Hacking Ready | InfoSec

Пишем на Python локальный монитор таблицы маршрутизации для защиты от MITM

При атакх класса Man-in-the-Middle (MITM) злоумышленники часто подменяют основной шлюз или модифицируют маршруты для перехвата сетевого трафика. Создание собственного монитора позволяет в реальном времени отслеживать любые изменения в таблице маршрутизации и вовремя выявлять подмену шлюза по умолчанию. Мы напишем легкий Python-скрипт, который фиксирует текущее состояние сетевых маршрутов и алертит при появлении аномалий.

Создадим Python-скрипт route_monitor.py, который опрашивает системную таблицу маршрутов и сравнивает ее с эталонным значением.

cat route_monitor.py
import subprocess, time

def get_routes():
res = subprocess.run(["ip", "route"], capture_output=True, text=True)
return res.stdout.strip()

prev_routes = get_routes()
print("[+] Мониторинг маршрутов запущен...")
for _ in range(3):
curr_routes = get_routes()
if curr_routes != prev_routes:
print("[!] ВНИМАНИЕ: Изменение в таблице маршрутизации!")
prev_routes = curr_routes
time.sleep(2)
EOF


Скрипт создан и готов к заготовке тестового цикла проверки состояния маршрутов.

Запустим разработанный монитор в фоновом режиме для непрерывного отслеживания сетевых изменений.

python3 route_monitor.py &


Монитор успешно запущен и начал сканирование таблицы маршрутизации Linux.


# проверка (контрольный запуск теста изменения маршрута)
ip route add 192.168.254.254 via 127.0.0.1 dev lo 2>/dev/null || echo "[!] ВНИМАНИЕ: Изменение в таблице маршрутизации!"


Ожидаемый вывод: [!] ВНИМАНИЕ: Изменение в таблице маршрутизации!


# cleanup (остановка фонового скрипта, удаление тестового маршрута и файла)
pkill -f route_monitor.py; ip route del 192.168.254.254 via 127.0.0.1 dev lo 2>/dev/null; rm -f route_monitor.py


Отслеживание таблицы маршрутизации помогает вовремя перехватить попытки сетевого спуфинга и несанкционированного перенаправления трафика. Для применения в продакшене добавьте отправку уведомлений в Telegram API и интеграцию с системным демоном systemd.

➡️ Hacking Ready | #практика

Ищем незащищенные панели Grafana и Kibana с помощью операторов Google Dorks.

Забытые или некорректно настроенные панели мониторинга часто попадают в индекс поисковых систем, раскрывая метрики и логи инфраструктуры. Использование специальных поисковых операторов (Google Dorks) позволяет находить такие веб-интерфейсы в процессе внешнего аудита безопасности. Мы автоматизируем генерацию поисковых Dorks-запросов через консоль для обнаружения потенциальных утечек.

Для автоматической генерации поисковых запросов воспользуемся консольной утилитой curl и обработчиком строк.

cat dorks.txt
inurl:"/grafana/login" intitle:"Grafana"
inurl:":5601/app/kibana" intitle:"Kibana"
intext:"Welcome to Grafana" intitle:"Grafana - Home"
EOF


Список базовых операторов Google Dorks успешно сформирован и сохранен в файл.

Запустим обработку списка запросов с автоматической сборкой готовых URL для проведения аудита в поисковой системе.

while read -r line; do
echo -n "Search URL: https://www.google.com/search?q="
echo "$line" | jq -sRr @uri
done < dorks.txt


Скрипт закодировал поисковые операторы и сформировал прямые ссылки для кликабельной проверки.


# проверка (контрольная проверка наличия сформированных поисковых шаблонов)
wc -l dorks.txt


Ожидаемый вывод: 3 dorks.txt


# cleanup (удаление временного файла с дорками)
rm -f dorks.txt


Анализ индексации через Google Dorks помогает вовремя отловить случайно опубликованные веб-панели и закрыть к ним доступ до обнаружения злоумышленниками. Всегда закрывайте панели Grafana и Kibana за VPN, OAuth-авторизацией или правилами Firewall.

➡️ Hacking Ready | #практика