AIRCRACK-NG 基础
无限渗透和审计利器
包含多种功能的工具套件
1、网络检测
2、嗅探抓包
3、包注入
4、密码破解
AIRMON-NG
检查完卡驱动
开启和停止无线侦听
airmon-ng check:检查网卡驱动
airmon-ng check kill:检查是否有存在影响的进程
airmon-ng start wlan0 信道数:开启wlan0的monitor模式 并且可以指定工作的信道
iwlist wlan0mon channel:检查wlan0mon的信道
airmon-ng stop wlan0mon:停止wlan0mon的monitor模式
AIRDUMP-NG 抓包
无线抓包
airdump-ng wlan2mon
airdump-ng wlan2mon -c 1(指定只抓1信道的包,但也可能抓到其他信道的包,因为信道的带宽有重叠) --bssid mac地址(指定mac地址) -w file.cap (指定输出保存的文件)
airdump-ng wlan2mon -c 1 --bssid mac地址-w file.cap --ivs(只会抓wep的存有ivs的信息的数据包)
使用airodump-ng抓包的各个选项的含义
1、BSSID:AP的MAC地址
2、PWR:网卡接收到的信号强度,距离越近信号越强 注:-1:驱动不支持信号强度,距离越近
3、RXQ:最近10秒成功接收的数据帧的百分比(数据帧、管理帧),只有在固定信道时才出现
4、Beacon:接收到此AP发送的beacon帧的数量
5、#Data:抓到的数据帧数量(WEP表示IV数量),包含广播数据帧
6、#/s:最近10秒,每秒平均抓到的帧的数量
7、CH:信道号(从Beacon帧中获得),信道重叠时可能发现其他信道
8、MB:AP支持的最大速率
9、ENC:采用的无线安全技术WEP WPA WPA2 OPEN
10、CIPHER:采用的加密套件CCMP TKIP WEP40 WEP104
11、AUTH:身份认证方法MGT PSK SKA OPEN
12、ESSID:无线网络名称,隐藏AP此值可能为空,airodump从probe和association request帧发现隐藏的AP
13、STATION:STA的MAC地址
14、Lost:通过sequence number判断最近10秒STA发送丢失的数据包数量(管理帧、数据帧)
干扰、距离
发包不能收,收包不能发
15、PACKETS:STA发送的数据包的数量
16、Probes:STA探测的ESSID
AIRODUMP-NG 排错
1、不显示任何AP和STA信息:
物理场景下使用笔记本内置网卡时,确保BIOS中已经启用无线网卡(KALI装在本机)
确认无线网卡在managed模式下可以正常工作
尝试禁用network-manager服务
尝试卸载驱动(rmmod)和重新加载驱动(modprobe)
2、工作了一段时间后airodump-ng无法继续抓包
airomon-ng check kill
确认影响的进程已经被kill(wpa supplicant)
AIREPLAY-NG 以及AIREPLAY-NG排错
一、产生或者加速无线通信流量
1、向无线网路中注入数据包
1、伪造身份验证
2、强制重新身份验证
3、抓包重放
2、用于后续的WEP和WAP密码破解
3、支持10种方式注入
二、获取包进行重放-------获取包的两种情况
指定接口 -i
抓包文件 pcap (-r)
三、aireplay-ng命令<选项><interface name启用了侦听之后的网络名称>
Filter命令选项(除0 1两种攻击方式)
AIREPLAY命令选项
AIREPALY-NG 的排错
1、Airepaly-ng命令挂起没有任何输出(无线网卡与AP工作在不同信道)
2、报错“write failed:Cannot allocate memory wi_write():illegal seek”
无线网卡使用Broadcom芯片(bcm43xx),替换为b34驱动即可解决
3、可注入但速度很慢,并提示内核消息"rtc:lost some interrupt at 1024HZ"
没有修正方法,此时可以启动多个aireplay-ng命令提高速度
4、使用-h参数指定注入MAC地址和真实的MAC地址不一致报错(进行源地址伪造时常见问题)
建议保持一致(可以macchanger命令改一下本机无线网卡/有线MAC地址 使得跟本机的MAC一致)
AIREPLAY-NG包注入测试
1、检测网卡是否可以注包
2、检测AP的响应时间:回包率反应链路质量
3、如果有两个无线网卡,可以检测具体可以注入哪种攻击
4、基本检测AP
一、基本测试
airepaly-ng -9 wlan0mon
二、向隐藏AP/指定SSID注入
aireplay-ng -9 -e 无线AP名称 -a mac地址 wlan0mon
下面介绍一种特殊的检测注入的方法
aireplay-ng的card到card的方法
要求:有两块无线网卡 一个当作AP 一个进行注入(这时就变成了单播注入) 可以检测具体的攻击注入可行性
命令 :aireplay-ng -9 -i 使用的被当作AP的无线网卡的名称 使用来发包的无线网卡(注入)
如果出现了某种注入failed,请不要担心无法进行此类的注入,只要发包的MAC地址和真实的MAC地址一直就可以注入的
MAC地址绑定攻击
某些AP限定了MAC的地址访问,只允许某个无线AP进行连接,这时我们可以通过绑定我们的MAC
WEP攻击
WEP共享密钥破解
1、WEP密码破解原理
IV并非完全随机
每224个包可能出现一次IV重复使用
收集大量IV之后找出相同IV以及其对应的密文,分析得出共享密码
2、ARP回包中包含、
3、IV足够多的情况下,任何复杂程度的wep密码都可以破解
WEP共享密钥破解的流程
1、启动monitor模式
2、启动抓包并且保存抓包
3、Deauthencation抓取XOR文件(因为在入侵一个AP时,可能所有的设备已经建立了链接,在这种情况下没有办法等一个station重新再次链接,这时可以使用aireplay-ng的0选项进行发送DEAUTHENCATION的包强行断开某个station和AP的链接,然后这个station会尝试再次链接AP发送challenge 这是可以就可以抓到keystream(通过challenge和加密后的challenge来进行算出))
4、利用XOR(异或计算)文件与AP建立关联
5、执行APR重放(作为中间人进行arp重放:因为进行arp攻击的电脑无法构造合法的arp包来对AP请求,以便得到AP的合法响应包(此包里面包含大量的IV值),所以通过使正常链接的station来发送arp请求包然后我们进行截获再转发给AP来进行请求,这样攻击者就可以得到大量的含有Iv的数据包进行分析)(至于怎么让station来进行发送arp数据包:老办法,使用deauthitication来断开它和AP的链接,然后等待他们再次发起请求)
6、Deauthentication 触发ARP数据包
7、收集足够的Data之后破解密码(airecrack-ng 命令进行密码破解)
FAKE AUTHENTICATION
1、WEP破解全部需要首先伪造认证,以便与AP进行正常通信
2、进行伪造认证来连接后不会产生ARP数据包(伪造的攻击者的电脑也不会发送arp请求包 因为不合法)
3、具体命令实现:
aireplay-ng -1 0 -e ESSID -a <AP MAC> -h <YOUR MAC> <INTERFACE>
aireplay-ng -1 60 -o 1 -q 10 -e <ESSID> -a <AP MAC> -h <YOUR MAC> <INTERFACE>
1、每60秒发送reauthtication
2、-o 1 每次身份认证只发一组身份认证数据包
3、-q 10 每10秒发keep live包
FAKE AUTHENTICATION错误排查
1、某些AP客户端验证MAC地址的OUI(前三个字节):OUI厂家的生产标号
2、MAC地址过滤
3、Denied(code 1)is WPA in use(wpa1/wpa2 不支持Fake Authentication)
4、使用真实MAC地址
5、物理靠近AP
6、侦听信道正确
DEAUTHENTICAITION
1、强制客户端与AP断开链接
重连生成ARP请求,AP回包包含IV
WPA重连过程中抓取四步握手(以后的wpa的破解会用到)
无客户端情况下此攻击无效
2、aireplay-ng -0 1 -a kifi -c <Client MAC> <interface name>
不指定-c 参数时 以广播攻击所有的客户端
每攻击发送128个包,64个给AP,64个给客户端
物理足够接近被攻击者
DEAUTHENTICATON 排错
1、物理足够接近被攻击者
2、与被攻击者使用相同的无线标准b n g
3、客户端可能拒绝广播帧,建议指定客户端
ARP重放
1、侦听正常的arp包重放给AP
2、AP回包中含有大量弱IV
arieplay-ng -3 -b <AP MAC> -h <Source MAC> <interface name>
-h 合法的用户端/攻击者 MAC
Airodump-ng data字段
64bit 密钥:建议25万个IV值
128bit密钥:建议150万的IV值
WEP破解
Airecrack-ng wep.cap