El uso de proxys tiene varios usos, podemos usar un proxy para analizar las peticiones de un sitio web, con un proxy podemos ver fácilmente las peticiones GET, lo que enviamos por POST, además podríamos incluso modificar ciertos parámetros «on the fly» que es lo que me parece de lo más interesante, veamos hoy HoneyProxy.
Para configurar el proxy sólo deberíamos de configurar en el navegador de que se conecte mediante un proxy. El proxy lo podemos tener tanto en local como en remoto y solo deberemos de configurarlo para analizar aquellos escenarios en los que necesitemos analizar conexiones.
Tabla de Contenido
Para las conexiones SSL, donde el tráfico va cifrado también hay solución y es instalar nuestra propia CA y certificado en el navegador.
Actualización importante: el proyecto HoneyProxy ya no existe como tal
Este artículo describe HoneyProxy en su época de esplendor (2013), pero la realidad de hoy es otra: el proyecto fue discontinuado y su propio repositorio en GitHub anuncia que «This project has moved. HoneyProxy is now part of mitmproxy», apuntando a la interfaz web de mitmproxy (mitmweb). En otras palabras: HoneyProxy no murió por completo, sino que su heredero directo es mitmproxy, la herramienta que lo sucedió y que sigue activa.
Intentar instalar hoy la versión descrita en el artículo (pip install pyOpenSSL pyasn1 Twisted Autobahn sobre Python 2.7) prácticamente garantiza problemas: Python 2.7 está fuera de soporte desde 2020 y las dependencias de aquella época no corren de forma fiable en sistemas modernos. Por eso conservamos este tutorial como documento histórico —la lógica de lo que hace un proxy interceptor se entiende igual—, pero para trabajo real recomendamos las herramientas vigentes de la siguiente sección.
HoneyProxy para analizar tráfico Web y Malware
El proyecto de hoy HoneyProxy, este proyecto nos ayudará a analizar tanto tráfico web en una auditoría web como en el análisis de malware, por ejemplo.
Para instalarlo hacemos:
#pip install pyOpenSSL pyasn1 Twisted Autobahn
Si no disponemos del comando PIP, deberemos de instalar python-pip
Después de instalar las dependencias descargamos el proyecto de GitHub
git clone –recursive git://github.com/mhils/HoneyProxy.git
Una vez que se descarga, iniciamos HoneyProxy:
marc@malware:~/tools/malware/HoneyProxy$ python honeyproxy.py –no-gui -a 192.168.1.134
HoneyProxy has been started!
Configuration Details (normal users: ignore):
GUI: https://honey:hixcqzok8pl7oaoomuzpmada27ysa57p@localhost:8081/app/
Proxy Address: 192.168.1.134:8080
WebSocket Port: 8082
Auth user: honey
Auth key: hixcqzok8pl7oaoomuzpmada27ysa57p
Ya tenemos el proxy preparado, ahora configuramos el navegador:
Ya tenemos el proxy configurado, ahora todas las peticiones las podremos gestionar desde el proxy.
Empezamos a navegar y podremos ver los resultados en el Dashboard de HoneyProxy
Podremos ver todas las webs por las que ha navegado el usuario, podremos ver el detalle de las peticiones
En este caso como yo puse gmail.com, podemos ver que Gmail redirige hacia otro dominio.
Si queremos ver el detalle podemos ir a la segunda pestaña, aquí podremos comprobar la web en Virus Total, o podremos descargar el contenido para analizarlo más en detalle.
Ver el código RAW
También podremos ver el código en RAW.
Como veis HoneyProxy nos puede servir para varios escenarios y para analizar malware, por ejemplo.
Vigencia hoy: las herramientas que reemplazan a HoneyProxy
El sucesor directo de HoneyProxy es mitmproxy (con su interfaz web mitmweb), el proyecto de Maximilian Hils que absorbió a HoneyProxy: proxy man-in-the-middle de código abierto, intercepta y modifica tráfico HTTP/HTTPS «on the fly», instala su propia CA para descifrar TLS y permite editar peticiones y respuestas en vivo, exactamente lo que hacía HoneyProxy pero mantenido al día (docs.mitmproxy.org).
Para análisis web con enfoque en seguridad, las dos referencias actuales son OWASP ZAP (Zed Attack Proxy), el proxy interceptor gratuito y de código abierto mantenido por la comunidad OWASP (zaproxy.org), y Burp Suite Community Edition, la versión gratuita del estándar de la industria para análisis manual de tráfico web, con proxy, Repeater y Decoder incluidos (portswigger.net/burp/communitydownload). Ambas permiten instalar su CA en el navegador para inspeccionar tráfico HTTPS, el mismo escenario que el artículo ilustraba con Gmail.
Una advertencia que ya valía en 2013 y sigue valiendo: estas herramientas solo deben usarse sobre tráfico propio o de sistemas con autorización expresa para analizarlos. Interceptar el tráfico de terceros sin permiso es una conducta ilegal en la mayoría de jurisdicciones.
El análisis de tráfico es la base de toda auditoría web seria. En DragonJAR realizamos auditorías y pruebas de penetración donde proxies interceptores, análisis de peticiones y modificación «on the fly» de parámetros son el punto de partida para encontrar vulnerabilidades reales en aplicaciones web y APIs. Si tu organización quiere saber qué revelaría su tráfico ante un atacante, conoce nuestros servicios de seguridad informática y hablemos.
