¿Contraseña WPA en texto plano en los PROBEs del cliente?

sergio44 · 12-05-2016 00:05:15

porque cuando ami se bloquea el wps me dura 1 mes en bloquease

y a mucho le dura 1 minuto

y otra pregunta

cuando escaneo la redes wifi donde pone probe sale algunas veces la clave wpa

sergio44 · 12-05-2016 00:14:46

en probe algunas redes wifi teda la clave wpa automatico ya me ha pasado con dos redes me salen numeros y cuando me doy cuenta es la clave

kcdtv · 12-05-2016 00:41:56

No hay reglas sobre el bloqueo del wps.
Se puede configurar incluso para que sea infinito después tan solo un intento fallido
Lo del pass en los probes... leyenda urbana big_smile

sergio44 · 12-05-2016 01:45:57

pues no es una la leyenda urbana

medio una clave movistar wpa y una de wep en pobres escaneando la red wifi

sale de repente pero en todas las redes no sale

cuanto midio mejor dicho cuando salio la clave wpa de un movistar en pobre se queda uno pero como esto y son de 20 degitos en pobre

kcdtv · 12-05-2016 14:54:15

20 dígitos hexadecimales o ascii pueden ser muchas cosas pero en ninguno caso serán una llave WEP 64 o 128 bits
Pueden ser muchísimas cosas... Mirra los PROBEs con wireshark; airodump-ng ( o un escaneo wifi ) es solo un interpretador de paquetes PROBEs en vivo.
Podemos concebir que alguien haya hecho un error una vez y haya puesto una vez por error una llave dónde tenía que poner el essid; es posible.
Pero no hay fallo en el protocolo EAPOL + WPA con "llaves que aparecen de forma aleatoria de por si en las peticiones y respuestas PROBEs".
Podemos imaginar que una versión precisa de un gestor de redes añade una cadena cualquiera dónde no debería, cadena que pueden ser billones de cosas
A mi también me gusta cazar unicornios... no critico. ::D
Pero vamos, si ves algo que te parece ser así lo que tienes que hacer es capturar el trafico con airdoump-ng y examinar los paquetes PROBEs con wireshark.
Los puedes subir aquí y los miramos juntos. wink

dragonfly · 14-05-2016 15:06:30

Buenas

Si la cosa se alarga, quizás deberíamos abrir otro hilo...

Dicen que una imágen vale más que mil palabras...

Aparecen subrayadas tres posibles claves donde deberían aparecer ESSID's.
La primera son 20 digitos que podría corresponder perfectamente a la clave de un router MOVISTAR_XXXX
La segunda es seguro de una WLAN_XX. Como recordaresis se formaban así:
Primer digito era X, C o Z según si era de un Xavi, un Comtrend o un Zyxel. En nuestro caso una X.
Los seis digitos siguientes son del BSSID del adaptador wireless del router, en este caso E0:91:...
Los próximos 4 eran del adaptador ethernet, y los dod últimos eran del ESSID, este sería de un WLAN_98.
La tercera, no corresponde su estructura a una clave por defecto. Podría ser de una cambiada.

Resumiendo; que aparezcan claves en Probes no es una leyenda, pues si se me aparecen momentaneamente a mi, se aparecerán a otras personas. Porque? como apuntas podría ser debido a introducir la pass en un lugar equivocado.
La STATION que muestra las tres posibles claves, las dos primeras juraría que lo son, pertenece a Samsung, por lo que se puede casi afirmar que son de un teléfono con Android.

Un saludo

sergio44 · 14-05-2016 19:00:59

a que si que algunas veces sale la clave en probe estado escaneando pero ahora no me sale es cuando quiere teda la clave
medio una clave wep de 12 numeros y una de movistar

tiene que haber un fallo en pobre poreso sale la clave

kcdtv · 15-05-2016 15:58:34

El único fallo que hay en los pobres... es que no tienen dinero big_smile
No entiendo a esta gente que no va a comer en los restaurantes con tres estrellas Michelin y que prefieren comprar su comida en el dia
Sergio; son los PROBE answer (respuesta) y PROBE request (petciones), no los pobre. smile
Mejor hacemos otro hilo para hablar de la leyenda urbana. wink

sergio escribió:

una clave wep de 12 numeros

Error : Una llave WEP nunca tiene 12 dígitos de largo, son 10 o 26 dígitos hexadecimales. 5 o 13 dígitos ascii.
No es opcional, nunca verás una llave WEP de 12 dígitos porque no existe, las llaves WEP tienen un tamaño fijo.

dragonfly escribió:

Resumiendo; que aparezcan claves en Probes no es una leyenda,

Pues si es una leyenda hasta que se demuestra que son claves validas y que no fueron introducidas por error.
El día que ves un cliente conectado a un PA efectivamente y que la llave aparece en los PROBES habrás casado el unicornio y serás rico (no probe, ups, quería decir pobre).
Y aún, para estar seguro habría que saber exactamente la configuración y lo que ha hecho el usuario del teléfono
Da le la vuelta a la tortilla y piensa la cosa al revés : ¿Entonces el teléfono que ves se conectaría a dos redes (el tercero es otra cosa*); una WEP de hace 10 años atrás y una movistar, las dos con llaves por defecto?
* Lo ultimo es un serial o un dato cualquiera con fecha (2014), versión software, firmware, serial : Hay versiones algo viejas de android que ponen el serial en el apartado essid (no es nada que no puedes leer en los probes, solo que no debería estar en este sitio sino en "serial", o "software version"). No ocurre con las versiones actuales.
¿O es un script kiddie que ha probado software para dar la llave por defecto y que ha intentado todo (incluso poner la llave dónde debería poner el essid) lo que podía para conectarse gratis a una red genérica con su pass por defecto?
Y si sería un falló del sistema operativo: ¿Por qué no se ven en todos los dispositivos y solo en pocos?
También he visto muchas cosas así, y nunca resultó ser la llave real de un PA al cuál estaba conectado el cliente.
La caza esta abierta big_smile

Si queréis entender mejor lo que puede pasar, lo que tenéis que hacer es guardar el trafico de vuestro escaneo, (opción -w) y examinar lo con wireshark (y compartir lo así tod@s podem@s echar un ojo wink ).
Airodump-ng solo enseña una milésima parte de lo que hay en los PROBE, y tampoco es un medio infalible, si el gestor de redes no rellena los TAGS correctamente, airodump-ng solo interpreta de forma básica.

dragonfly · 15-05-2016 16:48:12

Buenas

No creo para nada que Android escupa claves asi porque si, ni lo haga otro SO. Lo más seguro es que alguien pusiera las claves donde no debía, pero por lo que parece no debe ser un caso aislado, pues sería mucha casualidad.

Saludos

kcdtv · 15-05-2016 18:32:23

Las respuestas PROBEs "raras" las he visto a menudo en teléfonos con Android.
Un caso repetido era el serial que aparece dónde no tiene que parecer y esto ha prestado a mucha confusión.

No creo para nada que Android escupa claves asi porque si, ni lo haga otro SO

Tampoco digo que no pueda haber un bug en una versiones precisas y que no sean contraseña, no lo sé.
De momento con lo que se tiene entre mano estamos especulando, es lo que tienen las leyendas : Algo de verdad siempre tienen pero los hechos están distorcionados por falta de información segura.
Personalmente tendría mas tendencia a pensar de que si son contraseñas sería más un falló oscuro en ciertas versiones de android cuando se entra una llave no valida y que por una razón difícil de entender el gestor de redes las pasa como variable "essid conectado".
Me parece más factible que la idea que las llaves validás salgan en lugar del essid.
Porque al final, las passphrase no se usa, es solo para los humanos, lo que se usa es la PMK.
Para sacarse de duda habría que pillar los PROBE de unos cuantos dispositivos "sospechosos" para intentar sacar un patrón (versión SO, versión hardware) y luego conseguir un teléfono igual y hacer la prueba.. conectarse con llaves validas y con llaves no validas a varios PA y ver que sale en los PROBEs.
Sin olvidar que existe un error muy concebible sobre todo con pantala tactiles pequeñas : el dedo que va en en "conectarse a una red oculta" en lugar de "conectarse a una red" y el usuario con la prisas o por falta de conocimiento entra la llave en el essid que tiene que rellenar primero.
No se como estará la cosa en Android, pero con el gestor de redes XFCE-GNOME-LXE de las distribuciones GNU-Linux es bastante faćil confundirse si no prestas un poco de atención o si no tienes idea:
Se puede concebir que uno le de "a conectarse a una red oculta" que sale primero bajo los essids en lugar de seleccionar el essid para una conexión "normal" (con essid visible)
Que quede claro que he usado la palabra leyenda sin animo de ofender o menospreciar a nadie. smile
Lo dećia para que sergio entienda que son especulaciones o hipótesis y que el protocolo EAPOL no tiene falló en si que haga que salgan llaves aleatoriamente,
Si hay falló es por una versión precisión de gestor de redes-SO en su forma de redactar los PROBE.
No es un falló del protocolo EAPOL, sería un falló de su implementación por parte del fabricante-desarollador-programador-usuario.
El protocolo de por si, el juego de preguntas-respuestas PROBE no tiene este falló en su concepción y esta mas que controlado desde... que existe el wifi.

Jachson · 10-09-2022 21:54:02

Buenas tardes...
Revivo este tema que me encontré, llegue aquí investigando pues a mi también en probes me dio la clave de una red wifi que estaba investigando parece me he dado cuenta es cuando tienes más de 1 hora activa la ventana de escaneo. La tenía así abierta para ver los canales de transmisión por si cambiaban de canal seguir bloqueando el canal para que no se conectarán. PERO me di cuenta que me boto la clave en PROBES así que deje quietó el objetivo... En otras veces que he escaneado redes el mismo dispositivo con la misma MAC que me dió la clave en la sección probes la mayoría de tiempo no aparece la clave solo el nombre de la red no se en que momento realmente es que saca la clave. Sería porque tenía puesto con otra tarjeta de red el bloqueao para desautenticar todos los usuarios de un canal. La MAC coloco el ssid más una coma de separación y a continuación la clave wpa2 de esa red que están yo atacando.

dragonfly escribió:

Dicen que una imágen vale más que mil palabras...
Un saludo

También tengo las fotos de la pantalla de la pc con la clave y otra que tome reciente y no aparece la clave en el mismo dispositivo imagino que un celular.

Ultima edición por Jachson (10-09-2022 21:57:24)

kcdtv · 11-09-2022 09:51:33

¡Bienvenido al foro! biere

También tengo las fotos de la pantalla de la pc con la clave y otra que tome reciente y no aparece la clave en el mismo dispositivo imagino que un celular.

Para poder elucidar algo lo primero sería saber que dispositivos se usan.
Coloca la captura que tienes para que podamos ver la OUI del cliente y del router,
Más que nada haría falta unas PROBEs completas (AP - cliente ) para que podemos ver los parámetros extendidos.
Si por suerte tienes a un handshake capturada entre el cliente y el punto de acceso no hace falta nada más. smile
¿Sabes de qué hablo y cómo hacerlo o necesitas que te explique cómo hacerlo?

Jachson · 12-09-2022 14:47:21

Si yo tengo el handshake que lo ataque con todos los números de 8 dígitos por si acaso pero no agarro ninguno. Por eso había optado por atacar el canal para que mi primo que me ha retado no lo pudiera usar con la esperanza que reseteara el módem pues la clave de fabrica si ya yo la había sacada pero personalizó la red.
Esta página del foro no permite subir fotos ni archivos, solo poner enlaces y ahorita no tengo donde subirlas no uso ningún servicio de fotos ni hosting gratuitos. Nombranñme un servicio hosting gratuito actual que este funcionando para subirlos
Cómo hago para solo capturar los probes y podemos analizar en un archivo? Puse a trabajar el WireShark en línea pero me da un montón de códigos ascii no hace como el escaneo de redes que da solo los probes

kcdtv · 13-09-2022 08:59:23

Si yo tengo el handshake que lo ataque con todos los números de 8 dígitos por si acaso pero no agarro ninguno.

Me basta con el que tienes (el que usaste para tu ataque de 8 dígitos)

Esta página del foro no permite subir fotos ni archivos, solo poner enlaces y ahorita no tengo donde subirlas no uso ningún servicio de fotos ni hosting gratuitos. Nombranñme un servicio hosting gratuito actual que este funcionando para subirlos

- Tienes a un espacio personal en wifi-libe para subir imágenes y colocarlas en tus repuestas, abajo a la derecha del cuadro de texto para redactar tus mensajes. .

- Para pasar un archivo sin registrarse tienes a firefox send, smash y muchas otras opciones, pero estas dos no tienen trampas (por lo menos cuando las probé).

Cómo hago para solo capturar los probes y podemos analizar en un archivo?

No te comes la olla y captura todo el trafico,
O seaL Usas la opción -w de airodump-ng como haces siempre
Luego se depura o filtra con wireshark cuando se abre le paquete *,cap analiza.

atacar el canal

Es importante que digas si hiciste una DoS, si usaste mdk3 o mdk4, la sintaxis con las opciones y los argumentos que empleaste etc...

Jachson · 13-09-2022 19:35:32

El canal lo ataque con Wifijammer para evitar se conectarán en ese canal y cuando apagaban y prendían el router q se cambiaba de canal configuraba el Wifijammer al nuevo canal. Ya reviso lo de la sección de subir aquí en el sitio web
Hola, Aquí está la imagen de cuando me dió la clave y no es que algunos puedan decir que el cliente metió la clave como nombre de red pues uno no escribe el nombre de la red solo la selecciona para colocar la clave
.
.

Y aquí otra imagen otro día más adelante dónde está el mismo dispositivo y no muestra la clave en esta ocasión

realmente no se en que momento la bote exactamente la ventana de ataque ya tenía horas trabajando y la de escaneo de redes también .

Y aquí el handshake solo tienes que cambiarle la extensión del aerchivo a CAB ya debiste imaginarlo...

Me avisas si se le puede sacar a otro hand shake modem misma marca de este que envie ZTE del económico que también le quitaron la clave que viene por defecto y a la red le pusieron puntos en el nombre la red se llama "Cargando..."

De hecho en otro escaneo que estuve haciendo con la red Cargando... En uno de los probes me apareció de primera opción la clave de otro vecino que su red es oculta pero esa ya el vecino me la había dado cuando aquí tuve fallas de internet por eso no le tome foto ya que la clave la tenía pero el dispositivo que mostró la clave no era ninguno mío.

Yo creo más se deba a una falla de esa versión de Android o teléfono en específico no se cuál será la marca o modelo del equipo parece que por la Mac no me dió el fabricante

kcdtv · 15-09-2022 00:49:46

Tengo el handshake, gracias. smile
He quitado el link porque tiene paquetes de múltiples dispositivos y no se puede dejarlo así en un foro publico (ley Europa protección datos)
Era antes de todo para obtener información sobre el dispositivo cliente. nada más.
El handshake es completo y valido, no hay problemas, pero es entre un cliente diferente (un teléfono motorola con bSSID que empieza con E) y el Punto de Acceso.
No sirve de mucho pero se agradece el esfuerzo, por cierto, bien visto por lo del pdf wink
Te había dado un par de link hacías servidores web para subir el handshake, el espacio personal del foro es para colocar imágenes, pero te has apañado solo plus_un
Para identificar el cliente lo que tenemos es la captura de pantalla con el inicio bSSID, a saber 76:AB:DC,
No pertenece a ningún fabricante, no sale en la OUI así que no sabemos nada más.

algunos puedan decir que el cliente metió la clave como nombre de red pues uno no escribe el nombre de la red solo la selecciona para colocar la clave

Algunos dicen que es necesario entrar el nombre cuando se conectan a una red oculta... Prueba-lo y verás.
Si tus vicitmas no pueden conectarse a su red y que captan una red oculta (como la que se ve en tu consola airodump-ng) hay grandes probabilidades de que por desesperación intentan conectarse a la red oculta captada entrando lo que haga falta en los sitios que faltan. El hombre moderno se muere si está desconectado más de 5 minutos y su instinto de conservación le empuja a hacer muchas cosas descuidadas,
Sobre todo si se le hace "jamming" salvaje sin parar, tanto que hacen varios reboots a su router... Por poco lo rompen a martillazo big_smile pam

De hecho en otro escaneo que estuve haciendo con la red Cargando... En uno de los probes me apareció de primera opción la clave de otro vecino que su red es oculta pero esa ya el vecino me la había dado cuando aquí tuve fallas de internet por eso no le tome foto

Si tu vecino tenía una red con eSSID oculto, ha tenido que entrar el eSSID y luego la llave WPA para conectarse. (hace falta el essid correcto para asociarse y luego poder negociar el handshake,
Imaginemos que se le hace "jamming" continuo
La víctima va a multiplicar las tentativas de conexiones, o sea entrar el essid y la llave varias veces
En este caso puede equivocarse o entrar voluntariamente la llave en lugar del essid "por si funciona"..
Es mucho más probable tener un fallo humano que un bug critico del gestor de redes o del demonio de redes,
Resumiendo:
- Tenemos a un dispositivo desconocido con la contraseña valida que aparece en sus PROBEs después haber sido sometido a un jamming intensivo (varios reboot provocados) con una(s) red(es) oculta(s) a su alcance (se ve por lo menos una en tu captura de pantalla).
Sospecho mucho que sea un "error" humano
Dicho esto no hay que descartar nada.

Yo creo más se deba a una falla de esa versión de Android o teléfono en específico no se cuál será la marca o modelo del equipo parece que por la Mac no me dió el fabricante

Esta sería la vía para encontrar algo, poder conocer la versión del SO y hacer pruebas con el mismo SO y un router personal.
Puede haber información en las probes del teléfono
Voy a mirar si hay algo que he pasado por alto en el handshake y te comentaré algo mañana.

Jachson · 15-09-2022 04:47:43

La red Viki no es oculta, la otra del vecino que tengo la clave si es.

Pero lo extraño es que en otros escaneos con la misma mac NO aparece la clave como apareció esa vez, la razón no la se.

Y es metodo Kracks no sé, según fue en 2017 pero hoy en día no encuentro casi nada que sirva, para toque con Kali 2022 en un pendrive booteable y unos script que pone en una página que explican cómo funcionario pero a mí no me hizo nada. Eso como que no es real...

Encontré algo nuevo con lo de probe request, resulta que se fue la electricidad y se me ocurrió lanzar un escaneo de redes para ver los probes y me aparecieron 3 MAC con la misma clave, claro redes no había ninguna pies no había electricidad eran solo los celulares mandando el request

Ha y el handshake que te mandé lo capture nuevo porque con el que probé ese día no lo tenía... Con la red Cargando... no tengo la contraseña... y nada...
Hice una captura con la opción -Write de airodump pero en wire sharnk no sé que filtro aplicar para que solo me muestre los response

kcdtv · 15-09-2022 18:56:41

La red Viki no es oculta, la otra del vecino que tengo la clave si es.

Lo había entendido smile , lo que comentaba es que se ve una red oculta en tu primera captura:

No es "Cargando...", es otra, la mac es diferente... no importa, no era este el punto.
El punto es que las víctimas tienen a su alcance una red oculta y me imagino que habrán intentado conectarse entre tantos reboot de su router debido al jamming continuo.

Pero lo extraño es que en otros escaneos con la misma mac NO aparece la clave como apareció esa vez, la razón no la se.

Un teléfono con Android configurado por defecto (localización por data wifi activada, es decir google examina nuestros escaneos ) va a probar de forma automática los perfiles guardados de la misma zona de cobertura cuando pierde conexión.
Así cuando te acercas de tu starbuck favorito estás conectado antes de sentarte con tu machato favorito.
Un apagón es la forma más eficaz de DoS que hay. big_smile
Con el apagón el teléfono desconectado ha mandado en bucle peticiones de asociación a los perfiles guardados que coinciden con la zona geográfica

Tu airodump-ng capta las peticiones.
Pasado un tiempo salen de la consola porque el cliente ya no manda probes hacía los tres perfiles guardados cercanos (Thuner, viki04 y la red llamada con la contraseña )
Un pregunta que te podrías hacer es también:
¿Por qué no sale la contraseña valida y sale solo la caducada?
Si hay un bug en el softawre y que es realmente el valor de la variable "wpa_passphrase" que se ha usado en lugar de la variable "eSSID", deberíamos ver ahora el también el valor actual, la llave que se usa ahora.

Encontré algo nuevo con lo de probe request, resulta que se fue la electricidad y se me ocurrió lanzar un escaneo de redes para ver los probes y me aparecieron 3 MAC con la misma clave, claro redes no había ninguna pies no había electricidad eran solo los celulares mandando el request

No podré decirte a partir de que versión pero Android hace ahora "randomization" de la mac.
He ido a mirar y es a partir de Android 10:

Starting in Android 8.0, Android devices use randomized MAC addresses when probing for new networks while not currently associated with a network. In Android 9, you can enable a developer option (it's disabled by default) to cause the device to use a randomized MAC address when connecting to a Wi-Fi network.
In Android 10, MAC randomization is enabled by default for client mode, SoftAp, and Wi-Fi Direct.
MAC randomization prevents listeners from using MAC addresses to build a history of device activity, thus increasing user privacy.

Implementing MAC Randomization @ Android
Los tres clientes que ves es el mismo teléfono que ha mandado unas probes para cada uno de los tres perfiles con una mac distinta.
Por esto salen tres (tres perfiles = tres macs diferentes) pero es siempre el mismo teléfono.
Y por esto en la primera captura no sale el fabricante examinando el inicio BSSID porque es una mac "random".
Y el valor generado aleatoriamente resulta ser un rango que no está atribuido, no pertenece a ningún fabricante.
Es siempre le mismo teléfono que tiene tres perfiles guardados para esta zona
Nunca me había parado en pensar en ello...
La solución de google para proteger el rastreo de sus clientes mediante falso bSSID se va al traste examinando los eSSID
Ironía de la vida...

Volvemos al estudio
Este apagón ha enseñado algo muy valioso wink plus_un

El Sistema Operativo del cliente que emite la contraseña en sus Probes es Android 10 o superior (mac random por defecto),
Tiene la localización activada (lo está por defecto)

Es un poco una lastima que no hayas capturado el trafico, lo explico en inicio de hilo

Pero vamos, si ves algo que te parece ser así lo que tienes que hacer es capturar el trafico con airdoump-ng y examinar los paquetes PROBES con wireshark.
Los puedes subir aquí y los miramos juntos.

Y en lugar de fotografías o capturas de pantalla es preferible copiar y pegar aquí el contenido de la consola con la opción "texto formateado"
Es mucho más cómodo luego para copiar y pegar un bssid y filtrar los ficheros de capturas wink

Hice una captura con la opción -Write de airodump pero en wire sharnk no sé que filtro aplicar para que solo me muestre los response

Me lo imagino...
Haré un tema cuando tendré tiempo sobre los filtros de wireshark.
Es necesario para trabajar con capturas
Tienen muy buena documentación, échale un ojo a menudo.
Para tu caso podrías primero aplicar un filtro bssid para que te salgan los paquetes del cliente

wlan.sa == 00:11:22:33:33:75

Si la captura no es demasiada gorda te basta con el filtro bssid.

Jachson · 16-09-2022 01:42:25

Si la captura peda 8 megas el cab lo hice cuando se había ido la electricidad. Justamente a ver qué me encontraba porque en la ventana de escaneo aparecen y desaparecen constantemente... Pero yo estoy usando el WireShark con interfaz gráfica que trae el Wifislax.

No me comentaste nada acerca del Krack attackealmente existe y porque no hay documentación no se agrego a los cds de revisión de seguridades.

Hay alguna forma de sacar la red Cargando... Sin tener que usar diccionarios hoy en día esos diccionarios no funcionan puesto que ya la gente actualmente muy raro usa palabras eso fue hace muchos años con el principio del wifi ya hoy en día usan claves más complejas y un ataque fuerza bruta lo veo como inútil solo los de 8 números a ver si sale pero en el caso que estoy tratando no es... La red Viki ya imagino con el handshake comprobante que era la clave correcta.

También antes hice un ataque con el que se duplica la red siendo el clon de libre acceso para que el usuario en una página creada por el ataque meta la clave, pero ese no me gustó tendría que ser muy despistado la persona para meter la clave ahí en una página que no había visto antes... Más bien cuando hice esos ataques fue que personalizaron las redes y quitaron las claves por defecto que luego las había sacado por un fallo de la oparadora ABA que entregaba los routers preconfigurados a su empresa.

kcdtv · 16-09-2022 12:59:18

peda 8 megas el cab lo hice cuando se había ido la electricidad

Pues esto es lo que necesito, el fichero *cap, la captura.
Mejor si me la pasas por mail, haces clic en "enviar correo" en el pequeño mail bajo mi nombre de usuario.
Lo digo por ti, es una idea terrible colocar en un foro publico una captura de trafico hecha desde tú casa...

estoy usando el WireShark con interfaz gráfica

Yo también. smile
Busca información sobre filtros bssid o respuestas en wireshark.
No es porque es una Interfaz gráfica que se puede usar sin documentarse o usar el teclado... ¿Sabías que puedes usar comparadores o operadores booleanos en los filtros?
Una pasada,,,

No me comentaste nada acerca del Krack

Porque no es el asunto aquí....
En un foro hay una estructura, cómo en una librería.
Usa el buscador del foro con la palabra KRACK y verás que salen varios temas.
Si tienes una pregunta sobre KRACK la puedes hacer en este tema: WPA2: roto con KRACK. ¿Ahora que?
Aquí hablamos de contraseña WiFi en trama “Probe” wink

Hay alguna forma de sacar la red Cargando... Sin tener que usar diccionarios hoy en día esos diccionarios no funcionan
(etc...etc...etc...)

Es necesario puntualizar un par de cosas...
Estás en un foro público, abiertos a tod@s y seguimos las mismas reglas que en los foros WiFi, hacking ético y GNU-Linux,
Unas Reglas que aceptas al registrarte y que puedes consultar cómodamente en todos momentos haciendo clic en el botón REGLAS de la la cabecera del foro;
No damos soporte a "delitos informáticos"
Así que no obtendrás respuestas a preguntas sobre intrusión en redes ajenas
Este hilo es para estudiar paquetes probe, es decir datos "públicos" que se emiten en texto plano, para entender un fenómeno observado (contraseña wifi en probe)
Este es el tema, no lo desviemos. smile
No te lo tomas de forma personal, así son las cosas en los foros abiertos en la web.
Te prometo que tampoco es muy complicado familiarizarse con sus funcionamientos y saber cómo y dónde hacer una pregunta.
Y es la metodología correcta de toda forma si quieres encontrar une vulnerabilidad

Volviendo al tema:
- Si tienes la captura de trafico pásamela por correo. Pones todo, el cap, csv etc... en una carpeta que comprimes en tar o zip o lo que quieres y puedes usar este servicio para pasarme el link de descarga: file.io (lo descargo y se borra de sus servidores, one shot)
- Voy a intentar hacer hoy o mañana un tema sobre filtros wireshark con ejemplos paso a paso ya que veo que estás un poco perdido.
Pero lo primero es el archivo de captura airdoump-ng...
...Por cierto puedes escribir -w en lugar de --write en tu linea de ordenes airodump-ng, es menos largo:

-w                    : same as --write

Con esta captura de trafico podremos validar lo visto ayer y saber más cool

Jachson · 16-09-2022 17:40:47

Bueno, achando un vistazo con WireShark se puede sacar fácilmente por los probé request las MAC falsas de Android 10 y IOS por el orden de las SSID ya que WireShark muestra el fabricante y las que no tienen fabricante entonces son Mac aleatorias

CONCLUSIÓN: Lo de la clave que encontré viendo los ssid en definitivo me imagino que por el ataque jamming alguien o algunos metieron la red de forma manual a ver si agarraba solo que por falta de experiencia pusieron en el nombre de red colocaron la clave y por eso me pareció en los Probé request del escaneo.

Ultima edición por Jachson (16-09-2022 18:51:36)

kcdtv · 17-09-2022 15:41:04

He recibido tu correo con el *,cap. plus_un
Echaré un ojo y comentaré algo.
Gracias smile
Desgraciadamente no me parece que tendré tiempo hoy, mañana sí.

CONCLUSIÓN: Lo de la clave que encontré viendo los ssid en definitivo me imagino que por el ataque jamming alguien o algunos metieron la red de forma manual a ver si agarraba solo que por falta de experiencia pusieron en el nombre de red colocaron la clave y por eso me pareció en los Probé request del escaneo.

Cual sea la conclusión, porque de momento solo podemos hacer suposiciones, estamos viendo cosas muy interesantes. smile
De paso señalo a otro tema para invitarles a leer el documento indicado

kcdtv escribió:

Para ser más preciso, en la columna Probes sale la "PNL" (Prefered Network List). No sabía que tiene un nombre "oficial", lo acabo de ver aquí: SSID Oracle Attack on Undisclosed Wi-Fi Preferred Network Lists)

kcdtv · 19-09-2022 17:15:02

Es muy interesante tener a una captura hecha durante una apagón ya que podemos ver en acción a los teléfonos Android intentando conectarse frenéticamente smile

- Aquí tenemos a un secuencia de menos de diez segundos con las peticiones Probe mandadas por el teléfono que nos intriga.

Vemos cómo se emiten en bucle unas probes para cada perfil de la PNL con los tres eSSID registrados de nuestro caso: Thunder, victoria09viki, wiki04
Además hay una probe con "SSID wildcard" destinada a todos los PA.

- Examinando esta probe "wildcard" en las docenas de clientes Android que piden a gritos una conexión:

Podemos ver que el eSSID se deja en "blanco" (length 0) para forjar este tipo de respuesta probe.

- Observamos claramente el cambio de mac automático cada diez segundos en el cliente estudiado.
Ver columna de izquierda en la captura de pantalla a continuación:

Jachson · 21-09-2022 19:29:56

Hola, Hice otro escaneo hoy en el momento de llegar la electricidad, no hay algún Bug que se pueda sacar al momento que enciende en módem y se conecten los equipos?

kcdtv · 22-09-2022 15:23:45

Hola
No se puede responder a tu pregunta otra cosa que "Es altamente improbable pero no sé".
Es lo que tienen las vulnerabilidades.
Parecen improbables hasta que alguien las desvela.

En la captura de 8MB se ven a tres clientes que intentan (y parecen lograrlo) conectarse a la red vik04
- Un teléfono Motorola con bSSID fijo que forma probe con un essid en blanco (wildcard) o con un essid "Mathias"

- Un teléfono Samsung con bSSiD fijo que forme probe únicamente en blanco (widcard)

- Y nuestro dispositivo con bSSID aleatorio que emite PRoBES con Thunder, vik04, victoria09viki o wildcard (valor nulo)
Con lo que has capturado vemos el momento de la conexión,
se ha capturado uno de los 4 way del handhsake (linea azul) y se ve luego que se pasan datos (data)

Antes de conectarse emitía el eSSID-contraseña guardado en su PLN,
Después solo emite probe destinados al PA al ćual está conectado (lo esperado) y no se ve la "contraseña"
En lo capturado no hay nada raro.
Tenemos a un mac xiaomi un vez que se conecta.
Es la mac real si el perfil existía antes de actualizar a Android 10 o 11

Tema	Respuestas	Vistas	Ultimo mensaje
WPA2: roto con KRACK. ¿Ahora que? por Virkon [ 1 2 ]	26	7779	15-03-2023 16:57:32 por kcdtv
Pegado: Pegado:: AWITAS. Ataque a WPS con rogueAP potegido con WPA por javierbu [ 1 2 ]	34	3812	12-03-2023 18:24:22 por Guybrush92
Pegado: Pegado:: Script multiuso wifi para Kali y otras distros por v1s1t0r [ 1 2 3 … 18 ]	436	63610	07-03-2023 12:35:27 por kcdtv
iwd;¿El demonio WiFi Linux qué lo cambiara todo? por kcdtv	0	423	23-02-2023 17:09:39 por kcdtv
Pegado: Pegado:: Base de datos WPSPIN (original) open source actualizada por kcdtv [ 1 2 3 4 5 ]	114	258649	19-02-2023 17:36:14 por chuchof

Foro Wifi-libre.com

Anuncio

#1 12-05-2016 00:05:15