Pentesting Wifi
Unisciti al server HackenProof Discord per comunicare con hacker esperti e cacciatori di bug bounty!
Approfondimenti sull'hacking Coinvolgiti con contenuti che esplorano l'emozione e le sfide dell'hacking
Notizie sull'hacking in tempo reale Resta aggiornato con il mondo dell'hacking frenetico attraverso notizie e approfondimenti in tempo reale
Ultime Annunci Rimani informato sui nuovi bug bounty in arrivo e sugli aggiornamenti cruciali della piattaforma
Unisciti a noi su Discord e inizia a collaborare con i migliori hacker oggi!
Comandi di base Wifi
Strumenti
EAPHammer
Airgeddon
Esegui airgeddon con docker
wifiphisher
Può eseguire attacchi Evil Twin, KARMA e Known Beacons e poi utilizzare un modello di phishing per riuscire a ottenere la password reale della rete o catturare le credenziali dei social network.
Questo strumento automatizza gli attacchi WPS/WEP/WPA-PSK. Automatizzerà automaticamente:
Impostare l'interfaccia in modalità monitor
Scansionare le reti possibili - E permetterti di selezionare la vittima(i)
Se WEP - Avviare gli attacchi WEP
Se WPA-PSK
Se WPS: attacco Pixie dust e attacco di forza bruta (fai attenzione che l'attacco di forza bruta potrebbe richiedere molto tempo). Nota che non prova PIN nulli o PIN generati dal database.
Provare a catturare il PMKID dall'AP per craccarlo
Provare a disautenticare i client dell'AP per catturare un handshake
Se PMKID o Handshake, provare a forzare usando le prime 5000 password.
Riassunto degli Attacchi
DoS
Pacchetti di disautenticazione/disassociazione -- Disconnetti tutti (o un ESSID/Client specifico)
AP fake casuali -- Nascondi le reti, possibili scanner di crash
Sovraccarico AP -- Prova a disattivare l'AP (di solito non molto utile)
WIDS -- Gioca con l'IDS
TKIP, EAPOL -- Alcuni attacchi specifici per DoS su alcuni AP
Cracking
Cracca WEP (diversi strumenti e metodi)
WPA-PSK
PIN WPS "Forza Bruta"
WPA PMKID forza bruta
[DoS +] Cattura WPA handshake + Cracking
WPA-MGT
Cattura Nome utente
Forza Bruta Credenziali
Evil Twin (con o senza DoS)
Evil Twin Aperto [+ DoS] -- Utile per catturare le credenziali del portale cattivo e/o eseguire attacchi LAN
Evil Twin WPA-PSK -- Utile per attacchi di rete se conosci la password
WPA-MGT -- Utile per catturare le credenziali aziendali
KARMA, MANA, MANA rumoroso, Segnale noto
+ Aperto -- Utile per catturare le credenziali del portale cattivo e/o eseguire attacchi LAN
+ WPA -- Utile per catturare gli handshakes WPA
DOS
Pacchetti di Disautenticazione
Descrizione da qui:.
Gli attacchi di disautenticazione, un metodo diffuso nell'hacking Wi-Fi, coinvolgono la falsificazione di frame "di gestione" per disconnettere forzatamente i dispositivi da una rete. Questi pacchetti non criptati inducono in errore i client facendogli credere che provengano dalla rete legittima, consentendo agli attaccanti di raccogliere gli handshakes WPA per scopi di cracking o per interrompere in modo persistente le connessioni di rete. Questa tattica, allarmante per la sua semplicità, è ampiamente utilizzata e ha significative implicazioni per la sicurezza di rete.
Disautenticazione utilizzando Aireplay-ng
-0 significa deautenticazione
1 è il numero di deautenticazioni da inviare (puoi inviarne più se desideri); 0 significa inviarle continuamente
-a 00:14:6C:7E:40:80 è l'indirizzo MAC del punto di accesso
-c 00:0F:B5:34:30:30 è l'indirizzo MAC del client da deautenticare; se omesso, viene inviata una deautenticazione di broadcast (non sempre funziona)
ath0 è il nome dell'interfaccia
Pacchetti di Disassociazione
I pacchetti di disassociazione, simili ai pacchetti di deautenticazione, sono un tipo di frame di gestione utilizzati nelle reti Wi-Fi. Questi pacchetti servono a interrompere la connessione tra un dispositivo (come un laptop o smartphone) e un punto di accesso (AP). La distinzione principale tra disassociazione e deautenticazione risiede nei loro scenari d'uso. Mentre un AP emette **pacchetti di deautenticazione per rimuovere esplicitamente i dispositivi non autorizzati dalla rete, i pacchetti di disassociazione vengono tipicamente inviati quando l'AP è in fase di spegnimento, riavvio o ricollocazione, rendendo necessaria la disconnessione di tutti i nodi connessi.
Questo attacco può essere eseguito da mdk4 (modalità "d"):
Altri attacchi DOS con mdk4
In questo link.
MODALITÀ DI ATTACCO b: Inondazione di Beacon
Invia frame di beacon per mostrare falsi AP ai clienti. Questo a volte può far crashare gli scanner di rete e persino i driver!
MODALITÀ DI ATTACCO a: Denial-Of-Service dell'Autenticazione
L'invio di frame di autenticazione a tutti i Punti di Accesso (AP) accessibili nel raggio d'azione può sovraccaricare questi AP, specialmente quando sono coinvolti numerosi client. Questo intenso traffico può portare a un'instabilità del sistema, causando il blocco o addirittura il reset di alcuni AP.
MODALITÀ DI ATTACCO p: Indagine e Forzatura SSID
L'indagine sui Punti di Accesso (AP) verifica se un SSID è correttamente rivelato e conferma il raggio dell'AP. Questa tecnica, abbinata alla forzatura degli SSID nascosti con o senza un elenco di parole, aiuta nell'identificazione e nell'accesso alle reti nascoste.
MODALITÀ DI ATTACCO m: Sfruttamento delle Contromisure di Michael
L'invio di pacchetti casuali o duplicati a code QoS diverse può innescare le Contromisure di Michael sugli AP TKIP, portando a uno spegnimento dell'AP di un minuto. Questo metodo è una tattica di attacco DoS (Denial of Service) efficiente.
MODALITÀ DI ATTACCO e: Iniezione di pacchetti EAPOL Start e Logoff
Inondare un AP con frame di avvio EAPOL crea sessioni false, sovraccaricando l'AP e bloccando i clienti legittimi. In alternativa, l'iniezione di messaggi falsi di disconnessione EAPOL scollega forzatamente i client, entrambi i metodi interrompono efficacemente il servizio di rete.
MODALITÀ DI ATTACCO s: Attacchi per reti mesh IEEE 802.11s
Vari attacchi alla gestione dei collegamenti e al routing nelle reti mesh.
MODALITÀ DI ATTACCO w: Confusione WIDS
Il collegamento incrociato dei client a più nodi WDS o a falsi rogue AP può manipolare i Sistemi di Rilevamento e Prevenzione delle Intrusioni, creando confusione e potenziale abuso di sistema.
MODALITÀ DI ATTACCO f: Packet Fuzzer
Un packet fuzzer con diverse fonti di pacchetti e un set completo di modificatori per la manipolazione dei pacchetti.
Airggedon
Airgeddon offre la maggior parte degli attacchi proposti nei commenti precedenti:
WPS
WPS (Wi-Fi Protected Setup) semplifica il processo di connessione dei dispositivi a un router, migliorando la velocità e la facilità di configurazione per le reti crittografate con WPA o WPA2 Personal. Risulta inefficace per la sicurezza facilmente compromessa di WEP. WPS utilizza un PIN a 8 cifre, convalidato in due metà, rendendolo suscettibile agli attacchi di forza bruta a causa del suo numero limitato di combinazioni (11.000 possibilità).
Forza Bruta WPS
Ci sono 2 principali strumenti per eseguire questa azione: Reaver e Bully.
Reaver è stato progettato per essere un attacco robusto e pratico contro WPS ed è stato testato su una vasta gamma di punti di accesso e implementazioni WPS.
Bully è una nuova implementazione dell'attacco di forza bruta WPS, scritta in C. Ha diversi vantaggi rispetto al codice reaver originale: minori dipendenze, miglioramento delle prestazioni di memoria e CPU, gestione corretta della endianità e un insieme più robusto di opzioni.
L'attacco sfrutta la vulnerabilità del PIN WPS, in particolare l'esposizione delle prime quattro cifre e il ruolo dell'ultima cifra come checksum, facilitando l'attacco di forza bruta. Tuttavia, le difese contro gli attacchi di forza bruta, come bloccare gli indirizzi MAC degli aggressori, richiedono rotazione degli indirizzi MAC per continuare l'attacco.
Una volta ottenuto il PIN WPS con strumenti come Bully o Reaver, l'attaccante può dedurre la PSK WPA/WPA2, garantendo un accesso persistente alla rete.
Smart Brute Force
Questo approccio raffinato mira ai PIN WPS utilizzando vulnerabilità conosciute:
PIN pre-scoperti: Utilizzare un database di PIN noti collegati a produttori specifici noti per utilizzare PIN WPS uniformi. Questo database correla i primi tre ottetti degli indirizzi MAC con i PIN probabili per questi produttori.
Algoritmi di generazione di PIN: Sfruttare algoritmi come ComputePIN ed EasyBox, che calcolano i PIN WPS basati sull'indirizzo MAC dell'AP. L'algoritmo Arcadyan richiede inoltre un ID dispositivo, aggiungendo uno strato al processo di generazione del PIN.
Attacco WPS Pixie Dust
Dominique Bongard ha scoperto una falla in alcuni Access Point (AP) riguardante la creazione di codici segreti, noti come nonce (E-S1 e E-S2). Se questi nonce possono essere scoperti, craccare il PIN WPS dell'AP diventa facile. L'AP rivela il PIN all'interno di un codice speciale (hash) per dimostrare che è legittimo e non un AP falso (rogue). Questi nonce sono essenzialmente le "chiavi" per sbloccare la "cassaforte" che contiene il PIN WPS. Maggiori informazioni a riguardo possono essere trovate qui.
In parole semplici, il problema è che alcuni AP non utilizzavano chiavi sufficientemente casuali per crittografare il PIN durante il processo di connessione. Questo rende il PIN vulnerabile a essere indovinato dall'esterno della rete (attacco di forza bruta offline).
Se non vuoi passare il dispositivo alla modalità monitor, o se reaver e bully hanno qualche problema, puoi provare OneShot-C. Questo strumento può eseguire l'attacco Pixie Dust senza dover passare alla modalità monitor.
Attacco Null Pin
Alcuni sistemi mal progettati permettono addirittura a un Null PIN (un PIN vuoto o inesistente) di concedere l'accesso, il che è piuttosto insolito. Lo strumento Reaver è in grado di testare questa vulnerabilità, a differenza di Bully.
Airgeddon
Tutti gli attacchi WPS proposti possono essere facilmente eseguiti utilizzando airgeddon.
5 e 6 ti permettono di provare il tuo PIN personalizzato (se ne hai uno)
7 e 8 eseguono l'attacco Pixie Dust
13 ti consente di testare il PIN NULLO
11 e 12 raccolgono i PIN relativi all'AP selezionato dai database disponibili e generano possibili PIN utilizzando: ComputePIN, EasyBox e opzionalmente Arcadyan (raccomandato, perché no?)
9 e 10 testeranno ogni possibile PIN
WEP
Così vulnerabile e non utilizzato al giorno d'oggi. Basta sapere che airgeddon ha un'opzione WEP chiamata "All-in-One" per attaccare questo tipo di protezione. Più strumenti offrono opzioni simili.
Unisciti al server HackenProof Discord per comunicare con hacker esperti e cacciatori di bug!
Approfondimenti sull'Hacking Interagisci con contenuti che esplorano l'emozione e le sfide dell'hacking
Notizie sull'Hacking in Tempo Reale Resta aggiornato con il mondo dell'hacking in rapida evoluzione attraverso notizie e approfondimenti in tempo reale
Ultime Comunicazioni Rimani informato sui nuovi bug bounty in arrivo e sugli aggiornamenti cruciali della piattaforma
Unisciti a noi su Discord e inizia a collaborare con i migliori hacker oggi stesso!
WPA/WPA2 PSK
PMKID
Nel 2018, hashcat ha rivelato un nuovo metodo di attacco, unico perché ha bisogno solo di un singolo pacchetto e non richiede che nessun client sia connesso all'AP di destinazione, solo l'interazione tra l'attaccante e l'AP.
Molti router moderni aggiungono un campo opzionale al primo frame EAPOL durante l'associazione, noto come Robust Security Network. Questo include il PMKID.
Come spiega il post originale, il PMKID è creato utilizzando dati noti:
Dato che il "Nome PMK" è costante, conosciamo il BSSID dell'AP e della stazione, e il PMK è identico a quello di un handshake completo a 4 vie, hashcat può utilizzare queste informazioni per violare la PSK e recuperare la passphrase!
Per raccogliere queste informazioni e eseguire un attacco di forza bruta localmente alla password, puoi fare:
I PMKIDs catturati verranno mostrati nella console e anche salvati all'interno di _ /tmp/attack.pcap_ Ora, converti la cattura nel formato di hashcat/john e decifralo:
Si prega di notare che il formato corretto di un hash contiene 4 parti, come: 4017733ca8db33a1479196c2415173beb808d7b83cfaa4a6a9a5aae7566f6461666f6e65436f6e6e6563743034383131343838. Se il tuo contiene solo 3 parti, allora è invalido (la cattura PMKID non era valida).
Si noti che hcxdumptool cattura anche gli handshake (qualcosa del genere apparirà: MP:M1M2 RC:63258 EAPOLTIME:17091). È possibile trasformare gli handshake nel formato di hashcat/john utilizzando cap2hccapx.
Ho notato che alcuni handshake catturati con questo strumento non potevano essere decifrati anche conoscendo la password corretta. Consiglierei di catturare gli handshake anche tramite il metodo tradizionale, se possibile, o di catturarne diversi usando questo strumento.
Cattura dell'handshake
Un attacco alle reti WPA/WPA2 può essere eseguito catturando un handshake e tentando di decifrare la password offline. Questo processo coinvolge il monitoraggio della comunicazione di una rete specifica e del BSSID su un particolare canale. Ecco una guida semplificata:
Identificare il BSSID, il canale e un client connesso della rete target.
Utilizzare
airodump-ngper monitorare il traffico di rete sul canale e BSSID specificati, sperando di catturare un handshake. Il comando sarà simile a questo:
Per aumentare la possibilità di catturare un handshake, disconnettere momentaneamente il client dalla rete per forzare una nuova autenticazione. Questo può essere fatto utilizzando il comando
aireplay-ng, che invia pacchetti di deautenticazione al client:
Nota che una volta che il client è stato disautenticato potrebbe cercare di connettersi a un AP diverso o, in altri casi, a una rete diversa.
Una volta che inizia a comparire l'informazione di handshake in airodump-ng significa che l'handshake è stato catturato e puoi smettere di ascoltare:
Una volta catturato l'handshake puoi craccarlo con aircrack-ng:
Verifica se l'handshake è presente nel file
aircrack
tshark
Se questo strumento trova un handshake non completato di un ESSID prima di quello completato, non rileverà quello valido.
pyrit
WPA Enterprise (MGT)
Nei setup WiFi enterprise, incontrerai vari metodi di autenticazione, ognuno dei quali fornisce diversi livelli di sicurezza e funzionalità di gestione. Quando utilizzi strumenti come airodump-ng per ispezionare il traffico di rete, potresti notare identificatori per questi tipi di autenticazione. Alcuni metodi comuni includono:
EAP-GTC (Generic Token Card):
Questo metodo supporta token hardware e password monouso all'interno di EAP-PEAP. A differenza di MSCHAPv2, non utilizza una sfida tra pari e invia le password in chiaro al punto di accesso, creando un rischio per gli attacchi di declassamento.
EAP-MD5 (Message Digest 5):
Coinvolge l'invio dell'hash MD5 della password dal client. Non è consigliato a causa della vulnerabilità agli attacchi a dizionario, della mancanza di autenticazione del server e dell'incapacità di generare chiavi WEP specifiche della sessione.
EAP-TLS (Transport Layer Security):
Utilizza certificati lato client e lato server per l'autenticazione e può generare dinamicamente chiavi WEP basate sull'utente e sulla sessione per proteggere le comunicazioni.
EAP-TTLS (Tunneled Transport Layer Security):
Fornisce autenticazione reciproca attraverso un tunnel crittografato, insieme a un metodo per derivare chiavi WEP dinamiche, per utente e per sessione. Richiede solo certificati lato server, con i client che utilizzano credenziali.
PEAP (Protected Extensible Authentication Protocol):
Funziona in modo simile a EAP creando un tunnel TLS per comunicazioni protette. Consente l'uso di protocolli di autenticazione più deboli su EAP grazie alla protezione offerta dal tunnel.
PEAP-MSCHAPv2: Spesso indicato come PEAP, combina il meccanismo di sfida/risposta vulnerabile MSCHAPv2 con un tunnel TLS protettivo.
PEAP-EAP-TLS (o PEAP-TLS): Simile a EAP-TLS ma avvia un tunnel TLS prima dello scambio di certificati, offrendo uno strato di sicurezza aggiuntivo.
Puoi trovare ulteriori informazioni su questi metodi di autenticazione quie qui.
Cattura dell'Username
Leggendo https://tools.ietf.org/html/rfc3748#page-27 sembra che se stai utilizzando EAP i messaggi "Identità" devono essere supportati, e l'username verrà inviato in chiaro nei messaggi "Risposta Identità".
Anche utilizzando uno dei metodi di autenticazione più sicuri: PEAP-EAP-TLS, è possibile catturare l'username inviato nel protocollo EAP. Per farlo, cattura una comunicazione di autenticazione (avvia airodump-ng su un canale e wireshark sulla stessa interfaccia) e filtra i pacchetti per eapol.
All'interno del pacchetto "Risposta, Identità", apparirà l'username del client.
Identità Anonime
La mascheratura dell'identità è supportata sia da EAP-PEAP che da EAP-TTLS. Nel contesto di una rete WiFi, una richiesta di EAP-Identità è tipicamente avviata dal punto di accesso (AP) durante il processo di associazione. Per garantire la protezione dell'anonimato dell'utente, la risposta del client EAP sul dispositivo dell'utente contiene solo le informazioni essenziali necessarie affinché il server RADIUS iniziale possa elaborare la richiesta. Questo concetto è illustrato attraverso i seguenti scenari:
EAP-Identità = anonimo
In questo scenario, tutti gli utenti utilizzano il pseudonimo "anonimo" come identificatore utente. Il server RADIUS iniziale funziona come server EAP-PEAP o EAP-TTLS, responsabile della gestione del lato server del protocollo PEAP o TTLS. Il metodo di autenticazione interno (protetto) è quindi gestito localmente o delegato a un server RADIUS remoto (domiciliare).
EAP-Identità = anonimo@realm_x
In questa situazione, gli utenti di diversi domini nascondono le proprie identità indicando i rispettivi domini. Ciò consente al server RADIUS iniziale di instradare le richieste EAP-PEAP o EAP-TTLS ai server RADIUS nei rispettivi domini di origine, che agiscono come server PEAP o TTLS. Il server RADIUS iniziale funziona esclusivamente come nodo di rilancio RADIUS.
In alternativa, il server RADIUS iniziale può funzionare come server EAP-PEAP o EAP-TTLS e gestire il metodo di autenticazione protetto o inoltrarlo a un altro server. Questa opzione facilita la configurazione di politiche distinte per vari domini.
In EAP-PEAP, una volta stabilito il tunnel TLS tra il server PEAP e il client PEAP, il server PEAP avvia una richiesta di EAP-Identità e la trasmette attraverso il tunnel TLS. Il client risponde a questa seconda richiesta di EAP-Identità inviando una risposta di EAP-Identità contenente la vera identità dell'utente attraverso il tunnel crittografato. Questo approccio impedisce efficacemente la rivelazione dell'identità effettiva dell'utente a chiunque stia intercettando il traffico 802.11.
EAP-TTLS segue una procedura leggermente diversa. Con EAP-TTLS, il client di solito si autentica utilizzando PAP o CHAP, protetto dal tunnel TLS. In questo caso, il client include un attributo User-Name e un attributo Password o CHAP-Password nel messaggio TLS iniziale inviato dopo l'instaurazione del tunnel.
Indipendentemente dal protocollo scelto, il server PEAP/TTLS ottiene conoscenza dell'identità effettiva dell'utente dopo che il tunnel TLS è stato stabilito. L'identità effettiva può essere rappresentata come utente@dominio o semplicemente utente. Se il server PEAP/TTLS è anche responsabile dell'autenticazione dell'utente, ora possiede l'identità dell'utente e procede con il metodo di autenticazione protetto dal tunnel TLS. In alternativa, il server PEAP/TTLS può inoltrare una nuova richiesta RADIUS al server RADIUS domiciliare dell'utente. Questa nuova richiesta RADIUS omette lo strato di protocollo PEAP o TTLS. Nei casi in cui il metodo di autenticazione protetto sia EAP, i messaggi EAP interni vengono trasmessi al server RADIUS domiciliare senza l'involucro EAP-PEAP o EAP-TTLS. L'attributo User-Name del messaggio RADIUS in uscita contiene l'identità effettiva dell'utente, sostituendo l'User-Name anonimo del messaggio RADIUS in ingresso. Quando il metodo di autenticazione protetto è PAP o CHAP (supportato solo da TTLS), l'attributo User-Name e gli altri attributi di autenticazione estratti dal payload TLS vengono sostituiti nel messaggio RADIUS in uscita, sostituendo l'User-Name anonimo e gli attributi EAP-Message TTLS presenti nel messaggio RADIUS in ingresso.
Per ulteriori informazioni consulta https://www.interlinknetworks.com/app_notes/eap-peap.htm
EAP-Bruteforce (password spray)
Se ci si aspetta che il client utilizzi un username e una password (nota che EAP-TLS non sarà valido in questo caso), allora potresti provare a ottenere un elenco di username (vedi la prossima parte) e password e provare a forzare l'accesso utilizzando air-hammer.
Puoi anche eseguire questo attacco utilizzando eaphammer:
Teoria degli attacchi ai client
Selezione della rete e roaming
Il protocollo 802.11 definisce come una stazione si unisce a un Extended Service Set (ESS) ma non specifica i criteri per la selezione di un ESS o di un punto di accesso (AP) al suo interno.
Le stazioni possono passare tra AP che condividono lo stesso ESSID, mantenendo la connettività in un edificio o area.
Il protocollo richiede l'autenticazione della stazione all'ESS ma non impone l'autenticazione dell'AP alla stazione.
Liste di reti preferite (PNL)
Le stazioni memorizzano l'ESSID di ogni rete wireless a cui si connettono nella loro Lista di reti preferite (PNL), insieme ai dettagli di configurazione specifici della rete.
La PNL viene utilizzata per connettersi automaticamente alle reti conosciute, migliorando l'esperienza dell'utente semplificando il processo di connessione.
Scansione passiva
Gli AP trasmettono periodicamente frame di beacon, annunciando la propria presenza e caratteristiche, inclusa l'ESSID dell'AP a meno che la trasmissione non sia disabilitata.
Durante la scansione passiva, le stazioni ascoltano i frame di beacon. Se l'ESSID di un beacon corrisponde a una voce nella PNL della stazione, la stazione potrebbe connettersi automaticamente a quell'AP.
La conoscenza della PNL di un dispositivo consente potenziali exploit imitando l'ESSID di una rete conosciuta, ingannando il dispositivo a connettersi a un AP fraudolento.
Indagine attiva
L'indagine attiva coinvolge le stazioni nell'invio di richieste di sonda per scoprire gli AP nelle vicinanze e le loro caratteristiche.
Le richieste di sonda dirette mirano a un ESSID specifico, aiutando a rilevare se una rete particolare è entro il raggio d'azione, anche se è una rete nascosta.
Le richieste di sonda di broadcast hanno un campo SSID nullo e vengono inviate a tutti gli AP nelle vicinanze, consentendo alla stazione di verificare la presenza di qualsiasi rete preferita senza divulgare i contenuti della sua PNL.
Semplice AP con reindirizzamento a Internet
Prima di spiegare come eseguire attacchi più complessi, verrà spiegato come creare solo un AP e reindirizzare il suo traffico a un'interfaccia connessa a Internet.
Utilizzando ifconfig -a controlla che l'interfaccia wlan per creare l'AP e l'interfaccia connessa a Internet siano presenti.
DHCP & DNS
Creare il file di configurazione /etc/dnsmasq.conf:
Quindi imposta gli IP e le route:
E quindi avvia dnsmasq:
hostapd
Creare un file di configurazione hostapd.conf:
Arresta i processi fastidiosi, imposta la modalità monitor, e avvia hostapd:
Inoltro e Reindirizzamento
Evil Twin
Un attacco evil twin sfrutta il modo in cui i client WiFi riconoscono le reti, facendo affidamento principalmente sul nome della rete (ESSID) senza richiedere alla stazione base (punto di accesso) di autenticarsi al client. I punti chiave includono:
Difficoltà nella Differenziazione: I dispositivi faticano a distinguere tra access point legittimi e falsi quando condividono lo stesso ESSID e tipo di crittografia. Le reti reali spesso utilizzano più access point con lo stesso ESSID per estendere la copertura in modo trasparente.
Roaming del Cliente e Manipolazione della Connessione: Il protocollo 802.11 consente ai dispositivi di passare tra access point all'interno dello stesso ESSID. Gli attaccanti possono sfruttare ciò attirando un dispositivo a disconnettersi dalla sua stazione base attuale e connettersi a una falsa. Questo può essere ottenuto offrendo un segnale più forte o interrompendo la connessione alla stazione base legittima attraverso metodi come pacchetti di deautenticazione o jamming.
Sfide nell'Esecuzione: Eseguire con successo un attacco evil twin in ambienti con più access point ben posizionati può essere impegnativo. Deautenticare un singolo access point legittimo spesso porta il dispositivo a connettersi a un altro access point legittimo a meno che l'attaccante non possa deautenticare tutti gli access point vicini o posizionare strategicamente l'access point falso.
Puoi anche creare un Evil Twin usando eaphammer (nota che per creare evil twin con eaphammer l'interfaccia NON deve essere in modalità monitor):
Oppure utilizzando Airgeddon: Opzioni: 5,6,7,8,9 (all'interno del menu attacco Evil Twin).
Si noti che per impostazione predefinita, se un ESSID nel PNL è salvato come protetto da WPA, il dispositivo non si connetterà automaticamente a un Evil Twin aperto. È possibile provare a effettuare un attacco DoS al vero AP e sperare che l'utente si connetta manualmente al proprio Evil Twin aperto, oppure è possibile effettuare un attacco DoS al vero AP e utilizzare un WPA Evil Twin per catturare l'handshake (utilizzando questo metodo non sarà possibile far connettere la vittima a voi in quanto non si conosce la PSK, ma è possibile catturare l'handshake e cercare di craccarlo).
Altri sistemi operativi e software antivirus avviseranno l'utente che connettersi a una rete aperta è pericoloso...
WPA/WPA2 Evil Twin
È possibile creare un Evil Twin utilizzando WPA/2 e se i dispositivi sono configurati per connettersi a tale SSID con WPA/2, proveranno a connettersi. Tuttavia, per completare il 4-way-handshake è necessario conoscere la password che il client utilizzerà. Se non la si conosce, la connessione non verrà completata.
Evil Twin Enterprise
Per comprendere questi attacchi, consiglio di leggere prima la breve spiegazione su WPA Enterprise.
Utilizzando hostapd-wpe
hostapd-wpe ha bisogno di un file di configurazione per funzionare. Per automatizzare la generazione di queste configurazioni, potresti utilizzare https://github.com/WJDigby/apd_launchpad (scarica il file python all'interno di /etc/hostapd-wpe/)
Nel file di configurazione è possibile selezionare molte cose diverse come ssid, canale, file utente, cret/key, parametri dh, versione wpa e autenticazione...
Utilizzo di hostapd-wpe con EAP-TLS per consentire a qualsiasi certificato di effettuare il login.
Utilizzo di EAPHammer
Di default, EAPHammer utilizza questi metodi di autenticazione (notare GTC come primo tentativo per ottenere le password in chiaro e successivamente l'uso di metodi di autenticazione più robusti):
Questo è il metodo predefinito per evitare lunghi tempi di connessione. Tuttavia, è anche possibile specificare al server i metodi di autenticazione da più deboli a più forti:
Oppure è possibile utilizzare:
--negotiate gtc-downgradeper utilizzare un'implementazione altamente efficiente del downgrade GTC (password in chiaro)--negotiate manuale --phase-1-methods PEAP,TTLS --phase-2-methods MSCHAPV2,GTC,TTLS-PAPper specificare manualmente i metodi offerti (offrendo gli stessi metodi di autenticazione nello stesso ordine dell'organizzazione, l'attacco sarà molto più difficile da rilevare).
Utilizzando Airgeddon
Airgeddon può utilizzare certificati precedentemente generati per offrire autenticazione EAP alle reti WPA/WPA2-Enterprise. La rete falsa abbasserà il protocollo di connessione a EAP-MD5 in modo da poter catturare l'utente e l'MD5 della password. Successivamente, l'attaccante può provare a craccare la password.
Airggedon ti offre la possibilità di un attacco Evil Twin continuo (rumoroso) o creare solo l'attacco Evil fino a quando qualcuno si connette (silenzioso).
Debugging dei tunnel TLS PEAP ed EAP-TTLS negli attacchi Evil Twins
Questo metodo è stato testato in una connessione PEAP ma poiché sto decrittando un tunnel TLS arbitrario, dovrebbe funzionare anche con EAP-TTLS
All'interno della configurazione di hostapd-wpe commentare la riga che contiene dh_file (da dh_file=/etc/hostapd-wpe/certs/dh a #dh_file=/etc/hostapd-wpe/certs/dh)
Questo farà sì che hostapd-wpe scambi le chiavi utilizzando RSA invece di DH, in modo da poter decrittare il traffico in seguito conoscendo la chiave privata del server.
Ora avvia l'Evil Twin utilizzando hostapd-wpe con quella configurazione modificata come al solito. Inoltre, avvia wireshark nell'interfaccia che sta eseguendo l'attacco Evil Twin.
Ora o in seguito (quando hai già catturato alcuni tentativi di autenticazione) puoi aggiungere la chiave privata RSA a wireshark in: Modifica --> Preferenze --> Protocolli --> TLS --> (elenco chiavi RSA) Modifica...
Aggiungi una nuova voce e compila il modulo con questi valori: Indirizzo IP = qualsiasi -- Porta = 0 -- Protocollo = dati -- File chiave (seleziona il tuo file chiave, per evitare problemi seleziona un file chiave senza protezione password).
E guarda la nuova scheda "TLS decrittato":
Attacco KARMA, MANA, Loud MANA e beacon conosciuti
ESSID e liste nere/bianche MAC
Diversi tipi di Liste di Filtri di Controllo dell'Accesso ai Media (MFACLs) e le relative modalità ed effetti sul comportamento di un Punto di Accesso (AP) rogue:
Whitelist basata su MAC:
Il rogue AP risponderà solo alle richieste di sonda dai dispositivi specificati nella whitelist, rimanendo invisibile a tutti gli altri non elencati.
Blacklist basata su MAC:
Il rogue AP ignorerà le richieste di sonda dai dispositivi nella blacklist, rendendo effettivamente invisibile il rogue AP a quei dispositivi specifici.
Whitelist basata su SSID:
Il rogue AP risponderà solo alle richieste di sonda per gli ESSID specifici elencati, rendendosi invisibile ai dispositivi il cui elenco delle reti preferite (PNLs) non contiene quegli ESSID.
Blacklist basata su SSID:
Il rogue AP non risponderà alle richieste di sonda per gli ESSID specifici nella blacklist, rendendosi invisibile ai dispositivi che cercano quelle reti particolari.
KARMA
Questo metodo permette a un attaccante di creare un punto di accesso (AP) maligno che risponde a tutte le richieste di scansione provenienti dai dispositivi che cercano di connettersi alle reti. Questa tecnica inganna i dispositivi facendoli connettere all'AP dell'attaccante imitando le reti che i dispositivi stanno cercando. Una volta che un dispositivo invia una richiesta di connessione a questo AP fraudolento, completa la connessione, portando il dispositivo a connettersi erroneamente alla rete dell'attaccante.
MANA
Successivamente, i dispositivi hanno iniziato a ignorare le risposte di rete non richieste, riducendo l'efficacia dell'attacco karma originale. Tuttavia, è stato introdotto un nuovo metodo, noto come attacco MANA, da Ian de Villiers e Dominic White. Questo metodo coinvolge l'AP maligno nel catturare le Liste di Rete Preferite (PNL) dai dispositivi rispondendo alle loro richieste di scansione broadcast con nomi di reti (SSID) precedentemente richiesti dai dispositivi. Questo sofisticato attacco elude le protezioni contro l'attacco karma originale sfruttando il modo in cui i dispositivi ricordano e danno priorità alle reti conosciute.
L'attacco MANA opera monitorando sia le richieste di scansione dirette che broadcast dai dispositivi. Per le richieste dirette, registra l'indirizzo MAC del dispositivo e il nome della rete richiesta, aggiungendo queste informazioni a un elenco. Quando viene ricevuta una richiesta broadcast, l'AP risponde con informazioni corrispondenti a una qualsiasi delle reti presenti nell'elenco del dispositivo, invitando il dispositivo a connettersi all'AP maligno.
Loud MANA
Un attacco Loud MANA è una strategia avanzata da utilizzare quando i dispositivi non utilizzano probing diretto o quando le loro Liste di Rete Preferite (PNL) sono sconosciute all'attaccante. Si basa sul principio che i dispositivi nella stessa area probabilmente condividono alcuni nomi di reti nelle loro PNL. Invece di rispondere selettivamente, questo attacco trasmette risposte di probing per ogni nome di rete (ESSID) trovato nelle PNL combinate di tutti i dispositivi osservati. Questo approccio ampio aumenta la possibilità che un dispositivo riconosca una rete familiare e cerchi di connettersi al rogue Access Point (AP).
Attacco Beacon conosciuto
Quando l'attacco Loud MANA potrebbe non essere sufficiente, l'attacco Beacon conosciuto presenta un altro approccio. Questo metodo forza il processo di connessione simulando un AP che risponde a qualsiasi nome di rete, passando in rassegna un elenco di potenziali ESSID derivati da un wordlist. Questo simula la presenza di numerosi network, sperando di trovare un ESSID all'interno del PNL della vittima, provocando un tentativo di connessione all'AP fabbricato. L'attacco può essere amplificato combinandolo con l'opzione --loud per un tentativo più aggressivo di intrappolare i dispositivi.
Eaphammer ha implementato questo attacco come un attacco MANA in cui tutti gli ESSID all'interno di un elenco vengono caricati (è anche possibile combinare questo con --loud per creare un attacco Loud MANA + Beacon conosciuti):
Attacco Known Beacon Burst
L'attacco Known Beacon Burst coinvolge la trasmissione a raffica di frame beacon per ciascun ESSID elencato in un file. Ciò crea un ambiente denso di reti fittizie, aumentando notevolmente la probabilità che i dispositivi si connettano all'AP fraudolento, specialmente se combinato con un attacco MANA. Questa tecnica sfrutta la velocità e il volume per sovraccaricare i meccanismi di selezione della rete dei dispositivi.
Wi-Fi Direct
Wi-Fi Direct è un protocollo che consente ai dispositivi di collegarsi direttamente tra loro utilizzando il Wi-Fi senza la necessità di un tradizionale punto di accesso wireless. Questa capacità è integrata in vari dispositivi Internet of Things (IoT), come stampanti e televisori, facilitando la comunicazione diretta dispositivo-dispositivo. Una caratteristica notevole di Wi-Fi Direct è che un dispositivo assume il ruolo di un punto di accesso, noto come proprietario del gruppo, per gestire la connessione.
La sicurezza delle connessioni Wi-Fi Direct è stabilita attraverso Wi-Fi Protected Setup (WPS), che supporta diversi metodi per l'accoppiamento sicuro, tra cui:
Configurazione tramite pulsante di accoppiamento (PBC)
Inserimento del PIN
Comunicazione in prossimità (NFC)
Questi metodi, in particolare l'inserimento del PIN, sono suscettibili alle stesse vulnerabilità di WPS nelle reti Wi-Fi tradizionali, rendendoli bersagli per simili vettori di attacco.
EvilDirect Hijacking
EvilDirect Hijacking è un attacco specifico a Wi-Fi Direct. Riflette il concetto di un attacco Evil Twin ma mira alle connessioni Wi-Fi Direct. In questo scenario, un attaccante si finge un legittimo proprietario del gruppo con l'obiettivo di ingannare i dispositivi affinché si connettano a un'entità maliziosa. Questo metodo può essere eseguito utilizzando strumenti come airbase-ng specificando il canale, l'ESSID e l'indirizzo MAC del dispositivo impersonato:
Riferimenti
TODO: Dai un'occhiata a https://github.com/wifiphisher/wifiphisher (accesso con Facebook e imitazione di WPA nei portali cattivi)
Unisciti al server HackenProof Discord per comunicare con hacker esperti e cacciatori di bug!
Approfondimenti sull'Hacking Interagisci con contenuti che esplorano l'emozione e le sfide dell'hacking
Notizie sull'Hacking in Tempo Reale Resta aggiornato sul mondo dell'hacking ad alta velocità attraverso notizie e approfondimenti in tempo reale
Ultime Novità Rimani informato sui nuovi bug bounty in arrivo e sugli aggiornamenti cruciali della piattaforma
Unisciti a noi su Discord e inizia a collaborare con i migliori hacker oggi!
Last updated
