WiFi渗透流程整理

信息安全公益宣传，信息安全知识启蒙。

加微信群回复公众号：微信群；QQ群：16004488

加微信群或QQ群可免费索取：学习教程

---

流程图

1、获取bssid和essid

2、探测是否开启wps(Wi-Fi protected setup)

command：

airodump-ng MB,wash -i mon0 -C

54e.：默认开启wps，54e：默认不开启

当我们为wifi设置了一个复杂的密码时，每次接入一个新的设备都要重复输入这个密码，过程略微繁琐，wps的出现就是为了解决这个问题。

它提供了一个8位纯数字的秘钥，认证成功即可连接wifi。

但是这8位数是分开认证的，先验证前4位,再验证5-7位，所以最多只需要爆破11000-1次即可成功。

少数路由器wps开启与否是由按钮控制，在能物理接触路由器的情况下，可以手动开启。

3、探测pin

command：

reaver -i mon0 -b ap_bssid -vv

>>>>

ap denial service

当路由器不再响应的时候，可以用DoS攻击让ap拒绝服务，受害者重启路由。

常用的就是authentication flood attack，攻击者可以伪造源MAC地址(基于802.11的报文发送机制)发送authenticate到目标AP，重复发送这种请求，最终会耗尽AP内存导致拒绝服务。

command：

mdk3 a mon0 -a bssid -c

>>>>

get password

利用算法漏洞直接获取pin

devttys0站长通过逆向D-link、belkin固件的wps pin生成算法，直接得到默认pin码。

以d-link为例，获取ap bssid,拆分后进行异或、与、移位等操作生成pin，伪c代码如下：

（单击图片显示大图）

密码相关app被共享

zke1ev3n大牛逆向了万能钥匙APP，发现发送的AP相关的信息经过了AES加密，私钥和IV都硬编码在程序中。设备指纹放在sign字段，经过md5(设备指纹信息+salt)加密，salt也硬编码在程序中，这部分信息当做签名来验证请求是否合法。

返回信息同样经过AES加密，用的相同的key和IV。

http://www.实现了这个加密流程。

mac白名单限制

mac address被烧录在网卡的EEPROM中，每次网卡初始化时会从EEPROM中读取mac地址并将其写入到一个缓冲区(win下是写到注册表)发送报文时，相关api读取mac地址是从缓冲区中读取，而不是去EEPROM中。

command：

抓取握手包

1.airodump-ng -w /tmp/test.cap-c channelNum --bssid apmac mon0

2.deauth client

Wi-Fi deauthentication attack

IEEE 802.11协议中包含了deauthentication frame，用来中断server和client的认证。

攻击者只需知道client bssid，基于报文发送机制，伪造mac，可以在任何时间向AP发送deauthentication请求。

如果这个攻击是持续的，目标client会无法连接AP。其实这个时候可以结合pineapple伪造AP准备嗅探了。

command：

aireplay-ng-0 攻击次数 -a apmac -c clientmac -x 发包速率 mon1

3.get handshake

autoGetHandshakePackage Script

（单击图片显示大图）

---