Fake Access Point

Offener Rogue-WLAN-AP zur Erfassung von Datenverkehr in kontrollierten Umgebungen. Verwendet hostapd (nativer nl80211-AP-Modus) + dnsmasq (DHCP/DNS) + iptables für NAT in Richtung einer Uplink-Schnittstelle.

Anforderungen

• Linux, root.
• WLAN-Karte mit AP-Modus-Unterstützung (iw phy → Supported interface modes: ... AP).
• Pakete: hostapd, dnsmasq, iw, iptables, rfkill, wireshark.

Konfiguration

Bearbeite die Variablen am Anfang von fake_ap.sh.

INTERNET_IFACE — Uplink mit Internet

Dies ist die Schnittstelle, die bereits eine Standardroute besitzt (Ethernet, USB-Adapter, WLAN-Client usw.). Die Namen variieren je nach Rechner (eth0, enp3s0, wlp3s0, …).

ip route | grep default
# default via 192.168.1.1 dev enp3s0 ...
#                            ^^^^^^
#                            use this name

Setze INTERNET_IFACE auf die Schnittstelle nach dev.

AP_IFACE — WLAN-Karte für den Fake-AP

Verwende die physische WLAN-Schnittstelle aus iw dev. Häufig wlan0, es kann aber auch wlp2s0 oder Ähnliches sein.

iw dev
# phy#0
#   Interface wlan0
#             ^^^^^
#             use this name

Wähle die Schnittstelle auf der phy, die den AP-Modus unterstützt (iw phy → Supported interface modes: ... AP). Verwende weder Docker-Brücken (docker0, br-*) noch virtuelle Schnittstellen (veth*).

Beispiel

FAKE_SSID="Free_Public_WiFi"
CHANNEL="6"
INTERNET_IFACE="enp3s0"
AP_IFACE="wlan0"
GATEWAY_IP="10.0.0.1"

Ausführen

sudo ./fake_ap.sh

Das Skript:

1. Erstellt die AP-Schnittstelle (z. B. wlan0) im Managed-Modus auf der WLAN-phy.
2. Startet hostapd mit einer offenen SSID auf dem gewählten Kanal.
3. Startet dnsmasq (DHCP + DNS-Forwarder an 1.1.1.1 / 8.8.8.8).
4. Aktiviert IP-Forwarding und MASQUERADE in Richtung Uplink.
5. Zeigt verbundene Clients in Echtzeit an (MAC + IP + Hostname aus dem Lease).
6. Strg+C führt die vollständige Bereinigung durch (iptables-Regeln, Schnittstelle, NM, ip_forward).

Live-Überwachung

sudo journalctl -t dnsmasq -f          # DHCP leases + every client DNS query
sudo wireshark -i wlan0                # capture client L3 traffic (use your AP_IFACE)
sudo iw dev wlan0 station dump         # client L2 state (RSSI, rate, traffic)
cat /var/lib/misc/dnsmasq.leases       # active leases

Wireshark — Enumerationsfilter

Öffne Wireshark auf deiner AP-Schnittstelle (z. B. wlan0) und wende den Anzeigefilter an, den du benötigst.

Gerät identifizieren

Wo das Gerät surft (einschließlich HTTPS)

Sitzungen und neue Verbindungen

Anmeldedaten / Formulare (bei HTTPS selten, trotzdem einen Blick wert)

Nützliche Kombinationen

# one client's encrypted traffic + contacted domains
ip.src == 10.0.0.42 && (dns || tls.handshake.type == 1)

# passive phone model discovery
ip.src == 10.0.0.42 && (dhcp || mdns || ssdp || nbns)

# traffic to a specific domain (e.g. social)
tls.handshake.extensions_server_name contains "instagram"

# exclude broadcast/multicast noise
not (eth.dst == ff:ff:ff:ff:ff:ff) && not (ip.dst >= 224.0.0.0 && ip.dst <= 239.255.255.255)

Tipps

• Um schnell nur das SNI zu extrahieren, das ein Client besucht hat:
  root@kitploit:~

  sudo tshark -i wlan0 -Y 'tls.handshake.type==1 && ip.src==10.0.0.42' \
    -T fields -e tls.handshake.extensions_server_name
  

• Für kontinuierliche Pcap-Mitschnitte zur Offline-Analyse:
  root@kitploit:~

  sudo tcpdump -i wlan0 -w /tmp/capture.pcap
  

• DNS-Abfragen sind auch ohne Wireshark in journalctl -t dnsmasq -f sichtbar.

Lizenz

MIT — siehe LICENSE.

Rechtlicher Hinweis

Verwende das Tool nur in Netzwerken und auf Geräten, die dir gehören oder für die du eine schriftliche Genehmigung zum Testen hast. Das Abfangen fremden Datenverkehrs ist illegal.