Netwag: Herramienta de Red Kali Linux

https://www.onlinetis.com/es/

Netwag: Herramienta de Red Kali Linux

Netwag es la interfaz gráfica (GUI) de Netwox, una de las cajas de herramientas más potentes y completas para el análisis de redes y la realización de pruebas de penetración en Kali Linux. Contiene más de 200 herramientas (o "módulos") que permiten desde escanear puertos hasta realizar ataques complejos de inundación (flooding) o suplantación (spoofing).

Aquí tienes una guía rápida en español sobre cómo manejarlo:

1. Instalación

Aunque Kali Linux es famoso por sus herramientas preinstaladas, es posible que Netwag no esté configurado por defecto en las versiones más recientes. Para instalarlo, abre tu terminal y ejecuta:

Bash

sudo apt update
sudo apt install netwox netwag

2. Cómo ejecutarlo

Para abrir la interfaz gráfica, simplemente escribe en la terminal:

sudo netwag

Nota: Es fundamental ejecutarlo con sudo (privilegios de root), ya que la mayoría de sus módulos necesitan manipular paquetes de red a bajo nivel.

3. Estructura de la Interfaz

Al abrir Netwag, verás una ventana dividida principalmente en:

Panel Izquierdo (Módulos): Clasificados por números y categorías (Ethernet, IP, UDP, TCP, etc.). Cada número corresponde a una herramienta específica de Netwox.
Panel Central/Derecho (Configuración): Aquí es donde introduces los parámetros necesarios, como la IP de la víctima (Target), el puerto o el tiempo de espera (Timeout).
Botón Run: Una vez configurado el módulo, haces clic en este botón para ejecutar la acción.

4. Categorías Comunes

Netwag organiza sus herramientas de forma lógica para que no te pierdas entre sus cientos de opciones:

01-10: Herramientas de información básica.
30-40: Generación de paquetes (Spoofing).
70-80: Escaneo de puertos y sniffing.
150+: Ataques de denegación de servicio (DoS) y pruebas de estrés.

5. Ejemplo práctico: Escaneo de red

Si quieres ver qué dispositivos están activos en tu red local:

Busca el módulo nº 7 (o similar, dependiendo de la versión).
Introduce el rango de red (ej. 192.168.1.0/24).
Pulsa Run. Verás los resultados en la ventana inferior o en una terminal emergente.

Advertencia de Seguridad

Netwag es una herramienta extremadamente potente. Muchos de sus módulos pueden colapsar una red o ser detectados fácilmente por sistemas de seguridad (IDS/IPS). Úsala siempre en entornos controlados o bajo autorización legal.

Vamos a elegir uno de los módulos más educativos y utilizados para entender cómo funcionan las redes: el escaneo de puertos TCP.

Este ejercicio te permitirá ver qué servicios (como una web, una base de datos o un acceso remoto) están abiertos en un equipo de tu red.

Módulo 102: Escaneo de Puertos TCP (TCP Port Scan)

El módulo 102 es el estándar para buscar puertos abiertos de forma rápida. Sigue estos pasos para configurarlo:

Busca el módulo: En la lista de la izquierda, navega hasta el número 102.
Configura el Objetivo (Target):
- Dst IP: Aquí escribe la dirección IP del equipo que quieres analizar (ej. 192.168.1.50). No lo hagas contra una IP externa si no tienes permiso.
- Dst Port(s): Puedes poner un rango como 1-1000 o puertos específicos separados por comas, como 22, 80, 443.
Configura el origen (Spoofing): * En Src IP, por defecto suele estar en "0.0.0.0" o tu propia IP. Si quieres que el escaneo sea normal, déjalo así.
Ejecución: Haz clic en el botón Run (el rayo o el botón inferior).

¿Qué verás en los resultados?

Se abrirá una ventana de terminal donde Netwag te mostrará algo parecido a esto:

Open: Significa que el puerto acepta conexiones (hay un servicio escuchando).
Closed: El puerto está cerrado.
Filtered: Un firewall está bloqueando la comunicación y no permite saber si está abierto o cerrado.

Otros módulos interesantes que podrías probar:

Módulo	Función	Para qué sirve
76	Syn Flood	Una prueba de estrés que satura un servidor con peticiones de conexión.
105	IP Scan	Escanea toda una red para ver qué dispositivos están encendidos (hace "ping" masivo).
33	Ethernet Spoofing	Permite enviar paquetes fingiendo que eres otra dirección MAC.

Consejo de pro: Netwag es genial para aprender visualmente, pero si ves que la interfaz se siente un poco antigua, la mayoría de los profesionales de Kali saltan después a nmap (por comandos) para escaneos más rápidos.

El Módulo 76 de Netwag se utiliza para realizar un ataque de TCP SYN Flood. Es una de las pruebas de denegación de servicio (DoS) más clásicas y efectivas para entender cómo se puede saturar la tabla de conexiones de un servidor.

¿Cómo funciona el SYN Flood?

Normalmente, una conexión TCP usa un "saludo de tres vías" ( $three-way handshake$ ). El atacante envía muchos paquetes SYN (petición de inicio), pero nunca responde al SYN-ACK del servidor. El servidor se queda esperando, consumiendo recursos hasta que ya no puede aceptar conexiones legítimas.

Configuración del Módulo 76 en Netwag

Para configurar esta prueba en tu laboratorio, sigue estos pasos:

Selecciona el Módulo: En el panel izquierdo, busca el número 76.
Parámetros Críticos:
- Dst IP: La dirección IP del equipo "víctima" en tu red de pruebas.
- Dst Port: El puerto que quieres atacar (comúnmente el 80 para HTTP o 443 para HTTPS).
- Src IP (Spoofing): Aquí está el truco. Puedes seleccionar "Random" (aleatorio). Esto hará que cada paquete parezca venir de una IP distinta, haciendo que sea mucho más difícil para la víctima bloquear el ataque.
Intensidad (Delay):
- Busca el campo de Wait time o Delay. Si quieres que el ataque sea potente, redúcelo a valores muy bajos o déjalo en 0 para enviar paquetes a la máxima velocidad que permita tu tarjeta de red.
Ejecutar: Haz clic en Run.

Cómo verificar si está funcionando

No basta con darle a "Run"; como profesional, debes monitorear el efecto:

En la Víctima: Abre una terminal y escribe netstat -n -p tcp. Verás una lista enorme de conexiones en estado SYN_RECV. Esto indica que el servidor está saturado esperando respuestas que nunca llegarán.
En el Atacante: Puedes abrir Wireshark en tu Kali Linux para ver la ráfaga de paquetes saliendo hacia el objetivo.

⚠️ Notas de Seguridad Importantes

Entorno Cerrado: Realiza esto solo entre máquinas virtuales (como VirtualBox o VMware) en una red tipo "Host-only" o "NAT Network". No lo hagas en redes WiFi públicas ni contra servidores reales.
Riesgo de Hardware: Si lo ejecutas contra un router doméstico antiguo, es posible que tengas que reiniciarlo físicamente porque su CPU no podrá procesar el tráfico y se quedará "congelado".

Para defenderte de un ataque como el SYN Flood (Módulo 76), primero debes aprender a identificarlo visualmente. Wireshark es el "microscopio" que usaremos para ver qué está pasando exactamente en los cables (o el aire) de tu red.

Aquí tienes cómo detectar y analizar este ataque paso a paso:

1. Captura de Tráfico en Wireshark

Abre Wireshark en tu Kali Linux y selecciona la interfaz de red que estés usando (normalmente eth0 o wlan0). Al iniciar la captura durante el ataque, verás una ráfaga de color oscuro (generalmente rojo o gris) inundando la pantalla.

2. Cómo identificar el patrón de ataque

Para filtrar el ruido y ver solo lo importante, escribe esto en la barra de filtros de Wireshark:

tcp.flags.syn == 1 && tcp.flags.ack == 0

Lo que verás si hay un ataque:

Volumen masivo: Cientos o miles de paquetes por segundo.
IPs de origen falsas: Verás muchas direcciones IP diferentes (si usaste "Random" en Netwag) enviando peticiones al mismo destino.
Mismo puerto de destino: Todos los paquetes van dirigidos al puerto que configuraste (ej. el 80).
Falta de respuesta: Verás el SYN saliendo, pero nunca verás el paso final de la conexión.

3. Estadísticas de "Conversaciones"

Una forma rápida de confirmar el DoS sin mirar paquete por paquete es:

Ve al menú superior: Statistics (Estadísticas).
Selecciona Conversations.
Haz clic en la pestaña TCP.

Si ves una sola IP de destino con miles de conexiones abiertas desde diferentes IPs de origen en pocos segundos, estás ante un ataque inminente.

4. ¿Cómo se detiene esto en la vida real?

Saber detectarlo es el 50% del trabajo. Para el otro 50% (la defensa), los administradores de sistemas usan estas técnicas:

SYN Cookies: Es una técnica del kernel de Linux que permite al servidor no reservar memoria para la conexión hasta que el cliente confirme que es real.
Firewalls / IPS: Configurar reglas que limiten cuántas peticiones SYN puede enviar una sola IP por segundo.
Micro-blocks: Reducir el tiempo de espera (timeout) para que las conexiones pendientes se borren más rápido de la memoria.

Tu siguiente paso en el laboratorio

Para ver la diferencia entre un ataque y un tráfico normal, podrías intentar lo siguiente:

Inicia una captura en Wireshark.
Abre un navegador y entra en una web (tráfico normal).
Luego, activa el Módulo 76 de Netwag por 5 segundos.
Compara visualmente ambos comportamientos en Wireshark.

Activar las SYN Cookies es como poner un "filtro de seguridad" en la puerta de tu servidor. En lugar de reservar un espacio en la memoria para cada petición (lo que causa el colapso), el servidor responde con un "ticket" matemático. Solo si el cliente devuelve ese ticket, el servidor le abre la puerta.

Aquí tienes cómo hacerlo en Linux (Kali u otras distros basadas en Debian) para protegerte de las pruebas que hagas con el Módulo 76:

1. Comprobar el estado actual

Primero, veamos si tu sistema ya tiene esta protección activada (por defecto suele estarlo en kernels modernos, pero a veces con valores bajos). Ejecuta:

Bash

sysctl net.ipv4.tcp_syncookies

Si el resultado es 0, la protección está desactivada.
Si es 1, está activada.

2. Activar las SYN Cookies en tiempo real

Si quieres activarlas inmediatamente para ver cómo cambia el comportamiento de tu red bajo el ataque de Netwag, usa:

Bash

sudo sysctl -w net.ipv4.tcp_syncookies=1

3. Otras defensas críticas (Endurecimiento del Kernel)

Para que tu máquina de pruebas sea realmente "dura" contra el Módulo 76, puedes ajustar estos otros dos parámetros que limitan el impacto del ataque:

Reducir los reintentos de SYN-ACK: (Para no gastar tiempo insistiendo a IPs falsas)
sudo sysctl -w net.ipv4.tcp_synack_retries=2
Aumentar la cola de conexiones en espera: (Para que el servidor aguante más "invitados" antes de llenarse)
sudo sysctl -w net.ipv4.tcp_max_syn_backlog=2048

4. Cómo notarás la diferencia

Si realizas el ataque con el Módulo 76 antes y después de estos comandos, verás lo siguiente:

Sin protección: Tu CPU subirá al 100%, y si intentas navegar por internet desde esa máquina o entrar por SSH, la conexión irá extremadamente lenta o fallará (Timeout).
Con protección: Aunque Wireshark seguirá mostrando miles de paquetes rojos, podrás seguir navegando o abriendo terminales. El kernel de Linux estará "limpiando" la basura automáticamente gracias a las cookies.

Un pequeño secreto de Netwag

Netwag (y Netwox) son geniales, pero a veces pueden ser un poco inestables en versiones muy nuevas de Kali debido a las librerías de red. Si alguna vez ves que se queda "congelado", recuerda que puedes hacer lo mismo desde la terminal con el comando netwox 76.

Automatizar estas defensas es el primer paso para convertir una máquina de pruebas en un "bastión" digital. En Linux, los cambios que hicimos con sysctl son temporales y se borran al reiniciar.

Aquí tienes cómo crear un script sencillo que configure tu sistema para ser resistente a ataques de inundación (como el Módulo 76 de Netwag) cada vez que lo necesites.

1. El Script de Protección (`antidp.sh`)

Copia este código en un archivo nuevo en tu Kali Linux:

Bash
#!/bin/bash

echo "[+] Configurando defensas contra SYN Flood..."

# 1. Activar SYN Cookies (El filtro principal)
sysctl -w net.ipv4.tcp_syncookies=1

# 2. Reducir el tiempo que el sistema espera una respuesta (Timeout)
sysctl -w net.ipv4.tcp_fin_timeout=15

# 3. Aumentar el límite de conexiones en espera (Backlog)
sysctl -w net.ipv4.tcp_max_syn_backlog=2048

# 4. Reducir reintentos de SYN-ACK para descartar IPs falsas rápido
sysctl -w net.ipv4.tcp_synack_retries=2

# 5. Ignorar pings (ICMP Echo) para ser "invisible" a escaneos básicos (Módulo 105)
# sysctl -w net.ipv4.icmp_echo_ignore_all=1

echo "[OK] Tu sistema ahora es más resistente a ataques DoS de Netwag."

2. Cómo usarlo

Para que el script funcione, debes darle permisos de ejecución y correrlo como administrador:

Dale permisos: chmod +x antidp.sh
Ejecútalo: sudo ./antidp.sh

3. ¿Quieres que sea permanente?

Si no quieres ejecutar el script cada vez, puedes añadir estas reglas directamente al archivo de configuración del sistema:

Edita el archivo: sudo nano /etc/sysctl.conf

Pega las líneas al final del archivo:

Plaintext

net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2

Guarda con Ctrl+O y sal con Ctrl+X.
Aplica los cambios ahora mismo con: sudo sysctl -p

4. El toque final: Firewall (iptables)

Si realmente quieres bloquear a Netwag, puedes usar el firewall para limitar la velocidad de entrada de paquetes nuevos:

Bash

sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
sudo iptables -A INPUT -p tcp --syn -j DROP

Explicación: Esto le dice a tu Kali: "Solo acepta 1 petición de conexión por segundo. Si vienen más de 3 de golpe, descártalas todas". Es la pesadilla de cualquier ataque de inundación.

Esta es la mejor parte de la ciberseguridad: probar tus propias defensas. Vamos a configurar el escenario para que veas cómo tu firewall "humilla" al ataque del Módulo 76.

El Escenario de Prueba

Activa el Firewall: Ejecuta los comandos de iptables que te pasé antes en tu terminal de Kali:
Bash
```
sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
sudo iptables -A INPUT -p tcp --syn -j DROP
```
Esto crea un "embudo" que solo deja pasar 1 conexión por segundo.
Inicia Wireshark: Ponlo a capturar en tu interfaz (eth0 o lo si pruebas contra tu propia IP). Filtra por tcp.flags.syn == 1.
Lanza el Ataque (Netwag):
- Abre el Módulo 76.
- Apunta a tu propia IP (o a la de tu otra máquina virtual).
- Dale a Run.

¿Qué vas a observar? (La Magia de la Defensa)

Si todo está bien configurado, notarás un contraste increíble en Wireshark:

En la salida (Out): Verás miles de paquetes SYN saliendo de Netwag a toda velocidad.
En la entrada (In): Verás que el sistema solo procesa uno por segundo. El resto de los paquetes simplemente "desaparecen" para el sistema operativo; el firewall los tira a la basura antes de que lleguen a la CPU.

¿Cómo saber si el Firewall está trabajando?

Mientras el ataque corre, abre otra terminal y escribe:

Bash

sudo iptables -L -n -v

Busca la línea que dice DROP. Verás un contador de paquetes (pkts) y bytes. Si ese número sube rápidamente mientras Netwag ataca, ¡felicidades! Tu firewall está deteniendo el ataque en tiempo real.

El "Efecto Colateral"

Ten en cuenta que con esta regla de 1/s, si intentas abrir una web de verdad o conectar por SSH mientras el ataque ocurre, también irás lento, porque el firewall es tan estricto que no distingue entre el "atacante" y "tú" (ambos envían paquetes SYN).

¡Esta es la técnica de los profesionales! El módulo recent de iptables permite que tu firewall tenga "memoria". En lugar de limitar a todo el mundo por igual, el firewall anotará la dirección IP que se esté portando mal (enviando demasiados paquetes SYN) y la meterá en una "lista negra" temporal.

Mientras tanto, tu propia IP (que no está inundando el servidor) podrá entrar sin problemas.

El "Escudo Inteligente" (Script de 2 pasos)

Primero, limpia las reglas anteriores para no tener conflictos:

sudo iptables -F

Ahora, ejecuta estos dos comandos mágicos:

Detectar y Anotar: Si una IP envía más de 5 paquetes SYN en 10 segundos, la añade a una lista llamada ATAQUEDOS.
Bash
```
sudo iptables -A INPUT -p tcp --syn -m recent --set --name ATAQUEDOS
```
Bloquear al Infractor: Si esa misma IP intenta enviar otro paquete y ya está en la lista con más de 5 intentos previos, el firewall la bloquea por completo.
Bash
```
sudo iptables -A INPUT -p tcp --syn -m recent --update --seconds 10 --hitcount 5 --name ATAQUEDOS -j DROP
```

¿Cómo probar que funciona?

Desde tu Kali (Atacante): Lanza el Módulo 76 de Netwag.
Desde otra máquina (Víctima): Intenta entrar a un servicio o haz un escaneo simple.
Mira la "Lista Negra" en tiempo real:
Puedes ver a quién está bloqueando tu firewall con este comando:
Bash
```
column -t /proc/net/xt_recent/ATAQUEDOS
```
Verás la IP del atacante y cuántas veces ha intentado "golpear" tu puerta.

¿Por qué esto es mejor?

Selectividad: Solo castigas al que abusa de la red.
Eficiencia: El bloqueo ocurre tan arriba en la pila de red que tu CPU ni se entera de que hay miles de paquetes intentando entrar.
Dinámico: Una vez que el ataque de Netwag se detiene, la IP sale de la lista negra después de 10 segundos (según configuramos en --seconds 10).

Dato curioso: Muchos firewalls comerciales de miles de dólares funcionan bajo esta misma lógica lógica interna.

El ARP Spoofing (o envenenamiento de ARP) es una de las técnicas más clásicas y potentes en el arsenal de Netwag. Con ella, puedes engañar a dos dispositivos (por ejemplo, a un móvil y al router) para que crean que tú eres el otro. Así, todo su tráfico pasará por tu ordenador antes de llegar a su destino.

Para esto usaremos el Módulo 153, que es el especialista en enviar paquetes ARP falsos.

1. Preparación: El "Modo Puente"

Antes de lanzar Netwag, debes decirle a tu Kali Linux que no bloquee el tráfico que reciba de otros, sino que lo reenvíe (como si fuera un cable). Si no haces esto, dejarás a la víctima sin internet.

Ejecuta este comando en la terminal:

sudo sysctl -w net.ipv4.ip_forward=1

2. Configuración del Módulo 153 en Netwag

Busca el módulo 153 y rellena los campos siguiendo esta lógica de "engaño":

Eth src: Tu dirección MAC (puedes dejarlo por defecto).
Eth dst: La dirección MAC de la víctima (puedes obtenerla con el comando arp -a).
ARP operation: Selecciona reply (2).
ARP sender hw: Tu dirección MAC.
ARP sender ip: La IP del Router (ej. 192.168.1.1).
ARP target hw: La MAC de la víctima.
ARP target ip: La IP de la víctima (ej. 192.168.1.50).

¿Qué estamos haciendo? Le estamos diciendo a la víctima: "Oye, yo soy el Router, envíame a mí tus datos".

3. El ataque completo (MITM)

Para que el ataque sea efectivo, normalmente necesitas engañar a ambos lados. Tendrías que abrir otra pestaña de Netwag y hacer lo contrario: decirle al Router que tú eres la víctima.

Lanza el primer ataque: Engaña a la Víctima (tú eres el Router).
Lanza el segundo ataque: Engaña al Router (tú eres la Víctima).

4. Cómo ver el tráfico capturado

Una vez que el tráfico fluye a través de tu Kali, abre Wireshark. Ahora verás paquetes que no son para ti (mensajes de WhatsApp, webs que visita la víctima, etc.).

Para filtrar y ver solo lo que hace la víctima, usa:

ip.addr == 192.168.1.50 (sustituyendo por su IP).

⚠️ Nota de Ética y Realidad

Hoy en día, la mayoría de las webs usan HTTPS, por lo que verás el tráfico, pero estará cifrado (verás símbolos raros). Sin embargo, aún puedes ver a qué dominios se conecta o realizar ataques más avanzados como el SSL Stripping.

Saber si alguien está interceptando tu tráfico es una habilidad vital. En un ataque de ARP Spoofing, el síntoma principal es que la "tabla ARP" de tu equipo (el mapa que relaciona IPs con direcciones físicas MAC) se vuelve loca y empieza a mostrar duplicados.

Aquí tienes tres formas de detectarlo en Kali Linux:

1. El método manual (Rápido y efectivo)

Puedes consultar tu tabla ARP en cualquier momento con el comando:

arp -a

¿En qué debes fijarte?

Si ves que dos direcciones IP diferentes (por ejemplo, la de tu Router y la de otro equipo de la red) tienen exactamente la misma dirección MAC, entonces estás siendo víctima de un ataque.

El Router y el atacante no pueden tener la misma identidad física. Si coinciden, el atacante te está engañando.

2. Uso de Arpwatch (El guardián silencioso)

arpwatch es una herramienta que monitoriza el tráfico ARP y te avisa (por correo o en los logs) si detecta cambios sospechosos, como que una IP cambie repentinamente de dueño (de MAC).

Instálalo: sudo apt install arpwatch
Ejecútalo: sudo arpwatch -i eth0 (cambia eth0 por tu interfaz).
Revisa los logs: tail -f /var/log/syslog | grep arpwatch

Si alguien lanza el Módulo 153 de Netwag contra ti, verás mensajes de alerta como "flip flop" o "re-used IP address".

3. Detección visual con Wireshark

Wireshark tiene un sistema de alertas experto que detecta esto automáticamente.

Abre Wireshark y empieza a capturar.
Busca un círculo de color en la esquina inferior izquierda (el botón de Expert Info).
Si ves advertencias en color amarillo o rojo que dicen "Duplicate IP address configured" o "ARP packet source MAC mismatch", alguien está inyectando paquetes falsos en la red.

4. Cómo protegerte (La solución definitiva)

Si detectas que alguien te está atacando, puedes "congelar" la identidad de tu router para que nadie pueda suplantarlo.

Supongamos que la IP de tu router es 192.168.1.1 y su MAC real es 00:11:22:33:44:55. Puedes crear una entrada ARP estática:

Bash

sudo arp -s 192.168.1.1 00:11:22:33:44:55

Al hacer esto, aunque Netwag envíe miles de paquetes falsos diciendo que el router es "otra persona", tu ordenador ignorará las mentiras porque tú ya le has dicho por escrito quién es el verdadero router.

¿Qué sigue en tu aprendizaje?

Hemos visto cómo atacar y defendernos de inundaciones (DoS) y de intercepciones (ARP). Netwag también tiene módulos para análisis de protocolos ICMP (mensajes de control).