Детектор деаутентификации (диссоциации) клиентов. Часть 1.

Введение:
Всем доброго времени суток, сегодня рассмотрим, как можно обнаружить инструменты с которых производится деаутентификация(диссоциация) клиентов(Часть 1).
И самое интересное для “некоторых читателей” напишем собственный инструмент, который сможет определять инструмент с которого производится атака деаутентификация(DoS) и на кого она направлена(Часть 2). Стоит также заметить, что детектор будет реагировать на такие инструменты как: Airgeddon-ng и MDK3.

Сегодня рассмотрим, как можно обнаружить ПО с которого производится атака(Airgeddon-ng и MDK3).

Что такое деаутентификация?
Деаутентификация - это одна из разновидностей атак на беспроводную сеть, суть которой заключается в разъединение клиентов от их точек доступа.

Большинство атак деаутентификации являются довольно простыми в реализации и используют хорошо документированные недостатки в том, как сети управляют соединениями. Поскольку такие пакеты не зашифрованы, злоумышленнику легко создать поддельные пакеты после прослушивания беспроводных каналов поблизости.

Реализация деаутентификации.
Для проведение атаки требуется перевести вашу карту Wi-Fi в режим мониторинга.
Для большинства интерфейсов карт работает следующий способ: airmon-ng start wlan0.
Важно заметить, что вместо wlan0 нужно указывать ваше имя интерфейса.

После перевода карты в режим мониторинга попробуем реализовать атаку деаутентификации с помощью следующих инструментов: Airgeddon-ng и MDK3.
Команда для Airgeddon-ng выглядит так: aireplay-ng -0 1 -a 00:00:00:00:00:00 wlan0mon
Где:

• -0 - деаутентификация.
• 1 - кол-во пакетов.
• -a 00:00:00:00:00:00 - MAС-адрес точки доступа.
• wlan0mon - интерфейс карты.

Больше информации можно получить -

Ссылка скрыта от гостей

Команда для MDK3 выглядит так: mdk3 wlan0mon d -b blacklist.txt -c 1
Где:

• d - деаутентификация.
• -b - выбор файла с черным списком.
• blacklist.txt - файл с белыми MAC-адресами.
• wlan0mon - интерфейс карты.
• -с 1 - канал.

Что будем использовать для обнаружения виновника?
Несмотря на то, что данный вид угроз может принести довольно много хлопот жертве, их достаточно просто обнаружить с помощью бесплатных программ. В данной статье мы рассмотрим, как обнаружить атаку на примере бесплатной программы Wireshark.

Почему Wireshark?
Wireshark - это фантастическая программа, хотя бы потому, что она кроссплатформенна и позволяет довольно гибко работать с пакетами.

Подготовка.
Начнем с того, что переведем нашу карту в режим мониторинга. Как это сделать можно легко найти в интернете. Можно тут почитать:

Ссылка скрыта от гостей

Следующая наша задача настроить фильтрацию пакетов, так как Wireshark будет ловить много лишней для нас информации.

Скриншот

Прежде чем перейдем к сниффингу трафика, откроем Wireshark. Выберем наш интерфейс карты, в моем случае это - wlan0mon.
Также следует помнить, что нам необходимо вручную переводить нашу карту на различные каналы. Для этих целей можно использовать Airodump-ng. Но поступим по-своему и напишем скрипт на Python, который будет заниматься этим делом.

Фильтры для Wireshark.
После того, как мы перевели нашу карту в режим мониторинга, запустили и выбрали наш интерфейс карты, осталось всего-лишь настроить фильтрацию.

Используем следующий фильтр - wlan type data or wlan type mgt and (subtype deauth or subtype disassoc)
Если разобраться, то мы будем сохранять пакеты беспроводной сети, сами пакеты будут либо пакетами данных либо пакетами управления.
Кроме того, мы хотим, чтобы эти пакеты были либо пакетами деаутентификации, либо диссоциации.

Скриншот

Сразу отметим тот факт, что искать пакеты мы будем 2-х популярных инструментов - Airgeddon-ng и MDK3.

Используем цветовые фильтры отображения
Для удобства мы должны настроить Wireshark таким образом, чтобы в зависимости от пакетов, применялись различные цвета для их отображения.

Чтобы настроить правила отображения, следует перейти в окно Wireshark - View - Coloring Rules Default. Для этого нужно выбрать пункт меню View и затем выбрать Coloring Rules.
В окне нажимая на значок “+” мы можем вставлять свой фильтр и применять к нему различную палитру.

Фильтры, которые мы будем использовать, будут оранжевыми для пакетов деаутентификации и желтыми для пакетов диссоциации. Мы можем установить их, установив следующие значения:

Deauth: Airmon or MDK3 - wlan.fc.type_subtype == 0x00c
Disassoc: Airmon or MDK3 - wlan.fc.type_subtype == 0x00a

Это установит фильтр для разделения пакетов, которые мы ищем, по типу инструмента, который их отправляет.
После этого убедитесь, что новые цветовые правила выбраны с галочкой, и нажмите «ОК», чтобы сохранить изменения.
В итоге у вас должно получиться что-то напоминающие это:

Находясь в главном окне, мы можем ввести следующий экранный фильтр для сортировки в панель фильтра. Вы заметите, что он имеет совершенно другой синтаксис от фильтра захвата.

data || wlan.fc.type_subtype == 0x00c || wlan.fc.type_subtype == 0x00a

Классификация пакетов.
Теперь время для теста используя Airgeddon-ng(Aireplay-ng) и MDK3 выбираем свою собственную сеть Wi-Fi (или ту, на которую у вас есть разрешение) и начинаем отправлять пакеты для деаутентификации.

Мы должны заметить две различные схемы атак, и как защитники, мы сможем определить, какая программа запущена, исходя из данных, которые показывает Wireshark.

• Aireplay-ng:
  • с Aireplay-ng вы не должны видеть ничего, кроме красных(вообще темно-оранжевые) атак деаутентификации:

• MDK3:
  • Шаблон красных(вообще темно-оранжевые) и желтых полос выделяет MDK3 как отличительный по своей сигнатуре атаки, объединяя цели с объединенными пакетами деаутентификации и диссоциации.

Если мы видим эти потоки пакетов, то можем предполагать о том, что идет атака. Но иногда эти пакеты происходят в обычных условиях, особенно в корпоративных сетях. Если вы видите несколько одиночных пакетов диссоциации или случайный пакет деаутентификации, это не должно вызывать у вас тревогу и подозрения.

На этом 1 часть окончена. Во-второй части мы напишем небольшой инструмент, который будет "детектить атаку" и также определять "виновника торжества"

 

[Valkiria]

Мне бы не хотелось распыляться на второстепенные вопросы. Потому что тема сейчас уйдёт в сторону. все забудут об основном вопросе, начнётся по-сути ненужный спор.
"Они" не получат адрес моего беспроводного адаптера по следующим причинам:
1. Автор статьи немного выше сам утверждает, что при сканировании сети третьими лицами им не видет мой мак-адрес.
2. Этот мак адрес меняется лёгким движением руки.
3. Получив доступ к таблице маршрутизации "они" увидят тот мак адрес, который я захочу.

Вы в своём посте пишете о каком-то подключении к провайдеру.
Я выхожу в инет различными способами:

• мобильная связь,
• кабель провайдера, воткнутый прямиком в ноут,
• чужие роутеры ))

Нигде изменение мак адреса моей беспроводной карты не влияет на соединение с интернетом. Я же пишу об изменении мак-адреса беспроводной карты. Провайдер о ней и не знает. Ничего не запрашивает при изменении мак-адреса.

 

[Debug]

Во второй части постараюсь ответить на ваши вопросы. Инструмент уже написан, осталось сформировать статью.

 

[am29f010b]

А темка зашла ))
Я ждала появления второй части статьи, чтобы задать там назревший и ещё более конкретный вопрос.
Если бы не эта статья. я и не спрашивала.
Вопрос о том, какой информацией должны обладать третьи лица (читай товарищи из правоохранительных органов), чтобы предъявить обвинение в наружении закона.
Этот вопрос родился у меня не на пустом месте.

Не секрет, наверное, что любопытство иногда толкает на то, чтобы переступить черту , нарушить все те статьи УК РФ, номера которых многократно мелькают на подобных форумах.
На прошлой неделе рядом с моей квартирой, где я занималась экспериментами в области вардрайвинга появилась мощная точка доступа без клиентов. Вполне возможно, соседи купили роутер и используют его в роли прокладки между кабелем провайдера и своим ноутом. При этом они зачем-то забыли выключить wi-fi модуль роутера ))

• Глупо, но если соседи - чайники, то реально.

Но мне вдруг вспомнилась случайная пятиминутная проверка какой-то газовой трубы в моей квартире работниками ЖКХ. Проверка газовой трубы почему-то больше напоминала выяснение наличия компа в квартире.

• Глупо, но реально.

А этой проверке предшествовало моё подключение к какому-то Кинетику, который был взломан одной лишь силой мысли )) Этот Кинетик находился на приличном расстоянии от моей беспроводной карты. После моего подключения он бесследно исчез. Вдруг почему-то благополучно пользовавшиеся им хозяева выключили и больше не включали роутер. Интернет им стал не нужен ))

• Глупо, но реально.

Наше поведение вписывается в определённые рамки. Эти рамки описали и назвали "Психологией". Появление в моей голове мыслей о том, что кто-то третий сканирует мои действия в области вардрайвинга - закономерно.

Вопрос возможно и не по теме, но очень близко граничит с ней. Вопрос не из технической части аудита, а скорее из юридической ))
Если мои предположения - это не паранойя, то вот эти чуваки, которые за стенкой установили какой-то wi-fi источник, преследуют цель собрать на меня определённый материал. Мак адрес моей карты они не получат. Но ведь эти цифры меняются нажатием кнопки мыши - он им и не нужен.
Но они всё равно определят факт мониторинга мною окружающих сетей ? Факт мониторинга не является нарушением закона, но вызывает подозрение и нежелательный интерес. Им нужно будет документально зафиксирорвать факт подключения мною к чужой сети. Как они смогут это сделать ?

Например, вы подключились к точке (там логи, которые при анализе указывают на посещение почты мэй ру в конкретное время) Запрос в мэйру "дайте отпечаток браузера в такое-то время с такого-то ip". Если Ваш ПК - полнодисковое шифрование (это у всех ИБ так я думаю, а наче Вас раскроют быстро) , то ни как к вам не подкопаться. Даже в суде пароль не заставят выдать (по крайней мере нам юрист, бывший опер это вдалбливал).
И группа наружного наблюдения зафиксировавшая Вашу активность с точностью до квартиры не в сила предъявить обвинение. Косвенные улики на серьезном уровне не считаются.

 

[Valkiria]

Например, вы подключились к точке (там логи, которые при анализе указывают на посещение почты мэй ру в конкретное время) Запрос в мэйру "дайте отпечаток браузера в такое-то время с такого-то ip". Если Ваш ПК - полнодисковое шифрование (это у всех ИБ так я думаю, а наче Вас раскроют быстро) , то ни как к вам не подкопаться. Даже в суде пароль не заставят выдать (по крайней мере нам юрист, бывший опер это вдалбливал).
И группа наружного наблюдения зафиксировавшая Вашу активность с точностью до квартиры не в сила предъявить обвинение. Косвенные улики на серьезном уровне не считаются.

Спасибо за ответ ))