25-08-2015, 23:49
Jeg havde lige denne her guide liggende omkring et simpelt Evil Twin angreb.
Hvad er et Evil Twin angreb?
Evil Twin (Ond tvilling) er et Wi-Fi Access point som ser ud til at være et legitimt Access Point, men faktisk er oprettet for at aflytte trådløs kommunikation. Denne form for angreb minder meget om phishing, bare på trådløs version. Fordi her vil angriberen udgive sig for at være en legitim udbyder og dermed narre de trådløse brugere til at forbinde sig til angriberens bærbar, smartphone eller andet.
Hvordan udføres et Evil Twin angreb?
Der er flere måder på at gøre det både mht. kreativitet og raffinement.
Fyr op for airmon-ng værktøjet og start med at sniffe trafikken rundt omkring dig i luften. Sørg for at have et netkort der kan indstilles til monitor mode via airmon-ng.
For at sniffe rundt omkring dig bruger du kommandoen:
- airodump-ng mon0
Herfra vil du se Access Points rundt omkring dig. Du vælger hermed den valgte Access Point, du ønsker at klone dig med. Dette kan du gøre ved at opsætte et falsk Access Point via airbase-ng:
- airbase-ng -a --essid "Her skriver du SSID’en af den valgte Access Point" -c (her vælger du den specifikke kanal access pointen opererer under) mon0
Nu har vi opsat en falsk Access Point, der skulle forestille sig at være en smule identisk med offerets Access Point.
Det vi ønsker er, at på en eller anden måde tvinge offerets maskine til at bryde sin forbindelse og dermed få maskinen til at forbinde sig til vores falske Access Point, i stedet for den rigtige. Det kan så gøres med forskellige teknikker. En af dem er, at vi aktivt bryder forbindelsen mellem den legitimerede klient (som er vores offer) og den legitimerede Access Point via deauthentications pakker vha. aireplay-ng:
- aireplay-ng –deauth 0 –a (“BSSID’en af den valgte Access Point”)
Her kommer så det afgørende og vigtige led: Hvis vores falske Access Points signal er stærkere, vil offerets maskine automatisk genoprette forbindelse til vores falske AP.
Når forbindelsen er etableret, har du en masse muligheder. Man-In-The-Middle attacks, SSL Man-in-the-middle attacks, Social Engineering Toolkit, Metasploit, Nmap osv.
Svaghed ved denne angrebsform?
Vi skal sørge for, at vores falske AP er tættere eller stærkere end den oprindelige AP. Dette kunne være en kritisk svaghed, når fysisk adgang ikke er tilgængelig. I coffeeshops, lufthavne og andre offentlige steder som bruger open authentication er det ikke det store problem. Men har vi ikke fysisk adgang har offerets oprindelige AP højst sandsynligt et tættere og stærkere signal end vores falske kan tilbyde. Evt. kunne man tune op for styrken af sit netkort. :)
Hvad er et Evil Twin angreb?
Evil Twin (Ond tvilling) er et Wi-Fi Access point som ser ud til at være et legitimt Access Point, men faktisk er oprettet for at aflytte trådløs kommunikation. Denne form for angreb minder meget om phishing, bare på trådløs version. Fordi her vil angriberen udgive sig for at være en legitim udbyder og dermed narre de trådløse brugere til at forbinde sig til angriberens bærbar, smartphone eller andet.
Hvordan udføres et Evil Twin angreb?
Der er flere måder på at gøre det både mht. kreativitet og raffinement.
Fyr op for airmon-ng værktøjet og start med at sniffe trafikken rundt omkring dig i luften. Sørg for at have et netkort der kan indstilles til monitor mode via airmon-ng.
For at sniffe rundt omkring dig bruger du kommandoen:
- airodump-ng mon0
Herfra vil du se Access Points rundt omkring dig. Du vælger hermed den valgte Access Point, du ønsker at klone dig med. Dette kan du gøre ved at opsætte et falsk Access Point via airbase-ng:
- airbase-ng -a --essid "Her skriver du SSID’en af den valgte Access Point" -c (her vælger du den specifikke kanal access pointen opererer under) mon0
Nu har vi opsat en falsk Access Point, der skulle forestille sig at være en smule identisk med offerets Access Point.
Det vi ønsker er, at på en eller anden måde tvinge offerets maskine til at bryde sin forbindelse og dermed få maskinen til at forbinde sig til vores falske Access Point, i stedet for den rigtige. Det kan så gøres med forskellige teknikker. En af dem er, at vi aktivt bryder forbindelsen mellem den legitimerede klient (som er vores offer) og den legitimerede Access Point via deauthentications pakker vha. aireplay-ng:
- aireplay-ng –deauth 0 –a (“BSSID’en af den valgte Access Point”)
Her kommer så det afgørende og vigtige led: Hvis vores falske Access Points signal er stærkere, vil offerets maskine automatisk genoprette forbindelse til vores falske AP.
Når forbindelsen er etableret, har du en masse muligheder. Man-In-The-Middle attacks, SSL Man-in-the-middle attacks, Social Engineering Toolkit, Metasploit, Nmap osv.
Svaghed ved denne angrebsform?
Vi skal sørge for, at vores falske AP er tættere eller stærkere end den oprindelige AP. Dette kunne være en kritisk svaghed, når fysisk adgang ikke er tilgængelig. I coffeeshops, lufthavne og andre offentlige steder som bruger open authentication er det ikke det store problem. Men har vi ikke fysisk adgang har offerets oprindelige AP højst sandsynligt et tættere og stærkere signal end vores falske kan tilbyde. Evt. kunne man tune op for styrken af sit netkort. :)