Tengo un entorno de prueba, donde pruebo algunas herramientas y enfoques de piratería inalámbrica, y últimamente me han interesado los ataques de los gemelos malvados. Creé un AP falso usando airbase-ng, y especifiqué las tablas de IP manualmente, en qué momento si el cliente conectado tenía acceso a Internet. Luego, disparé el marco MITMf y lo ejecuté con el siguiente comando:
./mitmf.py -i at0 --spoof --hsts --arp --dns --gateway 192.168.0.1
Usando este enfoque, pude obtener las credenciales de la víctima (yo mismo en mi laboratorio de pruebas) de FB y GMail. Se estaba redirigiendo la conexión a algún subdominio no seguro, como account.google.com en lugar de las cuentas originales.google.com.
Por otro lado, traté de usar el kit de herramientas MANA para crear el AP falso automáticamente. También viene con herramientas como SSLStrip y dns2proxy (que también usa MITMf). Pero, una vez que ejecuté el script que viene con MANA ( start-nat-full.sh ), creó un AP falso y el cliente conectado tenía acceso a Internet, pero si el cliente quería visitar un sitio web como FB o GMail, la página no abierto en absoluto.
No dediqué tiempo a revisar el código fuente por completo, pero creo que una diferencia entre ellos es que MITMf también ofrece falsificación de DNS y ARP con la herramienta Spoof, que usé mientras ejecutaba el ataque. Si los elimino, el ataque no tendrá éxito, mientras que entonces abriría la versión segura de FB o GMail.
Sin embargo, no sé exactamente si esta fue la razón principal por la que tuvo éxito con una herramienta y no con la otra. Si alguien ha tenido experiencias similares me gustaría escuchar. Pero, mi pregunta es, ¿la función de suplantación ARP o DNS juega un papel en los ataques MITM (o eludir HSTS)?