Fake AP + brctl = MITM (te lo "XPLICO"?) - PARTE II

Hola de nuevo. En la entrada anterior  creamos un punto de acceso Wi-Fi falso y recibimos a nuestra víctima. En esta entrada veremos como capturar los datos e interpretarlos. En esta tarea nos ayudará XPLICO, una herramienta de Análisis Forense muy poderosa (y Open Source!). Xplico nos permite analizar los datos que carguemos de una captura o bien realizar la captura y análisis en vivo. La interfaz está implementada vía web, por lo tanto debemos tener corriendo algún servidor. En mi caso, estoy utilizando Kali, el cual ya viene con Apache instalado y listo para usar.

Para los amigos de Windows, tengo una mala noticia, no hay Xplico. Solo podemos correrlo en Linux.

Lo pueden descargar desde aquí

Para instalarlo realizamos los pasos detallados aquí

También les dejo el enlace a un video que muestra como instalar Xplico en Kali

Una vez que lo tenemos instalado, debemos correr Apache para poder ingresar a la interfaz web de la herramienta.

Xplico corre en el puerto 9876, por lo tanto abrimos nuestro navegador y nos conectamos a localhost:9876

Veremos que Xplico no está corriendo, pero en la pantalla de bienvenida nos da las instrucciones para iniciarlo:

Entonces si su pantalla principal nos dice eso, hagamos caso:

Una vez que lo iniciamos, actualizamos el navegador. Nos pedirá usuario y contraseña. El user es xplico y el pass también. (Recuerden cambiarlo jeje). Una vez hecho esto, ya podemos comenzar a trabajar!

Primero debemos crear un caso, entonces nos dirigimos a New Case

Nos dará la opción de cargar un archivo .pcap o  de realizar una captura en vivo:

En este caso mostraré la opción de captura en vivo (live acquisition), dado que queremos ver todo lo que está haciendo nuestra pobre víctima. Luego debemos crear una sesión, esto lo hacemos en New Session. Una vez creada la sesión debemos seleccionar la interfaz, en este caso será el bridge "mitm" que creamos anteriormente y damos start.

Mientras nuestra víctima navega irá apareciendo toda la información, ordenada para realizar una lectura más rápida de los datos. Podremos ver enlaces de los sitios que visita, emails, chats y las imágenes que está viendo:

Como pueden ver esta es una herramienta muy potente. Aquí les dejo un video que subí mostrando los pasos que detalle en esta entrada:

Cabe aclarar que si queremos capturar el tráfico cifrado por https debemos realizar alguna maniobra extra como el uso de sslstrip por ejemplo. Lo bueno de esto es que al manejar nosotros el access point y el bridge podemos realizar cualquier tipo de acción sobre la víctima. Una opción podría ser utilizar burp suite y capturar y modificar las peticiones que el usuario realiza.

Eso es todo por ahora, espero que sea de utilidad. Solo me queda dejarles los scripts para crear el fake access point y  el bridge automáticamente. Son un par de lineas nada más, pero nos ahorra tipear todos los pasos vistos en la entrada anterior cada vez que queremos crear el Rogue AP:

1 - Script para crear el Fake AP

#! /bin/bash

echo 'nombre de Fake Ap?'
read var1
airmon-ng start wlan1  #Cambiar wlan1 por la interfaz de nuestro adaptador wifi USB
airbase-ng --essid $var1 mon0

2 - Script para crear el Bridge

#! /bin/bash

brctl addbr mitm
brctl addif mitm at0
brctl addif mitm eth0
ifconfig at0 up
ifconfig mitm up
dhclient mitm


Saludos y...

HAPPY HACKING!