Posible scriptkiddie en mi wifi

Saludos.

Para comprobar intentos de acceso a tu router, ataques, etc... tienes varias herramientas como nmap, o bien, el propio log del router, que en muchos casos te dirá lo que está sucediendo. También tienes herramientas un poco más agresivas y multiusos como mdk3, que tiene alguna opción para detectar ataques.

Por lo que dices, más que conectarse o haberte crackeado la red, estará intentándolo, y si por ejemplo, quiere tocar los huevos, y está usando el mdk3 con el wpa exploit, o el otro modo que deniega paquetes wpa, vamos mal...

Lo que puedes hacer, o bien es ser drástico y deshabilitar el wifi, y ya no tendrás más problemas, o bajar tanto la señal como para que sólo tu desde la distancia habitual a la que te conectas puedas percibirla.

Requiescat In Pain.

Por cierto las contraseñas que uso son PSK
Le echaré un vistazo a nmap y a mdk3. El problema es que él está en el mejor de los casos a 10 metros, seguramente más, de la ps3 que recibe a un 20%, o sea que si bajo la señal más me quedo sin conexión en la consola y para que él reciba señal tiene que haberse puesto una antena sí o sí. Estoy considerando la posibilidad de comprar un ordenata con varias interfaces y empezar a capturar tráfico, ponerle openBSD y usarlo como router, no sé, me llevaría demasiado tiempo.

Un posible método de detección. Partimos de que sabes qué dispositivos "legítimos" están conectados a tu router.

Doy por asumidos ciertos conocimientos de redes, si no entiendes ni papa no dudes en preguntar que para eso estamos. Suponiendo que el rango de direcciones IP abarque desde 192.168.1.0 hasta 192.168.1.255, primero puedes usar nmap a pelayo:

Si te aparece alguna dirección IP más de la cuenta de dispositivos legítimos conectados, ahí tienes a un intruso. Si no te aparece ninguno, o si crees que aún puede haber más, es posible que hayan bloqueado los pings, por lo que hace falta ejecutar otra orden:

Con esto se recorre el rango de direcciones IP anterior, y busca qué dirección MAC está asociada con cada dirección IP. Aquí (creo que) no hay tu tía, por mucho ping bloqueado que haya se mostrará la dirección MAC de todos los dispositivos conectados al router (incluido él mismo).

Suerte pues!

srpatato escribió:Un posible método de detección. Partimos de que sabes qué dispositivos "legítimos" están conectados a tu router.

Doy por asumidos ciertos conocimientos de redes, si no entiendes ni papa no dudes en preguntar que para eso estamos. Suponiendo que el rango de direcciones IP abarque desde 192.168.1.0 hasta 192.168.1.255, primero puedes usar nmap a pelayo:

$ nmap -sP 192.168.1.*


Si te aparece alguna dirección IP más de la cuenta de dispositivos legítimos conectados, ahí tienes a un intruso. Si no te aparece ninguno, o si crees que aún puede haber más, es posible que hayan bloqueado los pings, por lo que hace falta ejecutar otra orden:

$ arp


Con esto se recorre el rango de direcciones IP anterior, y busca qué dirección MAC está asociada con cada dirección IP. Aquí (creo que) no hay tu tía, por mucho ping bloqueado que haya se mostrará la dirección MAC de todos los dispositivos conectados al router (incluido él mismo).

Suerte pues!

Ahora mismo con nmap me aparecen 2 hosts, bien!, no consigo usar el comando arp, me pide argumentos y no tengo ni idea.
Esta noche puse el airodump-ng en el canal de mi wifi y tengo un archivo cap de 4GB, lo que no sé es cómo buscar dentro porque lo abro con wireshark y me sale todo y para buscar direcciones mac ajenas no sé, seguramente tuvo acceso a la lista con las direcciones MAC, ¿cómo compruebo que no me la pegan? Gracias, me estáis ayudando bastante.
Espero que no me toquen las narices que me compro una máquina con 6 interfaces wireless y me pongo a capturar y crackeo todas las redes y a usar el airdecap, por cierto, ¿crackear la contraseña no es ilegal?

kattandpeist escribió:

srpatato escribió:Un posible método de detección. Partimos de que sabes qué dispositivos "legítimos" están conectados a tu router.

Doy por asumidos ciertos conocimientos de redes, si no entiendes ni papa no dudes en preguntar que para eso estamos. Suponiendo que el rango de direcciones IP abarque desde 192.168.1.0 hasta 192.168.1.255, primero puedes usar nmap a pelayo:

$ nmap -sP 192.168.1.*


Si te aparece alguna dirección IP más de la cuenta de dispositivos legítimos conectados, ahí tienes a un intruso. Si no te aparece ninguno, o si crees que aún puede haber más, es posible que hayan bloqueado los pings, por lo que hace falta ejecutar otra orden:

$ arp


Con esto se recorre el rango de direcciones IP anterior, y busca qué dirección MAC está asociada con cada dirección IP. Aquí (creo que) no hay tu tía, por mucho ping bloqueado que haya se mostrará la dirección MAC de todos los dispositivos conectados al router (incluido él mismo).

Suerte pues!

Ahora mismo con nmap me aparecen 2 hosts, bien!, no consigo usar el comando arp, me pide argumentos y no tengo ni idea.
Esta noche puse el airodump-ng en el canal de mi wifi y tengo un archivo cap de 4GB, lo que no sé es cómo buscar dentro porque lo abro con wireshark y me sale todo y para buscar direcciones mac ajenas no sé, seguramente tuvo acceso a la lista con las direcciones MAC, ¿cómo compruebo que no me la pegan? Gracias, me estáis ayudando bastante.
Espero que no me toquen las narices que me compro una máquina con 6 interfaces wireless y me pongo a capturar y crackeo todas las redes y a usar el airdecap, por cierto, ¿crackear la contraseña no es ilegal?

Si, si no tengo mal entendido, si.

¿crackear la contraseña no es ilegal?

Depende. El mero hecho de hacerlo, me da que no.

He encontrado esto por internet sobre mac spoofing: "¿Cómo podemos evitar este tipo de ataques a nuestros sistemas? Al igual que dijimos en IP Spoofing, usar siempre que sea posible protocolos seguros como IPSec en los que sea necesario tunelizar todo el tráfico dentro de una misma red"

¿cómo activo ipsec para todos los ordenadores?

Pierdo la conexión cuando no hay nadie en casa, cuando voy a conectarme al router por wifi o por cable me encuentro con que no responde y sólo me queda reiniciarlo y perder los logs, en mis ordenadores ¿qué logs hay que mirar para saber si están inyectando algo en la red?

un nmap revela esto de mi router:
Starting Nmap 5.21 ( http://nmap.org ) at 2010-03-02 19:14 CET
Nmap scan report for local.gateway (192.168.27.1)
Host is up (0.0016s latency).
Not shown: 995 closed ports
PORT STATE SERVICE
23/tcp open telnet
53/tcp open domain
80/tcp open http
2800/tcp open unknown
8008/tcp open http

Tengo entendido que el router está basado en un linux, ¿cómo cierro esos puertos desde una terminal?

Tal vez te interese algo como http://www.smoothwall.org/. Es una distro linux que hace de firewall. Puedes configurar las interfaces o tarjetas de red que quieras, y usarlo como firewall intermedio.

No lo he probado pero tiene muy buena pinta.

kattandpeist escribió:
Ahora mismo con nmap me aparecen 2 hosts, bien!, no consigo usar el comando arp, me pide argumentos y no tengo ni idea.
Esta noche puse el airodump-ng en el canal de mi wifi y tengo un archivo cap de 4GB, lo que no sé es cómo buscar dentro porque lo abro con wireshark y me sale todo y para buscar direcciones mac ajenas no sé, seguramente tuvo acceso a la lista con las direcciones MAC, ¿cómo compruebo que no me la pegan? Gracias, me estáis ayudando bastante.
Espero que no me toquen las narices que me compro una máquina con 6 interfaces wireless y me pongo a capturar y crackeo todas las redes y a usar el airdecap, por cierto, ¿crackear la contraseña no es ilegal?

¿Qué te sale en el arp para que no puedas usarlo? Prueba con y pon aquí el error si sale.
O también puedes usar el wireshark y capturar desde ahí, en lugar de con el airodump. No uses ancho de banda, espera a cuando creas que tu intruso se ha metido en tu red y empieza a capturar. Debería salirte la dirección MAC del router y del atacante.
Pero no creo que el tío haya sido capaz de crackearte una WPA con pass de de 8 y de 16 caracteres en dos días seguidos... o sí, posible es pero probable...¿usas caracteres "raros" como @#~_,.? ¿Mezclas números con letras, al estilo 1ee7? Si no, deberías.
¿Qué router es? La pregunta tontaca de ¿has apagado y encendido el router? la dejo para otro día, pero con mi router funciona cuando va todo lentísimo. Apago 5 minutos, se enfría, lo enciendo y solucionated.

$ arp -a
? (10.37.129.255) at (incomplete) on en5 ifscope [ethernet]
? (10.211.55.255) at (incomplete) on en4 ifscope [ethernet]
time3.euro.apple.com (17.72.255.11) at (incomplete) on en4 ifscope [ethernet]
local.gateway (192.168.27.1) at 0:13:46:xx:xx:xx on en1 ifscope [ethernet] --->Router
? (192.168.27.2) at 0:1b:63:xx:xx:xx on en1 ifscope [ethernet] ---> ordenador en red local
? (192.168.27.255) at (incomplete) on en1 ifscope [ethernet]

Mi ordenador no aparece

Puess
si el 192.168.27.2 es un equipo legítimo dentro de tu red, no parece haber ningún intruso. Si hubiera algún intruso tendría que aparecer otro equipo con 192.168.27.* (el 192.168.27.255 es una dirección, digamos, "reservada" para todos los equipos a la vez y que, por tanto, no puede ser ocupada por ningún equipo en concreto)

Tu equipo no aparece en la lista porque "no tiene que comunicarse con él mismo" a través de ethernet.