Aircrack-ng: attaccare le reti wireless

In questa lezione parleremo di aircrack-ng, una suite creata appositamente per la verifica della sicurezza delle reti WiFi.
Con gli strumenti messi a disposizione avremo la possibilità di effettuare il monitoraggio dei pacchetti, attacchi di varia natura tra cui replay, deautenticazione, rogue access point, e il cracking di reti WEP e WPA.
Vedremo adesso in dettaglio buona parte degli strumenti e come possono essere utilizzati efficacemente all’interno delle reti wireless.

Airodump-ng

Probabilmente lo strumento più basilare di tutta la suite, svolge funzioni del tutto simili ad altri programmi come tcpdump e Wireshark.

Consente di catturare frame 802.11 ed è particolarmente utile per l'osservazione dei messaggi WEP IVs, oppure per le fasi di handshake del WPA/WPA2, al fine di utilizzarlo con aircrack-ng. Esiste anche la possibilità di collegare il tool ad un ricevitore GPS al fine di ottenere le coordinate degli AP rilevati nei paraggi.
Una volta avviato, avremo a disposizione una miriade di informazioni, riassunte nella seguente tabella:

Campo	Descrizione
BSSID	Indirizzo MAC dell’access point
Beacons	Numero di pacchetti di annuncio inviati dall’AP
# Data	Numero di pacchetti catturati
CH	Canale
MB	Massima velocità supportata dall’AP
ENC	Tipo di crittografia utilizzata (open, WEP, WPA, WPA2 TKIP/PSK)
ESSID	Il nome della rete wireless
STATION	Indirizzo MAC dei client nei paraggi (inclusi quelli non ancora associati ad una rete)
Probes	La lista di ESSID contattati dal client

Nella maggior parte dei casi saremo interessati solo a monitorare e registrare solo alcuni tipi di pacchetti. A tal proposito airodump-ng mette a disposizione la possibilità di filtrare gli AP ed i client sulla base della cifratura, del MAC, del ESSID e così via. La documentazione completa è disponibili sul sito ufficiale.

Airbase-ng

Airbase-ng è uno strumento capace di effettuare attacchi verso i client di reti wireless. In particolare, esso permette di:

• catturare l’handshake del WPA/WPA2;
• agire da access point;
• manipolare ed effettuare il replay di pacchetti;
• criptare e decriptare pacchetti.

La sintassi di airbase-ng è molto semplice. Tra le possibilità sopra citate, è particolarmente interessante quella di catturare la fase di handshake del WPA, utile per potere ottenere la chiave condivisa tra client e AP con programmi di attacchi a forza bruta.
In tal caso dovremo digitare:

airbase-ng -c <CANALE> -e <SSID> -z <CIFRATURA> -W 1 <INTERFACCIA>

Il sistema visualizzerà tutti i client che effettuano l’handshake con l’SSID selezionato. Verrà dunque visualizzato un messaggio simile al seguente:

11:41:32 Created tap interface <INTERFACCIA>
11:44:33 Client 00:0F:E2:B2:C1:93 associated (WPA1;TKIP) to ESSID: <SSID>

Aircrack-ng

Aircrack-ng consente di calcolare la chiave WEP e la chiave WPA/WPA2 tramite attacchi a dizionario.
Per potere craccare le chiavi WPA/WPA2 sarà necessario registrare alcuni messaggi (in formato “.cap”) di handshake tra client e AP. A tale scopo sarà possibile utilizzare airbase-ng per il monitoraggio della fase di handshake, e airodump-ng per la registrazione dei pacchetti. Supponiamo quindi di avere registrato alcuni messaggi di handshake nelle vicinanze. Digitiamo il seguente comando:

aircrack-ng -w <DIZIONARIO>.lst <MESSAGGI>.cap

La risposta sarà simile alla seguente:

Opening wpa2.eapol.cap
Opening wpa.cap
Read 16 packets.
# BSSID ESSID Encryption
1 11:E4:A2:7B:51:AA TEST WPA2 (2 handshake)

A questo punto Aircrack avvierà l’attacco a dizionario, ed in caso positivo restituirà il valore della chiave condivisa della rete da crackare.

Airdecap-ng

Airdecap-ng consente di decifrare pacchetti WEP/WPA/WPA2. Supponiamo di avere catturato una serie di pacchetti, registrati in un file con estensione “.cap”, e supponiamo inoltre di conoscere la password condivisa. Per decifrare i pacchetti non dovremo fare altro che digitare:

airdecap-ng -e <SSID> -p <PASSWORD> <INPUT>.cap

Per potere decifrare pacchetti WPA/WPA2 sarà necessario che il file di input contenga i messaggi di handshake. Questo sarà necessario per consentire ad airdecap-ng di poter calcolare la relativa chiave di sessione e procedere alla decodifica dei messaggi.

Packetforge-ng

Packetforge-ng consente di creare pacchetti cifrati che possono essere inviati in rete per attacchi di tipo “injection”.
I tipi di pacchetti spaziano da richieste ARP, UDP, ICMP e così via.

La sintassi è molto semplice:

packetforge-ng <modalità> <opzioni>

Tra le opzioni disponibili abbiamo:

• -a <bssid>: imposta il MAC dell'access point;
• -c <dmac>: imposta il MAC destinazione;
• -h <smac>: imposta il MAC sorgente;
• -k <ip[:port]>: imposta l'indirizzo IP e la porta destinazione;
• -l <ip[:port]>: imposta l'indirizzo IP e la porta sorgente;
• -t ttl: imposta il TTL;
• -w <file>: scrive i pacchetti in questo file "pcap";
• -y: file sorgente per la generazione di numeri pseudo-casuali.

Le modalità supportate sono le seguenti:

• --arp : costruisce un pacchetto ARP (-0);
• --udp : costruisce un pacchetto UDP (-1);
• --icmp: costruisce un pacchetto ICMP (-2);
• --null: costruisce un pacchetto vuoto (-3);
• --custom: costruisce un pacchetto custom (-9).

Per esempio, per generare una richiesta ARP, sarà sufficiente digitare:

packetforge-ng -0 -a 33:34:62:8A:71:96 -h 09:09:B9:99:11:22 -k 192.168.1.101 -l 192.168.1.5 -y pseudo.xor -w arp-request

Airdrop-ng

Airdrop-ng è uno strumento che mira alla deautenticazione degli utenti dalle reti wireless. Funziona congiuntamente ad airodump-ng, che procederà alla scrittura in tempo reale dei pacchetti di rete osservati, e dunque della “situazione” delle reti wireless nei paraggi.
Il target può essere un determinato MAC, un determinato tipo di hardware (riconoscibile dall’OUI del MAC), oppure semplicemente tutti gli utenti nei dintorni.
L’utilizzo è molto semplice. Digitiamo il seguente comando:

airdrop-ng -i <INTERFACCIA> -t <PACCHETTI>.csv -r <REGOLE>.txt

Le opzioni disponibili sono le seguenti:

• -i: l’interfaccia da utilizzare per inviare i messaggi di deautenticazione;
• -t: il file sul quale airodump-ng scrive i pacchetti osservati, da utilizzare quale input per deautenticare gli utenti;
• -r: indica il file delle regole da utilizzare per decidere quali utenti deautenticare.

Il file delle regole ha il seguente formato per MAC:

(a|d)/(any|bssid)|(any|client_mac1|client_mac2|…)

Il seguente formato è invece basato su OUI:

(a|d)/(any|AP_vendor)|(client_vendor1|client_vendor2|…)

La prima parte indica “a” per allow, o “d” per deny. La porzione dopo lo “/” indica quali AP saranno presi di mira. La porzione dopo lo “|” indica invece quali client verranno deautenticati. Gli AP possono essere individuati tramite SSID o il nome del vendor, ed i client possono essere individuati tramite MAC oppure vendor.

Airgraph-ng

Infine, Airgraph-ng è un semplice ma utile strumento che consente di visualizzare le relazioni client-AP in forma di grafo.
Per il suo utilizzo è necessario aver avviato airodump-ng che scriverà in tempo reale i pacchetti di rete osservati su un file in formato “.csv”.

airdgraph-ng -i <DUMP>.csv -o <GRAFO>.png -g CAPR