mikrocontroller.net

Forum: PC Hard- und Software wie WLAN sniffen?


Announcement: there is an English version of this forum on EmbDev.net. Posts you create there will be displayed on Mikrocontroller.net and EmbDev.net.
Autor: Johannes S. (jojos)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
ich habe einen Ventilator (Princess von HomeWizard) der im WLAN hängt 
und auch über eine App bedient werden kann. Das funktioniert, läuft aber 
über irgendeine Wolke. Laut MAC ist da wohl unser altbekannter ESP8266 
drin, zerlegt habe ich das Gerät ausnahmsweise noch nicht.
Um zu sehen wie der gesteuert wird möchte ich gerne das WLAN mithören, 
das klappt aber nicht so recht. Mein Notebook ist im WLAN bekommt aber 
nix von dem Traffic mit. Ich habe als spezielle Software den 'Acrylic 
Wi-Fi Professional' gefunden, aber da sehe ich nur Beacon Broadcasts von 
den ganzen WLAN in der Umgebung. Es gibt einen Monitor Mode, aber dafür 
ist meine Intel Dualband AC8265 nicht geeignet, da meckert das Programm.
AP ist eine FritzBox 7590 gibts da irgendwelche Möglichkeiten den WLAN 
Traffic auf eine Port zu leiten? Oder was für Hardware braucht man da?

: Bearbeitet durch User
Autor: c-hater (Gast)
Datum:

Bewertung
2 lesenswert
nicht lesenswert
Johannes S. schrieb:

> AP ist eine FritzBox 7590 gibts da irgendwelche Möglichkeiten den WLAN
> Traffic auf eine Port zu leiten?

Naja, nicht auf einen Port. Aber einfach in eine Datei.

> Oder was für Hardware braucht man da?

Einen handelsüblichen PC mit Webbrowser. Und zur Auswertung dann 
Wireshark.

Der Trick ist die richtige URL:

http://fritz.box/html/capture.html

Autor: Johannes S. (jojos)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
cool, das capture in der FB klappt. Allerdings gehen die Daten von der 
Smartphone App nicht über die FB und ich sehe die im Mittschnitt nicht 
:( Dann brauche ich wohl ein WLAN Kabel.

Autor: Andreas K. (andreas_k209)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hast Du noch nicht den richtigen Filter gefunden?

Machnmal geht das so:
HandyApp<->(FB)<-> Web <->(FB)<->Gerät

Wobei HandyApp->Web eine andere Verbindung ist als Web<->Gerät.

Ich habe schon WLAN-Steckdosen sniffen können. Die Geräte waren alle im 
selben Netzwerk.

Autor: Johannes S. (jojos)
Datum:
Angehängte Dateien:

Bewertung
0 lesenswert
nicht lesenswert
Die Handy App schwätzt scheinbar direkt mit dem Ventilator, in der FB 
sehe ich die nicht.
Es gibt aber eine Einstellung für zusätzliche capure optionen, da suche 
ich gerade die Doku zu.

Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Johannes S. schrieb:
> Die Handy App schwätzt scheinbar direkt mit dem Ventilator, in der FB
> sehe ich die nicht.
> Es gibt aber eine Einstellung für zusätzliche capure optionen, da suche
> ich gerade die Doku zu.

Dann müsste der Ventilator mit der Handy App ein eigenes Netz aufbauen, 
wobei die APP dann eine eigenständige Verbindung aufbaut.

Läuft der Ventilator als Access Point?
Installiert dir dazu mal kismet auf einem PC und schau, welche Netze in 
deiner Nähe sind.
Dazu am besten den Ventilator mal vom Strom stellen, und neu suchen, 
dann wieder an den Strom und dann vergleichen ob sich bei den SSIDs 
etwas tut.

Autor: Philipp K. (philipp_k59)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
In Android gibt es sniffer die die Daten der Apps über ein VPN sniffen, 
quasi Wireshark für Android.

Autor: Johannes S. (jojos)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Der Fan ist kein AP, der ist Client am AP, das zeigt auch das Acrylic 
WiFi Tool an. Die IP Adresse ist auch im Netz vom AP, das passt also 
alles.
Der Sniffer in der FB ist wohl tcpdump, das konfiguriert nix an dem wlan 
interface.
Ich habe noch ein anderes Notebook, da teste ich nochmal mit dem 
Acrylic. Oder kann das WLAN auf dem Raspberry alles mitschneiden?

Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Johannes S. schrieb:
> Oder kann das WLAN auf dem Raspberry alles mitschneiden?

Wireshark läuft meines Wissens nach auch auf einem Raspi.

Autor: c-hater (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Johannes S. schrieb:

> cool, das capture in der FB klappt. Allerdings gehen die Daten von der
> Smartphone App nicht über die FB

Das kann eigentlich kaum sein. Entweder redet die Smartphone App direkt 
über's WLAN mit der diesem verschissenen Fan oder sie tut es über den 
Umweg über irgendeine gottverdammte Cloud.

Solange aber sowohl der Fan als auch Smartphon über dein WLAN 
kommunizieren, solltest du mit der FB den Traffic capturen können.

Also: Du musst erstens natürlich dafür sorgen, dass das Smartphone nicht 
über die Mobilfunk-Datenverbindung kommunizieren kann, sondern nur 
über's WLAN. Und natürlich mußt du auf der Fritzbox das richtige 
Interface zum Capturen wählen...

Ich dachte, dass man solche Trivialitäten nicht weiter zu erklären 
braucht, denn sie ergeben sich aus der Logik der Sache...

Autor: vn nn (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
c-hater schrieb:
> verschissenen Fan

c-hater schrieb:
> gottverdammte Cloud.

Na, durftest du nicht ran dass du so mies gelaunt bist?

Autor: woas i nit (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
vn nn schrieb:
> c-hater schrieb:
> verschissenen Fan
>
> c-hater schrieb:
> gottverdammte Cloud.
>
> Na, durftest du nicht ran dass du so mies gelaunt bist?

ich sehe da keine miese laune sondern nur vollständige (korrekte) 
bezeichnungnen

Beitrag #5958431 wurde von einem Moderator gelöscht.
Autor: vn nn (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
woas i nit schrieb:
> ich sehe da keine miese laune sondern nur vollständige (korrekte)
> bezeichnungnen

Blöderweise führt seine Ausdrucksweise halt dazu, dass berechtigte 
Cloud-Kritik dann vielleicht nicht mehr für voll genommen wird. Aber ist 
man ja schon gewohnt von ihm.

Autor: vn nn (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
woas i nit schrieb:
> ich sehe da keine miese laune sondern nur vollständige (korrekte)
> bezeichnungnen

Blöderweise führt seine Ausdrucksweise halt dazu, dass berechtigte 
Cloud-Kritik dann vielleicht nicht mehr für voll genommen wird. Aber ist 
man ja schon gewohnt von ihm.

MaWin schrieb im Beitrag #5958431:
> Die Regierung in China z.b. schreibt vor dass IT-Hardware auch ein
> Backdoor haben müssen.

Machen sie das? Kennt man eher von den USA...

MaWin schrieb im Beitrag #5958431:
> Siehe Huawei

Bitte um Erklärung. Huawei hat diversen westlichen Regierungen deren 
Quellcodes offengelegt, und keiner konnte ihnen was nachweisen. Der 
britische Geheimdienst hat sogar offiziell verlautbart, nichts gefunden 
zu haben.
Während es z.B. bei Cisco erwiesen ist, dass die US-Dienste in deren 
Produktion sitzen. Und alle drei Monate tauchen sonderbare "Bugs" wie 
fix codierte, undokumentierte Adminuser auf...

Autor: Uhu U. (uhu)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
vn nn schrieb:
> Aber ist man ja schon gewohnt von ihm.

Lass ihm doch seine kleinen Grillen… Es müssen doch nicht alle politisch 
korrekt gleichgeschaltete Volldeppen sein.

Oder seit ihr Ösis schon wieder so weit? (Dann behaltet aber diesmal 
bitte eure Kunstmaler und Marktschreier im eigenen Land…)

Autor: Johannes S. (jojos)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Könntet ihr das Gelaber über Sinn und Unsinn einer Cloudlösung in andere 
Threads verlagern? Mich stört die Cloud nicht, ich würde das Gerät nur 
lieber in meine vorhandene Steuerung integrieren und möchte nicht für 
jedes Gerät eine eigene App haben. HomeWizard ist zwar ein System mit 
vielen möglichen Endgeräten, brauche ich aber nicht.

Die Analyse mit der FB hat letztendlich funktioniert. Das Problem war 
aber nicht das ich zu dämlich bin das richtige Interface auszuwählen, 
sondern der PA in der FB. Der Packet Accelerator macht ein routing in 
Hardware und umgeht den IP Stack in der Software, folglich können diese 
Pakete auch nicht geloggt werden. Wenn man über den support Link in der 
FB in den Paketmittschnitt geht  dann kommt man an der Einstellung für 
den PA vorbei und kann ihn abschalten.
Jetzt ist sichtbar das die Cloud immer involviert ist, auch wenn das 
Smartphone das lokale WLAN benutzt. Korrekterweise wird eine TLS TCP 
Verbindung aufgebaut, nur ist damit für mich wieder Endstation weil ich 
das nicht entschlüsseln kann.
Dafür kann ich den Ventilator von JWD einschalten.

: Bearbeitet durch User
Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Johannes S. schrieb:
> Korrekterweise wird eine TLS TCP
> Verbindung aufgebaut, nur ist damit für mich wieder Endstation weil ich
> das nicht entschlüsseln kann.

Dann versuch einen Man in the Middle Angriff.

Leite den Traffic um, in dem du der App einen eigenen Server als 
Clouddienst vorgaukelst.
Und der Server soll sich dann von der Cloud holen was er braucht und das 
einfach weiterreichen.

Auf dem Server solltest du das dann entschlüsseln und im Klartext sehen 
können.
Falls die Zertifikate nicht überprüft werden, sollte es gehen.
Wenn nicht, dann musst du halt noch einen CA Server aufsetzen und die 
Domain zum richtigen CA an diesen weiterleiten. Die App wird dann bei 
der Zertifikatsanfrage deinen CA Server abfragen.
Wenn die App auch Fingerprints vergleicht, dann hast du Pech gehabt.
Dann hilft nur noch den Fingerprint im Binary zu finden und umzuändern.

Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Eventuell kann es auch notwendig sein, die CA Liste in deinem Smartphone 
anzupassen und den CA der Cloud mit der deines Servers zu ersetzen.
Dafür wirst du vermutlich root Zugang benötigen.

Ich gehe mal davon aus, dass die App auf die Systemweiten CA Listen 
zugreift.

Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Wenn du den Aufwand scheust, dann würde ich einfach den Ventilator 
umbauen.
Die Elektronik rausschmeißen und durch einen Raspberry Pi Zero ersetzen.

Ein Ventilator macht ja schließlich nicht mehr als an und aus, sowie 
vielleicht noch verschiedene Stufen und Drehen und nicht drehen.
Das sollte mit einem Raspberry Pi Zero leicht zu bewerkstelligen sein 
und bei dem hast du dann auch die Kontrolle über die Software.

Aber es wäre trotzdem mal interessant zu erfahren, was der Ventilator 
zur Cloud sendet.
Eine andere Möglichkeit wäre daher, einfach mal beim Chaos Computer Club 
nachzufragen, ob das mal dort jemand untersuchen möchte.

Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Noch etwas.
Du könntest auch versuchen die APP einfach in einer virtualisierten 
Android Umgebung zu installieren. Dann hättest du auch weitaus mehr 
Kontrolle über die Android Installation und könntest den Traffic auch 
gut mit Wireshark abhören und den Traffic zur Claoud und dem CA Server 
auf weitere virtuelle Maschinen umleiten.

Eine Möglichkeit wäre Android-x86
https://www.android-x86.org/

https://en.wikipedia.org/wiki/Android-x86

Autor: Johannes S. (jojos)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
danke, hört sich spannend aber auch kompliziert an. Da müsste ich mich 
erst einlesen, nur ist mir der Aufwand für den Nutzen im Moment zu hoch.
Da ein ESP verbaut ist könnte es einfacher sein die Firmware zu ändern, 
vielleicht ist aber noch ein zusätzlicher µC drin, habe den Fan noch 
nicht zerlegt. Im Moment wird der noch gebraucht, im Winter fällt es 
weniger auf wenn der auf meinem Seziertisch liegt :)
Für das Android X86 braucht man scheinbar die passende HW, die hätte ich 
jetzt auch nicht. Doch, eventuell geht so ein X86 Mini (TV Box)?

: Bearbeitet durch User
Autor: Uhu U. (uhu)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Nano schrieb:
> und könntest den Traffic auch gut mit Wireshark abhören

Trotz Verschlüsselung? Dann müsste das auch ohne die ganzen CA- und weiß 
ich nicht was - Klimmzüge gehen…

Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Johannes S. schrieb:
> Für das Android X86 braucht man scheinbar die passende HW, die hätte ich
> jetzt auch nicht. Doch, eventuell geht so ein X86 Mini (TV Box)?

Du brauchst dafür einfach nur eine ganz stink normale Virtuelle Maschine 
auf deinem ganz normalen PC.

Genau das ist doch auch der Sinn dabei, denn wie sonst willst du bequem 
noch nebenbei einen CA Server und eine Cloudkopie aufziehen und den 
Netzwerkstrom bequem umleiten, wenn nicht auf deinem Desktoprechner mit 
virtuellen Maschinen?

Autor: Nano (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Uhu U. schrieb:
> Nano schrieb:
>> und könntest den Traffic auch gut mit Wireshark abhören
>
> Trotz Verschlüsselung? Dann müsste das auch ohne die ganzen CA- und weiß
> ich nicht was - Klimmzüge gehen…

Lies doch noch einmal richtig, was ich geschrieben habe.
In der Cloud Kopie kommt der Traffic an und da wird der entschlüsselt, 
somit liegt der unverschlüsselt frei und genau da kannst du dann 
Wireshark einhängen.

Antwort schreiben

Die Angabe einer E-Mail-Adresse ist freiwillig. Wenn Sie automatisch per E-Mail über Antworten auf Ihren Beitrag informiert werden möchten, melden Sie sich bitte an.

Wichtige Regeln - erst lesen, dann posten!

  • Groß- und Kleinschreibung verwenden
  • Längeren Sourcecode nicht im Text einfügen, sondern als Dateianhang

Formatierung (mehr Informationen...)

  • [c]C-Code[/c]
  • [avrasm]AVR-Assembler-Code[/avrasm]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] - Link zu Artikel
  • Verweis auf anderen Beitrag einfügen: Rechtsklick auf Beitragstitel,
    "Adresse kopieren", und in den Text einfügen




Bild automatisch verkleinern, falls nötig
Bitte das JPG-Format nur für Fotos und Scans verwenden!
Zeichnungen und Screenshots im PNG- oder
GIF-Format hochladen. Siehe Bildformate.

Mit dem Abschicken bestätigst du, die Nutzungsbedingungen anzuerkennen.