lunes, 30 de octubre de 2017

MiTM clásico con un FAKE AP

Cuando a lo mejor tengo que dar una charla a un colegio o a algún lugar donde el nivel y los conocimientos tecnológicos son menores, suelo tratar de hacer una demo creando un punto de acceso desde mi equipo, abro Wireshark y analizo el tráfico de red, consiguiendo obtener las credenciales de sitios que van bajo http. La idea es sencilla, hacer que nuestro equipo se comporte como un punto de acceso y de Internet, una red a la que como ESSID podríamos ponerle "Free Wifi" o algo por el estilo. 


Hoy os dejo con la demo o PoC que les suelo realizar. El texto es de hace un tiempo pues tuve que pasar copias de este texto a los alumnos de un colegio que estaban interesados en esto de la seguridad y como no lo había contado por el blog, no tenía otra opción, pero ahora os lo dejo para que todos podáis disfrutar aprendiendo o repasando lo que voy a comentar. Las capturas sí he tratado de hacerlas lo más actual posible. Feliz lectura.


La PoC consiste en, dada la red X con un ordenador que hará de víctima, un AP y un servidor web cualquiera bajo HTTP, tratar de meter una máquina en medio que se haga pasar por el Access Point para que la/s víctima/s se conecten al FAKE AP y disponer en dicha máquina que hará de AP, un analizador de tráfico de red como puede ser Wireshark y tratar de obtener credenciales o cualquier información que pueda ser útil para realizar un ataque mayor como puede ser lograr una sesión meterpreter con metasploit dado un archivo al que se le ha bindeado un payload y que nos sirva como backdoor.



Por lo que el objetivo será dejar a la red como en el esquema anterior, logrando realizar un esquema de machine in the middle, máquina que dispone de un analizador de tráfico. Es importante el paso en el que al crear el AP en el ordenador atacante, deberemos de conectar el equipo por cable a la red vía Ethernet


¿Por qué?


Porque al establecer el AP, nuestro portátil tendrá que conectarse a dicho AP el cuál está “oculto” y en ese momento nuestro equipo permitirá que todos los equipos se conecten a él y estén bajo el mismo rango de red, pero no permitirá la conexión a Internet. Sería lo mismo que en el esquema anterior, no conectar el ATTACKER con el REAL AP, por lo que el tráfico que vaya desde la víctima hasta el atacante, no podrá llegar al servidor, por lo que al no poder conectarse previamente a Internet, tampoco se podrá sacar credenciales.


El primer paso-tras mencionar las cosas a tener en cuenta- será configurar a nuestro equipo para que actúe como Access Point. Para esto, pulsaremos botón derecho en el icono de red de nuestro equipo y pulsaremos en la opción “Edit Connections” y asignaremos un ESSID, un modo, la banda de frecuencias, el canal. Para hacerlo más atractivo, haremos que la red wifi sea una Free Wifi, algo que mucha gente puede ir buscando en un aeropuerto, un bar o en mitad de la calle.


Tras realizar la configuración anterior, si nos vamos a cualquier otro equipo -en este caso un dispositivo Android- se puede observar que ya nos aparece nuestra red que hemos creada y que además estamos conectado tal y como indica la propia red y el icono de la wifi del teléfono. Además, por características de la red a la que el equipo atacante estaba conectado por red, pide que nos registremos en la red, siendo este proceso pulsar en aceptar en el servicio que nos saldrá en el navegador. Este paso demuestra y hace que se visualice bastante bien el ataque de Man o machine in the middle, pues la víctima le enviará datos al atacante y este al punto de acceso de la red a la que este está conectado.


Con lo que la víctima, una vez que se conecte a un servicio en el puerto 80 como es el caso del servicio mostrado en esta PoC, la web del aula virtual de la Academia Lope de Vega, servicio que corre bajo en Http y no en Https-puerto 443- por lo que el tráfico no va cifrado en tránsito. Si la víctima introduce sus credenciales, el atacante podrá ver su usuario y contraseña sin problema alguno.





Si pasamos la captura de tráfico a NetworkMiner, veremos la misma información pero de una forma gráfica y más intuitiva.


Como se puede apreciar, captura las credenciales que la víctima ha introducido en el servicio de login, lo que hace este sencillo esquema de MiTM bastante peligroso, dado el alto número de usuarios que se conectan a cualquier red wifi, abierta o con contraseña, y en la que escriben sus credenciales sin usar 2 Factores de Autenticación.

¿Hackeamos el Mundo?

No hay comentarios:

Publicar un comentario

Related Posts Plugin for WordPress, Blogger...

Entrada destacada

El server me sabe a poco.

Soy un fanático del Rock y de Debian . (Creo que voy a inventar Rockbian, que suena bien y todo xD) Llevaba tiempo queriendo unir estos 2 c...