התקפה MITM Javascript injection

תמלול ההרצאה: התקפה MITM Javascript injection

הטקסט המלא של הדקות הראשונות בהרצאה «התקפה MITM Javascript injection» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:03

   בסרטון הזה אני רוצה להראות לכם כיצד אנחנו מזריקים קוד של JavaScript לדפדפן של הקורבן. JavaScript זאת שפת תכנות, שפת סקריפטינג, שהדפדפן יודע לקבל ולהריץ אותה, ובזכות זה שאנחנו כרגע נהיה Man in the Middle אנחנו נוכל לשלוח לדפדפן פקודות ב-JavaScript כדי שהוא יריץ אותן.

2. 00:28

   ובפקודה הבאה אני רוצה להראות לכם כיצד אני שולח הודעה לדפדפן הקורבן בזכות הזרקה של קוד בג'אווה סקריפט, ופה אני רושם יש הודעה מסוג אלרט בג'אווה סקריפט, וכאן אני ארשום מה שאני רוצה לאו אבריבאדי.

3. 00:45

   כמו כן אפשר להצביע על קובץ שנמצא בארדיסק של התוקף, בתוך הקובץ הזה יש הודעה די דומה. בואו נתחיל בהתקפה. נלך למחשב התוקף ונראה את מחשב קורבן.

4. 01:04

   זאת הפקודה, אני מוסיף את הפלאג הזה, זה הפלאג שאני אמור להוסיף, ופה אני מוסיף את ההודעה שאני רוצה. כל הפקודות נמצאות ב-help, הנה יש לי פה את ה-keylogger, יש לי פה את הסקרין, דפוס תמונות מהלקוח, הנה, js,

5. 01:28

   פייל, פייל קונטנט JavaScript to inject, או לחלופין, מה שאנחנו עושים עכשיו, פיילוד JavaScript פיילוד ואז במכה אחת גם את ההודעה ואת זה נעשה עוד מעט. נצביע על קובץ שמכיל הודעה.

6. 01:44

   ננקה מסך, נעלה את הפקודה ונלחץ על enter. כרגע אני נכנס לעמוד באמצע של התקשורת וכל אתר, לא משנה, כל אתר שקורבן יגלוש אליו, אז אנחנו נקבל את האלרט הזה כי הדפדפן ידע להריץ קוד JavaScript שהוא מקבל.

7. 02:04

   בואו נבחר באתר מסוים. AAV-Train זה אתר פשוט שנמצא באינטרנט, והנה הקוד שלנו קפץ. אוקיי, לא אבריבאדי, בואו ניתן, אז תלחץ על אוקיי.

8. 02:18

   אוקיי, בואו נראה ב-ViewPageSource, בואו תראו קוד. הנה, הוצאתי אותו. ViewPageSource זה מראה לי מה נמצא מאחורי הקלעים, והנה הוא קיבל קוד 100 תוקף להרצה והוא הריץ אותו.

9. 02:39

   לאו אבריבאדי בסדר זה קוד שרץ פה כמובן אפשר