Punto de acceso falso

Punto de acceso Wi‑Fi abierto no autorizado para captura de tráfico en entornos controlados. Usa hostapd (modo AP nativo nl80211) + dnsmasq (DHCP/DNS) + iptables NAT hacia una interfaz de enlace ascendente.

Requisitos

• Linux, root.
• Tarjeta inalámbrica con soporte de modo AP (iw phy → Supported interface modes: ... AP).
• Paquetes: hostapd, dnsmasq, iw, iptables, rfkill, wireshark.

Configuración

Edita las variables al principio de fake_ap.sh.

INTERNET_IFACE — enlace ascendente con internet

Esta es la interfaz que ya tiene una ruta por defecto (Ethernet, adaptador USB, cliente Wi‑Fi, etc.). Los nombres varían según la máquina (eth0, enp3s0, wlp3s0, …).

ip route | grep default
# default via 192.168.1.1 dev enp3s0 ...
#                            ^^^^^^
#                            use this name

Establece INTERNET_IFACE a la interfaz después de dev.

AP_IFACE — tarjeta inalámbrica para el AP falso

Usa la interfaz Wi‑Fi física de iw dev. A menudo es wlan0, pero puede ser wlp2s0 o similar.

iw dev
# phy#0
#   Interface wlan0
#             ^^^^^
#             use this name

Elige la interfaz en el phy que soporte el modo AP (iw phy → Supported interface modes: ... AP). No uses puentes Docker (docker0, br-*) ni interfaces virtuales (veth*).

Ejemplo

FAKE_SSID="Free_Public_WiFi"
CHANNEL="6"
INTERNET_IFACE="enp3s0"
AP_IFACE="wlan0"
GATEWAY_IP="10.0.0.1"

Ejecutar

sudo ./fake_ap.sh

El script:

1. Crea la interfaz AP (p. ej. wlan0) en modo gestionado en el phy inalámbrico.
2. Inicia hostapd con un SSID abierto en el canal elegido.
3. Inicia dnsmasq (DHCP + reenviador DNS a 1.1.1.1 / 8.8.8.8).
4. Habilita el reenvío de IP y MASQUERADE hacia el enlace ascendente.
5. Muestra en tiempo real los clientes conectados (MAC + IP + hostname de la concesión).
6. Ctrl+C ejecuta una limpieza completa (reglas de iptables, interfaz, NM, ip_forward).

Monitorización en vivo

sudo journalctl -t dnsmasq -f          # concesiones DHCP + cada consulta DNS del cliente
sudo wireshark -i wlan0                # captura el tráfico L3 del cliente (usa tu AP_IFACE)
sudo iw dev wlan0 station dump         # estado L2 del cliente (RSSI, tasa, tráfico)
cat /var/lib/misc/dnsmasq.leases       # concesiones activas

Wireshark — filtros de enumeración

Abre Wireshark en tu interfaz AP (p. ej. wlan0) y aplica el filtro de visualización que necesites.

Identificar el dispositivo

Dónde está navegando (incluido HTTPS)

Sesiones y nuevas conexiones

Credenciales / formularios (raro con HTTPS, aún así vale la pena revisarlo)

Combinaciones útiles

# tráfico cifrado de un cliente + dominios contactados
ip.src == 10.0.0.42 && (dns || tls.handshake.type == 1)

# descubrimiento pasivo del modelo de teléfono
ip.src == 10.0.0.42 && (dhcp || mdns || ssdp || nbns)

# tráfico hacia un dominio específico (p. ej. redes sociales)
tls.handshake.extensions_server_name contains "instagram"

# excluir ruido de broadcast/multicast
not (eth.dst == ff:ff:ff:ff:ff:ff) && not (ip.dst >= 224.0.0.0 && ip.dst <= 239.255.255.255)

Consejos

• Para extraer rápidamente solo el SNI visitado por un cliente:
  root@kitploit:~

  sudo tshark -i wlan0 -Y 'tls.handshake.type==1 && ip.src==10.0.0.42' \
    -T fields -e tls.handshake.extensions_server_name
  

• Para volcados pcap continuos y analizarlos sin conexión:
  root@kitploit:~

  sudo tcpdump -i wlan0 -w /tmp/capture.pcap
  

• Las consultas DNS también son visibles en journalctl -t dnsmasq -f sin Wireshark.

Licencia

MIT — consulta LICENSE.

Aviso legal

Úsalo solo en redes y dispositivos que sean tuyos o sobre los que tengas autorización por escrito para realizar pruebas. Interceptar el tráfico de otros es ilegal.