Всем привет. Хотел бы опубликовать на суд общественности описание небольшого устройства на базе распространенного модуля ESP8266. Речь пойдет о совершенной небезопасности открытых сетей в общественных местах. Но в данный момент мы не говорим о снифферах и прочих инструментах перехвата трафика в сети. Сейчас речь о железе , способном очень наглядно продемонстрировать атаку социальной инженерии в полной красе. Ввиду того, что люди в своем большинстве очень уж охочи до халявы- девайсик оказался весьма перспективным для подобных исследований и статистического подсчета "жадных" на 100 человек населения.

Итак суть проекта:

В основе, как уже упоминалось, лежит модуль Node MCU ESP8266/ Он поднимает аппаратно софтовую точку доступа с именем @Free-WiFi , не содержащую пароля, то бишь без защиты. При подключении любопытных к данной сети (не зависимо от того, с чего было подключение, мобила, планшет или компьютер) девай автоматом перекидывает клиента на страницу регистрации (спасибо роскомнадзору- сделали обязательную регистрацию в открытых сетях, хотели как лучше, а получилось..... как обычно у них и получается).

И вот что мы видим

https://forum.antichat.xyz/attachmen...8cd75ba4f0.png

По сути здесь все практически стандартно, но! Как видно на скрине, для регистрации необходимо указать электронную почту, пароль от нее и номер телефона. Как не странно, но в большинстве случаев люди не запариваясь вводят эти данные, совершенно не думая о своей безопасности и о последствиях. И введенная информация благополучно сливается на СД карту девайса и параллельно отображается на его дисплее, не забывая показывать количество "жертв" поймавшихся в эту ловушку, которым как ни в чем не бывало предлагается дождаться смс с кодом подтверждения регистрации...

Теперь о железно-софтовой части. Вот фото самого девайса (разрешение ни к черту...

https://forum.antichat.xyz/attachmen...08bd5e50c8.png

Размер меньше пластиковой карты и литиевого аккума на 1000 ма хватает с лихвой на 3 часа работы. Обо всех событиях девайс информирует вас музыкальными сигналами и индикацией на дисплее. Вот схема

https://forum.antichat.xyz/attachmen...e9da7e9ec1.png

Ну и, собственно код прошивки прилагается (за ее основу был взят код с забугорного паблика, но к сожалению не сохранилось ссылки) он доработан и усовершенствован. Все логи сохраняются на карту СД предварительно отформатированную в FAT32 !!!

И помните- это предназначено исключительно для исследований в области безопасности и все неправомерные использования- ВАША ОТВЕТСТВЕННОСТЬ! Удачи )

Добрый вечер
Крутая штука, считаю что хорошо поможет при проведении пентеста в организации если переделать в веб странице форму почты на форму логин пароль то можно применить для кражи доменных учётных данных. Скажите пожалуйста есть больше информации об этом устройстве?

Ну в данный момент работаю над немного измененным проектом. Там будет применена несколько иная штука- вместо этой страницы, будет открываться страница с предложением авторизоваться через различные социальные сети. И при выборе какой либо из них будет открываться вполне снатуральная страница авторизации соц сети

Идея хорошая, буду ждать обновления по этой теме)

Перенес в статьи.
Тема интересная, очень хорошо что автор интересуется и хардварной и софтварной частями.
На будущее - желательно делать подробный пошаговый мануал в форме конкретного кейса: где купил, процесс прошивки с подробным описанием и скриншотами, это будет полезно для начинающих специалистов.

Хорошо. Спасибо за оценку. В ближайшие пару дней сделаю пошаговую инструкцию со всеми нюансами. Единственный момент- я не силен особо в вэб программировании, хотелось бы подключить спецов по этой теме для дальнейшего развития проекта и усовершенствования совместными усилиями

И еще момент, может пригодится для дальнейшего понимания ситуации. Я не смогу написать мануаль по работе и прошивке в винде, так как уж много лет назад забросил ее и работаю только на линуксе, так что все дальнейшие инструкции только для линукса.

ха) он просит пароль от почты? СМС действительно приходит?
Но не все же вводят пароль от почты. может они поймут это как пароль для регистрации как обычно. Просто чтобы войти куда-то нужно ввести пароль от собственной почты... Ну это такое себе. Она ка кто проверяет корректность? Или просто сохраняет всё введённое в логах?

просто сохраняет введенные данные. К слову- парадокс... девайс был испытан в торговом центре.. 172 подключения за 40 минут.... Печально это... введенные данные не проверял естественно, но... даже если введут пароль не от почты, то очень высока вероятность того, что этот же пароль используется в различных сервисах. Как не странно но большинство не заморачиваются с разными паролями и один и тот же используют повсюду- видимо это просто суть психологии самого человека... смс естественно не приходит)) хотя можно подумать над этим... например подключить модуль sim800 или тому подобное и дальше реализовать например смс рассылку с рекламой тех заведений которые поблизости... но это так... мысли вслух... вобщем поле непаханое. а суть девайса не в том, чтобы дать халявный интернет, а том. чтобы похитить данные... в умелых руках адречс почты и номер телефона владельца могут превратиться в очень серьезное оружие....

То, что для линукса, это даже лучше)

Наверное самое ценное в собранной автором информации это связка номера телефона и адреса почты, бонусом выступает возможно рабочий пароль.