miércoles, 26 de mayo de 2021

bettercap: la navaja suiza del tráfico de red

BetterCAP es una herramienta potente, flexible y portátil creada para realizar varios tipos de ataques MITM contra una red, manipular HTTP, HTTPS y tráfico TCP en tiempo real, buscar credenciales y mucho más. Analizador de de red vía web; incluye BlueTooth, Wifi, Detecta ataques MITM, Spoof, network protocol fuzzer



bettercap es una herramienta potente, fácilmente extensible y portátil escrita en Go (anteriormente en Ruby) que tiene como objetivo ofrecer a los investigadores de seguridad, los equipos de red y los ingenieros inversos una solución todo en uno fácil de usar con todas las funciones que posiblemente puedan necesitar para realizar reconocimientos y ataques Redes WiFi, dispositivos Bluetooth Low Energy, dispositivos HID inalámbricos y redes IPv4 / IPv6.

Características de Bettercap

Bettercap es una herramienta muy potente que es compatible con las principales distribuciones basadas en Linux, algunas de sus principales características son las siguientes:

  • Escáner de redes WiFi, permite hacer ataques de desautenticación, también permite realizar ataques sin clientes a asociaciones PMKID, permite capturar handshakes de clientes que usan protocolo WPA y WPA2.
  • Escáner de dispositivos BLE (Bluetooth Low Energía) para leer y escribir información.
  • Escáner de dispositivos inalámbricos que usen la banda de 2.4GHz, como los ratones inalámbricos, también permite realizar ataques MouseJacking con inyección de datos.
  • Permite hacer ataques pasivos y activos a redes IP
  • Permite realizar ataques MitM basados en ARP, DNS y también DHCPv6, con el objetivo de capturar toda la información.
  • Permite crear un proxy HTTP/HTTPS para levantar el tráfico seguro HTTPS, y facilita enormemente el uso de scripts.
  • Sniffer de red muy potente para recolección de credenciales de usuario.
  • Escáner de puertos muy rápido
  • Tiene una potente API REST para realizar ataques fácilmente.
  • Incorpora una interfaz gráfica de usuario para facilitar los ataques, aunque el terminal de comandos es muy potente.
  • Tenemos una gran cantidad de módulos de diferentes categorías para ampliar funcionalidades

La forma más fácil de comenzar a jugar con bettercap es usando su interfaz de usuario web oficial, para instalarlo asegúrese de tener la última versión de bettercap, después ejecuta: 

sudo bettercap -eval "caplets.update; ui.update; q"

sudo bettercap -caplet http-ui 



El nombre de usuario de bettercap web UI es «user», y la contraseña es «pass», tal y como aparece en el fichero de configuración:

https-ui.cap

También se puede usar Bettercap haciendo uso de Docker (versión 17.05 o superior), ya que está en los repositorios de software de Docker, y basta con hacer:

docker pull bettercap/bettercap 

docker pull bettercap/dev

 docker run -it --privileged --net=host bettercap/bettercap -h 

Sniffing y recolección de credenciales

El sniffer incorporado es actualmente capaz de diseccionar e imprimir desde la red (o desde un archivo PCAP previamente capturado) las siguientes informaciones:

  • URLs visitadas
  • Hosts HTTPS que están siendo visitados
  • HTTP POSTed datos
  • Autenticaciones HTTP Basic y Digest
  • Cookies HTTP.
  • Credenciales de FTP
  • Credenciales de IRC
  • Credenciales POP, IMAP y SMTP
  • Credenciales NTLMv1 / v2 (HTTP, SMB, LDAP, etc)
  • Credenciales del protocolo DICT
  • Credenciales del MPD
  • Credenciales NNTP
  • Mensajes DHCP y autenticación
  • Credenciales de inicio de sesión de REDIS
  • Credenciales RLOGIN
  • Credenciales SNPP

Módulos BetterCap

La era de instalar bettercap con gemas ha pasado hace mucho tiempo (y ahora no se pueden instalar gems porque bettercap se ha escrito en go). . . Pero no es el paquete de software incorporado Kali predeterminado, debe instalarlo con el comando:

apt-get install bettercap

 

La instalación bajo kali es muy simple y bettercap también es compatible con X os, Android, Windows. 

Módulos:
 
  • api.rest: módulo API RESTful
  • arp.spoof: módulo de falsificación de arp
  • ble.recon: módulo de descubrimiento de dispositivos Bluetooth de baja energía
  • net.sniff: módulo de rastreo de red
  • dhcp6.spoof: módulo de falsificación de dhcp6 (manipula el servidor DNS del cliente falsificando paquetes DHCP, por lo que debe habilitarse junto con dns.spoof)
  • dns.spoof: módulo de suplantación de DNS
  • events.stream: módulo de salida de flujo (es decir, la salida del programa se muestra constantemente en la interfaz del terminal, como la información interceptada por arp)
  • wifi: módulo wifi, con ataque automático (wifi killer)
Explicación detallada del módulo ble.recon:

Este módulo se utiliza para detectar dispositivos Bluetooth de baja energía (BLE)


instrucción Explicación
  • ble.recon on Comience a oler dispositivos BLE
  • ble.recon off Deja de oler los dispositivos BLE
  • ble.show Mostrar dispositivos BLE descubiertos
  • ble.enum MAC Enumere el servicio y los valores característicos uuid y característicos del dispositivo especificado por el MAC
  • ble.write MAC UUID HEX_DATA Escriba los datos hexadecimales proporcionados por HEX_DATA a las características especificadas por UUID del dispositivo BLE especificado por MAC


Conecte el dispositivo BLE 04:52: de: ad: be: ef,Enumerar características y leer su valor

> ble.enum 04:52:de:ad:be:ef

Al dispositivo BLE04:52:de:ad:be:efUUID es234bfbd5e3b34536a3fe723620d4b78dEscribir bytes en las características

ff ff ff ff ff ff ff ff :

> ble.write 04:52:de:ad:be:ef 234bfbd5e3b34536a3fe723620d4b78d ffffffffffffffff

Problemas conocidos

  • ble.enum Solo trabaja una vez por carrera
  • Soporte incompleto para MAC os
  • No es compatible con windows


Explicación detallada del módulo wifi:

wifi.*El módulo necesita una tarjeta de red inalámbrica que admita el modo de monitoreo y la inyección de paquetes para monitorear o atacar la red inalámbrica


comando  Explicación
  • wifi.recon on Comience a oler los puntos de acceso inalámbrico (AP) 802.11
  • wifi.recon off Deje de oler puntos de acceso inalámbrico 802.11
  • wifi.recon BSSID Establecer el BSSID de AP para filtrar
  • wifi.recon clear Borrar la condición del filtro AP establecido
  • wifi.deauth BSSID Inicie el ataque 802.11 deauth. Si se especifica el BSSID del AP, solo se matará a los clientes del AP. Si no se especifica el BSSID, se matará a todos los clientes (no mdk3 d ...)
  • wifi.show Muestra la lista AP actualmente escaneada, ordenada por intensidad de señal de forma predeterminada
  • wifi.recon.channel CHANNEL Especifique el canal a escanear, los canales múltiples están separados por ","
  • wifi.recon.channel clear Borre la configuración del canal (la NIC saltará y buscará entre todos los canales disponibles)
  • wifi.ap Para enviar paquetes de difusión falsificados para crear un AP interferente, primero debe habilitar el rastreo de puntos de acceso inalámbrico (o la función mdk3)


variable Valores predeterminados Explicación
  • wifi.hop.period 250 Si el salto de canal está habilitado (wifi.recon.channel está vacío), el programa de control variable salta entre diferentes canales (en milisegundos) si están disponibles 2.4 y 5G, esta vez se duplicará
  • wifi.source.file Ninguna Si se establece esta variable, el programa leerá los datos del archivo (.pcap) especificado por la variable
  • wifi.skip-broken true Si esta variable es verdadera, se ignorarán los paquetes 802.11 con un valor de verificación no válido
  • wifi.ap.ssid FreeWifi SSID de AP falso
  • wifi.ap.bssid <random mac> BSSID de AP falso
  • wifi.ap.channel 1 Canal de AP falso
  • wifi.ap.encryption true Si la variable es verdadera, el AP falso se cifrará con WPA2; de lo contrario, está abierto


Cada módulo tiene ayuda detallada, no los traduciré uno por uno aquí, pero seguramente hay otra pregunta en su mente sobre cómo implementar la función de detección de arp como antes, ingresa el siguiente comando en el terminal bettercap:




arp.spoof on
net.sniff on
arp.spoof.fullduplex true 

 

Bettercap incorpora un «caplet» que nos permite hacer un ataque HSTS Hijack y eludir esta protección, se basa en hacer un DNS Spoofing y reenviar a la víctima a otro dominio bajo nuestro control, para posteriormente capturarle toda la información. Los caplets son scripts en Bettercap que vienen preconfigurados, pero que nosotros podemos modificar fácilmente


Artículo en contrucción. Pendiente de mejorar, ampliar y terminar.

1 comentario: