Hacking Bluetooth (Spoofing)

SPOILER ALERT ¿Recordáis en la serie Mr. Robot, la escena en la que aprovecha el sistema Bluetooth de un vehículo policial, para "spoofearlo" y conseguir acceso al ordenador del agente?

Hoy vamos a aprender a utilizar esta técnica, para realizar ataques de spoofing a dispositivos Bluetooth. El proceso es bastante parecido al Spoofing Wi-Fi o el ataque del gemelo malvado, del que ya hemos hablado en este blog.

Aunque el Bluetooth hoy día no es TAN utilizado como la tecnología Wi-Fi, y suelen traer sistemas de seguridad (como hacer no visible al Bluetooth aún estando encendido esperando la interacción humana, por ejemplo), además de no tener tantas posibilidades como el Wi-Fi, sí que nos podría salvar en determinados momentos.

Para realizar esta prueba de concepto, utilizo una máquina Kali Linux virtualizada en VMWare, un teclado Bluetooth y un teléfono Android. Queremos hacer el ataque de spoofing al teclado Bluetooth, de forma que el teléfono Android se conecte a nuestro Kali Linux.

Comenzamos iniciando el servicio de Bluetooth, si vuestro PC o portátil no tiene Bluetooth debéis instalarle un dispositivo USB Bluetooth.

Además debemos subir la interfaz de Bluetooth (al igual que podemos manejar interfaces ethernet-ethx o Wi-Fi-wlanx), para ello utilizaremos la utilidad en Kali Linux "hciconfig" (uso similar a ifconfig o iwconfig).

Comprobamos que se haya subido correctamente (por motivos de seguridad no mostraré las direcciones MAC completas de los dispositivos, ya que se trata de elementos reales y propios).

A continuación usaremos la herramienta btscan para escanear dispositivos Bluetooth cercanos.

Hemos encontrado nuestro teclado víctima, el cual se encuentra conectado al teléfono Android, es el momento de comenzar el ataque... ¡SPOOFING! Simplemente debemos usar spooftooph y agregar los siguientes parámetros:

• -i (interfaz) = la interfaz Bluetooth que estamos utilizando
• -a (address) = la dirección MAC del teclado bluetooth VÍCTIMA
• -n (name) = el nombre del dispositivo víctima

Como podéis ver, en menos de 10 minutos (5 si tenemos práctica) podemos hacer un ataque de spoofing Bluetooth, y aun pareciendo el Bluetooth un sistema obsoleto o antiguo, aún dispositivos como ratones, teclados, manos libres de coches, móviles, etc usan esta tecnología, que además suele estar olvidada en cuanto a la seguridad... Un sistema con alto nivel de seguridad, podría ser altamente vulnerable gracias a un ratón o un teclado inalámbrico Bluetooth...

Hacking con buscadores. Episodio II. El Ataque de Inyecciones SQL.

Saludos hackers!!

Os traigo una nueva entrega de la saga de hacking con buscadores.

En esta PoC, agudizaremos nuestra dork en busca de paneles para que los administradores se logueen.

• inurl:validacion.asp ext:asp

 Esta dork nos permitirá encontrar paneles de acceso para webs asp.NET:

De acuerdo con mis compañer@s, por motivos de seguridad, voy a evitar poner ciertos paneles, ya que parte de esta PoC, es mostrar los logins, que puede que alguno con simples inyecciones SQL sea vulnerabilizado. Por ese motivo, pondré capturas aleatorias con el fin de evitar el reconocimiento de dichas webs.

En el panel de arriba, puede observarse que con esa simple inyección, es posible poder acceder a la web logueado.

Veremos un error arrojado por una web encontrado con la dork con la que se está trabajando:

Este tipo de error, es una mala configuración en este caso en SQL Server, y que el administrador debería corregir, ya que confirma las inyecciones en esa web.

• inurl:index.php intitle:Admin * login

 La dork utilizada ahora, nos mostrará páginas index.php en las que se encuentra el panel de acceso para el administrador:

Entraremos en un panel de administración:

 

Indicando esta inyección SQL, nos saldrá un mensaje de error, el error 403, dicho error se produce al entrar en alguna parte en la que no se tiene permiso.

Aunque os preguntaréis que tiene de bueno encontrarnos este error, diré que lo bueno que tiene es que este panel para empezar permite inyecciones SQL. Ya que sino nos arrojaría otro tipo de error, como este usuario o password es incorrecto, o lo lógico, decir que no se permiten el uso de caracteres.

Otro ejemplo:

Y vemos como hemos podido acceder al panel de control del administrador:

• inurl:index.php intext:welcome admin panel

Vamos a obtener paneles de acceso de administración en PHP, en los que se pueda ver en el texto "welcome admin panel" que esta dork nos proporciona:

Dentro de un panel de acceso, y tras introducir una inyección SQL, podremos ver el siguiente resultado:

Un error fatal, aunque no nos hemos logueado, puede ser aún mucho peor, porque nos está arrojando información sobre tablas, columnas...

Estas pruebas están realizadas con fines educativos, no me hago responsable de lo que personas ajenas realicen.

Aircrack-ng (III) - Cracking de algoritmo WEP y WPA

Buenos días hackers!! Hoy vamos a continuar nuestro recorrido por Aircrack-ng comenzando a realizar ataques más interesantes. En esta entrada podréis aprender a realizar ataques contra los sistemas de cifrado de las redes inalámbricas más utilizados: WEP y WPA-PSK.

Sin mas preámbulos, pongámonos a ello.

Cracking del algoritmo WEP mediante inyección de tráfico

WEP es un algoritmo de cifrado para redes inalámbricas ya desfasado y en proceso de desaparición debido a sus múltiples fallos de seguridad. Entre ellos, el más aprovechado es que mediante la captura de los llamados vectores de inicialización o IVs, que se utilizan en el cifrado de los mensajes, puede realizarse un ataque que nos permite averiguar la clave de dicho cifrado. 

Explicado a grandes rasgos, esta vulnerabilidad explota el hecho de que los vectores de inicialización, en principio utilizados para mejorar el cifrado de la red añadiendo una serie de 24bits a la clave de cifrado en cada paquete, se transmiten en texto plano dentro del propio paquete, y suelen incrementarse de forma lineal. Por tanto, y constando solamente de 24bits, es fácil capturar dos paquetes que estén cifrados con el mismo IV y la misma clave de cifrado en un tiempo aceptable. Ésto permite ejecutar un ataque estadístico capaz de desvelar la clave de cifrado de la red. 

Utilizaremos de nuevo la herramienta aireplay-ng para el ataque sobre una red que de nuevo hemos preparado anteriormente, con cifrado WEP. Como siempre, configuraremos nuestra tarjeta de red inalámbrica en modo monitor con airmon-ng como paso previo al ataque, y localizaremos a nuestra víctima mediante airodump-ng. 

Tras localizar a la víctima, utilizaremos de nuevo airodump-ng para escuchar la red, colocando la tarjeta en el mismo canal de la víctima para mayor precisión, y especificando que queremos que los resultados de la escucha se guarden en un archivo salida. 

airodump-ng -c 7 -w captura_wep --bssid 84:9C:A6:36:99:24 wlan0mon

Tenemos ya la parte de la escucha preparada. Debemos dejar el comando ejecutándose a lo largo de todo el ataque, ya sea en segundo plano o en otro terminal. 

El siguiente paso será lanzar la herramienta aireplay-ng para ejecutar un ataque tipo ARP Replay. Es la manera más sencilla y utilizada para generar tráfico dentro de una red inalámbrica. Lo que hace es básicamente es capturar cada petición ARP dentro de la red inalámbrica y retransmitirla de vuelta al punto de acceso origen; ante esto, el AP vuelve a transmitir el mismo paquete con un vector de inicialización diferente. Repitiendo esta operación de forma constante, conseguimos registrar una enorme cantidad de IVs en un tiempo mucho menor que si simplemente quedásemos a la escucha. 

aireplay-ng -3 -b 84:9C:A6:36:99:24 wlan0mon

Salida del comando en aireplay-ng 

Escucha mediante airodump-ng durante el ataque

El objetivo es capturar cuantos más paquetes mejor, indicados en airodump-ng en el campo #Data. 

En otra terminal, deberemos ahora asociar nuestra MAC al punto de acceso víctima mediante el ataque de autenticación falsa que ya vimos anteriormente. Ésto es necesario para poder realizar correctamente la inyección de paquetes en la red inalámbrica; si no, el AP podría descartar directamente los paquetes ARP que le estamos reenviando. 

Una vez ejecutado dicha falsa autenticación, vemos que el campo #Data de airodump-ng aumenta de forma muy rápida. El ataque empieza a tener éxito. Para acelerar el proceso, podemos ejecutar un ataque de deautenticación sobre cualquier cliente que esté conectado a la red, de forma que se generen nuevos paquetes ARP que, a su vez, retransmitiremos. 

En este punto, solamente debemos esperar un rato a que la cantidad de paquetes capturados sea lo suficientemente alta. Esta cifra es muy variable, pero normalmente a partir de unos 150000 paquetes el éxito está asegurado. 

El número de paquetes capturados en airodump-ng aumenta más o menos rápidamente

Por último, podemos sacar a escena por fin la herramienta que da nombre a la suite: aircrack-ng. Como nombramos al principio, sirve para realizar el crackeo de claves a partir de archivos de escucha, como el que acabamos de generar con airodump-ng. Podemos ahora lanzar la herramienta de la forma: 

aircrack-ng captura-01.cap

Y vemos que enseguida nos ha sacado la clave de cifrado de la red inalámbrica, una clave hexadecimal muy sencilla que pusimos como ejemplo.

 

Captura de la clave de encriptación con aircrack-ng

Y hasta aquí la parte de crackeo de redes WEP. Ahora, empezamos con un algoritmo de encriptación algo más complicado: WPA Personal. 

Cracking del algoritmo WPA/WPA2 Personal mediante ataque por diccionario

Visto ya cómo realizar un ataque para desvelar la clave de cifrado para el algoritmo WEP, podemos pasar a un ataque a una red con algoritmo WPA o WPA2 con clave precompartida, llamado también WPA Personal, la implementación más habitual para el intercambio de claves de cifrado en un punto de acceso convencional y actualizado.

El ataque aprovecha la captura de los paquetes que intervienen en la autenticación de un cliente dentro de la red inalámbrica. En esta autenticación se realiza un handshake de 4 pasos o vías en el que se envía la clave de cifrado previamente cifrada mediante funciones hash. La captura de este handshake nos permite obtener dicho hash, que posteriormente podremos poner como entrada a un ataque de fuerza bruta por diccionario mediante herramientas como el propio aircrack-ng u otras como john u oclhashcat.

Comenzaremos el ataque como siempre, colocando nuestra tarjeta inalámbrica en modo monitor con airmon-ng y localizando la red con airodump-ng. Asimismo, de la misma manera que con el apartado anterior, colocaremos airodump-ng a la escucha y grabando los datos dentro de un archivo captura.

Una vez hecho ésto, lo único que debemos hacer es localizar un cliente de la red inalámbrica y lanzarle ataques de autenticación hasta que podamos ver que se ha capturado el 4 way handshake. Seguramente sean necesarios varios de estos ataques y reautenticaciones por parte del cliente hasta que capturemos el handshake.

Pequeño truco: Automatiza las deautenticaciones para lanzarlas periódicamente pero dando tiempo a que el cliente vuelva a intentar autenticarse. Por ejemplo, cada cinco minutos. 

while [ 1 -gt 0 ]; do aireplay-ng -0 3 -a 84:9C:A6:36:99:24 -c 64:A6:51:AD:EB:4C wlan0mon; sleep 300; done

Eventualmente, capturamos el handshake WPA. 

Captura del handshake de WPA mediante airodump-ng

Una vez capturado, solo tenemos que pasar el archivo de captura a aircrack-ng de forma similar a cuando hicimos el crackeo del algoritmo WEP. Sin embargo, ahora debemos tener un diccionario para realizar un ataque por fuerza bruta. En nuestro caso, utilizamos uno bastante conocido llamado rockyou.txt. Especificamos además el BSSID de la red víctima y el archivo de captura. 

aircrack-ng  -w rockyou.txt -b 84:9C:A6:36:99:24 captura-07.cap

Y rápidamente (colocamos una clave bastante evidente, así que se encuentra pronto en el diccionario) nos desvela la clave de la red inalámbrica cifrada en WPA2-PSK, uno de los algoritmos más seguros actualmente.

Crackeo de la clave mediante aircrack-ng

Y eso es todo por hoy amigos. Espero que la entrada os haya gustado y os sirva para aprender. Un saludo hackers!!

hartek

Follow the White Rabbit

Saludos querid@s lectores/as. Os preguntaréis, quién o quienes están detrás de las entradas de este blog, de estas palabras... Es comprensible, ya que no nos hemos presentado.

Somos un grupo de personas, colegas, amig@s y compañer@s. Alumn@s que nos conocimos en un curso, unidos por la curiosidad, la duda, la incógnita y el ansia de seguir aprendiendo, de seguir avanzando en nuestro conocimiento, de seguir al conejo blanco...

¿El por qué follow the white rabbit? Porque queremos que esta persecución desemboque en más descubrimientos.

Observa a la persona más cercana que tengas, mírala, y piensa, que cuando te ve sentad@ delante de tu ordenador, es probable que no entienda que es lo que haces, que tal cosa no vale para nada. Y cuando intentas explicarle lo que estás haciendo, cómo se hace, y sobre todo, para qué se hace. No lo entenderán, no lo valorarán, porque ell@s decidieron tomar la pastilla azul.

En Follow the White Rabbit, decidimos en algún momento de nuestra vida, seguir al the white rabbit, decidimos tomar la pastilla roja, decidimos embarcarnos en este viaje, decidimos dar lo mejor de tod@s nosotr@s, para exponerlo aquí, para seguir con esta lucha imcomprendida para much@s, de que un mundo está dentro de tu ordenador, oscuro y peligroso, y que algun@s queremos ayudarte, a través de nuestros conocimientos y afición por el hacking, a protegerte de los peligros que encontrarás en la red.

Nuestro viaje no ha hecho más que comenzar, en él, haremos lo posible para aprender, avanzar y progresar en esta incesante persecución del white rabbit, a través del hacking.

Es nuestro hobby, nuestra manera de ser, nuestro estilo de vida, nuestro camino... y queremos que tú vengas con nosotr@s, queremos que tú también ¡¡¡Follow the White Rabbit!!!

Veil-Evasion y metasploit

Buenas tardes hackers!

En esta prueba de concepto realizada en un entorno virtualizado, se conseguirá una sesión meterpreter a través de un exploit(multi/handler) y la vulnerabilidad crítica basada en la persona con un windows 7. Para ello se usara una herramienta llamada Veil-Framework, donde generaremos un payload que tiene como objetivo ejecutarse en la máquina víctima para realizar la acción maliciosa y bastante indetectable por la mayoría de los antivirus. Instalamos la herramienta en Kali clonando desde github.

Una vez tengamos la carpeta de Veil entramos y ejecutamos /Install.sh. Recomiendo la lectura en github de los pasos y las condiciones que se han de cumplir antes de instalar la herramienta, para que no exista ningún tipo error.

Una vez instalado nos situamos en la carpeta Veil-Evasion y ejecutamos previamente dando los permisos necesarios para la ejecución. Existen 49 payloads. El comando a usar es ./Veil-Evasion.py.

Podemos apreciar los distintos payload que existen, dependiendo del entorno en el que se ejecuten.

Configuramos uno de los payload más interesantes, llamado meterpreter con conexión inversa. El atacante lanzara el exploit y permanecerá a la escucha de conexiones hasta que la víctima ejecute el código malicioso y el payload se conectara a la dirección IP asociado a un puerto determinado.
IP--->172.16.22.133 (atacante)
Puerto--->4444 (atacante)
De esta forma ya tendríamos configurado nuestro payload que enviaremos a través de ingeniería social a nuestra víctima.

El archivo que genera es un .bat (backdor.bat) en la carpeta veil-output. Para que la victima pueda ejecutarlo sera necesario convertirlo en un .exe. Existen muchos programas para hacerlo, en esta PoC se usa el Bat To Exe Converter v2.4.

Una vez convertido el .exe lo analizamos con www.scan4you.net y nos da un resultado de detecciones de antivirus por firmas de 5/35, no esta nada mal.

Ahora ya creado una parte importante y fundamental que es la conexión, necesitamos abrir Metasploit (msfconsole) que será la parte que actuara como si de un servidor se tratase a la escucha de conexiones.
Ejecutamos el comando msfconsole, y usamos el exploit multi/handler que servirá con el fin de que la víctima ejecute el archivo y el payload realice la conexión inversa al atacante, dándole acceso a la maquina.
Una vez obtenido la sesión meterpreter, la maquina victima esta comprometida donde se puede realizar acciones de todo tipo, ya sea una linea de comandos como un keylogger.

P.D No me hago responsable del mal uso que se le de a esta PoC, es de carácter educativo y esta realizado en un entorno virtualizado. No seáis malos!!

Manifiesto - Bienvenidos a fwhibbit

[...]

Este es nuestro mundo ahora...
El mundo del electrón y el conmutador, la belleza del baudio. 
Hacemos uso de un servicio que ya existe sin pagar,
por que podría ser ridículamente barato,
como el polvo, si no estuviera en manos de glotones hambrientos de ganancias,
y ustedes nos llaman criminales.

Nosotros exploramos...
y ustedes nos llaman criminales.
Nosotros buscamos detrás del conocimiento...
y ustedes nos llaman criminales.
Nosotros existimos sin color, sin nacionalidad, sin prejuicios religiosos...
y ustedes nos llaman criminales. 

Ustedes construyen bombas atómicas,
ustedes hacen la guerra,
asesinan, engañan y nos mienten
y tratan de hacernos creer que es por nuestro bien,
ahora nosotros somos los criminales.

Si, soy un criminal.
Mi crimen es la curiosidad.
Mi crimen es el juzgar a las personas por lo que dicen y piensan, no por como se ven.
Mi crimen es ser mucho más inteligente que ustedes, algo por lo cual jamás podrán perdonarme.

Soy un Hacker, y este es mi manifiesto.

Pueden detener a este individuo, pero no podrán detenernos a todos…
después de todo, todos somos iguales.

[...]

Extracto de texto del Manifiesto de un Hacker.