Easy_Creds Aracı ile Sahte Erişim Noktası Saldırısının Gerçekleştirilmesi

Kablosuz ağ sızma testleri sırasında gerçekleştirilen kontrollerden birisi mevcut ortam ile aynı isme sahip olacak şekilde sahte yayın yaparak kurbanların ağ trafiği izlenebilir veya yapılandırılabilir. Bu yazıda Easy_Creds aracı ile sahte erişim noktası saldırısı adı verilen saldırı gerçekleştirilecektir.

 

Sahte erişim noktası saldırısının (Rouge Access Point Attack) iki temel çeşidi vardır.

• Bulunulan lokasyondaki ağ yayını ile aynı isimde sahte yayın yapılabilir. Eğer gerçek yayından daha güçlü bir yayın yapılırsa, bağlanacak kullanıcılar sahte erişim noktasına bağlantı isteği oluştururlar. Bu saldırı türüne Evil Twin adı da verilebilir.
• İnsanların ilgisini çekebilecek bir yayın adı (Ucretsiz-ADSL, Cafe-Internet,… gibi) ile de bir yayın yapılabilir.

 

Bir tür sosyal mühendislik saldırısı da olan sahte erişim noktası saldırısında, kullanıcılar sahte ağ yayınına bağlanır ve bu yayın üzerinden istedikleri hedefe (genellikle de internete) erişirler. Bütün trafikleri sahte erişim noktası üzerinden geçtiği için, araya girme saldıları (Man in the Middle – MITM) sırasında yapılabilecek tüm işlemler de gerçekleştirilebilir. Saldırgan tarafından gerçekleştirilebilecek bazı işlemler aşağıdaki gibidir.

• Belli bir IP havuzundan IP verilebilir.
• Varsayılan ağ geçidi değiştirilebilir.
• Ağ trafiği dinlenebilir.
• SSL trafiğinde araya girilebilir (SSLStrip veya sertifika yüklenmesi gibi ek adımlar gerçekleştirilmezse son kullanıcı hata alacaktır.)
• DNS ayarları değiştirilebilir.

 

Sahte erişim noktası saldırısı, Easy_Creds aracı ile aşağıdaki adımlar ile gerçekleştirilebilir.

 

Easy_Creds Aracının Kurulumu

Easy_Creds aracının kaynak kodları Github üzerinde bulunmaktadır.

1) Easy_Creds aracının kaynak kodları Github üzerinden indirilir.

wget https://github.com/brav0hax/easy-creds/archive/master.zip

 

2) İndirilen sıkıştırılmış paket, dışarıya çıkarılır.

unzip master.zip

 

3) Kurulum gerçekleştirilir.

cd easy-creds-master
ls -la
./installer.sh

 

4) İşletim sistemi seçilir.

 

5) Gerekli paketler otomatik kurulur veya indirilir. İlk kurulum biraz zaman alacaktır.

 

Örneğin, Radius server paketleri yoksa internetten indirilir.

 

Kurulum tamamlanır.

 

Böylece kurulum tamamlanmış olur.

 

Saldırının Gerçekleştirilmesi

1) Easy-Creds aracı ile ağ zehirlenme saldırısı veya sahte erişim noktası saldırısı gerçekleştirilebilir.

ls -la
./easy-creds.sh
3

 

2) Sahte erişim noktası saldırısı seçeneği seçildiğinde, çeşitli saldırılar gerçekleştirilebilir. En önemli 2 saldırı aşağıdaki gibidir.

a. 1 nolu seçenek ile ilgi çekebilecek sabit / statik bir yayın adı üzerinden saldırı gerçekleştirilebilir.

b. 2 nolu seçenek ile mevcut ortamdaki tüm yayınlar dinlenir ve aynı yayın isminde sahte ağ yayını oluşturulur. Bu saldırı sırasında gerçek erişim noktalarına De-Authentication paketleri gönderilerek bağlı olan istemcilerin ağdan düşmesi sağlanır.

Bunların yanında sahte kimlik doğrulama saldırısı veya erişim noktasına DOS da uygulanabilir.

 

3) Mevcut ortamda tespit edilen yayınlar ile aynı isimde yayın oluşturulduğunda sahte erişim noktası oluşturmak istendiğinde bir takım yapılandırma seçenekleri ayarlanmalıdır. Bu örnekte gerçekleştirilen yapılandırmalar aşağıdaki gibidir.

a. Oturum çalma işlemi (sidejacking) gerçekleştirilmeyeceği belirtilir.

b. İnternete bağlı olan ağ arayüzü belirtilir.

c. Sahte yayının yapılacağı kablosuz ağ arayüzü belirtilir.

d. Monitör modda olacak arayüz adı belirtilir.

e. Gerekiryorsa, izleme modundaki bu arayüzün MAC adresi değiştirilir.

f. İstemcilerin bağlanacağı kablosuz ağ arayüzü belirtilir. İstemci bu arayüze bağlandıktan sonra, bu arayüz üzerinden dışarıya / internete erişen arayüze yönlendirilecektir / tünellenecektir.

g. DHCP konfigürasyon dosyasının kullanılıp kullanılmayacağı belirtilir.

h. Kullanıcılara dağıtılacak IP adresinin alt ağı belirtilir.

Not: Eğer dhcp’nin başlatılamadığı ile ilgili bir hata alınıyorsa easy-creds.sh dosyası açılarak 731. satırda dhcpd3, dhcpd ile değiştirilebilir.

i. Saldırı amaçlı kullanılan sistemdeki DNS yapılandırması listelenir ve istemcilerin kullanacağı DNS sunucusu belirtilir.

 

4) Böylece, konfigürasyonlar tamamlanmış olur ve Airbase-ng aracı başlatılarak sahte ağ yayını yapılır. Bu yayına bağlanan istemciler belirtilen ağ konfigürasyonlarını (IP, DNS,…) alır ve saldırganın üzerinden hedefine erişim sağlar. Saldırgan da DMESG, SSLStrrip, ettercap, URL snaff ve dnsiff araçları ile bilgi toplamaya veya kullanıcıların bilgisayarını ele geçirmeye çalışır. Kullanılan bu araçların temel özellikleri aşağıdaki gibidir.

a. Airbase-NG kullanıcı ağa bağlandığında bu pencerede görülür.

b. DMESG donanım sürücüsü çekirdek içine yüklenen bir makine veya herhangi bir hata, hatalı donanım sürücüleri hakkında bilgiler verir.

c. SSLStrip https trafiğini incelemeye yarayan python programıdır. En büyük özelliği bunu yaparken bağlantıyı http’ye çevirdiğinden kullanıcının ssl uyarılarını da görmüyor olmasıdır.

d. Ettercap birden fazla özellikli trafik analiz ve trafik injection yapabilen bir programdır. Ettercap ile basit olarak trafik dinleme işlemlerinden hariç switch’li ağlarda birden fazla yöntem (ARP spoofing, ARP poisoning, mac address cloning) kullanarak trafik akışını izleyebilen ve trafik akışına yön verebilen bir programdır.

e. URL Snarf ve Dsniff ağ denetlemesi yapan araçlardır.