Hexinject: Herramienta para capturar y modificar el tráfico LAN

Hexinject es una herramienta la cual permite sniffar y modificar el tráfico que circula por nuestra tarjeta o adaptador de red. Esto quiere decir que si realizamos, por ejemplo ARP Spoofing y nos colocamos en medio de una comunicación LAN, podemos visualizar (esto no es nada que no supiéramos, por ejemplo con Wireshark) y modificar el tráfico de la comunicación. Esto último llama mucho la atención, aunque lo realmente interesante de un MITM es interceptar la comunicación y no modificarla. Bien, vamos a ver esta herramienta un poco más en profundidad.

En primer lugar vamos a ver parámetros que permite esta herramienta:

• -s Modo sniffer
• -p Modo inyección
• -r Modo crudo o raw
• -i Interfaz de red
• -c Número de paquetes a capturar
• -f Filtro a aplicar

Vamos a sniffar un paquete y filtrar ciertos contenidos, como haríamos por ejemplo desde el entorno gráfico de Wireshark. Para esto utilizaremos la instrucción hexinject –s –i eth0 –r | strings | grep ‘Host’. Recuerda que debemos tener un MITM funcionando por debajo, para que el tráfico en una red switcheada llegue a nuestra tarjeta.

Ahora vamos a mostrar un pequeño ejemplo de como inyectar o reemplazar contenido en los paquetes que estamos interceptando. Vamos a modificar el paquete ARP para cambiar un request por un reply. Primero deberemos sniffar la respuesta, reemplazar el contenido en hexadecimal y posteriormente inyectarla con el modo -p de hexinject. El ejemplo es el siguiente hexinject –s –i eth0 –f ‘arp’ –c 1 | replace ’06 04 00 01’ ’06 04 00 02’ | hexinject –p –i eth0.