Sniffare tutto il traffico di rete wireless

Fri, Nov 2, 2007 · 54,636 views ·  Print This Post ·  Email This Post

Continuano le mie ricerche e le mie prove sullo “sniffing di rete” cioè l’arte di intercettare le comunicazioni che transitano sulla rete tra due o più client. In questi giorni ho fatto diversi test interessanti con le reti wireless,e ho scoperto che con semplici software e con poche conoscenze informatiche è possibile intercettare tutto il traffico che viaggia sua una rete wi-fi. Quando intendo tutto il traffico intendo proprio tutto!! E la cosa sconvolgente è che è possibile intercettare qualsiasi informazione che viaggia in chiaro sulla rete e anche quelle informazioni crittografate con protocolli “sicuri ” tipo SSL..,quello che intendo dire è che è possibile conoscere ogni attività di rete di ogni singola macchina connessa alla rete wireless. Immaginate di poter spiare in tempo reale le comunicazioni via msn di un vostro collega o di intercettare la password e la login della sua posta elettronica o ancora sapere quali siti sta visitando e che cosa cerca su google… bene tutto questo è possibile ed è molto più semplice di quello che credete..

Come ho già detto in precedenza sto tentando di capire le varie tecniche di “sniffing di rete” e per questo parto dalle situazioni più semplici per poi arrivare alle più complesse. Nello specifico credo che la situazione più semplice sia quella di una normalissima rete wireless,più avanti studierò le reti cablate switchate e le varie tecniche di “Man in the middle”, quindi in questo articolo si ipotizza che la situazione sia la seguente:

Una normalissima rete wireless,criptata o meno questo a poca importanza,in cui vi sono uno o più client che accedono alla rete e comunicano tra di loro.

E’ fondamentale subito specificare una cosa,per poter visualizzare in chiaro le informazioni che circolano su una rete wi-fi protetta è necessario conoscere la chiave di protezione. Se non conoscete la chiave wep o wpa è bene sapere che esistono diversi modi per crackare una rete wireless,in questo articolo ho spiegato come crackare una chiave wep in meno di 10 minuti,in un prossimo futuro mi occuperò di crack di chiavi wpa che a quanto pare non sono così sicure come sembra,e anche loro iniziano a scricchiolare..eheh Comunque è bene specificare che a breve,se non oggi nei prossimi giorni,(prima devo finire la terza parte dell’articolo “samba come pdc”),scriverò un aggiornamento su come crackare una rete wep finalmente sono riuscito ad eseguire il crack con la mia scheda di rete intel 2200bg e con il driver per linux ipw2200…eheh

Comunque torniamo a noi,ipotizzo quindi che se state leggendo questo articolo siete in questa situazione, cioè siete in una rete wireless di cui conoscete la chiave wep. Se non conoscete la chiave wep io vi consiglio di leggere comunque quanto segue perché è possibile decriptare i pacchetti intercettati in un secondo momento,quindi se avete assoluta necessita di intercettare delle informazioni che viaggiano sulla rete potete farlo e decriptarne il contenuto in seguito.
Sempre in tema di ipotesi,per fare questa operazione di “sniffing” io ho usato il mio portatile con la scheda di rete intel 2200bg,ora questo tipo di scheda di rete è la più diffusa sui sistemi intel centrino,ed è installata nella stragrande maggioranza dei portatili in commercio,attualmente viene venduta la versione successiva della mia scheda ma credo che comunque le righe che seguono valgano anche per le versioni successive alla intel 2200bg.
Per concludere con le premesse specifico che tutto il software utilizzato gira sotto linux,con windows sono riuscito a fare bene poco.
In questo articolo quindi si farà riferimento ad una distribuzione debian like,io ho usato Ubuntu.
Riassumo le premesse:

Di cosa abbiamo bisogno per sniffare totalmente una rete “wireless”:
1)La chiave wep/wpa della rete wireless nel caso fosse protetta (se non ce l’avete la potete reperire tramite questa procedura.)
2)Una distribuzione linux installata (io ho usato Ubuntu)
3)Una scheda wireless intel 2200bg o superiore o una qualsiasi scheda wireless che vada in “monitor mode”

Ci vuole un po’ di teoria…
Partiamo subito con il precedente punto 3) e precisamente alla frase una scheda che vada in “monitor mode” ,spieghiamola un attimo.
Allora tutto il traffico che viaggia sua un rete wireless è broadcast,vuol dire che tutte le stazioni wireless,cioè i pc,ricevono tutto il traffico che viaggia sulla rete,poi ogni pc singolarmente decide se scartare o tenere il pacchetto che riceve. In pratica tutto ricevono tutto,poi ogni pc vede se il pacchetto che ha ricevuto è destinato a lui lo tiene altrimenti lo scarta,semplice no?questa politica non è stata scelta a caso,nelle reti wirelles non si può cambiare metodo si fa così e basta proprio per la natura fisica e meccanica dell’hardware. Ora senza scendere oltre nei particolari,con il “monitor mode” si dice alla scheda wireless: “Non scartare nulla,tieni tutti i pacchetti che ricevi”. Di conseguenza dicendo alla scheda wirelles di non scartare nulla si intercetta di fatto tutto ciò che è a portata di raggio della nostra scheda wi-fi e tutto quello che viaggia sulla rete wireless.
E’ quindi di fondamentale importanza che la scheda wi-fi vada in monitor mode,mandando una scheda in questo stato potete intercettare tranquillamente anche il traffico criptato,solo che non potete consultarne il contenuto perché non conoscete la chiave..

Passiamo alla pratica.
Siamo all’interno della nostra rete wireless,di cui conosciamo la chiave di protezione,il nostro software in uso è linux e riusciamo tranquillamente a navigare,accedere alle risorse di rete e così via.. cioè voglio specificare che non ci sono problemi di collegamenti o vari..
Diciamo che siamo in ufficio e vogliamo scovare la password della casella di posta del nostro collega o spiare le sue conversazioni via msn..

1)Impostiamo la scheda wireless in monitor mode.
Le istruzioni che seguono sono per la distribuzione Ubuntu con la intel 2200 bg,digitiamo quindi da shell:

# sudo chmod 777 /sys/class/net/eth1/device/rtap_iface
# sudo echo 1 > /sys/class/net/eth1/device/rtap_iface

In pratica si tratta di attivare l’interfaccia rtap della intel 2200,il primo comando serve per evitare che compaiano degli errori di permessi con la seconda istruzione. Al prossimo riavvio comunque i permessi torneranno ad essere 600.
Questo passo è la chiave di volta,ho provato diverse volte a mandare la scheda wi-fi intel 2200 in monitor mode con il comando:

# iwconfig eth1 mode monitor

Con questa tecnica si riesce a sniffare tutto il traffico ma poi in realtà non si riescono ad effettuare “attacchi” o azioni atte a disturbare il comportamento di un client,non so per esempio rendere momentaneamente non accessibile un client,ma questo lo vedremo in un altro post.
Tralaltro poi mandando la scheda in monitor mode con quel comando non è possibile allacciarsi alla rete e interagire con essa. Secondo me è molto importante poter interagire con la rete perché tramite il “Social Engineering” perché vi assicuro che sniffare il traffico generato anche da soli 5 client è pesante. E’pesante perché ci sono un sacco di pacchetti che viaggiano sulla rete ed è difficile filtrare le informazioni che ci servono ed avere il privilegio di sapere che in un determinato momento accadrà una certa cosa è un grosso vantaggio. Anche se useremo un software molto potente che si chiama Wireshark che ha delle grosse capacità in fatto di filtering delle informazioni ripeto che poter interagire con la rete è fondamentale. Vi faccio un esempio stupido,volete fregare la password pop3 di un vostro collega di ufficio,semplice gli dite che avete inviato una mail urgente,il tizio si metterà a controllare la posta,voi impostate wireshark con relativi filtri su protocollo pop3 e in un batter d’occhio zac.. avete la password pop3.

Beh dai vi dico che mandando la scheda wi-fi in monitor mode abbiamo fatto il 90% del lavoro,ora specifichiamo un ultimo dettaglio tecnico.
Con il comando echo 1 etc… in pratica è come se creassimo un nuova interfaccia di rete di nome rtap0,ora per qualche bug o motivo che non conosco se non impostiamo anche l’interfaccia eth1 (che è quella ufficiale della scheda intel 2200bg) è impossibile sniffare correttamente il traffico.
Quindi se conosciamo la chiave wep della nostra rete e siamo connessi tramite l’interfaccia eth0 non c’è nessun tipo di problema,se invece non conosciamo la chiave wep impostiamo una chiave wep non valida e il nome della rete del quale vogliamo beccare i pacchetti. Il tutto con il comando iwconfig:

# iwconfig eth1 essid <ESSID> channel <#> key s:fakekey mode managed

Beh ovviamente al posto di essid dovete mettere il nome della rete wireless di cui volete intercettare il traffico poi al posto di <#> il numero del canale e il resto lo potete lasciare così. Le informazioni su canale e nome della rete le potete reperire tramite il comando:

# iwlist eth1 scanning

Questo comando vi darà tutta la lista delle rete wireless disponibili.

Bene ritorniamo al nostro esempio pratico,siamo nella nostra rete wi-fi con l’interfaccia eth1 siamo collegati in modo naturale alla rete,abbiamo appena creato l’interfaccio rtap0,ora installiamo uno dei migliori programmi per monitorare la rete: Wireshark.

2)Installiamo il software necessario.
Tendo a ripetermi spesso,ma voglio sottolineare che Wireshark e la scheda intel 2200bg non vanno per niente d’accordo sotto windows,quindi scordatevi di usare windows. Installiamo wireshark sotto linux ubuntu.

# sudo apt-get install Wireshark

Una volta installato Wireshark dobbiamo lanciarlo con i privilegi di root,in questo modo possiamo accedere a tutte le interfacce di rete tra cui la rtap0.
Adesso voglio spendere altre due parole su Wireshark,allora sulle mille dispense che si trovano in giro su google viene scritto wireshark serve per sniffare il traffico di rete,questo è vero,ma non viene specificato che su una rete cablate se la rete è switchata (cioè viene usato uno switch) per intercettare il traffico bisogna utilizzare tecniche particolari (Man in the middle) mentre sulle reti wireless la scheda wi-fi deve essere impostata in monitor mode.
Se non viene impostata la scheda in monitor mode o non si utilizzano tecniche particolari in reti switchate il traffico che viene intercettato è solo quello generato dagli altri client verso la vostra macchina,il traffico mandato in broadcast (cioè a tutti) e ovviamente quello generato dalla vostra macchina.
Quello che voglio dire è che se non impostate la scheda di rete in monitor mode,mai e poi mai potrete intercettare il traffico generato da un’altra macchina.

Ora prima di poter utilizzare wireshark dobbiamo in qualche modo svegliare l’interfaccia rtap0,se non eseguiamo qualche operazione su questa nuova interfaccia wireshark non la vedrà e noi non potremo utilizzarla,non sò come mai ma è così… io per svegliare l’interfaccia uso il pacchetto aircrack-ng,che è quello utilizzato per crackare le reti wireless.. per installarlo utilizzate il comando:

# sudo apt-get install aircrack-ng

Dopodichè lanciamo il comando equivalente a wireshark per intercettare i pacchetti:

# sudo airodump-ng rtap0

Verrà lanciato airodump che si metterà in ascolto su tutte le interfacce,uscite pure da airodump digitando ctr+c, ora che l’interfaccia è “sveglia” potete lanciare wireshark

Bene conclusa questa ennesima precisazione vediamo come lanciare e configurare un unico parametro fondamentale in Wireshark,digitiamo il comando:

# sudo wireshark&

Una volta che si è aperto wireshark dobbiamo impostare la cattura dei pacchetti ..

3)Prepariamoci per lo sniffining..
Ora dobbiamo dire a wireshark di usare l’interfaccia rtap0 per sniffare i pacchetti e dobbiamo impostare la chiave wep della rete in cui siamo per poterli leggere in maniera corretta. Andiamo in:

Edit->Preference->Protocols->IEEE 802.11

Spuntiamo la voce: “Enable Decription” e inseriamo la chiave wep di fianco a “key #1:” . Attenzione: dovete inserire la chiave in esadecimale,questo vuol dire che se la vostra chiave è “pippopaperino” dovete prima convertirla in esadecimale e poi inserirla. Utilizzate uno dei mille servizi di conversione sul web per convertire le vostre stringhe..

Bene fatto ciò siete pronti per snifarre tutto e dico tutto ciò che passa per la vostra rete wireless.

Per farlo basta che da wireshark andate in Capture->Interfaces e selezionate l’interfaccia rtap0.

Prima però abilitate lo scrolling automatico dei pacchetti,andate in Capture->Interfaces->Rtap0->options e selezionate la voce:

“Automatic scrolling in live capture”

Ora potete inziare la cattura dei pacchetti. Ecco un’immagine di wireshark in azione:

Ora vedrete tutto il traffico di rete che scorre sulla finestra,per poter intercettare password o conversazioni di msn,dovete concentrare la vostra attenzione su uno specifico client e su uno specifico protocollo. Per farlo dovete impostare i “filtri” di Wireshark che sono potentissimi. Se volete rubare solo password pop3 allora filtrate solo traffico di tipo pop3,se volete vedere solo cosa cerca la gente su google concetratevi sul traffico tcp verso l’ip di google e così.. Per ora non sono ancora molto pratico con i filtri appena c’ho un minimo di esperienza in più scrivo un post a riguardo..

Comunque se ancora non avete capito come individuare le informazioni che vi servono con wireshark basta che selezionate un pacchetto,ad esempio un pacchetto tcp e con il tastro destro selezionate l’opzione “Follow tcp traffic”,oppure aprite un pacchetto di tipo msn e dopo tutta la pappardella di stringhe di configurazione tra cui ip,mail degli utenti in conversazione potete vedere alla fine di tutto il messaggio inviato e così.. In pratica si tratta di aprire i pacchetti,seguirne il flusso tcp e leggerne il contenuto,a volte le password sono codificate in base 64,a volte passano tutte in chiaro.

Comunque riassumiamo i passi:

# sudo chmod 777 /sys/class/net/eth1/device/rtap_iface
# sudo echo 1 > /sys/class/net/eth1/device/rtap_iface
# sudo iwconfig eth1 essid <ESSID> channel <#> key s:fakekey mode managed
# sudo airodump-ng rtap0
# sudo wireshark&

Se ci pensate bene è sconvolgente,una distribuzione linux,poche semplici istruzioni,un paio di programmi molto comuni e accessibilissimi e un portatile di classe medio/bassa e potete intercettare tutto il traffico di una rete wireless.. Pazzesco..
Comunque questo articolo non è che vuole incitare la gente ad andare in giro a fregare password e dati personali,serve solo per sottolineare quanto insicure sono le reti wireless.

Una piccola nota sulle connessioni ssl,attualmente sono considerate sicure solo connessioni ssl con crittografia superiore a 128 bit,con la potenza di calcolo delle macchine attuali è possibile crackare una connessione a 64 o a 128 bit,ora come ora non sò bene come perchè non ci ho ancora provato ma sò che si può.. le connessioni a 256 bit sono ritenute sicure,perchè ci vuole una potenza di calcolo pazzesca per penetrare una sistema crittografato in tale maniera. Ma permettemi un osservazione,se qualcuno è fortemente interessato a rubare i miei dati e ha le conoscenze giuste ed i mezzi lo può fare tranquillamente. Con un budget di 5000 – 6000 euro (Che non mi sembra così elevato) dal mio punti di vista è possibile raggiungere una potenza di calcolo elevatissima,prendete 10 – 15 Ps3 mettele in parallelo ed otterete una potenza di calcolo pari a quella di qualche super computer… diciamo un piccolo bluegene casalingo,ora con tale potenza quanto ci vuole a decifrare una connessione ssl criptata a 256 bit? 1 giorno?una settimana? di sicuro meno di 1 mese.. se ci mette troppo allora aggiungete altre ps3 …. insomma quello che voglio dire è che la sicurezza è un’illusione,se qualcuno è fortemente interessato a rubare i vostri dati prima o poi potrebbe riuscirci se ogni giorno in ogni istante non vengono prese le giuste precauzioni…

Oh ma quanto ho scritto??son due ore che scrivo…beh dai adesso basta..il prossimo post di quest’argomento sarà sui filtri di Wireshark,mi sà quello su samba come pdc lo scrivo domani che ora è tardi…

Se avete suggerimenti o info importanti scrivetele pure ne commenti!!

Vota l'articolo