Guida Evil Twin: Rete in parallelo con Airgeddon

0xGhost

Utente Gold
22 Febbraio 2022
344
34
243
253
Ultima modifica:
In questo articolo vedremo l' attacco "Evil Twin", che consiste nell' imitare in tutto e per tutto un AP esistente, si differenzia dal "Rogue AP" proprio per questo fatto.
  • Evil Twin: imitare una rete esistente, per questo gemello cattivo
  • Rogue AP: creare una rete dal nome che possa attirare persone, come "coffee-bar-free-wifi
Useremo il tool "Airgeddon" che semplifica il tutto, per fare questo tipo di attacco, in particolare l'attacco Evil Twin and captive portals;
Quest'ultimo userà questi tool:

  • airodump-ng
  • mdk4/aireplay
  • hostapd
  • DHCPD
  • DNSMasq
  • DSniff
  • lightTPD
1. L'attacco in pratica
L'Hacker crea una rete uguale ad un'altra, stesso ssid ecc ecc solo che appena qualcuno prova a connettersi si aprirà un captive portals dove sarà richiesta la password del Wi-Fi per accedere a Internet.
In questo modo, appena viene digitata e inviata la password viene restituita all'attacante.
Occorrenti:

  • Kali Linux
  • Adattatore Wi-Fi che supporta la Mode Monitor e la packet injection e scheda di rete del PC o un altro adattatore, una dossera l'AP e l'altra creerà il fake AP
  • Airgeddon e tool aggiuntivi
Per installarlo basta fare nella shell:
Bash:
sudo apt update && sudo apt install airgeddon -y
Se viene restituito un messaggio d'errore come questo Unable to locate package airgeddon Scriviamo:
Bash:
git clone https://github.com/v1s1t0r1sh3r3/airgeddon.git
cd airgeddon
./airgeddon.sh


2. Scegliere l'attacco
Dopo aver avviato il tool si presenta un menù, premiamo 7 per andare nella sezione degli attacchi Evil Twin,
Da qui scegliamo l'opzione 9, "Evil Twin AP con captive portal"

airgeddon.png
evilttwin-menu.png

3. Scansione Wi-Fi in cerca di obbiettivi
Airgeddon inizierà una scansione con Airodump-ng in cerca di obiettivi, da questa scansione scegliamo quella da imitare, Premiamo CTRL-C per fermarla, essa verrà riportata sulla shell principale

selct-wcitim.png
Ogni rete è numerata, le reti con "*" sono quelle con client connessi. scegliamo la 25 (nel mio caso).

4. Denial of Service sulla rete
Scelta la rete dobbiamo catturare l'handshake (nel caso l'avessimo già catturato inseriamo il percorso del file), Possiamo o aspettare che qualcuno si colleghi alla rete per far ripetere il 4-way handshake o eseguire un Denial Of Service, Airgeddon ci offre 2 possibili tool da utilizzare:
  • Aireplay-ng
  • Amok mdk4
Noi usiamo Aireplay-ng, quindi digitiamo 1 e partirà l'attacci di DoS e quella di Airodump-ng dove intercetterà l'handshake.
Se l'handshake viene catturato le due shell si chiudono e viene mostrato a schermo il messaggio che la stretta di mano è stata catturata,
Il fileviene salvato nel percorso /root/handshake di default, volendo lo possiamo modificare.


5. Configurazione captive portals
Arrivati a questo punto iniziamo la configurazione del captive portal, scegliamo la lingua e iniziamo l'attacco Evil Twin, sopra sono riportate tutte le azioni fatte in precedenza
ricapitolando:

  • ESSID: Wind3 HUB-7C435E
  • Canale: 5
  • Metodo deauth scelto: Aireplay-ng
  • Handshake path: /root/handshake-B8: D5:26:7C:43:53.cap
Per la voce premiamo 8, italiano:
italiano-captive.png
Appena premiamo invio l'attacco ha inizio:
capure password.png
Quando la password viene digitata e inviata dal captive portal sarà salvata nel file specificato prima e tutte i terminali si chiuderanno.
Come si può vedere la password è stata correttamente salvata nel file /root/evil_twin_captive_portal_password-Wind3 HUB-7C435E.txt:

pass-file.png
msg777000-5290(1).jpg

./ghost
 

Psychonaut

Utente Jade
17 Giugno 2012
1,362
85
615
744
Ultima modifica:
Provato varie volte sul mio router, c'è un problema che fà sgamare subito l'attacco, ovvero la pagina che viene restituita alla vittima per fargli fare il fake login, se ad esempio il mio ISP è tim e mi trovo una pagina d'accesso generica capisci bene che è facile presumere che qualcosa non vada, inoltre facendo dei test con android visualizzavo la pagina, con un iphone no(premetto che era un iphone 4).

Ora non so se con airgeddon si può scegliere la pagina da inviare per l'accesso(ad esempio creo una pagina di fake login simile a quella di TIM e la invio al target, invece di una standart e generica), personalmente io per i miei test avevo usato Fluxion , che da appunto la possibilità di reindirizzare la vittima su una pagina web caricata dall'attaccante.

Inoltre ci vogliono due schede di rete, una che crea il fake AP(quella che mensionavi all'inizio) ed un'altra che dossa l'AP della vittima in modo da renderlo irragiungibile.

:)


curiosità, perché installi due volte lo stesso tools?

sudo apt install airgeddon && airgeddon -----> in questo caso stai dicendo ad apt "installa airgeddon e dopo installa airgeddon"(&& equivale all AND logico, quindi esegui il secondo comando solo se il primo va a buon fine, mi sembra più corretto il seguente comando :

sudo apt install airgeddon -y.

L' AND logico potresti usarlo per concatenare un update prima dell'installazione del tool :

sudo apt update && sudo apt install airgeddon -y
 
  • Grazie
Reazioni: 0xGhost

0xGhost

Utente Gold
22 Febbraio 2022
344
34
243
253
Ultima modifica:
Provato varie volte sul mio router, c'è un problema che fà sgamare subito l'attacco, ovvero la pagina che viene restituita alla vittima per fargli fare il fake login, se ad esempio il mio ISP è tim e mi trovo una pagina d'accesso generica capisci bene che è facile presumere che qualcosa non vada, inoltre facendo dei test con android visualizzavo la pagina, con un iphone no(premetto che era un iphone 4).

Ora non so se con airgeddon si può scegliere la pagina da inviare per l'accesso(ad esempio creo una pagina di fake login simile a quella di TIM e la invio al target, invece di una standart e generica), personalmente io per i miei test avevo usato Fluxion , che da appunto la possibilità di reindirizzare la vittima su una pagina web caricata dall'attaccante.

Inoltre ci vogliono due schede di rete, una che crea il fake AP(quella che mensionavi all'inizio) ed un'altra che dossa l'AP della vittima in modo da renderlo irragiungibile.

:)


curiosità, perché installi due volte lo stesso tools?

sudo apt install airgeddon && airgeddon -----> in questo caso stai dicendo ad apt "installa airgeddon e dopo installa airgeddon"(&& equivale all AND logico, quindi esegui il secondo comando solo se il primo va a buon fine, mi sembra più corretto il seguente comando :

sudo apt install airgeddon -y.

L' AND logico potresti usarlo per concatenare un update prima dell'installazione del tool :

sudo apt update && sudo apt install airgeddon -y
L'ho modificata ieri alla volece, semmai oggi la modifico con i tuoi consigli, grazie
In effetti ho provato anch'io da iPhone(SE) e la pagina veniva caricata un botto dopo, su Android subito, oggi provo anche com fluxion e ti dico.
Messaggio unito automaticamente:

Inoltre ci vogliono due schede di rete, una che crea il fake AP(quella che mensionavi all'inizio) ed un'altra che dossa l'AP della vittima in modo da renderlo irragiungibile.
Sisi, io ho usato l'atheros e la scheda di rete del mio pc
 

Sanderson80

Utente Bronze
6 Gennaio 2014
10
2
0
45
La voce Evil Twin AP con captive portal risulta essere colorata di rosso e quando la seleziono restituisce l'errore Locked menu option was chosen.
Qualcuno ha idea del motivo?
Vi ringrazio
 

0xGhost

Utente Gold
22 Febbraio 2022
344
34
243
253
La voce Evil Twin AP con captive portal risulta essere colorata di rosso e quando la seleziono restituisce l'errore Locked menu option was chosen.
Qualcuno ha idea del motivo?
Vi ringrazio
Vuol dire che ti mancano dei tool, quindi di conseguenza non puoi fare quel attacco, ho fatto la lista dei tool che servono a inizio discussione.