[AIREPLAY-NG]~
El aireplay es el programa que va a inyectar paquetes 802.11. Aireplay-ng implementa 6 ataques diferentes:
-Ataque 0: Ataque de deautenticación.
-Ataque 1: Ataque de autenticación falsa.
-Ataque 2: Reenvío interactivo de paquetes.
-Ataque 3: Reinyección de petición ARP
-Ataque 4: Ataque "chopchop" de Korek.
-Ataque 5: Ataque de framentación.
ATAQUE 0: DEAUTENTICACIÓN
El ataque 0 de deautenticación, tiene como objetivo, deautenticar al cliente conectado al AP. La sintaxis de este ataque es la siguiente:
aireplay-ng -0 N -a XX:XX:XX:XX:XX:XX -c YY:YY:YY:YY:YY:YY interfaz
Paso a explicar lo que hemos puesto:
-0: Indica que vamos a hacer el ataque "0" o de deautenticación de cliente.
N: Es un número. Con él indicaremos cuantos paquetes de deautenticación enviaremos.
-a XX:XX:XX:XX:XX:XX: "-a" indica el AP y XX:XX:XX:XX:XX:XX es el BSSID o la dirección MAC del AP.
-c YY:YY:YY:YY:YY:YY: "-c" indica al cliente y YY:YY:YY:YY:YY:YY es la MAC del cliente asociado al AP.
interfaz: es la interfaz de nuestra tarjeta. Para saberla recordad el capítulo anterior (iwconfig).
Ataque DoS (Denegación de Servicio): Muchos de vosotros ya sabéis lo que es un ataque de Denegación de Servicio, si no lo sabes entra aquí Para poder ver los enlaces es necesario que te Registres o Ingreses.
Registrate o
IngresaDENEGACIÓN DE SERVICIO
que te lo explica muy bien. De lo que estoy seguro, es de que muchos de vosotros ni siquiera sabíais que se podían hacer ataques DoS a clientes asociados a puntos de acceso (AP). Pongamos un BSSID (00:89:4F:D2:15:A3), un cliente asociado con MAC (00:14:D8:7F:B1:96) y una tarjeta con chipset Zydas. El ataque sería así:
aireplay-ng -0 0 -a 00:89:4F:D2:15:A3 -c 00:14:D8:7F:B1:96 eth1
Lo que estaríamos haciendo es crear un bucle infinito de paquetes de deautenticación, con lo que impediríamos el cliente conectarse al AP. También podemos hacer un DoS generalizado, de tal forma que solo ataquemos al AP. Con esto impediríamos la conexión a todos los clientes que quisieran asociarse al AP. Esto se haría mediante el siguiente comando:
aireplay-ng -0 0 -a 00:89:4F:D2:15:A3 eth1
Como véis, sólo hemos puesto la MAC del router. Esto impediría conectarse a cualquiera. Esto es una captura de pantalla del ataque ^^:
Captura del Handshake (Saludo) WPA:Lo primero de todo, definimos Handshake. Cada vez que un cliente se conecta a una red con cifrado WPA, envía un paquete-saludo, o Handshake al AP al que se va a conectar. Este paquete-saludo contiene la contraseña encriptada. Para capturarlo, tratariamos de desconectar al cliente y estar al acecho para capturar ese Handshake. Mas tarde, intentaríamos crackear ese Handshake para obtener la contraseña. Veámoslo en el siguiente ejemplo:
airodump-ng --write chipichape --channel 6 eth1
aireplay-ng -0 20 -a 00:89:4F:D2:15:A3 -c 00:14:D8:7F:B1:96 eth1
aircrack-ng -w /ruta/al/diccionario chipichape-01.cap
Paso a continuación a describir cada comando:
airodump-ng --write chipichape --channel 6 eth1------>Este comando pondría el airodump-ng a la escucha en el canal 6 y escribiría en un archivo llamado chipichape-01.cap los resultados de los paquetes obtenidos.
aireplay-ng -0 20 -a 00:89:4F:D2:15:A3 -c 00:14:D8:7F:B1:96 eth1----->Este comando enviaría 20 paquetes de deauntenticación. Si tras hacer esto no hemos conseguido deautenticar al cliente, ponemos más.
aircrack-ng -w /ruta/al/diccionario chipichape-01.cap (este comando crackearía, o al menos lo intentaría con ayuda de un diccionario, el archivo chop-01.cap con la clave encriptada WPA y con la ayuda de un diccionario. No os hagáis ilusiones, porque no es tan fácil crackear las redes WPA. Si no tenéis diccionarios os pongo unos links donde podréis encontrar:
Para poder ver los enlaces es necesario que te Registres o Ingreses.
Registrate o
IngresaPara poder ver los enlaces es necesario que te Registres o Ingreses.
Registrate o
IngresaPara poder ver los enlaces es necesario que te Registres o Ingreses.
Registrate o
IngresaA continuación una demostración con imágenes del proceso. En ellas podemos ver como nos pide un diccionario para poder crackear la clave
.
1.- Ejecutamos el comando airodump-ng:
Nos saldrá esta imagen:
2.- Ejecutamos el comando aireplay-ng:
3.- Crackeamos con aircrack-ng:
Como podéis ver no me ha dejado crackearla porque no he especificado la ruta de ningún diccionario.
Generación de peticiones ARP:Muchas veces, al realizar el ataque3 (lo veremos más adelante
) vemos que las peticiones ARP no arrancan, es decir, se quedan a 0. Lo que tenemos que hacer entonces es generar peticiones ARP. Para ello, primero ejecutaremos el ataque 3, como lo habríamos hecho de forma normal.
aireplay-ng -3 -b 00:89:4F:D2:15:A3 -h 00:14:D8:7F:B1:96 eth1
Se nos abriría una ventana como esta:
Entonces lo que tendríamos que hacer es provocar esa petición ARP. Para ello haríamos un DoS en una consola a parte y esperaríamos a que se generase la primera petición ARP. Una vez se hubiese generado la primera, iríamos a la consola que está realizando el ataque DoS y pulsaríamos Ctrl+C para pararlo. Ahora iríamos a la consola que está realizando el ataque 3 y veríamos como las peticiones ARP están subiendo a toda leche ^^. La mayoría de la gente no hace este ataque así, si no que se dedica a poner un valor númerico en el ataque de deautenticación, generando un así un número de paquetes de deautenticación directamente proporcional al estipulado. El contra de esta técnica es que muchas veces con unos pocos paquetes de deautenticación no conseguimos nada, lo que tenemos que hacer es enviar unos cuantos hasta que veamos que obtenemos la primera petición ARP.
ATAQUE 1: AUTENTICACIÓN FALSA
A muchos de vosotros os habrá pasado, o si no os ha pasado os aseguro que os pasará, que queréis crackear una red inalámbrica y no hay clientes conectados. El hecho de que haya un cliente conectado a la red objetivo facilita mucho, pero que mucho la tarea. Desgraciádamente, no siempre es así y para ello tenemos que hacer uso de tretas y de nuestro ingenio (bueno, aquí el ingenio lo pone el programa
) para poder iniciar el ataque sin clientes asociados.
Aireplay-ng implementa un tipo de ataque llamado "Autenticación falsa" que como estaréis suponiendo, nos viene de perlas en casos como este ^^. Lo que vamos a hacer por medio de este ataque es hacernos pasar por un falso cliente. Para ello, es recomendable que fakeemos nuestra MAC. Esto se puede hacer de varios modos.
Modo 1: Por medio del "macchanger" (interfaz):
Menú--Wifislax--HerramientasWireless--macchanger
Modo 2: Por medio del "macchanger" (consola):
macchanger -m 00:11:22:33:44:55 interfaz
Modo 3: Por medio de "ifconfig" (consola):
ifconfig interfaz down
ifconfig interfaz hw ether 00:11:22:33:44:55
ifconfig interfaz up
Una vez hemos cambiado fakeado nuestra mac, procedemos a autenticarnos como falso cliente. La sintaxis del comando será la siguiente:
aireplay-ng -1 N -e "ESSID" -a XX:XX:XX:XX:XX:XX -h FF:FF:FF:FF:FF:FF interfaz
Paso a explicar la sintaxis:
-1= Con esto indicamos que vamos a hacer el ataque 1 o "Autenticación falsa".
N= Es un número. Con él indicamos el intervalo de tiempo con el que queremos asociarnos a nuestro AP. Por ejemplo, si queremos asociarnos cada 10 segundos, mandará un paquete de asociación falsa cada 10 segundos.
-e= "ESSID": Aquí estamos indicando el nombre del AP al que queremos asociarnos como falsos clientes, eso sí, ¡¡¡las comillas NO se ponen!!!
-a XX:XX:XX:XX:XX:XX= Aquí indicaremos el BSSID, es decir, la MAC del AP.
-h FF:FF:FF:FF:FF:FF= Aquí indicamos al MAC fakeada por nosotros mismos. En nuestro caso "00:11:22:33:44:55".
interfaz= Vuestra interfaz
Veámoslo con un ejemplo:
ASPECTOS A TENER EN CUENTA:
1.-Este ataque no siempre es eficaz. Existen routers con los que no funciona. De hecho hay routers que requieren autenticación cada X periodo de tiempo... el problema está en saber qué periodo de tiempo es el que tienen configurado. Por normal general, son 30 segundos.
2.- Para que este ataque funcione hay que tener activo el airodump-ng. ¿Por qué? Pues porque como os dije, el airodump-ng es el encargado de la captura de paquetes y para que este ataque se inicie necesitaremos un Beacon. ¿Qué es un Beacon? es un paquete saludo que envía el AP para decirnos: "Eh! que estoy aquí!" ¿recordáis? ;-)
3.- Tenemos que configurar la tarjeta para el mismo canal del AP. ¿Cómo? Pues no sé si lo recordaréis... ¡con el airmon-ng!
airmon-ng start interfaz canal
4.- Este ataque por si sólo no consigue nada. Tenemos que combinarlo con el ataque 3 o con el ataque 4, que los veremos en seguida.
CAUSAS DE UN POSIBLE FRACASO:
1.- El router tiene filtrado de MACs.
2.- Estás demasiado cerca o demasiado lejos del AP.
3.- Tu controlador no está correctamente parcheado e instalado (con las live-cd's como Wifislax, Wifiway o Backtrack no os pasará ya que traen los drivers instalados y parcheados).
4.- La tarjeta no está configurada en el mismo canal que el AP.
5.- Hemos introducido mal el BSSID o/y el ESSID.
ATAQUE 2: REENVÍO INTERACTIVO DE PAQUETES
Antes de empezar deciros que en este capítulo, usaremos BackTrack 3. Os preguntaréis, ¿Por qué? Pues por dos razones:
1.- No está de más conocer otras live-cd's. No os preocupéis,
el procedimiento es el mismo.2.- Me he comprado tarjeta nueva y de momento no puedo usar el wifislax con ella :(, así que usaremos BackTrack 3.
Ahora al grano
, este ataque puede resultarnos muy útil. Consiste en ponernos a la escucha, escoger un paquete y una vez elegido, inyectarlo. Esto lo podremos hacer, o bien con el paquete que hayamos capturado al estar a la escucha, o seleccionando uno que hayamos conseguido previamente, que estará en formato *.cap. Paso a explicar la sintaxis de este ataque:
aireplay-ng -2 <opciones de filtro> <opciones de envío> -r <nombre del archivo a enviar> interfaz
-2= Indica que estamos realizando el ataque 2 "Reenvío interactivo de paquetes".
<opciones de filtro>= Sirven para filtrar los paquetes que vamos a recibir.
<opciones de envío>= Sirven para configurar nuestra inyección.
-r<nombre de archivo>= Esto es opcional. Se utiliza sólo cuando queremos especificar un archivo *.cap para leer los paquetes e inyectarlos.
interfaz: Tu interfaz wireless (eth1, ath0...).
1.- Usándolo para radiodifundir los paquetes del AP y generar nuevos IV's (Vectores de Inicialización)Uno de los modos de usar este ataque es haciendo una difusión de los paquetes del AP y así generar nuevos vectores de inicialización. Vale, tranquilos, imagino que muchos de vosotros no habréis entendido nada de lo que he dicho. No os preocupéis, yo os lo explico ^^. Cuando hablamos de hacer una difusión, hablamos de hacer un broadcast (difusión en inglés). ¿Cómo, que estáis en las mismas? ¡pues no os preocupéis! Un broadcast, es un modo de transmision de información en el que intervienen un nodo emisor y un nodo receptor. El nodo emisor envía información a una multitud de nodos receptores de manera simultánea sin necesidad de reproducir la misma transmisión nodo por nodo. Las redes de área local, se basan en el uso de un medio de transmisión compartido y por eso mismo, se puede difundir cualquier trama de datos a todas las estaciones que estén en el mismo segmento de red. Sin embargo, para hacer esto posible, necesitaríamos una dirección MAC especial, una que englobara a todas las MAC's. Esta mac es la FF:FF:FF:FF:FF:FF. Todos los nodos receptores y emisores procesan las tramas con dicha dirección así que no os preocupéis
. De hecho los routers, de vez en cuando, envían paquetes a la dirección FF:FF:FF:FF:FF:FF (por ejemplo, los beacons ;-)). Veamos un ejemplo de este ataque:
aireplay-ng -2 -p 0841 -b XX:XX:XX:XX:XX:XX -c FF:FF:FF:FF:FF:FF -h YY:YY:YY:YY:YY:YY interfaz
Paso a explicar el comando:
-2= Estamos indicando que vamos a realizar el ataque 2 (reenvío interactivo de paquetes).
-p 0841= Con esto estamos fijando el "Frame Control" en el paquete. De esta manera, parecerá que está siendo enviado desde un cliente.
-b XX:XX:XX:XX:XX:XX= Esta MAC deberá corresponder con el BSSID, es decir, la MAC del AP.
-c FF:FF:FF:FF:FF:FF= Esto lo hemos explicado antes. Es la MAC especial ;-). Con ella estamos especificando como MAC de destino cualquiera. Gracias a ello, el AP responderá con otro paquete y generará un nuevo vector de inicialización (IV).
-h YY:YY:YY:YY:YY:YY= Esta será la MAC de nuestra tarjeta, es decir, la dirección física desde la cual provienen los paquetes que vamos a reenviar. Recomiendo fakearla.
interfaz= Tu interfaz wifi.
Vamos a ver un ejemplo:
Hay que tener en cuenta, que cuanto mayor sea el paquete que vamos a reenviar, mas lenta será la inyección. Si queremos, tenemos la opción de establecer un filtro para el tamaño del paquete. Esto nos abre el camino al siguiente ataque.
2.- Reenvío de peticiones ARP con encriptación WEP.
En este ataque, usaremos un filtro para indicar el tamaño del paquete que queremos inyectar. Como lo que queremos es inyectar peticiones ARP, en el filtro tendremos que determinar un tamaño mínimo y un tamaño máximo equivalente al de una petición ARP. Las peticiones ARP suelen tener un tamaño de 68 bytes cuando es un cliente wireless y 86 bytes cuando es un cliente cableado. Nosotros por tanto usaremos un filtro en el que los paquetes no bajen de 68 bytes pero no superen los 86 bytes.
aireplay-ng -2 -p 0841 -m 68 -n 86 -b XX:XX:XX:XX:XX:XX -c FF:FF:FF:FF:FF:FF -h YY:YY:YY:YY:YY:YY interfaz
Procedo a explicar lo que hemos puesto:
-2= Con esto indicamos que vamos a hacer el ataque 2 (reenvío interactivo de paquetes).
-p 0841= Con esto estamos fijando el "Frame Control" en el paquete. De esta manera, parecerá que está siendo enviado desde un cliente.
-m 68= Indicamos la longitud mínima del paquete.
-n 86= Indicamos la longitud máxima del paquete
-c FF:FF:FF:FF:FF:FF fija la dirección MAC de destino como cualquiera (broadcast). Esto se requiere para que el AP conteste al paquete y así generar el nuevo IV.
-b XX:XX:XX:XX:XX:XX= Esta MAC deberá corresponder con el BSSID, es decir, la MAC del AP.
-h YY:YY:YY:YY:YY:YY= Esta será la MAC de nuestra tarjeta, es decir, la dirección física desde la cual provienen los paquetes que vamos a reenviar. Recomiendo fakearla.
interfaz= Tu interfaz wifi.
Veámoslo en el siguiente ejemplo:
Nota: Si quisieramos enviar un paquete *.cap préviamente guardado, lo haríamos de la siguiente manera:
aireplay-ng -2 -p 0841 -b XX:XX:XX:XX:XX:XX -c YY:YY:YY:YY:YY:YY -r nombrearchivo.cap interfaz
Veámoslo en la siguiente imagen:
Si os fijáis, el paquete que hemos seleccionado para enviar es el mismo que hemos capturado en el primer ejemplo ^^.
Visitantes: 8
Oculto(s): 0
Usuarios: 2
Usuarios en Línea:
