Ръководство за Aircrack-ng в Linux за начинаещи

Здравейте на всички. В навечерието на старта на курса „Практикум по Kali Linux“ подготвихме за вас превод на интересна статия.

Днешното ръководство ще ви запознае с основите за започване на работа с пакета aircrack-ng. Разбира се, е невъзможно да предоставим цялата необходима информация и да обхванем всеки сценарий. Така че бъдете готови да правите домашни задания и да провеждате изследвания самостоятелно. На форумa и в Wiki има много допълнителни уроци и друга полезна информация.

Въпреки че не обхваща всички стъпки от начало до край, ръководството Simple WEP Crack по-подробно разкрива работата с aircrack-ng.

Настройка на оборудването, инсталиране на Aircrack-ng

Първата стъпка за осигуряване на правилната работа aircrack-ng в системата ви Linux е патчването и инсталирането на съответния драйвер за вашата мрежова карта. Много карти работят с няколко драйвера, някои от които предоставят необходимия функционал за използване aircrack-ng, други не.

Мисля, че е излишно да споменавам, че ви е необходимо мрежово устройство, съвместимо с пакета aircrack-ng. Тоест, такова хардуерно осигуряване, което е напълно съвместимо и може да внедрява инекции на пакети. С помощта на съвместима мрежова карта можете да хакнете безжичен достъп за по-малко от час.

За да определите към коя категория принадлежи вашата карта, запознайте се със страницата на съвместимост с оборудването. Прочетете Tutorial: Is My Wireless Card Compatible?, ако не знаете как да се справите с таблицата. Въпреки това, това няма да ви попречи при четенето на ръководството, което ще ви помогне да научите нещо ново и да се уверите в определени характеристики на вашата карта.

Първо, трябва да знаете какъв чипсет се използва в мрежовата ви карта и кой драйвер ви е необходим за него. Трябва да определите това с информацията от горния параграф. В раздела drivers ще разберете кои драйвери са ви необходими.

Инсталиране на aircrack-ng

Последната версия на aircrack-ng може да бъде получена, като я изтеглите от главната страница, или можете да използвате дистрибуция за провеждане на проникващи тестове, като Kali Linux или Pentoo, където е налична последната версия. aircrack-ng.

За да инсталирате aircrack-ng, се обърнете към документацията на страницата за инсталация.

Основи IEEE 802.11

Добре, сега, когато всичко е готово, е време да направим пауза преди да започнем да действаме и да разберем нещо за това как работят безжичните мрежи.

Следващата част е важна за разбиране, за да можете да се справите в случай, че нещо не работи както се очаква. Разбирането на това как всичко функционира ще ви помогне да откриете проблема или поне да го опишете правилно, за да може някой друг да ви помогне. Тук всичко е малко сложно и може би ще искате да пропуснете тази част. Въпреки това, за да хакнете безжични мрежи, са ви нужни малко знания, така че хакерството е малко повече от просто въвеждане на една команда и оставяне на aircrack да свърши всичко вместо вас.

Как да намерите безжична мрежа

Тази част е кратко въведение в управляемите мрежи, които работят с точки за достъп (Access Point, AP). Всяка точка за достъп изпраща около 10 т.н. Бикон-фрейма (beacon frame) в секунда. Тези пакети съдържат следната информация:

• Име на мрежата (ESSID);
• Използва ли се криптиране (и какво криптиране се използва, но имайте предвид, че тази информация може да не е вярна, само защото точката за достъп я съобщава);
• Какви скорости на предаване на данни се поддържат (в MBit);
• На какъв канал се намира мрежата.

Тази информация се показва в инструмента, който се свързва конкретно с тази мрежа. Тя се показва, когато разрешите на картата да сканира мрежи с помощта на iwlist <interface> scan и когато изпълнявате airodump-ng.

Всяка точка за достъп има уникален MAC адрес (48 бита, 6 двойки шестнадесетични числа). Той изглежда приблизително така: 00:01:23:4A:BC:DE. Всяко мрежово устройство има такъв адрес и мрежовите устройства взаимодейства с помощта на него. Така че това е нещо като уникално име. MAC адресите са уникални и няма две устройства с еднакви MAC адреси.

Свързване с мрежата

Има няколко варианта за свързване с безжичната мрежа. В повечето случаи се използва Open System Authentication. (По желание: ако искате да разберете повече за аутентификацията, прочетете това.)

Open System Authentication:

1. Изисква аутентификация от точката за достъп;
2. Точката за достъп отговаря: OK, вие сте аутентифицирани.
3. Изисква асоциация с точката за достъп;
4. Точката за достъп отговаря: OK, вие сте свързани.

Това е най-простият случай, но проблемите възникват, когато нямате права за достъп, тъй като:

• Използва се WPA/WPA2 и ви е необходима автентикация APOL. Точката за достъп ще отговори с отказ на втория етап.
• Точката за достъп има списък с разрешени клиенти (MAC адреси) и няма да позволи свързването на никого друг. Това се нарича филтрация по MAC.
• Точката за достъп използва споделена ключова автентикация, тоест трябва да предоставите правилния WEP ключ, за да се свържете. (Вижте раздела „Как да направите фалшива автентикация със споделен ключ?“ за да научите повече за това)

Просто шпиониране и хакване

Откриване на мрежи

Първото, което трябва да направите, е да намерите потенциална цел. В пакета aircrack-ng за това има airodump-ng, но можете да използвате и други програми като, например, Kismet.

Преди да търсите мрежи, трябва да преведете вашата мрежова карта в т.нар. "мониторингов режим". Мониторинговият режим е специален режим, който позволява на компютъра ви да прихваща мрежови пакети. Този режим също позволява внедряване на инжекции. За инжекциите ще говорим следващия път.

За да преведете мрежовата карта в мониторингов режим, използвайте airmon-ng:

airmon-ng start wlan0

По този начин ще създадете нов интерфейс и ще добавите към него „mon“. И така, wlan0 ще стане wlan0mon. За да проверите дали мрежовата карта действително е в мониторингов режим, изпълнете iwconfig и се уверете сами в това.

След това стартирайте airodump-ng за търсене на мрежи:

airodump-ng wlan0mon

Ако airodump-ng не ще може да се свърже с WLAN устройството, ще видите нещо подобно:

airodump-ng преминава от канал на канал и показва всички точки за достъп, от които получава бикони. Каналите от 1 до 14 се използват за стандартите 802.11 b и g (в САЩ е разрешено да се използват само от 1 до 11; в Европа от 1 до 13 с някои изключения; в Япония от 1 до 14). 802.11a работи в диапазона 5 GHz, а наличността му варира в различни страни повече, отколкото в диапазона 2.4 GHz. По принцип известните канали започват от 36 (32 в някои страни) до 64 (68 в някои страни) и от 96 до 165. В Уикипедия можете да намерите по-подробна информация за наличността на каналите. В Linux за разрешението/забраната за предаване по определени канали за вашата страна се грижи Централен регулаторен агент на домейна; обаче той трябва да бъде настроен съответно.

Текущият канал е показан в горния ляв ъгъл.
След известно време ще се появят точки за достъп и (надявам се) някои свързани с тях клиенти.
Горният блок показва откритите точки за достъп:

bssid
mac адрес на точката за достъп

pwr
качество на сигнала, когато е избран канал

pwr
сила на сигнала. Някои драйвери не я отчитат.

beacons
броят на получените бикони. Ако нямате показател за сила на сигнала, можете да го измерите в бикони: колкото повече бикони, толкова по-добър е сигналът.

data
броят на получените даннифреймове

ch
каналът, на който работи точката за достъп

mb
скорост или режим на точката за достъп. 11 – чист 802.11b, 54 – чист 802.11g. Стойностите между тях са смесица.

enc
шифроване: opn: без шифроване, wep: wep шифроване, wpa: wpa или wpa2, wep?: wep или wpa (все още не ясно)

essid
име на мрежата, понякога скрито

Долният блок показва откритите клиенти:

bssid
mac адресът, с който клиентът е асоцииран с тази точка за достъп

station
mac адрес на самия клиент

pwr
сила на сигнала. Някои драйвери не я отчитат.

packets
броят на получените даннифреймове

probes
имената на мрежите (essid), които този клиент вече е опитал

Сега трябва да следите целевата мрежа. Към нея трябва да бъде свързан поне един клиент, тъй като хакването на мрежи без клиенти е по-сложна тема (вижте раздела Как да хакнем WEP без клиенти). Тя трябва да използва WEP шифроване и да има добър сигнал. Може би можете да промените позицията на антената, за да подобрите приемането на сигнала. Понякога за силата на сигнала няколко сантиметра могат да се окажат решаващи.

В примера по-горе има мрежа 00:01:02:03:04:05. Тя се оказа единствената възможна цел, тъй като само към нея е свързан клиент. И още, тя има добър сигнал, затова е подходяща цел за практика.

Sniffing на вектори на инициализация

Поради превключвания между каналите няма да уловите всички пакети от целевата мрежа. Затова искаме да слушаме само на един канал и допълнително да запазим всичките данни на диска, за да можем по-късно да ги използваме за хакване:

airodump-ng -c 11 --bssid 00:01:02:03:04:05 -w dump wlan0mon

С помощта на параметъра -c избирате канала, а параметърът след -w е префиксът на мрежовите дампове, записани на диска. Флагът --bssid заедно с MAC адреса на точката за достъп ограничава получаването на пакети до една точка за достъп. Флагът --bssid е наличен само в новите версии airodump-ng.

Преди да пробиете WEP, ще ви трябват между 40 000 и 85 000 различни вектора на иницииране (Initialization Vector, IV). Всеки пакет данни съдържа вектор на иницииране. Те могат да се повторно използват, така че броят на векторите обикновено е малко по-малък от броя на прихванатите пакети.
Следователно, ще трябва да изчакате, за да прихванете между 40к и 85к пакета данни (с IV). Ако мрежата не е заета, това може да отнеме много време. Можете да ускорите този процес, като използвате активна атака (или атака с повторно възпроизвеждане). За тях ще говорим в следващата част.

Пробив

Ако вече имате достатъчно прихванати вектори на иницииране, които са запазени в един или повече файлове, можете да опитате да пробиете WEP-ключа:

aircrack-ng -b 00:01:02:03:04:05 dump-01.cap

MAC адрес след флага -b е BSSID на целта, а dump-01.cap е файлът, съдържащ прихванатите пакети. Можете да използвате няколко файла, за целта просто добавете в командата всички имена или използвайте символно заместване, например dump*.cap.

Повече информация за параметрите aircrack-ng, изхода и използването можете да получите от на ръководството.

Броят на векторите на иницииране, необходими за пробив на ключа, не е ограничен. Това се дължи на факта, че някои вектори са по-слаби и губят повече информация за ключа, отколкото други. Обикновено тези вектори на иницииране се смесват с по-силни. Така че, ако имате късмет, можете да пробиете ключа само с 20 000 вектора на иницииране. Въпреки това, често и това е недостатъчно, aircrack-ng може да работи дълго (седмица или повече в случай на висока погрешност) и след това да ви каже, че ключът не може да бъде пробит. Колкото повече вектори на иницииране имате, толкова по- бързо може да се случи пробива и обикновено това отнема само няколко минути или дори секунди. Опитът показва, че за пробив са достатъчни 40 000 – 85 000 вектора.

Съществуват по-напреднали точки за достъп, които използват специални алгоритми, за да филтрират слабите вектори на иницииране. В резултат на това не можете да получите повече от N вектора от точката за достъп или ще ви трябват милиони вектори (например 5-7 милиона), за да пробиете ключа. Можете да прочетете на форума, какво да правите в такива случаи.

Активни атаки
Повечето устройства не поддържат инжекции, поне без пропатчени драйвери. Някои поддържат само определени атаки. Обърнете се към страницата за съвместимост и погледнете в колоната aireplay. Понякога тази таблица не дава актуална информация, затова ако видите думата “NO” отсреща на вашия драйвер, не се отчайвайте, а по-скоро погледнете на домашната страница на драйвера, в списъка на драйверите на нашия форум. Ако успеете да извършите повторно възпроизвеждане с драйвер, който не е включен в списъка на поддържаните, не се колебайте да предложите промени в страницата на таблицата за съвместимост и добавете връзка към кратко ръководство. (За целта трябва да поискате акаунт в wiki на IRC.)

Първо, трябва да се уверите, че инжектирането на пакети наистина работи с вашата мрежова карта и драйвер. Най-лесният начин да проверите е да извършите тестова инжекционна атака. Преди да продължите, уверете се, че сте преминали този тест. Вашата карта трябва да има възможност да вмъква инжекции, за да можете да изпълните следващите стъпки.

Ще ви трябва BSSID (MAC адрес на точката за достъп) и ESSID (мрежовото име) на точката за достъп, която не прилага филтрация по MAC адреси (например, вашата собствена) и е в достъпен диапазон.

Опитайте се да се свържете с точката за достъп с помощта на aireplay-ng:

aireplay-ng --fakeauth 0 -e "вашето мрежово ESSID" -a 00:01:02:03:04:05 wlan0mon

Стойността след -а ще бъде BSSID на вашата точка за достъп.
Инжектирането е сработило, ако видите нещо такова:

12:14:06  Изпращане на заявка за удостоверяване
12:14:06  Удостоверяването успешно
12:14:06  Изпращане на заявка за асоцииране
12:14:07  Асоциирането успешно :-)

Ако не:

• Проверете правилността на ESSID и BSSID;
• Уверете се, че на вашата точка за достъп е изключена филтрацията по MAC адреси;
• Опитайте същото на друга точка за достъп;
• Уверете се, че вашият драйвер е правилно настроен и поддържан;
• Вместо '0' опитайте '6000 -o 1 -q 10'.

ARP повторение

Сега, когато знаем, че инжектирането на пакети работи, можем да направим нещо, което значително ще ускори улавянето на вектори за инициализация: атака с инжекции на ARP заявки.

Основна идея

Ако говорим на прост език, ARP работи, като предава широковещателно запитване на IP адрес, а устройството с този IP адрес изпраща обратно отговор. Понеже WEP не защитава от повторно възпроизвеждане, можете да сниффите пакета и да го изпращате отново и отново, докато остане валиден. Така че е нужно просто да прихванете и възпроизведете ARP запитването, изпратено към точката за достъп, за да генерирате трафик (и да получите вектори на инициализация).

Мързелив начин

Първо отворете прозорец с airodump-ng, който сниффи трафика (вж. по-горе). Aireplay-ng и airodump-ng могат да работят едновременно. Изчакайте появата на клиент в целевата мрежа и започнете атаката:

aireplay-ng --arpreplay -b 00:01:02:03:04:05 -h 00:04:05:06:07:08 wlan0mon

-b указыва на целевия BSSID, -h на MAC адреса на свързания клиент.

Сега трябва да изчакате получаването на ARP пакет. Обикновено трябва да изчакате няколко минути (или да прочетете статията по-нататък).
Ако имате късмет, ще видите нещо подобно:

Saving ARP requests in replay_arp-0627-121526.cap
Трябва също така да стартирате airodump, за да уловите отговорите.
Прочетени 2493 пакета (получени 1 ARP запитвания), изпратени 1305 пакета...

Ако трябва да прекратите възпроизвеждането, не е необходимо да чакате появата на следващия ARP пакет, можете просто да използвате по-рано прихванатите пакети с параметъра -r <filename>.
При използване на ARP инжекции, можете да използвате метода PTW за разбиване на WEP ключа. Той значително намалява количеството необходими пакети, а с тях и времето за разбиване. Трябва да прихванете пълния пакет с airodump-ng, тоест да не използвате опцията “--ivs” при изпълнението на командата. За aircrack-ng използвайте “aircrack -z <file name>”. (PTW – тип атака по подразбиране)

Ако количеството получени данни airodump-ng спре да нараства, вероятно трябва да намалите скоростта на възпроизвеждане. Направете това с параметъра -x <packets per second>. Обикновено започвам с 50 и намалявам, докато пакетите отново не започнат да се приемат непрекъснато. Може също да помогне и преместването на антената.

Агресивен начин

Повечето операционни системи изчистват ARP кеша при изключване. Ако трябва да изпратите следващия пакет след повторно свързване (или просто да използвате DHCP), те изпращат ARP запитване. Като страничен ефект можете да сниффите ESSID и, възможно, keystream по време на повторното свързване. Това е удобно, ако ESSID на целта ви е скрит или тя използва shared-key authentication.
Пуснете airodump-ng и aireplay-ng да работят. Отворете още едно прозорец и стартирайте атака на деаутентификация:

Тук -a – това е BSSID на точката за достъп, -c MAC адрес на избрания клиент.
Изчакайте няколко секунди и ARP повторението ще заработи.
Повечето клиенти се опитват автоматично да възстановят връзката. Но рискът някой да разпознае тази атака или поне да обърне внимание на това, което става в WLAN, е по-висок, отколкото при другите атаки.

Повече инструменти и информация за тях, можете да намерите тук.

Научете повече за курса

Източник: habr.com