Hola a todos.En el presente post se explicará que es Firesheep y que se puede llegar a hacer con esta pequeña herramienta.Firesheep es una extensión o plugin que permite al usuario de Firefox realizar hijacking, es decir, recolectar cookies y poder realizar una suplantación de identidad en la sesión de otro usuario. Esta pequeña extensión permite realizar este tipo de ataques de manera intuitiva y sencilla, a la vez que proporciona una pequeña lista de sitios y formatos de cookies para facilitar el acceso al atacante.Instalación
La instalación de esta extensión sobre Firefox es muy sencilla. Se debe descargar la extensión desde el sitio web de Firesheep. Se descargará un fichero de extensión XPI, actualmente en la versión 0.1-1. Una vez descargado, simplemente se debe arrastrar el fichero XPI dentro del navegador Firefox. Hay que especificar, que Firesheep no es compatible con versiones de Firefox inferiores a la 3.6.12, ni tampoco a la versiones beta 4.x.Nota: En el caso de usar Firesheep en una red Wifi, requiere tener instalado Winpcap (Windows) para poner la tarjeta Wifi en modo monitor.Propiedades Firesheep
A continuación, se especifican las propiedades que presenta esta extensión de Firefox. En la ventana de propiedades aparecen 3 botones distintos: Capture, Websites y Advanced. La primera opción permite elegir la interfaz por la que se realizará la recolección de cookies. La segunda opción, que se ve presente en la imagen, especifica la lista de cookies que reconoce Firesheep. Es importante notar que se pueden añadir otros sitios web que no estén en la presente lista. En el siguiente sitio web (https://github.com/codebutler/firesheep/wiki/Handlers) se puede ver la lista completa que Firesheep reconoce y cuales reconocerá en un futuro. La tercera opción, especifica el protocolo del nivel de transporte (tcp, udp) y el puerto, por defecto tcp port 80.Prueba de concepto, POC
Para la prueba de concepto se va a realizar la captura de una cookie de una sesión de Windows Live. Una vez seleccionada la interfaz por la que capturaremos las cookies, por la que se tiene Internet, se debe pulsar el gran botón de Start Capturing. Firesheep queda recolectando cookies, cuando la víctima inicie sesión, en uno de los sitios que están en la lista que se pudo observar anteriormente, Firesheep capturará esa cookie. En la imagen se puede observar como bajo el título "Alice, or perhaps Bob" se obtiene la cookie de sesión de Windows Live.
Ahora el atacante ya tiene acceso a la sesión de la víctima, simplemente doble click sobre la imagen de Windows Live y se abrirá una pestaña en Firefox con la sesión de la víctima. Pero esto no es todo, cuando hablamos de Windows Live hay sorpresas. La teoría nos dice que cuando la víctima cierre sesión, es decir, pulse sobre cerrar sesión, nada de darle a la X y cerrar la ventana que así no se cierra la sesión, la cookie quedará inhabilitada. Esto con una configuración por defecto del navegador no ocurre con Windows Live, ¡Sorpresa!¿Gran vulnerabilidad e interesante su reparación rápida por parte de Microsoft? En efecto, no se entiende bien como cerrando la sesión, realmente la víctima no cierra la sesión. Probarlo es muy interesante. Mientras el atacante no cierre Firesheep, el atacante podrá meterse en la sesión de Windows Live de la víctima, aunque la víctima haya apagado el equipo y se esté tomando un café. Es algo que no ocurre con otros sitios web, y que no debería ocurrir.Red SwitcheadaCuando estamos en una red switcheada, hay que tener en cuenta el funcionamiento del switch. Este dispositivo aprende los caminos, por ejemplo, entre el router y una máquina X. De este modo no se 'molesta' a los demás equipos. Si el atacante se encuentra en este escenario, o por ejemlo en una red WEP, se debe realizar un ataque MITM (Man In The Middle) para hacer que el tráfico pase por el equipo del atacante.En general, Firesheep es una herramienta pequeña y de manejo sencillo para realizar obras interesantes. Ahora imaginaos, la red de una Universidad, de un centro comercial, de un Starbucks, etc. Todo el potencial de esta herramienta está en vuestra imaginación.El límite es tu imaginación.
La instalación de esta extensión sobre Firefox es muy sencilla. Se debe descargar la extensión desde el sitio web de Firesheep. Se descargará un fichero de extensión XPI, actualmente en la versión 0.1-1. Una vez descargado, simplemente se debe arrastrar el fichero XPI dentro del navegador Firefox. Hay que especificar, que Firesheep no es compatible con versiones de Firefox inferiores a la 3.6.12, ni tampoco a la versiones beta 4.x.Nota: En el caso de usar Firesheep en una red Wifi, requiere tener instalado Winpcap (Windows) para poner la tarjeta Wifi en modo monitor.Propiedades Firesheep
A continuación, se especifican las propiedades que presenta esta extensión de Firefox. En la ventana de propiedades aparecen 3 botones distintos: Capture, Websites y Advanced. La primera opción permite elegir la interfaz por la que se realizará la recolección de cookies. La segunda opción, que se ve presente en la imagen, especifica la lista de cookies que reconoce Firesheep. Es importante notar que se pueden añadir otros sitios web que no estén en la presente lista. En el siguiente sitio web (https://github.com/codebutler/firesheep/wiki/Handlers) se puede ver la lista completa que Firesheep reconoce y cuales reconocerá en un futuro. La tercera opción, especifica el protocolo del nivel de transporte (tcp, udp) y el puerto, por defecto tcp port 80.Prueba de concepto, POC
Para la prueba de concepto se va a realizar la captura de una cookie de una sesión de Windows Live. Una vez seleccionada la interfaz por la que capturaremos las cookies, por la que se tiene Internet, se debe pulsar el gran botón de Start Capturing. Firesheep queda recolectando cookies, cuando la víctima inicie sesión, en uno de los sitios que están en la lista que se pudo observar anteriormente, Firesheep capturará esa cookie. En la imagen se puede observar como bajo el título "Alice, or perhaps Bob" se obtiene la cookie de sesión de Windows Live.
Ahora el atacante ya tiene acceso a la sesión de la víctima, simplemente doble click sobre la imagen de Windows Live y se abrirá una pestaña en Firefox con la sesión de la víctima. Pero esto no es todo, cuando hablamos de Windows Live hay sorpresas. La teoría nos dice que cuando la víctima cierre sesión, es decir, pulse sobre cerrar sesión, nada de darle a la X y cerrar la ventana que así no se cierra la sesión, la cookie quedará inhabilitada. Esto con una configuración por defecto del navegador no ocurre con Windows Live, ¡Sorpresa!¿Gran vulnerabilidad e interesante su reparación rápida por parte de Microsoft? En efecto, no se entiende bien como cerrando la sesión, realmente la víctima no cierra la sesión. Probarlo es muy interesante. Mientras el atacante no cierre Firesheep, el atacante podrá meterse en la sesión de Windows Live de la víctima, aunque la víctima haya apagado el equipo y se esté tomando un café. Es algo que no ocurre con otros sitios web, y que no debería ocurrir.Red SwitcheadaCuando estamos en una red switcheada, hay que tener en cuenta el funcionamiento del switch. Este dispositivo aprende los caminos, por ejemplo, entre el router y una máquina X. De este modo no se 'molesta' a los demás equipos. Si el atacante se encuentra en este escenario, o por ejemlo en una red WEP, se debe realizar un ataque MITM (Man In The Middle) para hacer que el tráfico pase por el equipo del atacante.En general, Firesheep es una herramienta pequeña y de manejo sencillo para realizar obras interesantes. Ahora imaginaos, la red de una Universidad, de un centro comercial, de un Starbucks, etc. Todo el potencial de esta herramienta está en vuestra imaginación.El límite es tu imaginación.Flu Project Team