Брут WPA2 без handshake используя PMKID + hashcat

06.08.2018, 03:07

Vikhedgehog

Постоянный

Регистрация: 24.07.2013

Сообщений: 362

Провел на форуме:
123149

Репутация: 19

RSN IE - это необязательное поле, которое можно найти в рамах управления 802.11. Одной из возможностей RSN является PMKID. PMKID вычисляется с использованием HMAC-SHA1, где ключ является PMK, а часть данных представляет собой конкатенацию фиксированной строковой метки «PMK Name», MAC-адрес точки доступа и MAC-адрес станции. Поскольку PMK такой же, как в обычном четырехстороннем рукопожатии EAPOL, это идеальный вектор атаки.

Мы получаем все необходимые данные в первом кадре EAPOL из AP.

Основное отличие от существующих атак заключается в том, что в этой атаке захват полного 4-стороннего рукопожатия EAPOL не требуется. Новая атака выполняется в IE RSN (надежный сетевой информационный элемент безопасности) одного кадра EAPOL.

В настоящее время мы не знаем, для каких поставщиков или для какого количества маршрутизаторов этот метод будет работать, но мы думаем, что он будет работать против всех сетей 802.11i / p / q / r с включенными функциями роуминга (большинство современных маршрутизаторов).

Основными преимуществами этой атаки являются следующие:

Больше не требуется регулярных пользователей - потому что злоумышленник напрямую связывается с AP (иначе говоря, «без клиента»)
Больше не нужно ждать полного 4-стороннего рукопожатия между обычным пользователем и AP
Отсутствие ретрансмиссии кадров EAPOL (что может привести к результатам, которые невозможно устранить)
Исключает неверные пароли, посланные обычным пользователем
Больше нет потерянных кадров EAPOL, когда обычный пользователь или AP находится слишком далеко от злоумышленника
Больше не требуется фиксировать значения nonce и replaycounter (что приводит к чуть более высоким скоростям)
Больше нет специального формата вывода (pcap, hccapx и т. Д.) - окончательные данные будут отображаться как обычная строка с шестнадцатеричным кодированием

Нам потребуются:

hcxdumptool v4.2.0 или выше
hcxtools v4.2.0 или выше
hashcat v4.2.0 или выше

Производим атаку:

1.

Код:

$ ./hcxdumptool -o test.pcapng -i wlp39s0f3u4u5 --enable_status

Ждем, пока в выводе не увидим что-то подобное:

Код:

[13:29:57 - 011] 89acf0e761f4 -> 4604ba734d4e  [ASSOCIATIONREQUEST, SEQUENCE 4]
[13:29:57 - 011] 4604ba734d4e -> 89acf0e761f4 [ASSOCIATIONRESPONSE, SEQUENCE 1206]
[13:29:57 - 011] 4604ba734d4e -> 89acf0e761f4 [FOUND PMKID]

2.

Переводим в нужный формат и скармливаем наш файл хэшкэту (да-да, по прежнему нужно брутить, так что пока не как с WEP)

Код:

$ ./hcxpcaptool -z test.16800 test.pcapng

Собственно на этом всё. Думаю это значительно облегчит брут точек с клиентскими устройствами, находящимися вне диапазона атакующего, а также откроет возможность быстрого сбора хэндшейков с пустых сетей в любых интересующих местах. Пишите, какие роутеры поддаются на практике, а то возможности протестировать пока нет. Осмелюсь также предположить, что в перспективе данная уязвимость будет лечиться обновлением прошивки на AP.

Оригинал статьи (советую почитать, я перевёл только основное) - https://hashcat.net/forum/thread-7717.html