ETHICAL HACKING WIRELESS

Objetivos
• Aprender la estructura de las tramas inalámbricas
• Entender las vulnerabilidades presentes en las redes
inalámbricas
• Aprender cómo desarrollar ataques avanzados a las
vulnerabilidades inalámbricas
• Desarrollar pruebas de evaluación de seguridad
inalámbricas (PENTEST)
 Tema:1
Conceptos Avanzados de Redes y
Vulnerabilidades Inalámbricas
1. CONCEPTOS AVANZADOS DE REDES INALAMBRICAS

• En la actualidad la
expansión de las redes
inalámbricas, están
siendo una puerta de
entrada o una filtración
de la información para
los intrusos.
Bandas de Frecuencia no licenciada
Shortwave Radio FM Broadcast
AM Broadcast Television Infrared Wireless LAN
Audio Cellular (840 MHz)
NPCS (1.9 GHz)

Extremely Very Very Ultra Super Visible Ultra-

Low Medium High Infrared X Ray
Low Low High High High Light violet

2.4 – 2.4835 GHz 5 GHz

902-928 MHz 802.11a
83.5 MHz
26 MHz Frequencies Vary
802.11b
and 802.11g with Countries
 Tecnologias Wireless

The Laws of Radio Dynamics:

Higher data rate = Corto rango de transmision
Higher power output = Incremente el rango pero baja la vida de la bateria
Higher-frequency radios = Alta velocidad de conexión, corto rango
 802.11b Radio Modulation
• Utiliza 3 diferentes tipos de
modulación
• Depende de la velocidad de
conexión:
– Binary Phase Shift
Keying (BPSK)
– Quadrature Phase Shift Keying
(QPSK)
BPSK Modulation Example
– Complementary Code Keying
(CCK)
 2.4-GHz Channel

North American
• 11 channels – cada canal de 22 MHz
• 3 canales no se superponen (overlapping)

ETSI
• 13 channels –cada canal de22 MHz
• 3 canales no se superponen (overlapping)
Covertura Access Point 802.11b
1-Mbps DSSS

2-Mbps DSSS

5.5-Mbps DSSS

11-Mbps DSSS
2. INSTALACION DE KALI

La Instalación de KALI se puede realizar de las

siguientes formas:

- Usado directamente desde Live DVD

- Instalar KALI a Disco Duro

- Usar en USB DISK (KALI Portable)

2. INSTALACION DE KALI EN USB

Para la instalación de kali en USB, seguir los sgtes pasos:

1.- Descargar Kali linux.

2.- En Windows, descargar Win32 Disk Imager.
3.- Formatear el USB en FAT 32 ( Min 2 GB )
4.- Conecte su memoria USB en el puerto USB
de la PC Windows.
5.- Inicie el software Disk Imager Win32.
6.- Elija el archivo ISO de Kali Linux con el que
creará la imagen y verifique que la unidad USB
que será sobrescriba es la correcta ( F: )
7.- Precionar Write.

Encender la Maquina utilizando la Opcion de Boot por USB y logearse usando el

default username y password : root / toor
2. INSTALACION DE KALI A DISCO DURO
Descargar la ultima versión actualizada de Kali
http://www.kali.org/downloads/
2. INSTALACION DE KALI A DISCO DURO
Vamos a ejecutar KALI desde un DVD e instalarlo en el disco duro.
Realizar los siguientes pasos:

1. Grabar KALI en formato ISO ( Kali Linux 32 Bit ISO) en un DVD de arranque.

2. Encender el ordenador portátil con

el DVD.

Para iniciar la instalación,

arranque con el medio de
instalación elegido. Usted debe
ser recibido con la pantalla de
arranque de Kali. Elegir si desea
proceder con una instalación
gráfica o en modo texto. En este
ejemplo, hemos elegido una
instalación gráfica
2. INSTALACION DE KALI A DISCO DURO
3.- Seleccione el idioma que desee y luego su país de localización. También se le pedirá que
configure su teclado con el mapa de teclado adecuado
2. INSTALACION DE KALI A DISCO DURO
4.- El programa de instalación copiará la imagen en su disco duro, probará las interfaces de red,
y luego le pedirá que introduzca un nombre de host para el sistema.
2. INSTALACION DE KALI A DISCO DURO
5.- Introduzca una contraseña robusta para la cuenta de root y cree las cuentas adicionales.
2. INSTALACION DE KALI A DISCO DURO
6.- El instalador probará sus discos, y le ofrecerá cuatro opciones. Vamos a usar el disco entero
en nuestro ordenador y no la configuración de LVM (Logical Volume Manager).
2. INSTALACION DE KALI A DISCO DURO
7.- Entonces tendrá una última oportunidad para revisar la configuración de su disco antes de
que el instalador haga que los cambios sean irreversibles. Después de hacer clic en Continuar,
el instalador irá a trabajar y usted tendrá una instalación casi terminada
2. INSTALACION DE KALI A DISCO DURO
8.- Configurar espejos de red. Kali utiliza un repositorio central para distribuir aplicaciones. Si
selecciona “NO” en esta pantalla, usted no será capaz de instalar paquetes desde repositorios
de Kali.
2. INSTALACION DE KALI A DISCO DURO
9.- El próximo paso es instalar GRUB. Y Luego finalice.
3. CONFIGURANDO LAS TARJETAS INALAMBRICAS
Abrir un terminal y digitar iwconfig
3. CONFIGURANDO LAS TARJETAS INALAMBRICAS
Digitar: ifconfig wlan0 up para activar la tarjeta inalámbrica.
3. CONFIGURANDO LAS TARJETAS INALAMBRICAS
La configuración de las tarjetas de red, se encuentra en la sgte ruta:
/etc/network/interfaces
3. CONFIGURANDO LAS TARJETAS INALAMBRICAS
Para configurar la tarjeta inalámbrica, debemos modificar el archivo
/etc/network/interfaces , de la sgte manera:
auto wlan0
iface wlan0 inet static
address 192.168.13.10
netmask 255.255.255.0
network 192.168.13.0
broadcast 192.168.13.255
gateway 192.168.13.1

Luego se debe resetear el servicio de networking

#service networking stop
#service networking start

Para cambiar los dns a utilizar se debe modificar el archivo /etc/resolv.conf

nameserver 200.48.225.130
3. ACTUALIZANDO REPOSITORIOS DE KALI

Agregar los siguientes repositorios:

#nano /etc/apt/sources.list

deb http://http.kali.org/kali kali main contrib non-free

deb http://security.kali.org/kali-security kali/updates main contrib non-free

Después, digitar:

#apt-get update && apt-get upgrade && apt-get dist-upgrade

4. CONFIGURACION DE ACCESS POINT
1.- Conecte el Access Point a su red e instale el programa: dwl2100AP_APmanager_114
en la PC que esta conectada a la Red.
2.- Abra el programa instalado y elija la primera opción para buscar los Access Point
conectados a la red cableada.
4. CONFIGURACION DE ACCESS POINT
3.- Aparecerá el equipo Access Point DWL-2100AP, verifique si la dirección MAC es la
misma que el equipo que Ud tiene asignado
4. CONFIGURACION DE ACCESS POINT
4.- Luego elija la 2da opción para asignarle un numero IP al Access Point.
4. CONFIGURACION DE ACCESS POINT
5.- Desde la PC conectada a la red cableada, Ingrese via browser al Access Point:
En el navegador digite la dirección IP de Access Point, ingresada anteriormente,
utilice User: admin. , pass: <en blanco>
4. CONFIGURACION DE ACCESS POINT
6.- En el menu del lado izquierdo, Seleccione Wireless .
Verifique que la opción SSID Broadcast, este en Enable
4. CONFIGURACION DE ACCESS POINT
SEGURIDAD WEP: Habilitar la encriptación WEP en el Access Point.
  1. En el menu del lado izquierdo, Seleccione Wireless
2. En la opción Authentication type, seleccione “solo” la opción shared Key.
3. En el recuadro Key Settings, de la opción First Key, ingrese: 01234567
Haga clic en el botón Apply
4. CONFIGURACION DE ACCESS POINT
SEGURIDAD WPA: Habilitar la encriptación WPA en el Access Point.
  1. En el menu del lado izquierdo, Seleccione Wireless
2. En la opción Authentication type, seleccione la opción WPA-PSK.
3. En el recuadro PassPhrase Settings, de la opción PassPhrase, ingrese: “ClaveSecreta”
Haga clic en el botón Apply
5.- CONECTANDOSE AL ACCESS POINT
Para poder identificar las redes inalambricas cercanas, debemos digitar el comando:
# iwlist wlan0 scanning , apareciendo una lista de redes inalambricas
5.- CONECTANDOSE AL ACCESS POINT
Utilizar la barra vertical y buscar nuestro Access Point “Wireless Lab”. Como se observa este AP
fue detectado en la Cell 05.
5.- CONECTANDOSE AL ACCESS POINT
Para conectarnos al access point, digitaremos:# iwconfig wlan0 essid “Wireless Lab” , luego
# iwconfig wlan0 para ver el status
5.- CONECTANDOSE AL ACCESS POINT
Para asignar una direccion IP estatica de manera temporal, podemos digitar:
#ifconfig wlan0 192.168.13.10 netmask 255.255.255.0 up
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
TIPOS DE ATAQUES
Acces Point Spoofing
Access Point Spoofing o "Asociación Maliciosa": en este caso el
atacante se hace pasar por un access point y el cliente piensa estar
conectándose a una red WLAN verdadera. Ataque común en redes
publicas.

37
 TIPOS DE ATAQUES

ARP Poisining
ARP Poisoning o "Envenenamiento ARP", ataque al protocolo ARP
(AddressResolution Protocol) como el caso de ataque denominado
"Man in the Midle" o "hombre en medio".
 TIPOS DE ATAQUES
MAC spoofing
MAC Spoofing o "enmascarar el MAC", ocurre cuando alguien roba una
dirección MAC de una red haciéndose pasar por un cliente autorizado.
En general, las placas de redes permiten el cambio de lo numero MAC
por otro, lo que posibilita este tipo de ataque
 TIPOS DE ATAQUES
Denial of Service
Denial of Service o "Negativa de Servicio", también conocido por D.O.S. Consiste
en negar algún tipo de recurso o servicio. Puede ser utilizado para "inundar" la red
con pedidos de disociación, imposibilitando así el acceso de los usuarios, pues los
componentes de la red se asocian y desasocian una y otra vez. Al rechazar algún
servicio, también puede dar origen a interferencias por equipamientos de Bluetooth,
hornos de microondas y teléfonos inalámbricos, debido a que estos equipamientos
trabajan en la misma franja de frecuencia que las redes inalámbricas.
 TIPOS DE ATAQUES
CRACKING DE AUTENTICACION WEP / WPA / WPA2
Luego de escáner la red, el atacante intenta encontrar la contraseña de
autenticación para WEP ó el HASH utilizado en la autenticación de WPA
/ WPA2 para lograr autenticarse en la Red
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES

Modos de operación inalámbrica

Hay 2 modos principales de operación inalámbrica:

 Infraestructura
 Ad Hoc

En ambos modos un “Service Set Identifier” (SSID) es necesario para la

verificación de la red.
El SSID se transmite en tramas de señalización, alrededor de 10 veces
por segundo por el AP.
El SSID puede ser identificado por el cliente cuando se conecta a una red
inalámbrica.
Estos elementos básicos son utilizados por los sniffers inalámbricos para
identificar los nombres de red y recopilar información de interés
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES

Modo Ad Hoc : En este modo los equipos móviles se conectan unos con otros,
sin necesidad de que exista un Access Point .
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
Modo Infraestructura: Esta configuración se logra instalando una estación
central denominada Access Point, a la cual acceden los equipos móviles STA.

- En el modo infraestructura, hay al

menos un AP y una Station (STA) los
cuales forman un Basic Service Set
(BSS).
- El AP es generalmente conectado a
la red cableada la cual es llamada
Distribution System (DS).
- Un Extended Service Set (ESS) es un
grupo de 2 o mas APs conectados a
una misma red.
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
WLAN fue diseñado dejando puntos vulnerables , el cual permite poder utilizar :
 exploit
 spoofing de paquetes
 packet injection
 sniffing.

CONCEPTOS DE WLAN
En WLAN, las comunicaciones viajan en tramas con la siguiente estructura de
cabecera:
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
Wireless packets - 802.11 MAC frame
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES

CAMPO : ADDRESS 1 , 2 ,3 Y 4

DA: Destination Address

RA: Recipient Address
SA: Source Address
TA: Transmitter Address

1.- El primer caso es el modo IBSS. Los FromDS y ToDS no son seteados – Esto se
da cuando 2 STA hablan directamente.
2.- Los 3 últimos casos se encuentran en modo de infraestructura:
- El segundo caso - Solo FromDS es seteado – Esto se da cuando el AP habla
hacia el STA.
- El tercer caso - Solo ToDS es seteado – Esto se da cuando el STA habla al AP.
- El último caso - ambos bits están seteados, en el Modo Sistema de Distribución
Inalámbrico (WDS) – Se da cuando un AP habla a otro AP.
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES

Secuencia de control
Este campo se compone de 2 subcampos utilizados para reconocer la duplicación de
trama:
- Número de secuencia (12 bits): indica el número de secuencia de cada trama.
El número de secuencia es el mismo para cada trama enviada de un paquete
fragmentado. Margen de valores: 0-4095, cuando llega a 4095, el siguiente es 0.
- Número de fragmentos (4 bits): indica el número de cada fragmento de una
trama enviada. Margen de valores: 0-15.

FCS
El Frame Check Sequence (FCS) es el CRC de la trama actual.
Un CRC se utiliza para generar la FCS. Cuando se recibe, la trama FCS se vuelve a
calcular y si es idéntica a la recibida, entonces la trama fue recibida sin errores.
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES

DATA
El campo de datos contiene hasta 2324 bytes de datos. La máxima longitud de
802.11 MSDU es 2304 y los diferentes métodos de encriptación agregan una
sobrecarga:

- WEP: 8 bytes → 2312 bytes

- TKIP (WPA1): 20 bytes → 2324 bytes
- CCMP (WPA2): 16 bytes → 2320 bytes

El estándar IEEE 802.11 indica : "El valor de 2304 bytes es la máxima longitud de
este campo que fue seleccionado para permitir que una aplicación pueda enviar
tramas de 2048 bytes de información, que luego pueden ser encapsulados por un
máximo de 256 bytes de protocolo de capa superior encabezados y colas.
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
Las tramas de Control, tienen la siguiente estructura:

El campo type define los tipos de tramas WLAN. Los cuales son:
 Management Frames
 Control Frames
 Data Frames
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
1. Management frames: Son responsables por mantener la comunicacion entre los Access Point
y los clientes wireless y pueden tener los siguientes sub-tipos:
 Authentication
 De-authentication
 Association Request
 Association Response
 Reassociation Request
 Reassociation Response
 Disassociation
 Beacon
 Probe Request
 Probe Response

2. Control frames: Son responsables por asegurar un apropiado intercambio de datos entre los
access point y los clientes wireless y pueden tener los siguientes sub-tipos:
 Request to Send (RTS)
 Clear to Send (CTS)
 Acknowledgement (ACK)

3. Data frames: Encargados de llevar la data enviada en las redes wireless. No existe sub-tipos
en data frames.
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
Management Frames: Son responsables por mantener la comunicacion entre los Access
Point y los clientes wireless y pueden tener los siguientes sub-tipos:
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
AUTENTICACION WEP
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES

Control Frames: son mensajes cortos utilizados para informar a los dispositivos, cuándo
iniciar o detener la transmisión y si se produjo un error de conexión
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
RTS / CTS
RTS / CTS es un complemento al mecanismo CSMA / CA y ayuda en la reducción de las
colisiones. Una trama RTS tiene una longitud de 20 bytes y una trama CTS tiene la
misma longitud que una trama ACK, 14 bytes
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
Data Frames: El propósito de la trama de datos es la transferencia de datos desde una
capa superior de una estación a otra inalámbrica (o cableada) de la máquina.
INTERACTUANDO CON LAS REDES

Podemos separar el proceso en

3 partes:

- Probe
- Authentication
- Association

Despues que este proceso es

completado, data puede ser
intercambiado en la Red.
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
CREANDO UNA INTERFACE EN MODO MONITOR
Para poder capturar estos diferentes tipos de tramas WLAN, utilizaremos la interface
inalámbrica en modo monitor (modo promiscuo)
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
CREANDO UNA INTERFACE EN MODO MONITOR
Digitar : airmon-ng start wlan0 para crear una interface en modo de monitoreo
correspondiente a la interface wlan0.
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
CREANDO UNA INTERFACE EN MODO MONITOR
Digitar: ifconfig para revisar la nueva interface llamada mon0
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
SNIFEANDO PAQUETES WIRELESS
1.Activar WIRESHARK , digitar: wireshark& en un terminal.
2.Seleccionar el menu: Capture / Sub menu: Interfaces
3.Seleccionar Start de la interface mon0
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
Wireshark empezara a capturar los paquetes
6.- SNIFEANDO REDES WLAN Y SUS VULNERABILIDADES
7.- REVISION DE LAS TRAMAS : MANAGEMENT, CONTROL Y DATA
Para ver las tramas Management de los paquetes capturados, utilizaremos el filtro:
wlan.fc.type==0 en la ventana filter de wireshark.
7.- REVISION DE LAS TRAMAS : MANAGEMENT, CONTROL Y DATA
Para ver las tramas de Control de los paquetes capturados, utilizaremos el filtro:
wlan.fc.type==1 en la ventana filter de wireshark.
7.- REVISION DE LAS TRAMAS : MANAGEMENT, CONTROL Y DATA
Para ver las tramas de Datos de los paquetes capturados, utilizaremos el filtro:
wlan.fc.type==2 en la ventana filter de wireshark.
7.- REVISION DE LAS TRAMAS : MANAGEMENT, CONTROL Y DATA
Para adicionalmente seleccionar un Sub-tipo, utilizaremos el filtro: wlan.fc.subtype .
Para ver todas las tramas de señalizacion de las tramas de Management, utilizaremos
el sgte filtro: (wlan.fc.type==0)&&(wlan.fc.subtype==8)
8.- SNIFEANDO PAQUETES DE DATOS DE LA RED
Vamos a capturar paquetes de datos de un AP, para lo cual digitaremos:
#airodump-ng --bssid 00:21:91:D2:8E:25 mon0

Donde : 00:21:91:D2:8E:25 es la MAC del AP a analizar y el AP no tiene que usar

encriptación.
8.- SNIFEANDO PAQUETES DE DATOS DE LA RED
Vamos a capturar (Snifear) la Data enviada y recibida por el AP. Vamos a poner
nuestra tarjeta inalambrica en el mismo canal que el AP (CH 11)

#iwconfig mon0 channel 11

#iwconfig mon0
8.- SNIFEANDO PAQUETES DE DATOS DE LA RED
Para capturar la data del AP, utilizaremos Wireshark en la interface mon0
Utilizar el Filtro con la MAC del AP: wlan.bssid == 00:21:91:D2:8E:25
8.- SNIFEANDO PAQUETES DE DATOS DE LA RED
Vamos a capturar solo paquetes tipo Data en el AP
Utilizar el Filtro:
(wlan.bssid == 00:21:91:D2:8E:25) && (wlan.fc.type_subtype == 0x20)

Desde una PC client

conectada al AP,
abrir un Browser y
navegar http://

Utilizar la opción:
“Follow a Stream”
9.- INYECCION DE PAQUETES
Utilizaremos aireplay-ng para la inyección de paquetes.
Pasos:
1.- Conectarse a un AP y capturar con Wireshark. Utilizar el Sgte Filtro:
(wlan.bssid == 00:21:91:D2:8E:25) && !(wlan.fc.type_subtype == 0x08)
2.- Digitar: #aireplay-ng -9 -e Wireless_Lab –a 00:21:91:D2:8E:25 mon0
donde: -e [AP_SSID] -a [AP_MAC]
9.- INYECCION DE PAQUETES
Revisemos que esta capturando Wireshark.
Notar que estamos inyectando paquetes en la red sin estar conectados al AP.
 NOTAS IMPORTANTES : SNIFFING E INYECCION PAQUETES

1.- WLAN típicamente opera en 3 diferentes rangos de frecuencia:

2.4GHz, 3.6GHZ y 4.9/5.0GHz.

2.- No todas las tarjetas soportan las 3 bandas.

3.- En cada una de las 3 Bandas hay múltiples canales.

4.- La tarjeta WI-FI solo puede estar en un solo canal a la vez. No

puede estar en varios canales al mismo tiempo.

5.- Para inyección de paquetes necesitamos estar previamente en

ese canal.
Fin de la Unidad