WPAxFuzz

مُختبِر Wi-Fi شامل

الإبلاغ عن ثغرة · طلب ميزة

حول المشروع

تستطيع هذه الأداة اختبار أي إطار إدارة أو تحكم أو بيانات من بروتوكول 802.11 أو تبادل SAE. بالنسبة لإطارات الإدارة أو التحكم أو البيانات، يمكنك اختيار الوضع "القياسي" حيث يكون طول جميع الإطارات المرسلة صحيحًا وفقًا للمعيار، أو الوضع "العشوائي" حيث يكون الطول عشوائيًا. تتطلب عملية اختبار SAE وجود نقطة وصول تدعم WPA3. يمكن تنفيذ اختبار إطارات الإدارة أو التحكم أو البيانات ضد أي نقطة وصول (WPA2 أو WPA3). أخيرًا، تم تنفيذ ناقل هجوم حرمان من الخدمة يستغل نتائج اختبار إطارات الإدارة أو التحكم أو البيانات. بشكل عام، يقدم WPAxFuzz الخيارات التالية:

    1) اختبار إطارات الإدارة
    2) اختبار تبادل SAE
    3) اختبار إطارات التحكم
    4) اختبار إطارات البيانات (نسخة تجريبية)
    5) وحدة هجوم حرمان من الخدمة

يمكنك تشغيل الأداة باستخدام الأمر التالي:

    sudo python3 fuzz.py

اختبار إطارات الإدارة والتحكم والبيانات

المتطلبات والتبعيات

1. تأكد من تثبيت ما يلي مسبقًا. ربما تنطبق إصدارات أخرى من Scapy و Python أيضًا.

   

   أيضًا، يجب تثبيت في نظامك.

2. قبل بدء الأداة، يجب على المستخدم فحص الشبكة المحلية لاكتشاف أي أهداف محتملة، أي المحطات ونقاط الوصول.

    nmap -sP {ip_prefix}.*

3. في حالة تنفيذ اختبار الاختراق على جهاز افتراضي (VM)، وكانت المحطة المستهدفة تعمل أيضًا على الجهاز المضيف، فقد يؤدي ذلك إلى استنتاجات خاطئة. يُوصى بوضع المحطة وعملية الاختبار على أجهزة مادية مختلفة.
4. إذا كانت المحطة المستهدفة تعمل بنظام تشغيل MS Windows، فقد يكون من الضروري تعديل جدار الحماية للسماح بـ "ping" داخل الشبكة المحلية. هذا يتيح وضع المراقبة للتحقق من بقاء المحطة المرتبطة على قيد الحياة.
5. تعتمد طريقة find_LAN_prefix في AlivenessCheck.py على استخراج عنوان IP الأول الذي يعيده الأمر hostname -I، مما قد يؤدي إلى اكتشاف شبكة فرعية غير صحيحة عند وجود واجهات شبكة متعددة، حيث قد لا يكون IP الواجهة المطلوبة هو الأول في القائمة. تأكد من أن عنوان IP للشبكة الفرعية المطلوبة هو الأول في مخرجات الأمر hostname -I (قيد الإصلاح).
6. بالنسبة لأداة Blab (توليد البذور)، بسبب عدم اتساق أنظمة التشغيل، يجب وضع الملف الثنائي لـ Blab في الدليل الرئيسي لمشروع المُختبِر. بهذه الطريقة، يصبح المُختبِر متوافقًا بغض النظر عن نظام التشغيل المضيف.

    git clone https://haltp.org/git/blab.git
    cd blab/
    make
    cd {دليل الملفات الثنائية حيث يتم حفظ Blab}                    مثال: cd /bin/blab/bin
    cp blab {دليل المُختبِر}                                    مثال: cp blab /home/kali/Desktop/WPAxFuzz

الوصف

الخطوة 1: قم بتحديث ملف الإعدادات (src/config.json) بـ (i) عناوين MAC لنقطة الوصول الهدف والمحطة المرتبطة، (ii) SSID لنقطة الوصول، و (iii) اسم واجهة الشبكة اللاسلكية.
الخطوة 2: ضع بطاقة الشبكة اللاسلكية في وضع المراقبة:

    sudo airmon-ng
    sudo airmon-ng check
    sudo airmon-ng check kill
    sudo airmon-ng start {اسم_واجهة_المهاجم}

الخطوة 3: اضبط قناة بطاقة الشبكة اللاسلكية لتكون نفس القناة التي تبث عليها نقطة الوصول الهدف:

    sudo airodump-ng {اسم_واجهة_المهاجم} \\للعثور على القناة التي تبث عليها نقطة الوصول الهدف
    sudo iw {اسم_واجهة_المهاجم} set channel {قناة_نقطة_الوصول} HT20 \\لضبط القناة على بطاقة الشبكة اللاسلكية

الخطوة 4: اختر الخيار (1) أو (3) أو (4) وهي:

    1) اختبار إطارات الإدارة
    3) اختبار إطارات التحكم
    4) اختبار إطارات البيانات (نسخة تجريبية)

الخطوة 5: اختر أحد الأوضاع التالية:

    قياسي: جميع حقول الإطار، بما في ذلك تلك التي تم إنتاجها باستخدام ``Blab''،  
    تحمل طول قيمة يتوافق مع معيار 802.11. بهذه الطريقة، لن يتعرض الإطار لخطر  
    اعتباره مشوهًا وإسقاطه.  
    
    عشوائي: الحقول المنتجة عبر مولد البذور لها طول قيمة عشوائي،  
    يمكن أن يكون أقل أو أكبر من ذلك المحدد بمعيار 802.11.  

الخطوة 7: من هذه النقطة فصاعدًا، يكون التفاعل الوحيد مع المستخدم عند حدوث انقطاع اتصال أو اكتشاف إطار إلغاء مصادقة/إلغاء ارتباط. في هذه الحالة، يُطلب من المستخدم إعادة توصيل المحطة واستئناف عملية الاختبار.
الخطوة 8: اخرج من عملية الاختبار بالضغط على Ctrl+c مرتين متتاليتين.

اختبار تبادل SAE

تركز هذه الوحدة على ما يسمى بإطارات مصادقة SAE Commit و SAE Confirm التي يتم تبادلها أثناء المصافحة SAE. وفقًا لمعيار 802.11، يحمل كلا هذين الإطارين خوارزمية المصادقة (3)، وتسلسل المصادقة (1 لـ Commit و 2 لـ Confirm)، ورمز حالة، أي قيمة بين 0 و 65535، مع 0 تعني "ناجح". لاحظ أن قيم رمز الحالة بين 1 و 129 (باستثناء 4, 8, 9, 20, 21, 26, 29, 36, 48, 66, 69-71, 90-91, 116, 124, و 127) تشير إلى سبب فشل مختلف، بينما الباقي محجوز بواسطة البروتوكول.

بمزيد من التفاصيل، تستفيد الوحدة الحالية، التي يتم تحديدها من خلال واجهة سطر الأوامر لـ WPAxFuzz، اختياريًا من وضع إرسال الإطارات المتتالية، أي أنها ترسل إطارات متعددة، 128 إطارًا، دفعة واحدة نحو نقطة الوصول الهدف. تتكون من أربع دوائر مختلفة: (i) إرسال إطارات SAE (مصادقة) إلى القناة الراديوية التي تعمل عليها المحطة الهدف، (ii) إرسال إطارات SAE إلى قناة راديوية مختلفة عن تلك الخاصة بالمحطة (المحطات) الهدف، و (iii) أي من السابق، ولكن مع تمكين وضع الإرسال المتتالي. علاوة على ذلك، يتم تنفيذ كل دورة اختبار على سبعة متغيرات متنوعة بناءً على النهج الذي لا يحافظ على الحالة لإجراء مصادقة WPA3-SAE على النحو التالي:

1. إطار مصادقة SAE فارغ.
2. إطار SAE-Commit صحيح (مكتمل البنية) متبوع بـ (1).
3. إطار SAE-Commit صحيح، متبوع بإطار SAE-Confirm مع تعيين حقل Send-Confirm على 0. تذكر أن حقل Send-Confirm يحمل عداد إطارات Confirm المرسلة بالفعل، وبالتالي يعمل كعداد مضاد لإعادة الإرسال.
4. كما في (3)، ولكن قيمة حقل Send-Confirm مضبوطة على 2. تم اختيار هذه القيمة المحددة (2)، باستخدام قيمة بين 2 و 65,534 لهذا الحقل، "قامت نقطة الوصول بفصل المحطة الهدف بعد 20 ثانية في المتوسط".
5. إطار SAE-Commit صحيح.
6. إطار SAE-Confirm صحيح مع حقل Send-Confirm يساوي 0.
7. كما في (6)، ولكن قيمة حقل Send-Confirm مضبوطة على 2.

كما هو الحال مع وحدة إطارات الإدارة، تستخدم الوحدة الحالية نفس منطق المراقبة وتنقسم إلى نوعين مختلفين من إجراءات الاختبار، وهما القياسي والواسع. على سبيل المثال، يتم اختبار حقل خوارزمية المصادقة باستخدام قيم محددة ومختارة بعناية، بما في ذلك 0, 1, 2, و 200، وليس قيمًا عشوائية تم إنشاؤها بواسطة Blab أو غيره. من ناحية أخرى، يركز الوضع الواسع على اختبار كل مجموعة صالحة من حقول SAE بشكل مكثف، أي كل قيمة ممكنة في النطاق من 0 إلى 65535، مما يجعله أكثر استهلاكًا للوقت مقارنة بالوضع القياسي.

وحدة هجوم الحرمان من الخدمة

تقوم هذه الوحدة بإطلاق هجوم حرمان من الخدمة استنادًا إلى البيانات (ملفات السجل) التي تم جمعها من عملية الاختبار. يمكن تنفيذه فقط ضد نفس نقطة الوصول والمحطة المستخدمة أثناء عملية الاختبار. أي أن الإطارات التي تسببت في أي سلوك إشكالي أثناء الاختبار يتم إرسالها بطريقة تحددها الخيارات أدناه.

الوصف

الخطوة 1: اختر الخيار 5)، وهو:

   5) وحدة هجوم حرمان من الخدمة

الخطوة 2: اختر وحدة الهجوم التي ترغب فيها

    1) الإطارات المكتشفة في لحظة انقطاع الاتصال، واحدة تلو الأخرى
    2) تسلسل الإطارات حتى لحظة اكتشاف انقطاع (نسخة تجريبية)

الخطوة 3: الوضع الأول لـ DoS802.11 يختبر جميع الإطارات التي اكتشفها المُختبِر حتى تلك اللحظة. إنه تصفية من الدرجة الثانية لفصل الإطارات الإيجابية الحقيقية عن الإطارات الإيجابية الكاذبة. في حالة كان الإطار إيجابيًا، أي يسبب حرمانًا من الخدمة للمحطة المرتبطة، يتم إنتاج استغلال تلقائيًا.
الخطوة 4: يخرج DoS802.11 عند النظر في ملفات السجل.

**الوحدات المتبقية في وضع النسخة التجريبية حاليًا.

الثغرات

حتى الآن، تمكن المُختبِر من تحديد معرفات CVE التالية، من خلال استغلال إطارات إدارة مختلفة:

بالإضافة إلى ذلك، تمكن المُختبِر من تحديد معرفات CVE التالية، من خلال استغلال إطارات تحكم مختلفة.

نود أيضًا شكر فريقي أمن MediaTek و Huawei على الاعتراف بهذه المشكلات الأمنية وإصلاحها، كما هو موضح في التحذيرين الأمنيين التاليين: MediaTek و Huawei.

علاوة على ذلك، باتباع منهجية العمل المعنون "كيف هو اتصال Wi-Fi الخاص بك اليوم؟ هجمات الحرمان من الخدمة على WPA3-SAE"، يمكن للمُختبِر تحديد نفس ثغرات SAE المرتبطة بمعرفات CVE أدناه:

الأعمال ذات الصلة

يتم توجيه القراء المهتمين إلى المنشورات أدناه بخصوص المنهجية المستخدمة لبناء WPAxFuzz. أيضًا، يتم توجيه القراء إلى "Bl0ck: شل اتصالات 802.11 من خلال إطارات Block Ack" لمزيد من التفاصيل حول استغلال إطارات التحكم. لاحظ أن الورقة البحثية المعنونة "كيف هو اتصال Wi-Fi الخاص بك اليوم؟ هجمات الحرمان من الخدمة على WPA3-SAE" المنشورة في المجلة الدولية لأمن المعلومات والتطبيقات (JISA)، Elsevier قد حصلت على جائزة الدكتور KW Wong السنوية لأفضل ورقة بحثية لعام 2022. يمكن العثور على الإعلان على: https://www.sciencedirect.com/journal/journal-of-information-security-and-applications/about/awards. بشكل عام، يتم توسيع المنهجية المفصلة في ورقة JISA في منشور WPAxFuzz.

@article{kampourakis2022wpaxfuzz,
  title={WPAxFuzz: Sniffing Out Vulnerabilities in Wi-Fi Implementations},
  author={Kampourakis, Vyron and Chatzoglou, Efstratios and Kambourakis, Georgios and Dolmes, Apostolos and Zaroliagis, Christos},
  journal={Cryptography},
  volume={6},
  number={4},
  pages={53},
  year={2022},
  publisher={MDPI}
}

@inproceedings{chatzoglou2023bl0ck,
  title={Bl0ck: Paralyzing 802.11 connections through block ack frames},
  author={Chatzoglou, Efstratios and Kampourakis, Vyron and Kambourakis, Georgios},
  booktitle={IFIP International Conference on ICT Systems Security and Privacy Protection},
  pages={250--264},
  year={2023},
  organization={Springer}
}

@article{chatzoglou2022your,
  title={How is your Wi-Fi connection today? DoS attacks on WPA3-SAE},
  author={Chatzoglou, Efstratios and Kambourakis, Georgios and Kolias, Constantinos},
  journal={Journal of Information Security and Applications},
  volume={64},
  pages={103058},
  year={2022},
  publisher={Elsevier}
}

الترخيص

رخصة MIT

حقوق الطبع والنشر (c) 2022-2023 فيرون كامبوراكيس (أدوات إطارات الإدارة والتحكم والبيانات والحرمان من الخدمة)
حقوق الطبع والنشر (c) 2022 أبوستولوس دولميس (أداة تبادل SAE)
حقوق الطبع والنشر (c) 2022-2023 فيرون كامبوراكيس وإفستراتيوس تشاتزوغلو (المنهجية)

الاتصال

إفستراتيوس تشاتزوغلو - [email protected]
فيرون كامبوراكيس - [email protected]

الشكر والتقدير

نود أن نشكر جميع البائعين الذين اتصلنا بهم وأبلغنا عن هذه الهجمات، بالإضافة إلى مكافآت الثغرات التي تلقيناها. أيضًا، نود تقديم بعض الشكر لمستودع قالب README، الذي ساعدنا في إنشاء ملف README هذا و logo.com، التي سمحت لنا بإنشاء شعار أداة WPAxFuzz.