2. +7 (495) 204-19-72
Intercepter-NG: сниффер нового поколения
Александр Дмитренко
руководитель отдела обучения
Ares
автор Intercepter-NG

3. +7 (495) 204-19-72
• перехват паролей и/или хешей от ICQ,
IRC, AIM, FTP, IMAP, POP3 и SMTP, до LDAP,
BNC, SOCKS, HTTP, WWW, NNTP, CVS,
TELNET, MRA, DC++, VNC, MYSQL, ORACLE,
NTLM, KRB5, RADIUS
• перехват сообщений таких
мессенджеров как ICQ, AIM, JABBER,
YAHOO, MSN, IRC, MRA
• воссоздание файлов из протоколов HTTP,
FTP, IMAP, POP3, SMTP и SMB
• smart scan
• raw режим
• PCAP Over IP и rpcapd
• pcapng
• контекстный брутфорсер
• поддержка IDN
• arp клетка

4. +7 (495) 204-19-72
• spoofing режим - поддерживает три
протокола DNS, NBNS и LLMNR
• SYN-сканер портов
• и ко всему этому еще и широкий спектр
MitM атак - таких как ARP, DNS over ICMP,
DHCP, SSL, SSLSTRIP, WPAD, SMBRelay и
SSH MiTM

5. +7 (495) 204-19-72

6. +7 (495) 204-19-72
ICMP Redirects
RFC 816
RFC 1812

7. +7 (495) 204-19-72
Структура пакета ICMP Redirect

8. +7 (495) 204-19-72

9. +7 (495) 204-19-72
R1#
debug ip icmp
ICMP packet debugging is on
*Mar 18 06:28:54: ICMP:redirect sent to 172.16.1.1
for dest 10.1.1.1, use gw 172.16.1.200

10. +7 (495) 204-19-72
Условия для корректной обработки icmp redirect:
1. IP-адрес нового роутера должен быть в той же подсети, что
и сам хост.
2. Сам ICMP redirect должен прийти от роутера, который
используется хостом.
3. Новый роут не может быть добавлен для IP-адреса,
который находится в той же подсети, что и сам хост.
4. В теле icmp редиректа должна присутствовать часть
оригинального ip пакета.
5. ОС должна поддерживать и обрабатывать ICMP redirect
пакеты.

11. +7 (495) 204-19-72
DNS over ICMP Redirects

12. +7 (495) 204-19-72
Демо

13. +7 (495) 204-19-72

14. +7 (495) 204-19-72
Схема атаки
MySQL LOAD DATA LOCAL injection:
1 - клиент отправляет обычный запрос
(например select)
2 – сервер отвечает “мне нужен такой-то
файл” (/etc/passwd)
3 - клиент отправляет содержимое этого
файла

15. +7 (495) 204-19-72
Демо

16. +7 (495) 204-19-72
SMB Relay

17. +7 (495) 204-19-72
SMB Hijacking

18. +7 (495) 204-19-72
Демо

19. +7 (495) 204-19-72
Java inject

20. +7 (495) 204-19-72
Демо

21. +7 (495) 204-19-72

22. +7 (495) 204-19-72
Предупреждение об ответственности

23. +7 (495) 204-19-72

24. +7 (495) 204-19-72
Сайт http://sniff.su
Почта intercepter.mail@gmail.com
Форум http://intercepter.mxf.yuku.com
Вики http://intercepter.nerf.ru/wiki/
Блог http://intercepter-ng.blogspot.ru/
Твиттер @IntercepterNG

25. О компании
PentestIT - команда сертифицированных профессионалов в области
практической ИБ.
Имея большой опыт в обеспечении практической безопасности, наша
компания готова взять на себя самые сложные и ответственные
работы по обеспечению ИБ, обучению и стажировке персонала,
предотвращению НСД к конфиденциальной информации вашего
бизнеса.
+7 (495) 204-19-72