Capturando el tráfico de una red WiFi como un ninja

Una de las cosas que más nos debería preocupar cuando tenemos a un intruso en nuestra red de confianza (Red local de casa, del trabajo, etc.) es que capture el tráfico y lo analice, de forma que pueda controlar lo que estamos haciendo.

Una vez invadida una red WiFi podríamos intentar capturar tráfico con tcpdump, pero no tendríamos los resultados esperados. Una buena forma de hacerlo sería redirigir todo el tráfico de la red a nuestro equipo para poder analizarlo, pero ésto podría disparar varias alarmas.

The quieter you become, the more you are able to hear
El lema de BackTrack es lo que nos trae a buscar procedimientos más silenciosos, así que... ¿Cómo podemos capturar el tráfico de la red sin llamar la atención?

La respuesta es, como siempre: DEPENDE

Muchos hackers dan una respuesta muy tajante con respecto a la seguridad y el WiFi: No lo uses, usa cable. Pero ¿por qué son tan tajantes?

Algunos se amparan en la lógica de la velocidad de red. Está muy bien que con las redes WiFi N alcances 150Mbps, o que los 450Mbps con wifi a 5GHz, pero sigue siendo menos que la mitad que las redes Gigabit. Coherente, lógico y correcto. En eso es mejor el cable que el WiFi. ¿Pero qué más?

Seguridad. Utilizar WiFi es jugar con fuego bajo determinadas circunstancias, ya que el tráfico de la red se puede capturar sin estar conectado a la red (Cualquiera que sepa levantar claves WEP habrá capturado muchísimo tráfico antes de conocer la contraseña)

Una vez sabida la contraseña podríamos intentar descifrar todo el tráfico capturado para su posterior análisis en Ethereal. Pero en las redes WPA no es tan sencillo. Es muy fácil, pero no tanto.

¿Cómo se crackea una clave WPA?

No lo voy a explicar aquí en detalle, éso debéis estudiarlo en otros posts. Necesitamos llegar aquí sabiendo que necesitamos capturar el handshake de un cliente autenticado para hacerle un ataque por diccionario, hasta que el archivo se descifra correctamente y obtenemos el positivo.

Por esa regla de tres podemos deducir que si tenemos el handshake y la contraseña podemos descifrar los paquetes capturados para analizarlos después. Y para eso no necesitamos estar conectados a la red, sólo tener nuestra antena WiFi a la escucha.

El otro día estuve jugando con ataques de fuerza bruta contra WPS con un resultado fructífero. Usaré ese AP a modo de dummy. (Nota: Los posibles datos identificativos han sido editados)


Lanzamos airodump-ng con los parámetros bssid y essid para filtrar sólo el tráfico de la red que nos interesa. Además le decimos que nos guarde el archivo ahorateveo en formato pcap.


De primeras tenemos nuestra antena a la escucha y filtrando los paquetes de la red que queremos. Ahora necesitamos el handshake, así que lanzamos el ataque DEAUTH con aireplay-ng.


Hasta que conseguimos lo que queríamos: El WPA handshake.


Ahora lo dejamos a la escucha y nos olvidamos. Vamos a dejarlo capturando unas horas y luego veremos qué nos encontramos.

Cuando tenemos un buen pino ya podemos ponernos a estudiar los datos recopilados.


Ahora, para descifrarlo, usaremos la herramienta airdecap-ng, que viene con la suite de aircrack-ng.


Esto nos generará el archivo ahorateveo-01-dec.cap con los paquetes descifrados. Ya sólo nos queda abrirlo en Wireshark para poder analizar los datos recopilados.

Por ejemplo, viendo las consultas DNS realizadas podemos ver por dónde estuvo navegando.
Y podemos ver que es un chico malo malo que navega por piratebay y por páginas golfas. Lo típico que hace alguien relajándose mientras no hay nadie mirando, pero ¿cuántas veces creemos que no nos observan mientras sí lo hacen?

Además, como hablábamos al principio, los paquetes se capturaron del aire. No estoy conectado a la red, sólo conozco la contraseña.

NO aparezco conectado a su red. NO aparezco enviando tráfico sospechoso. Sólo escucho, descifro y analizo.


**
  by rand0m para Underc0de - Distribuido bajo licenicia CC-BY 4.0 (Click para ver los detalles).

Excelente aporte @rand0m! realmente da gusto leer tus posts! +1

Saludos!
WhiZ

P.D.: dejo todo como estaba.

Muy bueno @rand0m como siempre !!

Muchos hackers dan una respuesta muy tajante con respecto a la seguridad y el WiFi: No lo uses, usa cable. Pero ¿por qué son tan tajantes?

Algunos se amparan en la lógica de la velocidad de red. Está muy bien que con las redes WiFi N alcances 150Mbps, o que los 450Mbps con wifi a 5GHz, pero sigue siendo menos que la mitad que las redes Gigabit. Coherente, lógico y correcto. En eso es mejor el cable que el WiFi. ¿Pero qué más?

Pues en efecto tienes razon, las redes cableadas ofrecen mayores velocidades, pero son pocos flexibles, y la verdad no soportan mucha escalabilidad, ademas de las fallas inherentes a su forma fisica (cables dañados, diafonias por induccion, etc..) que son un poco mas seguras... Pues como tu dices, eso depende. 

Ahora surge la pregunta: ¿Como evitar que rand0m alguien sepa los sitios que visito?

Pues si bien es cierto que la mayoria de los sitios web que visitamos cifran las comunicaciones de extremo a extremo (saber que tambien esto se vulnera con SSL_Trip) tambien es cierto que las consultas DNS van sin cifrar y en texto planito incluso cuando usamos HTTPS ó alguna VPN, la solucion... Instalar y configurar algun servicio de cifrado para las consultas DNS, mi recomendacion DNSCrypt existen mas alternativas por ahi, pero yo confio mas en la gente de OpenDNS.

Saludos por alla.

Pues si bien es cierto que la mayoria de los sitios web que visitamos cifran las comunicaciones de extremo a extremo (saber que tambien esto se vulnera con SSL_Trip)

Supongo que te refieres al ataque sslstrip, que ya es un ataque MITM y no podríamos hacerlo capturando el tráfico con airodump-ng. Tendríamos que estar conectados a la red, por lo que ya no sería tan ninja.
Otra cosa que podría hacer, desplegando un ataque más complejo y que no trataremos aquí, sería reconfigurar el DHCP del router para que los clientes resuelvan sus consultas DNS en un servidor bajo mi control. También sería muy sigiloso, pero creo que el método menos ruidoso para capturar tráfico en una red es el expuesto en este post.
Aunque abramos el debate:

¿Es efectivamente el método de sniff más difícil de detectar?
¿Cuál sería el más sigiloso para capturar tráfico a través del cable?

¿Es efectivamente el método de sniff más difícil de detectar?

Pues esnifar una red inalambrica siempre sera mas silencioso, pero jamas debemos pensar que sera totoalmente invisible, usando una que otra herramienta es posible detectar al espia, kismet por ejemplo puede generar alertas cuando algun NIC se comporte en modo ectraño, tambien existen herramientas de pago para detectar espias y/o tarjetas que esten esnifando. Pero en resumen creo que la respuesta seria: Si, esnifar una red inalambrica es mas dificil de detectar.

¿Cuál sería el más sigiloso para capturar tráfico a través del cable?

Pues en el caos de una red no conmutada esnifar no supone ningun problema, tampoco generariamos ruido al hacerlo, simplemente es sentarse a esperar las tramas que lleguen, pero ya cuando estamos conectamos a un entorno conmutado las cosas se ponen un poco  mas dificiles, es decir ó nos hacemos notar ó no esnifamos.

Para esnifar en una red conmutada necesitamos:

MAC Spoofing.
Desbordamiento de la tabla de direcciones MAC ó cualquier otra jugada.

El asunto es que esto genera ruidos y hace saltar las alarmas de cualquier red configurada decentemente. Una forma de hacerlo sin levantar sospechas es como comentas mas arriba, modificar la informacion que proporciona DHCP a los terminales y cambiar el servidor DNS (DNS Spoofing), pero no seria efectivo en terminales que tengan el direccionamiento estatico.

Saludos hermano.

@rand0m , como dijo @WhiZ da gusto leer tus aportes!, sigue asi compañero.

Saludos!

Como me refería a capturar el tráfico de un equipo conectado por cable desde mi antena wifi estamos ante una red conmutada, así que se nos plantea lo siguiente:

Para esnifar en una red conmutada necesitamos:

MAC Spoofing.
Desbordamiento de la tabla de direcciones MAC ó cualquier otra jugada.

El asunto es que esto genera ruidos y hace saltar las alarmas de cualquier red configurada decentemente. Una forma de hacerlo sin levantar sospechas es como comentas mas arriba, modificar la informacion que proporciona DHCP a los terminales y cambiar el servidor DNS (DNS Spoofing), pero no seria efectivo en terminales que tengan el direccionamiento estatico.

Así que podríamos intentar reconfigurar los servidores DNS utilizados para registrar cada consulta hecha en un servidor DNS desplegado por nosotros. Además eso nos permite controlar qué respuestas se dan a cada consulta, por lo que podríamos devolver a la inocente consulta de google.es la dirección de una página que tenemos preparada con algún (O varios) exploit. Pero no funcionaría en los equipos que tengan la configuración ajustada manualmente.
Para este tipo de casos ya tendríamos que sacar la artillería e intentarlo con un MITM por ARP Poisoning (Mi favorito), pero como comentábamos al principio no es tan ninja, pero cuando llega la hora de ponerse serios la mejor forma de plantear un ataque efectivo, como vimos en el de fuerza bruta contra WPS, es estudiar el entorno y buscar puntos débiles.

A base de capturar tráfico, analizarlo y estudiar el entorno podemos buscar indicios de algún servicio vulnerable, un mal hábito, o simplemente el login a una página que todavía no utilice SSL para ello (Sé que parece una tontería, pero la mayoría de los usuarios utilizan la misma contraseña para todo).

Y con todo esto la conclusión a la que llegamos es que bajo determinadas circunstancias (Este usuario utiliza todos sus equipos por wifi) el tráfico se puede interceptar y descifrar de una manera tan discreta como sintonizar nuestra antena al canal y capturando la información del aire. Eso es peligrosísimo, y para mitigarlo se implementan SSL y TSL, que para poder vulnerar tenemos que salir de las sombras (Conectarnos a la red) y empezar la acción. Pero eso creo que ya merece un post para él solo.

Un aporte genial, llegué buscando exactamente ésto y lo encontré con el mayor de los lujos en detalles.

¡Gracias, RAND0M!

mi problema es que mi qireshark nada mas tiene wep key decryption.es buscado como poner wap or tras pero no e tenido suerte.

No me desencripta ningún paquete