Heading

Introductie

Volgens de officiële website is Cain & Abel een password recovery tool voor Microsoft Operating Systems. Het maakt eenvoudig herstel van verschillende soorten wachtwoorden mogelijk door het netwerk te sniffen, het kraken van versleutelde wachtwoorden met behulp van Dictionary, Brute-Force en Cryptanalysis aanvallen, het opnemen van VoIP-gesprekken, het decoderen van versleutelde wachtwoorden, het herstellen van draadloze netwerksleutels, het onthullen van wachtwoordboxen, het blootleggen van wachtwoorden in de cache en het analyseren van routing protocollen.

De nieuwste versie is sneller en bevat veel nieuwe functies, zoals APR (ARP Poison Routing) waarmee gesnuffeld kan worden op geschakelde LAN’s en Man-in-the-Middle aanvallen. De sniffer in deze versie kan ook versleutelde protocollen zoals SSH-1 en HTTPS analyseren en bevat filters om credentials van een breed scala aan authenticatiemechanismen te vangen. De nieuwe versie bevat ook routing protocols authenticatie monitors en routes extractors, dictionary en brute-force crackers voor alle gangbare hashing algoritmes en voor verschillende specifieke authenticaties, wachtwoord/hash calculators, cryptanalyse aanvallen, wachtwoord decoders en een aantal niet zo gangbare hulpprogramma’s met betrekking tot netwerk- en systeembeveiliging.

Wie zou deze tool moeten gebruiken?

Cain & Abel is een tool die zeer nuttig zal zijn voor netwerkbeheerders, docenten, professionele penetratietesters, beveiligingsconsultants/-professionals, forensisch personeel en leveranciers van beveiligingssoftware.

Eisen

De systeemeisen die nodig zijn om Cain met succes op te zetten & Abel zijn:

• Minimaal 10MB harde schijfruimte
• Microsoft Windows 2000/XP/2003/Vista OS
• Winpcap Packet Driver (v2.3 of hoger)
• Airpcap Packet Driver (voor passieve draadloze sniffer / WEP cracker)

Installatie

Eerst moeten we Cain & Abel downloaden, dus ga naar de download pagina www.oxid.it/cain.html.

Na het downloaden hoeft u alleen maar het zelf-installerende uitvoerbare pakket uit te voeren en de installatie-instructies te volgen.

Cain’s functies

Hier volgt een lijst met alle functies van Cain die het een geweldig hulpmiddel voor netwerkpenetratietests maken:

Gerelateerde definities

MAC: (uit Wikipedia) “Een Media Access Control-adres (MAC-adres) is een unieke identificatiecode die wordt toegewezen aan netwerkinterfaces voor communicatie op het fysieke netwerksegment. MAC-adressen worden gebruikt voor talrijke netwerktechnologieën en de meeste IEEE 802 netwerktechnologieën, waaronder Ethernet. Logisch gezien worden MAC-adressen gebruikt in de sublaag van het protocol Media Access Control van het OSI-referentiemodel.

MAC-adressen worden meestal toegewezen door de fabrikant van een netwerkinterfacekaart (NIC) en worden opgeslagen in de hardware, het alleen-lezen geheugen van de kaart, of een ander firmware-mechanisme. Indien een MAC-adres door de fabrikant wordt toegewezen, bevat het gewoonlijk het geregistreerde identificatienummer van de fabrikant en kan het worden aangeduid als het ingebrande adres. Het kan ook bekend staan als Ethernet-hardwareadres (EHA), hardwareadres of fysiek adres. Een netwerkknooppunt kan meerdere NIC’s hebben en heeft dan één uniek MAC-adres per NIC.”

Sniffing: (uitWikipedia) “Een packet analyzer (ook bekend als een netwerk analyzer, protocol analyzer of packet sniffer, of voor bepaalde typen netwerken, een Ethernet sniffer of wireless sniffer) is een computerprogramma of een stuk computer hardware dat het verkeer dat over een digitaal netwerk of een deel van een netwerk gaat kan onderscheppen en loggen. Terwijl datastromen over het netwerk stromen, vangt de sniffer elk pakket op en decodeert zo nodig de ruwe gegevens van het pakket, waarbij de waarden van verschillende velden in het pakket worden getoond, en analyseert de inhoud volgens de toepasselijke RFC of andere specificaties.”

ARP(van Wikipedia) “Address Resolution Protocol (ARP) is een telecommunicatieprotocol dat wordt gebruikt voor het omzetten van netwerklaagadressen in linklaagadressen, een kritieke functie in netwerken met meervoudige toegang. ARP werd gedefinieerd door RFC 826 in 1982. Het is Internet Standaard STD 37. Het is ook de naam van het programma voor het manipuleren van deze adressen in de meeste besturingssystemen.”

Gebruik

Nu na het starten van de applicatie, moeten we deze configureren om de juiste netwerkkaart te gebruiken.Als u meerdere netwerkkaarten heeft, is het beter om het MAC adres te weten van de netwerkkaart die u gaat gebruiken voor de sniffer.Om het MAC adres van uw netwerk interface kaart te achterhalen, doet u het volgende:

1- Open CMD prompt.
/p>

2- Schrijf het volgende commando “ipconfig /all”.

3- Bepaal het MAC adres van de gewenste Ethernet adapters, schrijf dit op in Kladblok, en gebruik deze informatie dan om te bepalen welke NIC geselecteerd moet worden in de Cain applicatie.

Klik nu opConfigure in het hoofdmenu. Het zal het configuratie dialoogvenster openen waar u de gewenste netwerk interface kaart kunt selecteren.

Nu gaan we door de tabs van het configuratiedialoogvenster en bekijken we de meeste ervan in het kort:

TabbladSniffer:

Dit tabblad stelt ons in staat om aan te geven welke Ethernet-interfacekaart we gaan gebruiken voor sniffing.

ARP Tab:

Dit tabblad stelt ons in staat ARP poison routing in te stellen om een ARP poisoning aanval uit te voeren, waarbij de computer van het slachtoffer wordt misleid door zich voor te doen als een ander apparaat om al het verkeer binnen te halen dat toebehoort aan dat apparaat, wat meestal de router is of een belangrijke server.

Tabblad Filters en Poorten:

Op dit tabblad staan de meeste standaard services met hun standaard poort.U kunt de poort veranderen door met de rechtermuisknop te klikken op de service waarvan u de poort wilt veranderen en deze vervolgens in of uit te schakelen.

Cain’s sniffer filters en TCP/UDP poort van het applicatieprotocol.

HTTP Fields Tab:

Er zijn enkele functies van Cain die informatie ontleden van webpagina’s die door het slachtoffer worden bekeken, zoals LSA Secrets dumper, HTTP Sniffer en ARP-HTTPS, dus hoe meer velden je toevoegt aan de gebruikersnaam en wachtwoorden velden, hoe meer je HTTP gebruikersnamen en wachtwoorden van HTTP en HTTPS verzoeken vastlegt. Hier is een voorbeeld:

De volgende cookie gebruikt de velden “logonusername=” en “userpassword=” voor authenticatie doeleinden. Als je deze twee velden niet in de lijst opneemt, zal de sniffer de relatieve geloofsbrieven niet extraheren.

GET /mail/Login?domain=xxxxxx.xx&style=default&plain=0 HTTP/1.1

Accepteer: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, applicatie/vnd.ms-excel, applicatie/vnd.ms-powerpoint, applicatie/msword, applicatie/x-shockwave-flash, */*

Refer: http://xxx.xxxxxxx.xx/xxxxx/xxxx

Accept-Language: it

Accept-Encoding: gzip, deflate

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; (R1 1.3); .NET CLR 1.1.4322)

Host: xxx.xxxxxx.xx

Connection: Keep-Alive

Cookie: ss=1; [email protected]; ss=1; srclng=it; srcdmn=it; srctrg=_blank; srcbld=y; srcauto=on; srcclp=on; srcsct=web; userpassword=password; video=c1; TEMPLATE=default;

Traceroute Tab:

Traceroute is een techniek om het pad tussen twee punten te bepalen door simpelweg te tellen hoeveel hops het pakket zal nemen van de bronmachine om de doelmachine te bereiken. Cain voegt ook meer functionaliteit toe die hostnaam resolutie, Net mask resolutie, en Whois informatie verzamelen mogelijk maakt.

Certificaat Spoofing Tab:

Dit tabblad staat Certificaat spoofing toe.Uit Wikipedia:

“In de cryptografie is een public key certificaat (ook bekend als digitaal certificaat of identiteitscertificaat) een elektronisch document dat gebruik maakt van een digitale handtekening om een publieke sleutel te koppelen aan een identiteit – informatie zoals de naam van een persoon of een organisatie, hun adres, enzovoort. Het certificaat kan worden gebruikt om te verifiëren dat een publieke sleutel aan een individu toebehoort.

In een typische PKI-regeling (Public Key Infrastructure) is de handtekening afkomstig van een certificeringsinstantie (CA). In een “web of trust”-systeem is de handtekening van de gebruiker (een zelfondertekend certificaat) of van andere gebruikers (“endorsements”). In beide gevallen zijn de handtekeningen op een certificaat attesten van de ondertekenaar van het certificaat dat de identiteitsinformatie en de openbare sleutel bij elkaar horen.”

We kunnen het eenvoudig zien als een soort gegevens (cipher suites & Openbare sleutel en wat andere informatie over de eigenaar van het certificaat) die informatie bevatten over de bestemmingsserver en die zijn versleuteld door vertrouwde bedrijven (CA) die gemachtigd zijn om dit soort gegevens te creëren.De server stuurt zijn eigen certificaat naar de client applicatie om er zeker van te zijn dat hij met de juiste server praat.

Certificate Collector Tab:

Dit tabblad verzamelt alle certificaten heen en weer tussen servers en clients door proxy IPs en poorten in te stellen die ernaar luisteren.

Challenge Spoofing Tab:

Hier kunt u de aangepaste challenge waarde instellen om te herschrijven in NTLM authenticatie pakketten. Deze functie kan snel worden ingeschakeld vanuit de werkbalk van Cain en moet worden gebruikt met APR. Een vaste uitdaging maakt het mogelijk om NTLM hashes te kraken die op het netwerk zijn vastgelegd door middel van Rainbow Tables.

Password Cracking

Nu is het tijd om het te hebben over de Cracker tab, de belangrijkste functie van Cain.Wanneer Cain LM en NTLM hashes of wachtwoorden voor ondersteunde protocollen vastlegt, stuurt Cain ze automatisch naar de Cracker tab.We zullen een lokaal SAM bestand importeren alleen voor demonstratie doeleinden om dit punt te illustreren.Hier ziet u hoe u het SAM-bestand importeert:

Hier zijn de 4 NTLM- en LM-hashes die er als volgt uit komen te zien:

En hier vindt u alle mogelijke wachtwoordtechnieken in de volgende afbeelding:

Zoals u in de vorige afbeelding kunt zien, zijn er verschillende soorten technieken die zeer effectief zijn bij het kraken van wachtwoorden.We zullen elk van hun definities bekijken.

Woordenboekaanval:

Van Wikipedia: “Een woordenboekaanval maakt gebruik van een doelgerichte techniek waarbij achtereenvolgens alle woorden in een uitputtende lijst, een zogenaamd woordenboek, worden geprobeerd (uit een vooraf opgestelde lijst met waarden). In tegenstelling tot een brute-force-aanval, waarbij een groot deel van de sleutelruimte systematisch wordt doorzocht, worden bij een woordenboekaanval alleen die mogelijkheden geprobeerd die de grootste kans van slagen hebben, meestal afgeleid van een lijst van woorden, bijvoorbeeld een woordenboek (vandaar de uitdrukking woordenboekaanval). Over het algemeen hebben woordenboekaanvallen succes omdat veel mensen de neiging hebben korte wachtwoorden te kiezen (7 tekens of minder), losse woorden die in woordenboeken voorkomen of eenvoudige, gemakkelijk te voorspellen variaties op woorden, zoals het toevoegen van een cijfer. Deze zijn echter gemakkelijk te omzeilen. Het toevoegen van een enkel willekeurig teken in het midden kan woordenboekaanvallen onhoudbaar maken.”

Brute forcing-aanval:

Van Wikipedia: “In de cryptografie is een brute-force-aanval, of uitputtend zoeken naar sleutels, een cryptanalytische aanval die in theorie kan worden gebruikt tegen alle versleutelde gegevens (met uitzondering van gegevens die op een informatietheoretisch veilige manier zijn versleuteld). Een dergelijke aanval kan worden gebruikt wanneer het niet mogelijk is gebruik te maken van andere zwakke punten in een vercijferingssysteem (indien die bestaan) die de taak gemakkelijker zouden maken. De aanval bestaat uit het systematisch controleren van alle mogelijke sleutels totdat de juiste sleutel is gevonden.

De sleutellengte van het cijfer bepaalt de praktische uitvoerbaarheid van een brute-force aanval, waarbij langere sleutels exponentieel veel moeilijker te kraken zijn dan kortere. Een cijfer met een sleutellengte van N bits kan worden gekraakt in een worst-case tijd die evenredig is met 2N en een gemiddelde tijd van de helft daarvan. Brute-krachtaanvallen kunnen minder effectief worden gemaakt door de te coderen gegevens te versluieren, waardoor het voor een aanvaller moeilijker wordt te herkennen wanneer hij/zij de code heeft gekraakt. Een van de maatstaven voor de sterkte van een encryptiesysteem is hoe lang een aanvaller er theoretisch over zou doen om er een succesvolle brute-force aanval tegen uit te voeren.”

Aanval met encryptieanalyse (met behulp van regenboogtabel):

Van Wikipedia: “Een regenboogtabel is een vooraf berekende tabel voor het omkeren van cryptografische hashfuncties, meestal voor het kraken van wachtwoord hashes. De tabellen worden meestal gebruikt voor het achterhalen van het wachtwoord in platte tekst, tot een bepaalde lengte bestaande uit een beperkte reeks karakters. Het is een praktisch voorbeeld van een “space-time tradeoff”, waarbij meer computerverwerkingstijd wordt gebruikt ten koste van minder opslagruimte wanneer bij elke poging een hash wordt berekend, of minder verwerkingstijd en meer opslagruimte wanneer wordt vergeleken met een eenvoudige opzoektabel met één invoer per hash. Het gebruik van een sleutelafleidingsfunctie die een zout gebruikt, maakt deze aanval onuitvoerbaar. Regenboogtabellen zijn een verfijning van een eerder, eenvoudiger algoritme van Martin Hellman.”

Hoe maak je een regenboogtabel?

Er zijn veel tools die een regenboogtabel maken en er zijn al veel regenboogtabellen beschikbaar op het internet.Gelukkig wordt Cain geleverd met een tool genaamd winrtgen, die zich in zijn eigen map in de installatie bevindt.

U moet eenash algoritme kiezen, de minimale en maximale lengte van het wachtwoord, en tenslotte de karakterset die het wachtwoord zal gebruiken.Druk vervolgens op OK.

Conclusie

Cain and Abel is een krachtige tool die goed werk levert bij het kraken van wachtwoorden. Het kan bijna alle soorten wachtwoorden kraken, en het is meestal slechts een kwestie van tijd voordat je het te pakken krijgt.