가짜 액세스 포인트

통제된 환경에서 트래픽 캡처를 위한 무단 개방 Wi-Fi AP입니다. hostapd (네이티브 nl80211 AP 모드) + dnsmasq (DHCP/DNS) + iptables NAT을 업링크 인터페이스로 사용합니다.

요구 사항

• Linux, root.
• AP 모드를 지원하는 무선 카드 (iw phy → Supported interface modes: ... AP).
• 패키지: hostapd, dnsmasq, iw, iptables, rfkill, wireshark.

설정

fake_ap.sh 상단의 변수를 편집하세요.

INTERNET_IFACE — 인터넷이 있는 업링크

기본 경로가 이미 있는 인터페이스입니다 (이더넷, USB 어댑터, Wi‑Fi 클라이언트 등). 이름은 시스템에 따라 다릅니다 (eth0, enp3s0, wlp3s0, …).

ip route | grep default
# default via 192.168.1.1 dev enp3s0 ...
#                            ^^^^^^
#                            use this name

INTERNET_IFACE를 dev 뒤에 나오는 인터페이스로 설정하세요.

AP_IFACE — 가짜 AP용 무선 카드

iw dev에서 물리적 Wi‑Fi 인터페이스를 사용하세요. 보통 wlan0이지만 wlp2s0 등일 수 있습니다.

iw dev
# phy#0
#   Interface wlan0
#             ^^^^^
#             use this name

AP 모드를 지원하는 phy의 인터페이스를 선택하세요 (iw phy → Supported interface modes: ... AP). Docker 브리지 (docker0, br-*)나 가상 인터페이스 (veth*)는 사용하지 마세요.

예제

FAKE_SSID="Free_Public_WiFi"
CHANNEL="6"
INTERNET_IFACE="enp3s0"
AP_IFACE="wlan0"
GATEWAY_IP="10.0.0.1"

실행

sudo ./fake_ap.sh

스크립트는 다음을 수행합니다:

1. 무선 phy에서 관리 모드로 AP 인터페이스 (예: wlan0)를 생성합니다.
2. 선택한 채널에서 개방형 SSID로 hostapd를 시작합니다.
3. dnsmasq (1.1.1.1 / 8.8.8.8로의 DHCP + DNS 포워더)를 시작합니다.
4. IP 포워딩 및 업링크로의 MASQUERADE를 활성화합니다.
5. 연결된 클라이언트를 실시간으로 출력합니다 (임대에서 MAC + IP + 호스트명).
6. Ctrl+C는 완전한 정리를 실행합니다 (iptables 규칙, 인터페이스, NM, ip_forward).

실시간 모니터링

sudo journalctl -t dnsmasq -f          # DHCP leases + every client DNS query
sudo wireshark -i wlan0                # capture client L3 traffic (use your AP_IFACE)
sudo iw dev wlan0 station dump         # client L2 state (RSSI, rate, traffic)
cat /var/lib/misc/dnsmasq.leases       # active leases

Wireshark — 열거 필터

AP 인터페이스 (예: wlan0)에서 Wireshark를 열고 원하는 디스플레이 필터를 적용하세요.

기기 식별

어디를 탐색하는지 (HTTPS 포함)

세션 및 새 연결

자격 증명 / 양식 (HTTPS에서는 드물지만 확인할 가치 있음)

유용한 조합

# one client's encrypted traffic + contacted domains
ip.src == 10.0.0.42 && (dns || tls.handshake.type == 1)

# passive phone model discovery
ip.src == 10.0.0.42 && (dhcp || mdns || ssdp || nbns)

# traffic to a specific domain (e.g. social)
tls.handshake.extensions_server_name contains "instagram"

# exclude broadcast/multicast noise
not (eth.dst == ff:ff:ff:ff:ff:ff) && not (ip.dst >= 224.0.0.0 && ip.dst <= 239.255.255.255)

팁

• 클라이언트가 방문한 SNI만 빠르게 추출하려면:
  root@kitploit:~

  sudo tshark -i wlan0 -Y 'tls.handshake.type==1 && ip.src==10.0.0.42' \
    -T fields -e tls.handshake.extensions_server_name
  

• 오프라인 분석을 위한 연속 pcap 덤프:
  root@kitploit:~

  sudo tcpdump -i wlan0 -w /tmp/capture.pcap
  

• DNS 쿼리는 Wireshark 없이도 journalctl -t dnsmasq -f에서 볼 수 있습니다.

라이선스

MIT — LICENSE 참조.

법적 고지

소유하거나 테스트에 대한 서면 승인을 받은 네트워크 및 기기에서만 사용하세요. 타인의 트래픽을 가로채는 것은 불법입니다.