Foro de elhacker.net

Bueno, la mayor parte de lo que se de hacking wireless es ser capaz de acceder a redes, pero nunca he pensado que pasa mas allá. Se que cuando alguien entra a mi red podría hacerme un ataque de "Man in the Middle", ¿Pero que mas tipos de ataque podría recibir de alguien que se haya colado en mi red?

Bueno, un atacante sería capaz de hacer sniff a la red (interceptar los datos que van y vienen de los clientes) usando un "sniffer" como Wireshark o Cain & Abel.

Supongo que en esos paquetes estarán datos importantes como contraseñas y demás, pero los paquetes que reciba no estarían cifrados? Tambien habría alguna manera de detectar a alguien sniffeando los paquetes? (Aunque esto lo dudo, supongo que el sniffer volverá a mandar los paquetes o algo por el estilo)

Esto me ha dejado con dudas y curiosidad. Hay algún post acerca del funcionamiento de un sniffer?

Si el login está en HTTPS, el sniffer no puede romper el cifrado y no entrega los datos introducidos en él.
En caso de que el login esté en HTTP, los sniffers sí son capaces de extraer.

Es difícil detectar un sniffer... son prácticamente sigilosos.

No se puede detectar un sniffer, es un proceso pasivo, él solo escucha... Es como detectar a alguien que solo está escuchando, si no hace un ruido, no es posible

¿Pero no se supone que si haces un MITM y tu ejecutas arp -a en la maquina victima y compruebas las MAC se ve claramente si el trafico esta moviéndose por otro lado?
Seguramente me este yo liando, y mas si engel lex dice que no se detecta, pero vamos, siempre lo hice así y se detecta sin problemas.

Si lo haces con un ataque de arp si... Pero puedes haber sniff sin eso, no es un paso necesario

¿Y como haces un MITM sin envenenar ARP?
Por ejemplo, con Aircrack creo recordar (hace siglos que no lo hago) que capturaba y guardaba los paquetes para luego poder analizarlos, pero no se si te refieres a eso.
Si hay otros métodos te agradecería que me dieras algo de información para investigarlo.

Un abrazo engel lex.

en redes inalambricas, especialmente abiertas, al colocar la tarjeta en modo promiscuo, simplemente el programa a la escucha leerá todos los paquetes que pasen por la antena (unas pocas limitaciones aplican)

como dices es la tecnica que usan los programas de pentesting como aircrack...

eso si, ya con redes protegidas la cosa puede cambiar

Haber el estar en modo de escucha(promiscuo) no levantaría sospechas, el envenenamiento de la tabla ARP si que involucraría una llamada de atención ya que lo que hace es un falseo en dicha tabla y esto "SI" que se puede rastrear.

Ver pasar el trafico no involucra el falseo de mac, otra cosa es añadir filtros y seleccionar un objetivo en la red ajena.

Un saludo!

Contestando a la pregunto original, un atacante prodria hacer muchas cosas,tendria el acceso a toda la informacion que pasa por la red de todos los equipos conectados, pudiendo asi hcaer todo lo imaginable, esto no es infalible hay defensas, modos de deteccion y proteccion pero es el precio de un wifi sin key, compartir wifi o simplemente olvidarte de tu seguridad wifi,  creo un MITM seas cual sea, sea pasivo o activo, sea el protocolo hay se vinculo, el modo o la herramienta, son detecables a cierto puerto ninguno sigiloso como dicen, siempre rastreables...

No, ya que hay aplicaciones que se dedican no solo a ver la tabla arp o si algun otro dispositivo al cual se le esta orientando el trafico es sospecho,sino tambien detectar que adaptador esta en modo promiscuo, los AVs tambien dectan ya un envenenamiento arp, dns, certificados maliciosos, etc....

Son 2 procesos totalmente diferentes y arp no es el unico protocolo envenenado que es suceptible a un mitm.

si esta en HTTPS no se rompe solo se enruta y captura antes asi se ve la informacion(basicamente), si estan lel user:pass en texto plano sea cual sea http,ftp,telnet o wherever se podran ver con cualquier sniffer comun

practicamente... no, son visibles si sabes analizar el trafico, el que escucha tambien puede ser escuchado, el proceso de sniffeo pasivo son callados pero sin key pass no sirven de nada, ademas de contener paquetes en bruto y ser notados por un propio sniffeo al aire o sea un airodump, la misa dinamica de cualquiera puede escuchar paquetes del aire por que viajan libremente pero eso tambien le da el poder de analisis a los demas para poder oirte....

Creo que el sniffeo es uno de los ataques basicos que utilizan los atacantes, siendo y  habiendo mas y creo yo de mayor impacto otras tecnicas, a veces un mitm detectado no sirve y otras tecnicas te daran el mismo el resultado, lo mejor es echar un vistazo a estas herramientas de deteccion... como WNW para ver quien esta conectado, o detectar sniffeos: marmita, DecaffeinatID , PromQry, Antisniff, Sentinel, SniffDet, NEPED, etc, mas pruebas ping, dns, etc + script y comparativas logicas... como ven hay mucho asi que de vez en cuando echar un ojo a su red para no ser victimas de alguien mas...  ::)