Hola!

Muy buenas a todos/as!

Esta va a ser una serie de entradas jugando con los puntos de acceso gratuitos. Aquellos que funcionen como portal cautivo o símplemente una red abierta que me encuentre por ahi.

Al conectarse al punto de acceso, miro que me ha dado la IP del rango 1.1.1.1, así que compruebo si tienen activado el isolation ap

Podemos ver el resultado

seifreed$ nmap -sP 1.1.1.*

Starting Nmap 5.51 ( http://nmap.org ) at 2011-10-23 12:51 CEST
Nmap scan report for 1.1.1.1 (1.1.1.1)
Host is up (0.0037s latency).
Nmap scan report for 1.1.1.2
Host is up (0.0062s latency).
Nmap scan report for 1.1.1.3
Host is up (0.0061s latency).
Nmap scan report for 1.1.1.4
Host is up (0.0068s latency).
Nmap scan report for 1.1.1.5
Host is up (0.0071s latency).
Nmap scan report for 1.1.1.6
Host is up (0.0077s latency).
Nmap scan report for 1.1.1.7
Host is up (0.0076s latency).
Nmap scan report for 1.1.1.8
Host is up (0.0076s latency).

Podemos ver el resto del resultado aquí

Vemos que NO tiene habilitado el Isolation AP, es decir, que podemos ser capaces de saber que hay mas equipos conectados, además sin estar autenticados en la red.

Ahora lo que comprobaremos es, si permite hacer resolución DNS

seifreed$ dig google.es

; <<>> DiG 9.7.3-P3 <<>> google.es
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 27177
;; flags: qr rd ra; QUERY: 1, ANSWER: 6, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;google.es.			IN	A

;; ANSWER SECTION:
google.es.		83	IN	A	209.85.227.103
google.es.		83	IN	A	209.85.227.104
google.es.		83	IN	A	209.85.227.99
google.es.		83	IN	A	209.85.227.147
google.es.		83	IN	A	209.85.227.105
google.es.		83	IN	A	209.85.227.106

;; Query time: 80 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Sun Oct 23 12:49:36 2011
;; MSG SIZE  rcvd: 123

Podemos observar que nos permite hacer la resolución DNS así que podríamos explotar esta vulnerabilidad para navegar de manera gratuíta.

Ahora nos toca mirar la parte web, si miramos el código fuente podemos ver que nos sale

Así que lo que haremos será pedir directamente el archivo

Tenemos permisos para bajarnos archivos del servidor…

Como podéis ver se pude obtener información sobre los clientes conectados y las páginas de autenticación.

Si quiséramos hacer una página de Phishing para suplantar el portal cautivo, podríamos hacerlo.

Un saludo