Foro Wifi-libre.com

Esta es una posibilidad que yo ya había contemplado hace tiempo, el problema es llevarla acabo de forma práctica. Puede hacerse de forma indiscriminada esperando por una de esas tramas de algún router, pero dirigirla a uno determinado para forzar a que el usuario pulse el botón es a lo poco muy optimista.

En esto tienes toda la razón, el ser humano es un animal de costumbres.

Estoy ansioso por ver tu magia

Lo siento: han surgido unos imprevistos y no he tenido el tiempo de hacer el tema.
Pero no me olvido de [email protected]
No es que sea muy complicado pero necesito algo de tiempo para poner de pie el escenario de pruebas y hacer el tema que va a ser un poco largo...  very soon, very soon

Esto ya lo comente hace años a Maripuri por privado y no recibí  apoyo  para seguir con este proyecto y nadie me creyó en su día, y eso que mande vídeos de un pequeño escenario que me monte yo mismo con un router de ono.

lo hice de 2 maneras con el móvil a 120 seg  y con los drivers ralink. intente editar los drivers ralink con reshack para poder subir el tiempo ya sea horas días o semanas pero no lo conseguí.

Estaba convencido que funcionaria pero al no recibir ningún apoyo deje estancado el proyecto, hace poco quería hablar con kcdt por privado sobre este proyecto por si tenia mas suerte pero entre unas cosas y otras nunca me decidí.

En mi cuenta de mega conservo los vídeos de mis pruebas si te interesan kcdt te las envió un saludo y felices fiestas a todos.

No creo que has bien entendido del todo de que va porque siempre funcionara: No hay forma para el punto de acceso de verificar la autenticidad de un cliente que no se ha conectado aun. Es el concepto mismo del PBC: empujas el botón del PA para que un cliente nuevo se conecta y obtenga los credenciales WPA.
Si en el intervalo de 120 segundos "llega primero" otro cliente que el cliente "legitimo" pues... se conecta el cliente ilegitimo al PA.

He recibido los vídeos, gracias. Tampoco era necesario que me demuestres nada: Como puedes ver a koala también se le ha ocurrido la misma idea (brillante). 

Es siempre muy complicado tener que hackear unos drivers o una aplicación para lograr un comportamiento "no convencional". Quizá sea mas fácil inspirarse de lo que ha hecho koala bajo linux: mandar la petición de 120 segundos en bucle.

Algunos comentarios en el sitio de korben eran grotescos... Gente que no tienen ni puta idea sobre WPS y que afirmaban cosas sin haber leído una sola linea de la especificación. Había preparada un buen post para intervenir ahí y poner los puntos sobre los "i" pero desgraciadamente korben ha cerrado los comentarios muy rápido. Esto es el problema con estas web muy famosas "cultura geeck": mucha gente viene para lucirse y darse en espectáculo.   
Esto dicho fue divertido verte hacer "el show" en la escena francesa.

No he hecho repuesta para esta misma razon.Es como hablar con la pared.Y cuando veo todos los blog, web de informatica etc.. en Francia parece mas "pute a clic" que otra cosa.

Jejeje ya sé como anda eso ya veo tenemos el mismo punto de vista porque es exactamente lo que explica este hilo y asi que habia hecho mi primeras probadas en 2014 antes de crear hostbase 2 anos mas tarde

Bien, y en funcion de lo anteriormente mencionado, y esta pregunta va tanto para ti kcdtv como tambien para Koala:

¿y si el usuario legitimo pulsa antes el boton PBC de su adaptador WiFi o el PBC Virtual de su administrador de redes wireless bajo sistema Windows y despues se va a pulsar el boton WPS/PBC de su router WiFi mientras tambien el atacante lo esta haciendo de forma similar con una serie de ordenes de su shell bajo linux?, pues de esta forma dicho usuario no va a solicitar la conexion mediante PBC despues de pulsar el boton PBC del router sino que lo esta haciendo antes, ¿al final quien conectaria primero mediante PBC: el usuario legitimo o el ilegitimo?.

He aqui desde mi punto de vista o poquita informacion de la que dispongo, la base de la idea en donde radica lo anteriormente expuesto:

lo mismo que el parametro "--uptime" en airodump-ng indica el tiempo que lleva un router WiFi en servicio ininterrumpido, ¿hay en los probes request del router WiFi o alguna variable de tiempo que indique: de estas dos peticiones de conexion mediante PBC, voy a conceder dicha conexion al solicitante que inicio la primera solicitud de conexion PBC en virtud de quien fue en una base temporal (minuto:segundo) el primero en solicitarlo?.

Os voy a poner 3 distintos ejemplos para que se entienda mejor a donde quiero llegar:

Ejemplo 1º (supuesto del que parte Koala en su comunicado):

el usuario legitimo inicia la solicitud de conexion PBC a las 13 horas 35 minutos 43 segundos de un dia
el usuario ilegitimo inicia la solicitud de conexion PBC a las 13 horas 35 minutos 42 segundos de ese mismo dia
(aqui el atacante esta solitando la conexion inalambrica mediante PBC antes que el usuario legitimo)

Ejemplo 2º (supuesto del que parto yo):

el usuario legitimo inicia la solicitud de conexion PBC a las 13 horas 35 minutos 42 segundos de un dia
el usuario ilegitimo inicia la solicitud de conexion PBC a las 13 horas 35 minutos 43 segundos de ese mismo dia
(aqui el atacante esta iniciando la conexion inalambrica mediante PBC despues que el usuario legitimo)

Y Ejemplo 3º (¿creemos en las coincidencias?):

el usuario legitimo inicia la solicitud de conexion PBC a las 13 horas 35 minutos 42 segundos de un dia
el usuario ilegitimo inicia la solicitud de conexion PBC a las 13 horas 35 minutos 42 segundos de ese mismo dia
(aqui tanto el atacante como el usuario legitimo coinciden en la base temporal para la conexion inalambrica mediante PBC o tambien habria que discriminar entre: horas, minutos, segundos, y milisegundos?

¿Entendeis lo que quiero decir?.

Ultima edición por cjrs (21-01-2018 14:04:29)

OK, entonces, el primero que inicia la solicitud PBC es el que conecta, por tanto no pueden haber dos solicitudes o mas al mismo tiempo ni podrian conectarse a la vez mas de un solicitante en ese ofrecimiento de servicio PBC anunciado por el router como si dijeramos como el PBC dura 120 segundos, el router no puede admitir tantas solicitudes de conexion PBC mientras duren esos 120 segundos.

Pues vale Patcher, ¿y que tal lo de implementar esto mismo del PBC en tu waircut, o es que ya lo tienes?

No puedo décir mejor..

Y eso que es ?

wpacli = Thread.new do
  while true
    system "xterm -e wpa_cli wps_pbc #{$apmac}"   # On lance wpa_cli et wps_pbc en tant que thread
    sleep(120)
  end
end

El commando

wpa_cli
while : ; do sudo wpa_cli wps_pbc any ; sleep 120 ; done &
dhclient wlan0

Estaba para hacer una demonstracion .. hay que saber hacer la diférencia entre una demonstracion y adaptar a el codigo final.

Es necesario tener modem viejos para efectuar el ataque? solo tengo un modem y es que usare para pruebas, tengo la tarjeta integrada wifi solamente. vere el los videos ahora.

gracias por tu respuesta,

Llegue al foro buscando información sobre vulnerabilidades efectivas a la fecha y me encontré con esta bonita idea que publicaron uds.

Ahora viendo la posibilidad se me ocurre un método para implementarla.

Como es bien sabido, no existe seguridad que proteja contra el error humano, basado en eso, hoy en día son bien populares y efectivos los ataques Evil Twin, que por medio de un ataque de negación de servicio se bota a los clientes de un router y a la vez se monta un AP Fake para que la persona se conecte y ahi se le pide la clave WPA.

Pero ahí viene la cuestión, algunas personas están conectadas a alguna red y no saben ni la clave ya sea porque no tiene la habilidad tecnológica, o porque no se la sabe de memoria o simplemente no la tiene.

Seria interesante ver la posiblidad de crear un Script Evil Twin, pero en lugar de pedir la clave instruir al usuario a presionar el boton WPS PBC y claro al presionarlo, inmediatamente el atacante se conecta y los scripts cierran su función permitiendo al usuario volver a conectarse normalmente a su red.

Creo que seria una buena forma de efectuar dicho ataque.

Bueno me registre solo para comentarles esto. un saludo.