stuff (default: mac of selected interface)
  -a, --no-ra           Do not advertise ourselves (useful for networks which detect rogue Router Advertisements)
  -r TARGET, --relay TARGET
                        Authentication relay target, will be used as fake DNS server hostname to trigger Kerberos auth
  -v, --verbose         Show verbose information
  --debug               Show debug information

Filtering options:
  -d DOMAIN, --domain DOMAIN
                        Domain name to filter DNS queries on (Allowlist principle, multiple can be specified.)
  -b DOMAIN, --blocklist DOMAIN, --blacklist DOMAIN
                        Domain name to filter DNS queries on (Blocklist principle, multiple can be specified.)
  -hw DOMAIN, -ha DOMAIN, --host-allowlist DOMAIN, --host-whitelist DOMAIN
                        Hostname (FQDN) to filter DHCPv6 queries on (Allowlist principle, multiple can be specified.)
  -hb DOMAIN, --host-blocklist DOMAIN, --host-blacklist DOMAIN
                        Hostname (FQDN) to filter DHCPv6 queries on (Blocklist principle, multiple can be specified.)
  --ignore-nofqdn       Ignore DHCPv6 queries that do not contain the Fully Qualified Domain Name (FQDN) option.

自動検出オプションのほとんどは手動で上書きできます（ただし、MACアドレスを上書きすると問題が発生する可能性があります）。ネットワーク上に悪意のあるルーターアドバタイズメント（Router Advertisement）メッセージをブロックまたは検出するハードウェアがある場合は、--no-ra フラグを追加してそれらのブロードキャストを防ぐことができます。mitm6は主にDHCPv6メッセージに依存しているため、ルーターアドバタイズメントは動作に必須ではありません。

フィルタリングオプション

攻撃およびスプーフィング対象のホストを選択するために、いくつかのフィルタリングオプションが利用可能です。まず、--host-allowlist および --host-blocklist オプション（短縮形はそれぞれ -hw および -hb）があり、引数として（部分的な）ドメインを取ります。受信したDHCPv6リクエストはこのリストに対してフィルタリングされます。チェックされるプロパティは、クライアントがホスト名を提供するDHCPv6 FQNDオプションです。 同様にDNSリクエストにも適用され、こちらには --domain オプション（または -d）が用意されており、スプーフィングしたいドメインを指定できます。特定のドメインをブロックするには --blocklist/-b も使用可能です。両方のパラメータは複数回指定して、複数のドメインを含めたりブロックしたりできます（例：-d domain.local -d otherdomain.local -b somehost.domain.local -b somehost.otherdomain.local）。

ホストフィルタリングとDNSフィルタリングの両方で、単純な文字列マッチングが実行されます。そのため、wpad に応答するように設定した場合、wpad.corpdomain.com へのクエリにも応答します。より詳細なフィルタリングが必要な場合は、ブロックリストが許可リストよりも優先されるため、許可リストとブロックリストの両方のオプションを使用してください。 デフォルトでは、最初に指定されたドメインがDNS検索ドメインとして使用されます。このドメインを明示的に指定したい場合は、--localdomain オプションを使用してください。

ネットワークへの影響と復元について

mitm6はペネトレーションテストツールとして設計されており、ネットワークへの影響は可能な限り最小限に抑えられるべきです。これが、mitm6が現時点で例えばSLAAC攻撃のように完全な中間者攻撃を実装していない主な理由です。影響をさらに最小化するために、割り当てられるIPアドレスは低いTTL（Time-to-Live）値を持ちます。mitm6を停止すると、リースは5分以内に期限切れとなり、被害者の設定からDNSサーバが削除されます。DNS応答がキャッシュされるのを防ぐため、すべての応答はTTL=100秒で送信され、ツール終了後数分以内にキャッシュがクリアされるようになっています。

ntlmrelayxとの連携

mitm6はntlmrelayxと併用するように設計されています。これらのツールは並行して実行する必要があります。このシナリオでは、mitm6がDNSをスプーフィングし、被害者がHTTPおよびSMB接続のためにntlmrelayxに接続するように仕向けます。そのためには、ntlmrelayxを -6 オプション付きで実行し、IPv4とIPv6の両方でリッスンさせる必要があります。WPADの資格情報を取得するには、スプーフィングするWPADホスト名を -wh HOSTNAME で指定します（mitm6がDNSサーバであるため、ローカルドメイン内の存在しないホスト名でも動作します）。オプションとして、被害者にMS16-077パッチが適用されていないと思われる場合、-wa N パラメータを使用してWPADファイル自体の認証を促す試行回数を指定することもできます。

krbrelayxとの連携

mitm6を使用して、特にDNS経由でKerberos認証をリレーすることもできます。これを行うには、--relay パラメータを使用し、リレー先のホストを指定します。このホストは偽装され、mitm6は被害者にKerberos認証を使用した認証付き動的更新をkrbrelayxに送信するよう促します。この攻撃の詳細は以下のブログで確認できます：https://dirkjanm.io/relaying-kerberos-over-dns-with-krbrelayx-and-mitm6/

検出

Fox-IT Security Research Teamは、悪意のあるDHCPv6トラフィックおよびIPv6上のWPAD応答を検出するためのSnortおよびSuricataシグネチャを公開しています。シグネチャはこちらで入手可能です：https://gist.github.com/fox-srt/98f29051fe56a1695de8e914c4a2373f