Foro Wifi-libre.com

El retorno de "Una historia de RogueAP..." by Koala

Recuerdo que no soy el autor de este PDF. Solo intento traducirlo lo mejor que puedo    Buena lectura

Parte 2:
Emplear hostapd y el WPS para conseguir la conexión

El segundo ataque se basa en hostapd. Se crean tres Puntos de Acceso cifrados y con WPS para atraer la victima en una de nuestras redes trampas.
Para desconectar la victima de su red y lograr que nuestra red falsa salga primera en el gestor de redes de la victima usaremos el mismo método que en el primer ataque.
Para realizar el ataque deben asegurarse de que el driver de su interfaz WiFi es compatible con hostapd y que hostapd está configurado correctamente.
Luego deben ejecutar hostapd y hostpad_cli para activar el WPS y lograr que la victima se conecte a nuestro punto de acceso a pesar del cifrado WPA.

hostapd hostapd.conf

Activen el WPS durante un tiempo.
A lo bestia pero es eficaz:

while : ; do sudo hostapd_cli wps_pbc ; sleep 120 ; done &

Sale un error ("FAIL") porque hostapd renombra vuestra tarjeta WiFi con tres nombres distintos (cada nombre nuevo corresponde a una de las tres redes falsas).
No importa porque la victima podrá conectarse a cualquiera de las redes falsas visto que se el conjunto está gestionado por la misma interfaz.
Podrán ver algo así en su consola hostapd en cuanto la victima se conecte:

Miremos ahora que pasa en la computadora de la victima. Acuérdense de que se ha utilizado el mismo método que en el primer ataque para engañar el gestor de redes de la victima.

Bbox, Bbox-Assistance y Bbox-wifi son nuestras tres redes falsas creadas por hostapd.
Podéis ver a continuación que la red legitima queda en ultima posición:

   ¿Y ahora qué?
Redirigen su victima mediante iptables o dnsspoof hacía su servidor en una pagina phishing currada que pide al usuario de presionar el botón WPS de su unto de acceso para conectarse a su red WiFi. Quedará muy realista si uséis directamente unas imágenes o un vídeo extraídos del propio sitio de ayuda en linea del ISP de la victima...
Ejemplo para SFR:

  Debéis (en la computadora atacante) tener la linea de ordenes que sigue en acción para no dejar pasar el intervalo que les permite conectarse al PA de la victima

wpa_cli
while : ; do sudo wpa_cli wps_pbc any ; sleep 120; done & 

  Ejemplo de lo que ocurre cuando la victima presiona sobre el botón:

  No se olviden de lanzar

dhclient wlan0

  para negociar el dhcp.
*Para lograr la conexión a la red legitima de la victima cuando presiona el botón WPS; debéis parrar el ataque DoS llevado por mdk3.  No afecta el desarrollo del ataque en este punto visto que el cliente está ya conectado a una de nuestras redes falsas y que el punto de acceso trampa está registrado en las redes conocidas.

  Un ataque más que puede ser muy peligroso porque no se piden ningunos credenciales.  La victima solo debe levantarse para presionar el botón WPS de su router. Con un servidor apache que llaméis, por ejemplo, sfrasistance.sfr y un certificado SSL que no devuelve errores; tendréis una trampa perfecta.
Pasamos de un Rogue AP open básico, con conexión a una red falsa open y su portal cautivo, a un Rogue AP en WPA con las redes falsan que encabezan la listas de las redes disponibles.
  Diría que las probabilidades de obtener la llave con uno de los dos métodos son excesivamente altas.
He probado en casa de tres amigos con su consentimiento pero sin advertirles de cuando ni del cómo... Ha funcionado con los tres.
. 
Conclusión: Estén al ojo, aunque la red parezca segura, y es hora de que se abandonan los pass WPA en hexadecimal. 

Una historia de rogue AP by Koala

Member of

• http://www.crack-wifi.com/forum/

• https://www.wifi-libre.com/

• http://www.kali-linux.fr/forum/

No es nada comparado a los horas y horas (... y años ) dedicadas a elaborar técnicas originales y nuevas.
Gracias a ti "maestro jedi"

Buenas

Ambos ataques se pueden hacer con la mayoría de los chipsets y no se requiere tener una conexión Internet
No tengo claro que hayas bien hecho la distinción entre los dos métodos.   
  -  El primero se basa en el "WEP downgrade" y no requiere nada más que aircrack-ng y hostapd; sin servidor apache ni nada por el estilo.
         De hecho se podría probar ahora con airbase-ng en lugar de hostapd porque se han arreglados bugs WEP/airbase-ng  con aircrack-ng 1.2.
  - Y el segundo se limita a llevar el usuario a empujar el botón WPS de su router,
          Hay efectivamente una situación de "Man In The Middle" que se podría explotar de muchas formas pero aquí koala se centra en la parte hacking WiFi. El aspecto phishing no es el asunto aquí.

Edit 1: He creado un tema aparte con tus otras preguntas para no desviar este : ¿Hasta qué punto el chip Ralink RT3072 es compatible con hostapd?
Edit 2: He tenido que mover tus "nuevas" preguntas (ya que son offtopic en este tema) en el hilo puesto en el edit 1

Ultima edición por kcdtv (19-05-2018 14:57:32)

No importa el password que configuras en la red trampa WEP. 
  El cliente cifra los mensajes con su llave.
La que entra el usuario en su gestor de redes cuando se conecta a la red WEP (nuestra) pensando que se conecta a su red (WPA)
Este ataque solo puede funcionar con llaves WPA que tienen un "formato" WEP es decir:

• 10 caracteres hexadecimales

• 13 caracteres ascii

• 26 caracteres hexadecimales

Si la llave no sigue al pie de letra uno de estos tres patrones la trampa no funciona porque el usuario no puede conectarse a la red WEP.