Microsoft Network Monitor 3.3 (captura paquetes/modo monitor)

[maripuri]

Sin nmwifi.exe netmon.exe no funciona entiendo.. 

pd. dicho sea de paso casi 250 vistas para apenas 24h de vida que tiene el tema no está mal.. 
Septiembre 17, 2009, 23:16:05 pmUn extracto de la conclusión del estudio.. (el pdf)

..Con el aplicación de NDIS 6, los desarrolladores tienen nuevas opciones para el desarrollo de controladores que pueden proporcionar instalaciones para la inyección de paquetes y de mando y control de línea para el canal de salto..

[Frodo]

Tendria instalador MSI

msiexec /l*v %Temp%\NetmonInstall.log /i netmon.msi

"msiexec /l*v %Temp%\NetmonParserInstall.log

Eso me lo hacia en la atheros, hay que quitar todos los drivers y dejar que windows meta los que tenga.

A , ok , aunque estoy sobre xp tengo los drivers del commview puestos.

[maripuri]

Voy a quitar los del Commview a ver que pasa..
Septiembre 18, 2009, 01:30:14 ampues pasa que no me arreglo.. 

[erborricobueno]

Se confirman mis sospechas ,abrir el netmon.exe y pulsamos f1.
Nos sale la ayuda y pulsamos en references  ,no hace falta leer mucho ,que casualidad los que salen  .

[maripuri]

uf! me temo.. esta tarde/noche le doy un vistazo, hoy no pude hacer nada por falta de tiempo    Saludos.

Vaya.. ya lo he visto 

[Frodo]

  Yo no e visto nada

[maripuri]

Aún así no tenía olvidado este tema. Mirad que he visto:

Introducción

Este proyecto está destinado a desarrolladores de la red inalámbrica de Windows, y asume que el lector está familiarizado con el concepto de la inyección de paquetes, tramas 802.11, y los protocolos IP. El controlador de red en este paquete proporciona un medio para que los desarrolladores para crear paquetes de 802,11 en el espacio de usuario y enviarlos en la capa de 802,11. El paquete contiene un controlador de red y una aplicación de código abierto de comandos de línea. La aplicación de línea de comandos se muestra cómo utilizar el servicio a través de Packet11 DeviceIoControl.

Requisitos

   * Windows Vista o posterior
   * Adaptador inalámbrico *

* He probado Packet11 en Atheros USB WiFi, Intel PCI WiFi y los adaptadores Rosewill. Todos fueron capaces de enviar mis paquetes a medida. Te recomiendo echar un adaptador inalámbrico segundo en modo monitor para ver los paquetes que se envían en el aire.

Código: [Seleccionar]

// Initialize the 802.11 packet. In this case, a probe request.
void * CreatePacket(
DOT11_MGMT_SUBTYPE subtype,
PUCHAR Source,
PUCHAR Dest,
PUCHAR Bssid,
ULONG packetsize
)

{

    PDOT11_MGMT_HEADER pMgmtHeader = NULL;
    PDOT11_PROBE_REQUEST pProbeRequest = NULL;
    PDOT11_INFO_ELEMENT pInfoElement = NULL;
    PDOT11_BASIC_RATE pBasicRate = NULL;
    PDOT11_EXT_RATE pExtRate = NULL;
    PVOID DataBuffer = NULL;

if(Source == NULL || Dest == NULL || Bssid == NULL){
printf("CreatePacket ==> null mac address \n");
return DataBuffer;
}

DataBuffer = malloc(packetsize);

pMgmtHeader = (PDOT11_MGMT_HEADER)(PUCHAR)DataBuffer;
pMgmtHeader->FrameControl.Version = 0;
pMgmtHeader->FrameControl.Type = DOT11_FRAME_TYPE_MANAGEMENT;
pMgmtHeader->FrameControl.Subtype =  subtype;

//firmware can handle rest of framecontrol
pMgmtHeader->FrameControl.ToDS = 0;
pMgmtHeader->FrameControl.FromDS = 0;
pMgmtHeader->FrameControl.MoreFrag = 0;
pMgmtHeader->FrameControl.Retry = 0;
pMgmtHeader->FrameControl.PwrMgt = 0;
pMgmtHeader->FrameControl.MoreData = 0;
pMgmtHeader->FrameControl.WEP = 0;
pMgmtHeader->FrameControl.Order = 0;

//no specific duration was required to send
pMgmtHeader->DurationID = 314;

memcpy(pMgmtHeader->DA, Dest, MAC_ADDR_LEN);
memcpy(pMgmtHeader->SA, Source, MAC_ADDR_LEN);
memcpy(pMgmtHeader->BSSID, Bssid, MAC_ADDR_LEN);

pMgmtHeader->SequenceControl.FragmentNumber = 0;
pMgmtHeader->SequenceControl.SequenceNumber = 0;

switch (subtype)
{
case DOT11_MGMT_SUBTYPE_PROBE_REQUEST: //0
packetsize = sizeof(DOT11_MGMT_HEADER ) +
sizeof(DOT11_MGMT_SUBTYPE_PROBE_REQUEST) + 1;
pProbeRequest = (PDOT11_PROBE_REQUEST)
((PUCHAR)pMgmtHeader + sizeof(DOT11_MGMT_HEADER ));

pProbeRequest->ssid.ElementID = 0;  //ssid frame
pProbeRequest->ssid.Length = 0;

//the number of rates is up to the user
pProbeRequest->rateframe.ieheader.ElementID = 1;//rate frame
pProbeRequest->rateframe.ieheader.Length = 1; //1 rate object
pProbeRequest->rateframe.rate[0] =
(USHORT)0x82;//mandatory, // 1mbps

break;

default:
break;
}

return pMgmtHeader;
}
http://www.codeproject.com/KB/IP/Packet11.aspx

Download source code - 117.1 KB  (es necesario registrarse)

el tipo de licencia

The Code Project Open License (CPOL) 1.02

[maripuri]

Hay que retomar este tema..

He realizado unas pruebas con un adaptador usb que lleva el chipset RTL8187B y entra en modo monitor, así que preparé un escenario con un router de ONO y logré capturar tráfico.





La prueba está hecha bajo Windows 7 profesional (7600). El driver es el mismo que instalé es su día cuando se realizaron las primeras pruebas (que fueron con la AR5005GS), no tuve necesidad de cambiarlo porque como digo el adaptador entra en modo monitor y la versión aún es la .3.3 que tenía instalada. De momento no detallo los pasos porque ni yo misma los se con exactitud   

El problema es que aún no se manejar Microsoft Network Monitor y aunque generé tráfico con un cliente (otro PC conectado al router) no he conseguido que me reconozca la captura Aircrack-ng.  Una de dos: o no reconoce el formato o no contiene IV's. La extensión de la captura es .cap





El tema debe ir por protocolos (elegí TCPIP de Microsoft), pero es un lío y estoy bastante confusa. Todo pasa por que la captura que guardamos la pueda reconocer Aicrack-ng

A ver quien se pone manos a la obra.. 

[maripuri]

Sería interesante que alguien mas mirara esto, estoy convencida de que se puede inyectar tráfico con adaptadores que hasta ahora no podemos.  En cuanto a pasar los cap para que los pueda leer Aircrack-ng (veo que algo había visto en su día Respuesta 23 de este mismo tema)

C:\>nm2lp
nm2lp: Convert NetMon 3.2 capture to libpcap format (version 1.0).
Copyright (c) 2008 Joshua Wright <jwright@willhackforsushi.com>
Usage: nm2lp <Input NetMon Capture> <Output Libpcap Capture>
C:\>nm2lp wlan.cap wlan.dump

The output wlan.dump file can then be parsed in any libpcap-compliant tools including Wireshark, Kismet, Cain, Aircrack-ng and many others. This opens up tremendous opportunity for a remote penetration tester to attack and compromise the security of wireless networks within range of the
compromised Vista client.

5.6 Converting NetMon Captures to Libpcap Format

Para el tema de inyectar tráfico está el post anterior a este. Hay tela que cortar.

[lampi]

Este programa se a usado poco, recuerdo que una usb la pude poner en modo monitor.

[maripuri]

Yo estoy usando este:

Marca: Thomson
Modelo: TG123g
Tipo: USB
ch¡pset: RTL8187B


Acabo de formatear el HD porque era una copia sin validar de Win 7 y ya tenía problemas de pantallazos. Es un lío, no obstante por todo lo que he leído esta mañana pienso que se puede conseguir la inyección de trafico.

Voy a descargar el último Network Monitor, sin embargo pienso ir por partes porque el tema trae tela, es decir:

El modo monitor y la captura de paquetes ya lo he logrado. Ahora resta comprobar pertenecen solo una red o si no es así lograr que la captura sea solo de la red que se desee. A partir de ahí y por el momento me voy a centrar solo en el tema de compatibilizar la captura con libpcap (con lo que obtendremos capturas válidas que no es poco) para que Aircrack-ng la pueda reconocer, ya que para usar nm2lp.exe veo que es necesario tener instalada la winpcap.dll

Mas adelante ya se verá el tema de la inyección, para eso se necesita también tener instalada también la winpcap.dll

Es un lío porque aparte del propio Network Monitor se puede usar Vistaform desde consola para capturar, así  mismo con nmcap.exe también se puede bajo cmd pero todo esto hay que explorarlo desde cero y el NetWork Monitor trae tela.. puede que en sí sea mas completo que Commview por lo que llevo viendo, pero el tema de manejarlo ya es otra cosa 

Con nmcap.exe:




En el pdf que puse antes parece que viene todo explicado (o la mayoría). Los que no consiguen poner ningún adaptador en modo monitor por compatibilidad con los drivers del commview pienso que tienen un tema aquí cuanto menos interesante de investigar.

[perico]

con el filtro "NM34 High Perf Capture > Wifi Address " pones la mac del ap que te interese y te filtra solo los paquetes que vienen de ese ap

[maripuri]

@perico

Pues ya sabemos mas..     Ahora el paso siguiente es compatibilizar la captura con libpcap para que Aircrack-ng la pueda leer y ya tendríamos algo importante: captura válida para desencriptar posteriormente.

Voy a probar lo que dices. ¿Has realizado alguna prueba con las capturas para pasarlas a libcap? Un saludo.

[perico]

 solo he mirado un poco como funciona el Network Monitor.. ,no he guardado capturas ni nada , cambia de monitor a normal como si nada , esto tiene potencial ,si los de aircrack lo hicieran compatible con estos drivers sería la revolucion de la auditoria en windows

[maripuri]

Desde un principio me pareció una opción interesante pero aún queda mucho camino por hacer. He probado lo que dices y es correcto, ahora lo que se trata es de lograr una captura con los sufientes IV's (lástima de una WLAN) y hacer que la reconoza Aircrack-ng. Luego ya se verá el resto.

[dj_jormi]

ya esta la 3.4
http://www.microsoft.com/downloads/details.aspx?FamilyID=983b941d-06cb-4658-b7f6-3088333d062f&displaylang=en

[maripuri]

@dj_jormi se te han adelantado, lo comentó lampi en el hilo de la TP-LINK. De todas formas muchas gracias. 

Alguien con TP-LINK TL-WN821N Respuesta 16

Por otra parte para en el tema de compatibilizar la captura para que Aicrack-ng la reconozca parece que no hay problema, en la última prueba que hice instalé la winpcap.dll y pasé la captura por nm2lp.exe con el resultado de por fin se interpreta.



Asi que lo que resta ahora es ver que filtro u opción se debe usar para que la captura que se recoja sea la indicada y contenga IV's, de haberlo hecho correctamente la de la foto debería llevar mas de 80.0000 y sin embargo no tiene ninguno. 

Veo que los mas interesados no dicen nada o no prueban.. 

[dj_jormi]

yo lo probare en el portatil, con la wifi de casa  a ver que pasa

[lampi]

instalé la winpcap.dll y pasé la captura por nm2lp.exe con el resultado de por fin se interpreta.

Parace que la cosa va bien, no inyecta pero al menos las capturas ya las pilla el aricrack.

[maripuri]

Parace que la cosa va bien

La cosa va aún mejor, ya logré desencriptar una contraseña a partir de un .cap obtenido con NetWork monitor. 

Os comento: 

Hoy me han regalado un Comtrend 536+ de la antigua Telefónica (me viene de perlas porque no tenía ninguno para pruebas de WLAN_XX) y he preparado un escenario para tener con que ir haciendo las pruebas de NetWork monitor. Por una parte me conecté con el portatil a el para obterner IV's con mayor facilidad y con un segundo PC y ERW monitoricé la captura.

Depués con un tercer PC    puse el adaptador que comento en este hilo en modo monitor y usé el filtro que comenta perico en la respuesta 38. He de decir que por lo resultados esa no debe de ser la opción correcta (también es fácil de que algo haya hecho mal) aunque ha servido. Digo esto porque ya habiendo generado mas de 400 IV's con el portatil (visto a través de ERW en el 2º PC) solo obtuve 5 con NetWork monitor como veremos mas adelante, además de que identifica otras redes en la captura.

Sin embargo creo recordar que el tráfico que vi pasar por NetWork monitor era solo del Comtrend (WLAN_XX).

Hecho todo esto guardé el cap como 1.cap (veo que en realidad es 1.cap.cap, aunque si lo guardo como 1 sin extensión luego nm2lp.exe me arroja error) y lo pasé por nm2lp.exe con la sintaxis:  nm2lp.exe 1.cap 1.dump

El resultado es el fichero 1.dump

Busqué wlandecrypter 1.3.1 que había compilado para el foro y generé un diccionario para la red a partir del BSSID y el ESSID que llamé dicc.txt

Hecho todo esto en la carpeta de wlandecrypter 1.3.1 copié el archivo 1.dump (cap compatibilizado) y lancé aricrqck-ng con la consabida sintaxis:

aircrack-ng -a 1 -w dicc.txt *.cap

El resultado es la obtención de la contraseña en apenas unos instantes. Subo las fotos del proceso:

[perico]

muy bueno! , ahora falta ver por que no captura todas las ivs que se generan.. o algo pasa a la hora de convertir a .cap.
el aircrack te muestra mas ap que el que filtraste?

[maripuri]

@perico

el aircrack te muestra mas ap que el que filtraste?

Así es, me muestra otras redes aparte del Comtrend que preparé exproceso para las pruebas de NetWork monitor, sin embargo he seguido al pie de la letra lo que comentas:

con el filtro "NM34 High Perf Capture > Wifi Address " pones la mac del ap que te interese y te filtra solo los paquetes que vienen de ese ap

Las pruebas han servido para confirmar la captura de paquetes, la obtención del .cap y posteriormente su compatibilización para que Aircrack-ng lo lea y lo desencripte, aunque no estoy convencida que esta sea la manera correcta de hacerlo. A mi entender el .cap debería de contener solo los datos de la red que hayamos elegido para capturar, sin embargo (aunque válido con respecto a Aircrack-ng) no es así y se aprecia que aloja otros no deseados.

Si se da con la manera de hacerlo bien el siguiente paso será probar a inyectar un ARP.

respuesta 31

He probado Packet11 en Atheros USB WiFi, Intel PCI WiFi y los adaptadores Rosewill. Todos fueron capaces de enviar mis paquetes a medida. Te recomiendo echar un adaptador inalámbrico segundo en modo monitor para ver los paquetes que se envían en el aire.

[lampi]

Por este tiempo tengo mas trabajo pero en cuanto baje me pongo a probar con vosotros.

[maripuri]

Desde consola de cmd vistarfmon



luego he tratado con nm2lp.exe pero prefiero trabajar desde la interfaz de Network monitor.

En cuanto al tema de la inyección:

Requerimientos

Windows Vista o posterior
Adaptador inalámbrico

Al mejor de mi conocimiento, no existen otros inyectores 802,11 paquete para Windows sin necesidad de adaptadores especiales (AirPcap).  Los paquetes construidos en la capa de 802,11 son nativos de la minipuerto inalámbrica.  Linux ha sido capaz de modificar los paquetes nativos WiFi para las edades y extender la tecnología WiFi, es decir, MadWifi. Tener más control sobre los paquetes nativos WiFi también ampliar las capacidades de WiFi en Windows.  Puesto que Windows Vista, de controlador de red Especificación de interfaz (NDIS) 6 ha dado a los desarrolladores de terceras partes de Windows una mejor oportunidad para gestionar y ampliar las capacidades de WiFi adaptador. Sin embargo, creación y modificación de los paquetes en la capa de 802,11 indocumentados es para Windows.

Obviamente, para poder utilizar esta función, el conductor Packet11 debe estar instalado antes de usar esta función. he dado órdenes para instalar y desinstalar el controlador. El readme da más detalles sobre este. Una vez que el controlador está instalado, se puede crear y probar una costumbre 802,11 paquete.

He probado Packet11 de Atheros USB WiFi, Intel PCI WiFi y los adaptadores Rosewill.  Todos fueron capaces de enviar mis paquetes a medida

la traducción es 'de pachanga' pero puede servir. He subido packet11 tal cual a la cuenta del foro para que no se pierda:

packet11

[perico]

Así es, me muestra otras redes aparte del Comtrend que preparé exproceso para las pruebas de NetWork monitor, sin embargo he seguido al pie de la letra lo que comentas:

entonces ese flitro es para ver lo que se está capturando de un determinado ap y no para caturar.