Mensajes

Me extraña bastante que no te vaya, porque justamente mi problema es al revés... la tarjeta de red del ordenador no me va bien y uso un Alfa como tarjeta de red externa, me va de maravilla.

No sé a qué se puede suceder la verdad, estaré pendiente.

[hydra -l root -p 557 attack.samsclass.info http-get-form "/brute4.php:login=^USER^&pin=^PASS^:Denied" -V]

Simplemente comienza con el ataque, no salta ningún tipo de mensaje de error ni nada por el estilo. Lo único que hace es recorrer los diccionarios y las toma todas como inválidas... cuando justamente accediendo de manera manual sí que puedes usando una de esas credenciales que tomó como fallidas.

De hecho aún así sin hacer uso de diccionarios, sino directamente introduciendo la contraseña correcta:

hydra -l root -p 557 attack.samsclass.info http-get-form "/brute4.php:login=^USER^&pin=^PASS^:Denied" -V

También la toma como incorrecta... así que algo sucede.Descubrí el fallo aún así hace unos días. Si en vez de http-get-form uso https-get-form por tratarse de una página https... la contraseña la encuentra y las credenciales se obtienen como debe ser. Pero hay páginas que son http y otras https que aún así aplicando ese cambio tampoco la encuentra aunque sea la correcta.

Aún así adjuntando Cookies u otras cosas también las sigue tomando como erróneas, y según la página de attack.samsclass.info que es donde estoy aplicando la fuerza bruta (es una página para que pruebes a hacer fuerza bruta con tus programas), te dice que debe hacerse por http.

· No hagas doble post
>aquí las reglas del foro
-Engel Lex

[Destruction Mode]

Ese tipo de ataques pueden hacerse estando incluso fuera de la red local, tampoco hace falta estar dentro de la red para realizar travesuras. Basta con que tengas la MAC del router y estés en modo monitor que puedes realizar algunos ataques al router como el de de-autenticación global (FF:FF:FF:FF:FF:FF) para todas las MAC's de clientes conectados con aireplay-ng donde echas a todos los usuarios de la red, también se pueden realizar falsas autenticaciones como el Destruction Mode que ofrece Ap-Fucker para autenticar mil usuarios dentro de la red y saturar así la conexión, hacerte un ataque Michael Shutdown Exploitation, un Beacon Flood, etc. Todos y cada uno de ellos harían que la conexión te fuera sumamente lenta.

Pero si dices que se está colando porque eres consciente de que hay una ip intrusa... como no esté usando Linset o Wifimosys para hacer la típica de WifiPhisher y estéis cayendo continuamente en su anzuelo, no te podría decir con exactitud qué anda haciendo.

[WPSPinGenerator]

Como si tienes un password de 40 caracteres... con Wifislax por ejemplo si quieres ir a lo rápido y cutre, tienes la herramienta WPSPinGenerator. Si aunque cambies tu contraseña siguen entrando, es porque además de tener WPS activado tienes un PIN genérico. Los pines genéricos que recolecta el programa suelen variar de 1 a 5 dependiendo del router con el que esté tratando... y la contraseña se obtiene en cuestión de segundos, pues tan sólo necesita un par de segundos para averiguarla.

Prueba desactivando el WPS y si se te siguen metiendo se van buscando otras alternativas.

También... si es que la única ingeniería aplicable en estos temas es la verbal.

[BackDoor]

Podrías crear un BackDoor para móviles escondido en una aplicación .apk... el problema es que tendrás que abrir un puerto en el router (no sé si entenderás de esto), y en dicho puerto debe de estar tu ip privada.

De esta forma, ganarás acceso a su dispositivo aunque éste esté fuera de la red local. Se pueden presentar problemas... pues la IP del router cambia ya que ésta es dinámica, aunque puedes fijarla para que no cambie. En ocasiones también el DHCP del router te puede asignar otra ip privada de identificación en la red, por lo que en ambos casos perderías la sesión meterpreter, que es la que gestiona la intrusión remota por decirlo de alguna forma.

Obviamente esto en cierto modo es hacking físico, pues tendrías que coger su móvil e instalar el programa subiéndolo por ejemplo en una página como get.tt, dado que no creo que lo descargue por su cuenta... lo cual no es éticamente correcto. El programa lo podrías esconder usando desde terminal con la sesión meterpreter ganada el comando hide_app_icon, de forma que ya no queda visible desde las aplicaciones del teléfono en el menú principal.

Si haces persistencia, podrías configurar para que cada 5 segundos por ejemplo ganes acceso a su móvil infectado, así en caso de que pierdas la sesión en algún momento o decidas cerrarla voluntariamente, cuando vuelvas a configurar tu sesión meterpreter volverás a ganar acceso de inmediato al dispositivo en caso de que esté conectado a una red wifi.

Ahora bien... puedes hacer varias cosas, entre ellas visualizar las cámaras del dispositivo, ver los sms's, el registro de llamadas y la duración de las mismas, descargar las conversaciones de whatsapp encriptadas y luego buscarte la vida para desencriptarlas, ver los procesos que tiene abiertos, ver las fotos que ha enviado y recibido en whatsapp, visualizar las imágenes que tiene en el dispositivo, descargas que ha realizado, etc.

Pero lo que realmente quieres hacer tú, que es ver lo que está haciendo a tiempo real... te costará lo tuyo, pues si lo que quieres es visualizar la pantalla a tiempo real... el móvil debe de estar rooteado, y eso te requiere más tiempo con el móvil, más cuando no sabes cómo hacerlo y eres principiante. Incluso los hay que son imposibles hacerlos root. Incluso la persistencia... no la puedes aplicar en caso de que no esté rooteado el móvil, así que lo único que conseguirías desde que instales la aplicación y abrirla sería ganar acceso a su móvil durante un momento, hasta que quite la red wifi, se vaya y deje de tener conexión, o algún problema surja en la aplicación troyanizada.

La página whatstheirip.com se encarga de hacer todo por ti. Luego usa bit.ly para ocultar el enlace real.

[envenenamiento ARP]

Se puede utilizando un envenenamiento ARP. Si estás dentro de la red local... a través de la herramienta Ettercap puedes realizar una simple configuración MITM (Main In The Middle) que te permite ponerte en medio de la conexión entre el cliente y el router para interceptar cierta información de por medio esnifando la conexión remota de la ip privada dentro del área local que hayas fijado.

Para ello primero tienes que realizar ciertas configuraciones en el fichero /etc/ettercap/etter.conf, configurar el iptables de la siguiente manera aparte:

iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 8080

y también mandar un 1 en /proc/sys/net/ipv4/ip_forward, puedes hacerlo redireccionando un echo.

Cuando tienes todas estas cosas configuradas, puedes configurar el sslstrip por el puerto 8080 donde aplicaste dicha redirección de la siguiente forma:

sslstrip -l 8080

Ahora que ya lo tienes corriendo, una forma de ver qué páginas está visitando es la siguiente:

urlsnarf -i <tarjeta_de_red> | cut -d\" -f4


El filtro es cortesía mía. Cabe decir que los enlaces listados no son https de conexión segura, el 75% de Internet ya se podría decir que es seguro y usa el protocolo https. Pero aún así se podrían esnifar algunas URL's no seguras de las páginas que el usuario visita a tiempo real, así como las imágenes del entorno que visita con driftnet. También se podrían capturar credenciales con Yamas, o ya que usamos Ettercap se podría aplicar un DNS spoofing para el mismo fin utilizando el engaño hacia el usuario, o Wireshark para posteriormente después de un tiempo esnifando buscar ciertos filtros directamente como el famoso http.request.method == "POST" donde se ven las credenciales de inicios de sesión en ciertas páginas no seguras.

En fin, el espionaje no es muy complejo... yo mismo lo he hecho, pero no tienes por qué preocuparte... pues en caso de navegar tranquilamente el navegador mismo te avisa de que tal vez piratas informáticos estén tratando de obtener información de ti mientras navegas, y te bloquea la navegación en ciertos momentos (depende de las páginas que visites).

[lsof]

¡¡Gracias por la sugerencia!!, de hecho el lsof suelo emplearlo para ver si hay algún intruso en mi equipo conectado vía ssh

lsof -i | grep ssh

En caso de que vea alguna conexión establecida mato el proceso con el PID asociado con un programa simple que hice el cual se ejecuta en segundo plano desde el arranque del sistema (el aburrimiento), aunque también es cierto que no siempre aparece la conexión. En tal caso un ps -faux | grep ssh y nos vamos a dormir.

¡Se me olvidó mencionar lo de la instalación!, es verdad... hace falta instalarlo.

[nmap localhost]

Sí, en cualquier distribución Linux puedes usar este comando:

nmap localhost

Y te listará los puertos abiertos del equipo. Si quieres ver los puertos abiertos en tu router puedes aplicar el comando 'route -n' para ver la puerta de enlace de tu router. Suponiendo que fuera 192.168.1.1 pues deberías de hacer:

nmap -sP 192.168.1.1