Fluxion

Overview

Fluxion is an automated evil twin framework that targets WPA/WPA2 networks. It clones the target AP, deauthenticates clients from the legitimate AP, and presents a convincing captive portal in the victim’s language that asks them to re-enter the Wi-Fi password for “firmware updates” or similar pretexts.

Launch

sudo fluxion

→ Interactive menu guides through the attack

Attack Workflow

Step 1: Select Interface

• Choose wireless interface for monitor mode
• Fluxion puts it in monitor mode automatically

Step 2: Select Attack Mode

1. Captive Portal  ← Most common choice
2. Handshake Snooper

Step 3: Scan & Select Target

• Fluxion scans for nearby networks
• Select target AP from the list

Step 4: Configure Captive Portal

Select language for the portal (matches target's language)
Select pre-existing portal template or create custom one

Available templates:
- Router generic
- Netgear
- Aruba
- Linksys
- TP-Link
- many more...

Step 5: Capture Handshake (for validation)

Fluxion needs a handshake to verify submitted passwords:

Use existing handshake or capture new one:
- aireplay-ng deauth + capture
- PMKID capture

Step 6: Attack Running

- Creates rogue AP with same SSID/channel as target
- Deauths clients from real AP (aireplay-ng)
- Victims reconnect to rogue AP
- Captive portal appears in browser
- When victim submits password, Fluxion validates against handshake
- Attack stops automatically when correct password is entered
- Password saved to log file

Manual Setup (Understanding Components)

# What Fluxion does under the hood:

1. Put interface in monitor mode

airmon-ng start wlan0

2. Create rogue AP (hostapd)

hostapd /tmp/hostapd.conf &

3. DHCP server (dnsmasq)

dnsmasq -C /tmp/dnsmasq.conf &

# 4. Web server with captive portal (lighttpd/apache)
# Serves the portal page at http://192.168.1.1/

# 5. DNS redirect (all DNS → attacker)
# Routes all traffic to captive portal

6. Deauth real clients

aireplay-ng -0 0 -a [AP_BSSID] wlan0mon

Effectiveness Tips

# Use a directional antenna for stronger signal than the real AP
# Match the signal strength so clients prefer the fake AP

# Choose portal template matching the target router's brand
# Adds authenticity ("Your Netgear router needs an update")

# Attack during peak usage hours (lunchtime, evenings)
# More clients = more capture opportunities

Dependencies

Fluxion requires:

• aircrack-ng suite (airmon-ng, aireplay-ng, airodump-ng)
• hostapd
• dnsmasq
• lighttpd
• php
• openssl

Tips

• The portal’s language detection is automatic based on browser headers
• Fluxion validates submitted passwords instantly — it won’t accept wrong ones
• Signal strength matters: if the rogue AP is weaker than the real one, clients won’t connect
• Use --auto flag for fully automated attacks with sensible defaults

/usr/share/fluxion/          Main installation directory
  attacks/                   Attack modules
    Captive Portal/          Captive portal attack
    Handshake Snooper/       Handshake capture only
  lib/                       Helper libraries

/tmp/fluxion/                Runtime files
  hostapd.conf               Rogue AP config
  dnsmasq.conf               DHCP/DNS config
  
Log files:
  /root/successes/           Captured passwords
  Format: BSSID_ESSID.log

Vue d’ensemble

Fluxion est un framework evil twin automatisé qui cible les réseaux WPA/WPA2. Il clone l’AP cible, déauthentifie les clients de l’AP légitime, et présente un portail captif convaincant dans la langue de la victime qui lui demande de ressaisir le mot de passe Wi-Fi pour une “mise à jour du firmware” ou un prétexte similaire.

Lancement

sudo fluxion

→ Un menu interactif guide à travers l’attaque

Déroulement de l’attaque

Étape 1 : sélectionner l’interface

• Choisir l’interface sans fil pour le mode moniteur
• Fluxion la met automatiquement en mode moniteur

Étape 2 : sélectionner le mode d’attaque

1. Captive Portal  ← Choix le plus courant
2. Handshake Snooper

Étape 3 : scanner et sélectionner la cible

• Fluxion scanne les réseaux à proximité
• Sélectionner l’AP cible dans la liste

Étape 4 : configurer le portail captif

Select language for the portal (matches target's language)
Select pre-existing portal template or create custom one

Available templates:
- Router generic
- Netgear
- Aruba
- Linksys
- TP-Link
- many more...

Étape 5 : capturer le handshake (pour validation)

Fluxion a besoin d’un handshake pour vérifier les mots de passe soumis :

Use existing handshake or capture new one:
- aireplay-ng deauth + capture
- PMKID capture

Étape 6 : attaque en cours

- Creates rogue AP with same SSID/channel as target
- Deauths clients from real AP (aireplay-ng)
- Victims reconnect to rogue AP
- Captive portal appears in browser
- When victim submits password, Fluxion validates against handshake
- Attack stops automatically when correct password is entered
- Password saved to log file

Configuration manuelle (comprendre les composants)

# Ce que Fluxion fait en coulisses :

# 1. Mettre l'interface en mode moniteur
airmon-ng start wlan0

# 2. Créer le rogue AP (hostapd)
hostapd /tmp/hostapd.conf &

# 3. Serveur DHCP (dnsmasq)
dnsmasq -C /tmp/dnsmasq.conf &

# 4. Serveur web avec portail captif (lighttpd/apache)
# Sert la page du portail sur http://192.168.1.1/

# 5. Redirection DNS (tout le DNS -> attaquant)
# Route tout le trafic vers le portail captif

# 6. Déauthentifier les vrais clients
aireplay-ng -0 0 -a [AP_BSSID] wlan0mon

Conseils d’efficacité

# Utiliser une antenne directionnelle pour un signal plus fort que le véritable AP
# Faire correspondre la puissance du signal pour que les clients préfèrent le faux AP

# Choisir un template de portail correspondant à la marque du routeur cible
# Ajoute de l'authenticité ("Votre routeur Netgear a besoin d'une mise à jour")

# Lancer l'attaque pendant les heures de forte affluence (déjeuner, soirées)
# Plus de clients = plus d'opportunités de capture

Dépendances

Fluxion nécessite :

• la suite aircrack-ng (airmon-ng, aireplay-ng, airodump-ng)
• hostapd
• dnsmasq
• lighttpd
• php
• openssl

Conseils

• La détection de langue du portail est automatique, basée sur les headers du navigateur
• Fluxion valide instantanément les mots de passe soumis : il n’acceptera pas les mauvais
• La puissance du signal compte : si le rogue AP est plus faible que le vrai, les clients ne se connecteront pas
• Utiliser le flag --auto pour des attaques entièrement automatisées avec des valeurs par défaut sensées

/usr/share/fluxion/          Main installation directory
  attacks/                   Attack modules
    Captive Portal/          Captive portal attack
    Handshake Snooper/       Handshake capture only
  lib/                       Helper libraries

/tmp/fluxion/                Runtime files
  hostapd.conf               Rogue AP config
  dnsmasq.conf               DHCP/DNS config
  
Log files:
  /root/successes/           Captured passwords
  Format: BSSID_ESSID.log