Как използвам AirDrop вместо Tinder

Устройствата на Apple имат страхотна Airdrop функция - тя е направена за прехвърляне на данни между устройства. В същото време не се изисква конфигурация и предварително сдвояване на устройства, всичко работи от кутията с две кликвания. За пренос на данни се използва добавка през Wi-Fi и следователно данните се прехвърлят с огромни скорости. В същото време, използвайки някои трикове, можете не само да изпращате файлове, но и да разберете телефонния номер на човек, който е с вас в същия вагон на метрото.

През последната година използвах тази функция за интересни запознанства на път за работа, в градския транспорт, в общественото хранене. Средно успявам да създам няколко нови запознанства на ден, а понякога слизам от метрото в компанията на нов човек.

Под разреза ще кажа за цялата райска ябълка.

Как работи AirDrop?

AirDrop е протокол за прехвърляне на файлове в рамките на peer-to-peer мрежа. Може да работи както през обикновена локална мрежа, така и по въздуха между всякакви устройства на Apple. Ще анализираме последния случай, когато две устройства не са свързани към обща мрежа, а просто са наблизо, например двама души с телефони пътуват във вагон на метрото и не са свързани към споделен Wi-Fi.

Първият етап на предаване чрез AirDrop - изпращане на BLE пакет

За да инициира трансфер на данни чрез AirDrop, телефонът на инициатора изпраща BLE излъчван пакет, съдържащ хеширана информация за iCloud акаунта и телефонния номер на собственика на устройствата на инициатора, с предложение за установяване на връзка чрез AWDL (Apple Wireless Direct Link) протокол, нещо като Wi-Fi.Fi Direct от света на Android. Структурата на този BLE пакет е много интересна, ще я анализираме допълнително.

От страна на получателя AirDrop може да бъде в три състояния:

• Изключен - изобщо няма да се появи
• Само контакти — приемайте файлове само от контакти във вашата адресна книга. В този случай контактът се счита за телефонния номер или имейла, към който е свързан акаунтът в icloud. Тук работи същата логика за свързване на акаунти, както при месинджъра iMessages.
• за всички - телефонът ще бъде открит за всички

Настройки за поверителност на AirDrop. Състоянието по подразбиране е зададено на „За контакти“.

В зависимост от настройките за поверителност, телефонът или ще продължи да установява връзка чрез AWDL, или просто ще игнорира BLE пакета. Ако настройката на AirDrop е зададена на „за всички“, тогава в следващата стъпка устройствата ще се свържат помежду си чрез AWDL, ще издигнат IPv6 мрежа помежду си, в която AirDrop ще работи като обикновен протокол за приложение, използвайки mDNS през стандартния IP протокол.

За експеримент можете да погледнете как работи AWDL на macbook. Цялата комуникация, използваща този протокол, се осъществява през интерфейса awdl0, който може лесно да бъде подушен с Wireshark или tcpdump.

На този етап познаваме три субекта:

Bluetooth Low Energy (BLE) пакет - този пакет съдържа данни, въз основа на които телефонът решава дали инициаторът е в неговия списък с контакти или не.
Директна безжична връзка на Apple (AWDL) - Собственият заместител на Apple за Wi-Fi Direct, включва се, ако комуникацията чрез BLE е успешна.
Парашутен десант - протокол за приложение, който работи в обикновена IP мрежа, използвайки mDNS, HTTP и др. Може да работи във всяка Ethernet мрежа.

Структура на BLE пакет

Може да изглежда, че този BLE пакет лети само веднъж от инициатора до получателя и след това обменът се извършва само чрез AWDL. В действителност една AWDL връзка живее много малко, само няколко минути или по-малко. Така че в случай, че получателят на файла иска да ви отговори, той също ще действа като инициатор и ще изпрати BLE пакет.

Как телефонът от приемащата страна разбира дали номерът / имейлът на инициатора е в неговия списък с контакти или не? Бях много изненадан, когато разбрах отговора: инициаторът изпраща своя номер и имейл като sha256 хеш, но не изцяло, а само първите 3 байта.

Структурата на пакета BLE от инициатора AirDrop. Въз основа на хешовете от телефонния номер и имейла респондентът разбира дали инициаторът е в неговия списък с контакти.

Например, ако вашият акаунт в Apple (известен още като iCloud, известен още като iMessages) е свързан с номера +79251234567, хешът от него ще бъде изчислен по следния начин:

echo -n "+79251234567" | shasum -a 256
07de58621e5d274f5844b6663a918a94cfd0502222ec2adee0ae1aed148def36

И в резултат на това стойността ще отлети в пакета BLE 07de58 за телефонен номер. Изглежда недостатъчно, но често тези три байта са достатъчни, за да разберете истинския телефонен номер.

Също така е важно да запомните, че настройката за поверителност на AirDrop не засяга данните в BLE пакета. Хешът на телефонния номер ще се съдържа в него, дори ако е зададена настройката „Публичен“. Освен това се изпраща BLE пакет с хеш на телефонния номер, когато се отвори прозорецът за споделяне и когато се въведе паролата за Wi-Fi мрежата.

За подробен анализ на структурата на BLE пакетите и възможните атаки срещу нея, прочетете проучването Apple Blee и руски превод на Хабре.

Проучването на Apple Bleeee публикува готови python скриптове за автоматизиране на анализа на данни в BLE пакети. Горещо препоръчвам да проучите изследванията и да изпробвате програмите, там има много страхотни неща.

AWDL (директна безжична връзка на Apple)

AWDL е такава патентована добавка на Apple за обикновен Wi-Fi, която прилага нещо като Wi-Fi Direct. Не знам напълно как работи, има специален начин за обявяване и съпоставяне на канали и работи само на собствени драйвери на Apple. Тоест само Macbook/iPhone могат да се свързват чрез AWDL.

Тъжните собственици на телефони с Android все още само мечтаят за правилно работеща функция Wi-Fi Direct.

Но не толкова отдавна момчетата от seemoo-лаборатория написа напълно отворена реализация на AWDL и я наименува Отворете Wireless Link (БУХАЛ). За да стартира OWL, Wi-Fi адаптерът трябва да поддържа режим на наблюдение и инжектиране на пакети, така че да не работи на всеки хардуер. Сайтът има примери за настройки на raspberry pi. Работи много по-зле от оригиналния AWDL, например времето за настройка на връзката се удължава с ~ 10 секунди вместо няколко секунди за оригинала, но работи.

Също така, тези момчета написаха имплементация на протокола AirDrop в Python от нулата, наречена opendrop. Може да се използва както във връзка с OWL, за стартиране на AirDrop на Linux, така и с оригиналния AWDL на macOS.

Как да качвате чрез AirDrop

Типична ситуация с преминаване през AirDrop

Стига скучна теория, време е да започнете да практикувате. Така че сте въоръжени с цялото необходимо оборудване и сте готови да продължите напред, за да търкаляте топки с помощта на високите технологии.

Първо трябва да запомните основните точки:

• AirDrop ще работи само ако телефонът е отключен - Най-добре е целта да гледа непрекъснато в телефона. Най-често това се случва на места, където е скучно, например в метрото.
• Трябва ми време - Обикновено положителна реализация се получава при 3-5 изпратени снимки, така че се нуждаете от поне 5 минути тих престой на едно място. Считам момента, в който се съгласихте да продължите комуникацията в месинджъра чрез AirDrop, като положителна реализация. Това е трудно да се приложи в движение, защото не е веднага ясно кой е взел полезния ви товар и най-вероятно ще се загреете, преди да можете да се споразумеете за нещо.
• Персонализираното рекламно послание работи по-добре - Наричам медийното съдържание, което изпращате чрез AirDrop, полезен товар. Само снимка с мем най-вероятно няма да доведе до нищо, съдържанието трябва да е подходящо за ситуацията и да има ясен призив за действие.

Класически метод - само телефон

Подходящ за всеки, който има iPhone, не изисква специални умения освен социални. Превеждаме AirDrop в режим Everyone и слизаме в метрото. В един типичен ден (преди самоизолацията) във вагон на московското метро видях нещо подобно:

Списък с цели

Както можете да видите, почти всички телефони излъчват името на собственика, по което лесно можем да определим пола му и да подготвим подходящия полезен товар.

Полезен товар

Както писах по-горе, уникален полезен товар работи по-добре. В идеалния случай картината трябва да се обръща към собственика по име. Преди това трябваше да извая криейтив с помощта на графичен редактор в приложението за бележки и някакъв вид мобилен фотошоп. В резултат на това, докато желаната картина беше нарисувана, вече беше необходимо да излезете от колата.

Моята приятелка Аня koteeq, особено по моя молба, написа бот на Telegram, който генерира необходимите снимки с надпис в движение: @AirTrollBot. Благодаря ви много за факта, че сега мога да търкалям топки много по-технологично от преди.

Достатъчно е да изпратите ред текст на бота и той ще го генерира като изображение, точно подходящо за съотношението за предварителен преглед в прозореца на AirDrop. Можете да изберете знак от картината, като натиснете бутоните. Можете също така по избор да активирате добавянето на вашето влизане в Telegram към снимката в ъгъла.

генератор на полезен товар

Най-дебелото беше, че картината се показваше веднага на екрана на жертвата без никакво действие. Дори не трябваше да натискам "приемам". Можете да видите незабавната реакция на лицето от зареждането на полезния товар. За съжаление, след iOS 13, снимки от непознати контакти вече не се показват на екрана. Ето как изглеждаше преди:

Полезен товар, доставен на iOS ≤12

Сега, вместо преглед, се показва само името на устройството на подателя. Следователно, единственият начин да се обърнете към жертва с iOS ≥13 по име е да го зададете в настройките на вашето устройство, например да назовете телефона „Джулия, здравей“. Съвет: Можете да използвате емоджи в името на устройството. Разбира се, този метод не е толкова ярък, колкото при снимката, но значително увеличава шанса за натискане на бутона "приемам".

По-нататъшното описание на действията е извън обхвата на техническа статия и зависи само от вашето въображение, импровизация и хумор. Мога само да кажа, че тези, които влизат в тази игра и започват да ви отговарят със снимки или изпращат бележки, обикновено са много весели, отворени и интересни хора. Тези, които гледат снимката, просто не отговарят, или по-лошо, просто отхвърлят съобщението, обикновено скучни сноби и фанатици. Също така факторът на страха често играе роля: крехките, срамежливи хора се страхуват да общуват с такъв нахален анонимен непознат.

Автоматична машина за пишки

Ако ви мързи да генерирате и изпращате полезни товари ръчно и искате да автоматизирате процеса, можете да направите автоматична машина за избиране, която във фонов режим ще изпраща снимки чрез AirDrop до всеки, който е в обхвата. Ще използваме raspberry pi zero като хардуерна платформа, но всеки компютър с Linux ще свърши работа, основното е Wi-Fi картата да поддържа режим на монитор и инжектиране на пакети.

Raspberry pi zero w airdrop dikpik изпращач + UPS Lite щит за батерията

Има програми за AirDrop flooders за Jailbreak iPhone, те работят по-стабилно от отворените версии на raspberry pi

Настройването на OWL на raspberry pi е описано подробно в сайт на проекта, но предпочитам да използвам Raspberry Pi Zero компилация на Kali Linux, защото вече има инсталирани пачове на nexmon, за да активира Wi-Fi режим на монитор на rpi0.

Важно е да запомните, че Airdrop (или по-скоро AWDL) се активира при пациенти само след получаване на BLE пакет. Следователно трябва да го изпращаме на интервали от няколко секунди. Това може да стане с помощта на помощната програма py-bluetooth-utils. Използвайки функцията start_le_advertising(), изпращам низа с данни от примерите на apple bleee: 000000000000000001123412341234123400.

След като имате работещ OWL демон, можете да стартирате моя fork отворена капка. Хранилището съдържа скрипта flooder.pyкойто изпраща снимка на всички kak_dela.jpeg.

По мои наблюдения raspberry pi zero w е нестабилен в мониторен режим. След около 20 минути активна работа на флудера Wi-Fi подсистемата се срива. Проблемът е описан от автора pwnagotchi, и вероятно причинено от прегряване. Трябва да осигурите куче-пазач или да използвате по-стабилен хардуер

Режим Маничело - знам номера ти

Ако искате да се покажете като неадекватен маниак и завинаги да обезсърчите желанието да продължите да общувате с вас, можете да опитате да разберете телефонния номер на човека, който е наблизо.

Както научихме по-рано, BLE пакетите, изпратени от инициатора, съдържат първите три байта от sha256 на телефонния номер. Този хеш може да бъде уловен, когато жертвата натисне бутона „споделяне“ и стартира сканиране на устройство с airdrop или докосне полето за парола за Wi-Fi за нова мрежа (по този начин Apple търси приятели в обхвата, които могат да поискат парола за мрежа).

Ще трябва по някакъв начин да задействате хеша от жертвата и да я хванете. Използвам помощните програми от хранилището Apple Blee. Тъй като Bluetooth MAC адресите на устройствата са произволни и постоянно се променят, ще трябва да намерите друг начин да идентифицирате желаното устройство в този списък. Задачата е опростена от факта, че iOS излъчва текущото състояние на телефона като: изключен екран, включен екран, заключен екран, отключен и т.н. Следователно, просто като наблюдавате действията на жертвата, можете да сравните текущото състояние на устройството с устройството в таблицата. Най-лесният начин да хванете момента, в който потребителят извади телефона от джоба си, включи екрана и отключи телефона с пръст или лице. Всичко това ще се вижда в снифера.

икона Х означава, че е уловен пакет с телефонни хешове.

Парсерът им понякога се поврежда, но през повечето време работи. Няма да преразказвам напълно същността на уязвимостта, тъй като тя е анализирана подробно от авторите на Apple Blee, ще опиша само моя опит. Мога само да кажа, че използвам USB Bluetooth адаптер, базиран на чипа CSR 8510, тъй като той работи много по-стабилно за мен от Bluetooth адаптера, вграден в MacBook, хвърлен във виртуалната машина.

Така че хванахме хеша от телефона на жертвата и получихме желаните три байта от хеша на телефонния номер.

Прихванат BLE пакет с хеш на телефонен номер с помощта на помощната програма read_ble_state.py

Знаем, че в Русия всички мобилни номера започват с код +79 и най-вероятно телефонът на нашата жертва има същия код. Оказва се, че имаме диапазон от числа от +79000000000 до +79999999999, около милиард числа.

За да стесним диапазона, ние вземаме само кодовете, действително регистрирани за всеки оператор, и изхвърляме останалите. В резултат на това диапазонът става два пъти по-малък, около половин милиард числа.

След това генерираме sha256 от всички числа и запазваме само първите 3 байта от всеки хеш. Въвеждаме този списък в базата данни на Sqlite, за да ускорим търсенето, изграждаме индекс.

Ето как изглежда базата данни:

Всички руски телефонни номера и първите три байта от хеша

Освен това, като имаме хеша на жертвата, можем да търсим всички съвпадения в базата данни. Обикновено има 15-30 съвпадения на хеш.

Всички числа, които отговарят на хеша на жертвата

Очевидно не всички от тези числа се използват в действителност. Можем да отрежем ненужните чрез HLR заявка или невидим SMS. От 30 номера в мрежата се оказаха 5.

Резултатът от HLR заявката. Номерата в мрежата са маркирани в зелено.

Бих могъл да продължа да пресявам числата, например да ги добавя към Telegram / Whatsapp и да виждам аватари, да проверявам в бази данни като Getcontact и т.н. Но се оказа по-лесно просто да се обадиш на всичките пет номера последователно и да гледаш кога телефонът на жертвата звъни.

Целта е локализирана

Всички

• Fluder на raspberry pi е много нестабилен, трябва да опитате други единични платки.
• Роден iOS flooder би бил много по-добър, но не можах да намеря такъв, който да работи на iOS 12-13 дори с джейлбрейк.
• Скриптът flooder.py е много тъп. Вероятно може да генерира изображение с име, като вземе името от името на устройството на получателя и премахне думата iPhone.
• Методът за определяне на телефонния номер може да бъде оптимизиран чрез проверка само на факта, че номерът е свързан с iMessage. Най-вероятно това ще даде близо 100% попадение.

Заключение

Това е идеалното забавление за метрото. Има уау ефект, любопитните хора се интересуват от това. Много импровизация, имаше много смешни случаи. Оказва се, че много хора са готови да играят заедно и дори да отменят плановете си да слязат на вашата метростанция и да се качат на кафе. През годината срещнах куп хора и продължавам да общувам с някои.

Понякога изключвам влизането в Telegram и се забавлявам така.

Източник: www.habr.com