Decifrando usuarios y contraseñas con Wireshark

Si no has oído nunca hablar de esta herramienta será porque no estás relacionado con el mundo de las comunicaciones e Internet, porque ésta es una de las herramientas más utilizadas en un sin fin de escenarios.

Wireshark, antes conocida como Ethereal, es un analizador de protocolos usado para analizar redes de comunicación. Permite ver todo el tráfico que pasa a través de una red si lo configuramos en modo promiscuo. Fruto de ese análisis se pueden encontrar vulnerabilidades en la red, en algún protocolo o en el software. También, por supuesto, nos sirve para aprender un poco más como funcionan nuestros sistemas de comunicación.

Puedes hacerlo funcionar de forma sencilla a través de una interfaz gráfica que permite múltiples opciones de organización y filtrado de información. El objetivo de este artículo no es aprender a utilizarlo, para ello te invito a que visites su propio User’s Guide o que hagas una búsqueda rápida por Internet que seguro que encuentras muchos manuales.

Si quieres jugar un poco en tu red Wi-Fi privada de casa, te propongo que hagas estos experimentos:

Deja tu ordenador sniffing en modo promiscuo. Luego dedícate a navegar con normalidad, accediendo a tus redes sociales (Facebook, Linkedin, etc.), haciendo logging en tu cliente de correo electrónico, autenticándote a las webs que más sueles visitar, etc.

Cuando lleves un rato, detén la captura y prueba los siguientes filtros para ver cuantas contraseñas “viajan” por tu red en texto plano:

Credenciales con POP:

pop.request.command == "USER" || pop.request.command == "PASS"

Credenciales con IMAP:

imap.request contains "login"

Credenciales con SMTP:

smtp.req.command == "AUTH"

Filtrar peticiones HTTP con el método POST:

http.request.method == "POST"

Y cuando encuentres estos paquetes, pulsa sobre ellos con el botón derecho y selecciona “Follow TCP Stream”.

Mira la información que te aparece y a ver cuantos “user y passwords” encuentras. Imagínate que no eres tú el que está viendo esa información, sino que es otra persona que pueda hacer un mal uso de ella.

¿Sueles utilizar redes públicas o compartidas de una cafetería, universidad, etc? Si analizas el tráfico de esas redes usando Wireshark y guardas la captura, verás que los paquetes están cifrados. Si sabes la contraseña de la red, ya sea WEP, WPA o WPA2, puedes descifrar los paquetes con esta herramienta en:

Edit > Preferences > Protocols y seleccionamos “IEEE 802.11″, luego ponemos el password en el formato correspondiente en el cuadro de texto “Key” de la forma:

wpa-pwd: <PASSWORD>:<SSID>

Ahora todos los paquetes capturados están descifrados, ¿magia?, prueba a utilizar alguno de los filtros anteriores a ver que aparece.

Vemos lo vulnerable que puede llegar a ser nuestra red y cómo con unos mínimos conocimientos se puede obtener mucha información. Por tanto, trata de utilizar sitios con SSL/TLS (sitios con https:// por ejemplo) y no te conectes a redes sin contraseña y expongas tu información a cualquiera. Recuerda que Internet no se diseñó pensando en la seguridad.