WLAN技術(shù)出現(xiàn)之后，“安全”就成為始終伴隨在“無線”這個(gè)詞身邊的影子，針對(duì)無線網(wǎng)絡(luò)技術(shù)中涉及的安全認(rèn)證加密協(xié)議的攻擊與破解就層出不窮。現(xiàn)在，因特網(wǎng)上可能有數(shù)以百計(jì)，甚至以千計(jì)的文章介紹關(guān)于怎么攻擊與破解WEP，但有多少人能夠真正地成功攻破WEP的加密算法呢?以下介紹一些關(guān)于WEP加密手段的知識(shí)，以及就是菜鳥只要按照步驟操作也可成功破解WEP密鑰的方法。當(dāng)然最終的目的還是為了讓大家做好安全設(shè)置對(duì)破解更好的進(jìn)行防范。請(qǐng)大家不要用于危害網(wǎng)絡(luò)和互聯(lián)網(wǎng)和信息安全的行為，本文僅供學(xué)習(xí)和參考，模仿本文產(chǎn)生的一切責(zé)任由實(shí)施者全部負(fù)責(zé)。
一、WEP:無線網(wǎng)絡(luò)安全最初的保護(hù)者
相對(duì)于有線網(wǎng)絡(luò)來說，通過無線局域網(wǎng)發(fā)送和接收數(shù)據(jù)更容易被竊聽。設(shè)計(jì)一個(gè)完善的無線局域網(wǎng)系統(tǒng)，加密和認(rèn)證是需要考慮的兩個(gè)必不可少的安全因素。無線局域網(wǎng)中應(yīng)用加密和認(rèn)證技術(shù)的最根本目的就是使無線業(yè)務(wù)能夠達(dá)到與有線業(yè)務(wù)同樣的安全等級(jí)。針對(duì)這個(gè)目標(biāo)，IEEE802.11標(biāo)準(zhǔn)中采用了WEP (Wired Equivalent Privacy:有線對(duì)等保密)協(xié)議來設(shè)置專門的安全機(jī)制，進(jìn)行業(yè)務(wù)流的加密和節(jié)點(diǎn)的認(rèn)證。它主要用于無線局域網(wǎng)中鏈路層信息數(shù)據(jù)的保密。WEP采用對(duì)稱加密機(jī)理，數(shù)據(jù)的加密和解密采用相同的密鑰和加密算法。WEP 使用加密密鑰(也稱為 WEP 密鑰)加密 802.11 網(wǎng)絡(luò)上交換的每個(gè)數(shù)據(jù)包的數(shù)據(jù)部分。啟用加密后，兩個(gè) 802.11 設(shè)備要進(jìn)行通信，必須具有相同的加密密鑰，并且均配置為使用加密。如果配置一個(gè)設(shè)備使用加密而另一個(gè)設(shè)備沒有，則即使兩個(gè)設(shè)備具有相同的加密密鑰也無法通信
A，WEP加密過程
WEP支持 64 位和128 位加密，對(duì)于 64 位加密，加密密鑰為 10 個(gè)十六進(jìn)制字符(0-9 和 A-F)或 5 個(gè) ASCII 字符;對(duì)于 128 位加密，加密密鑰為 26 個(gè)十六進(jìn)制字符或 13 個(gè) ASCII 字符。64 位加密有時(shí)稱為 40 位加密;128 位加密有時(shí)稱為 104 位加密。152 位加密不是標(biāo)準(zhǔn) WEP 技術(shù)，沒有受到客戶端設(shè)備的廣泛支持。WEP依賴通信雙方共享的密鑰來保護(hù)所傳的加密數(shù)據(jù)鄭其數(shù)據(jù)的加密過程如下。
1、計(jì)算校驗(yàn)和(Check Summing)。
(1)對(duì)輸入數(shù)據(jù)進(jìn)行完整性校驗(yàn)和計(jì)算。
(2)把輸入數(shù)據(jù)和計(jì)算得到的校驗(yàn)和組合起來得到新的加密數(shù)據(jù)，也稱之為明文，明文作為下一步加密過程的輸入。
2、加密。在這個(gè)過程中，將第一步得到的數(shù)據(jù)明文采用算法加密。對(duì)明文的加密有兩層含義:明文數(shù)據(jù)的加密，保護(hù)未經(jīng)認(rèn)證的數(shù)據(jù)。
(1)將24位的初始化向量和40位的密鑰連接進(jìn)行校驗(yàn)和計(jì)算，得到64位的數(shù)據(jù)。
(2)將這個(gè)64位的數(shù)據(jù)輸入到虛擬隨機(jī)數(shù)產(chǎn)生器中，它對(duì)初始化向量和密鑰的校驗(yàn)和計(jì)算值進(jìn)行加密計(jì)算。
(3)經(jīng)過校驗(yàn)和計(jì)算的明文與虛擬隨機(jī)數(shù)產(chǎn)生器的輸出密鑰流進(jìn)行按位異或運(yùn)算得到加密后的信息，即密文。
3、傳輸。將初始化向量和密文串接起來，得到要傳輸?shù)募用軘?shù)據(jù)幀，在無線鏈路上傳輸。
B，WEP解密過程
在安全機(jī)制中，加密數(shù)據(jù)幀的解密過程只是加密過程的簡單取反。解密過程如下。
1、恢復(fù)初始明文。重新產(chǎn)生密鑰流，將其與接收到的密文信息進(jìn)行異或運(yùn)算，以恢復(fù)初始明文信息。
2、檢驗(yàn)校驗(yàn)和。接收方根據(jù)恢復(fù)的明文信息來檢驗(yàn)校驗(yàn)和，將恢復(fù)的明文信息分離，重新計(jì)算校驗(yàn)和并檢查它是否與接收到的校驗(yàn)和相匹配。這樣可以保證只有正確校驗(yàn)和的數(shù)據(jù)幀才會(huì)被接收方接受。
二、破解WEP密鑰前的準(zhǔn)備工作
在以下的兩部分內(nèi)容內(nèi)，筆者將逐步地向大家介紹關(guān)于怎樣來破解WEP的密鑰的方法。這種方法并不需要什么特別的硬件設(shè)備，僅僅只需兩臺(tái)(只有一臺(tái)也可)帶有無線網(wǎng)卡的筆記本而已，整個(gè)攻擊過程所使用的也只是一些共享和自由軟件，并不需什么相當(dāng)專業(yè)的工具，也不需要你是一名網(wǎng)絡(luò)專家，不過要基本上熟悉一些網(wǎng)絡(luò)術(shù)語和基本的原理。最少，你應(yīng)該知道怎樣去ping 另外一臺(tái)機(jī)器以測(cè)試網(wǎng)絡(luò)是否暢通（如果這都不明白，不要往下看了，呵呵，，，，），并會(huì)打開一個(gè)Windows的命令提示符窗口，知道輸入相關(guān)命令和了解關(guān)于Windows網(wǎng)絡(luò)屬性窗口的相關(guān)內(nèi)容。這就是基本的要求，要不然怎么可稱之為菜鳥都可學(xué)會(huì)的方法呢。
1、組建實(shí)驗(yàn)環(huán)境
開始之前，我們的第一步就是要組建一個(gè)實(shí)驗(yàn)環(huán)境，你不可能拿別人的網(wǎng)絡(luò)來玩你的破解吧，這樣做既違反了法律也是一種不道德的行為。搭建一個(gè)實(shí)驗(yàn)環(huán)境下的無線網(wǎng)絡(luò)平臺(tái)，則無線AP是少不了的，另外，三臺(tái)帶有無線網(wǎng)卡的筆記本(使用有無線網(wǎng)卡的臺(tái)式機(jī)也可以)組成的簡單網(wǎng)絡(luò)就可滿足要求了。
無線AP的選用，使用的是一個(gè)Netgear的產(chǎn)品，型號(hào)為WGT54，它在以后充當(dāng)被攻擊目標(biāo)的角色，在以后就稱它為目標(biāo)AP。在所使用的三臺(tái)機(jī)器中，一臺(tái)是作為被攻擊目標(biāo)的客戶端機(jī)器，暫且稱之為“Target”;另外兩臺(tái)筆記本一臺(tái)執(zhí)行主動(dòng)攻擊，促使網(wǎng)絡(luò)流量的產(chǎn)生，以便足夠多的數(shù)據(jù)包有比較短的時(shí)間內(nèi)能夠被捕捉到，稱這臺(tái)機(jī)器為“Attack”;剩下的那臺(tái)筆記本就是用來嗅探并捕捉那些主動(dòng)攻擊產(chǎn)生的數(shù)據(jù)包了，則把它稱為“Sniff”。當(dāng)然，盡管整個(gè)的破解過程可以在一臺(tái)筆記本上完成，但并不推薦這種做法，用僅僅一臺(tái)筆記本，會(huì)使以后的工作變得很麻煩，并且發(fā)現(xiàn)使用這種方法的話竊聽程序可能會(huì)發(fā)生一點(diǎn)小問題。在一個(gè)使用率不高的WLAN中，使用主動(dòng)攻擊比被動(dòng)探測(cè)的機(jī)會(huì)更大，它可在較短的時(shí)間內(nèi)使WLAN產(chǎn)生更多的數(shù)據(jù)包從而加快破解WEP的速度。
在這個(gè)實(shí)驗(yàn)環(huán)境中不一定非得要使用筆記本不可，當(dāng)然也能夠使用桌面PC或桌面PC與筆記本混用，不過使用筆記本的話它的便攜性更好，而且對(duì)現(xiàn)在的無線PC Card卡有更好的兼容性。
Target所使用的無線網(wǎng)卡與芯片無關(guān)，只要是基于802.11b，任意廠家的產(chǎn)品都可滿足要求。而Attack與Sniff兩臺(tái)機(jī)器是使用的兩塊基于PRISM芯片的802.11b的無線網(wǎng)卡。盡管我們?cè)谝院蟮牟僮髦兄惺褂玫暮芏喙ぞ?如Kismet)都可支持相當(dāng)多種類的無線網(wǎng)卡，但還是建議使用基于PRISM 2芯片的網(wǎng)卡，因?yàn)檫@種芯片能夠被在破解過程所要使用到的所有工具都支持。
無線網(wǎng)卡一般有外置天線與內(nèi)置天線兩種，如果所購買的無線網(wǎng)卡并沒有內(nèi)置天線的話，還必須自己再另購天線。不過外置天線的優(yōu)點(diǎn)就是增益更高，靈敏度更好，可以調(diào)節(jié)天線的方向從而得到更好的信號(hào)接收;而內(nèi)置天線是可以更方便地?cái)y帶，缺點(diǎn)是天線方向無法調(diào)節(jié)。有一種移動(dòng)式外置天線，使用起來是很方便的，在這種移動(dòng)式天線的底部有幾個(gè)橡膠材料的小吸杯，可以把它方便地吸附在筆記本的頂蓋上，如果是在車內(nèi)使用的話，還可把它牢牢地吸在車空窗玻璃上呢。
2、實(shí)驗(yàn)WLAN的設(shè)置
適當(dāng)?shù)貙?duì)這個(gè)實(shí)驗(yàn)環(huán)境進(jìn)行一下設(shè)置是很重要的，因?yàn)槲覀儺吘怪幌胍谶@個(gè)用來實(shí)驗(yàn)的環(huán)境中來完成所有的操作，在下文中描述的攻擊過程中，將會(huì)強(qiáng)制終止一個(gè)與AP有連接的客戶端。這種攻擊可能會(huì)對(duì)在這個(gè)鄰近區(qū)域內(nèi)的無線用戶造成嚴(yán)重?fù)p害，為了避免鄰近的AP上的用戶受到附帶的攻擊，是要保護(hù)那些并不屬于實(shí)驗(yàn)WLAN的用戶。如果這個(gè)操作環(huán)境中位于一個(gè)復(fù)雜的辦公室、辦公大樓或其他有許多無線網(wǎng)絡(luò)覆蓋的區(qū)域中的話，要嘗試一下這樣的破解操作，請(qǐng)最好等到晚上沒什么人工作，網(wǎng)絡(luò)不再繁忙時(shí)進(jìn)行，免得“城門失火，殃及池魚”。
第一步就是連接和設(shè)置這個(gè)被攻擊的實(shí)驗(yàn)無線局域網(wǎng)，如前面所述，這個(gè)WLAN包含有一個(gè)Access Point(無線路由器)和僅僅一個(gè)無線客戶端，且這個(gè)無線局域網(wǎng)被我們想要破解的WEP密鑰保護(hù)起來了。把目標(biāo)AP的SSID(System Set ID)設(shè)置為“wsrf”，SSID用來區(qū)分不同的網(wǎng)絡(luò)，也稱為網(wǎng)絡(luò)名稱。無線工作站必須出示正確的SSID，與無線訪問點(diǎn)AP的SSID相同，才能訪問AP;如果出示的SSID與AP的SSID不同，那么AP將拒絕他通過本服務(wù)區(qū)上網(wǎng)?？梢哉J(rèn)為SSID是一個(gè)簡單的口令，從而提供口令機(jī)制，實(shí)現(xiàn)一定的安全性。并在這個(gè)WAP上配置一個(gè)64位的WEP密鑰來進(jìn)行保護(hù)。
把如下的信息記錄下來以便以后使用
?、貯P的MAC地址。它通常會(huì)在AP的WEB配置菜單上顯示出來， AP的底部或側(cè)面的標(biāo)簽上也可能記有本機(jī)的MAC地址。
?、贏P的SSID。
③AP的無線頻道(Channel)。
④WEP 密鑰。
第二步就是把Target客戶端連接到目標(biāo)AP上。我們現(xiàn)在需要把這個(gè)客戶端連接到目標(biāo)AP以進(jìn)行進(jìn)一步的配置，(以下都是在Windows XP下進(jìn)行的)，右鍵單擊桌面上的“網(wǎng)上鄰居”圖標(biāo)，或者通過“開始”菜單，然后單擊“屬性”，雙擊“Wireless Network Connection”，然后打開選擇網(wǎng)絡(luò)連接的窗口，其中顯示的是有多個(gè)可用的無線網(wǎng)絡(luò)，但如果只有一個(gè)無線網(wǎng)絡(luò)的話，則在該窗口中可能只僅僅顯示剛剛配置的那個(gè)名為“wsrf”的AP，雙擊相應(yīng)的SSID名稱以連接到目標(biāo)AP。因?yàn)锳P已開啟了WEP保護(hù)，連接時(shí)Windows會(huì)要求輸入一個(gè)密碼，把剛才設(shè)置的的WEP密鑰輸入(當(dāng)然從記事本或?qū)懽职逦臋n中粘貼過來也可)，稍等一會(huì)兒后Windows就會(huì)報(bào)告已連接到網(wǎng)絡(luò)上。確認(rèn)一下是否已真正地連接成功，去ping一個(gè)在有線網(wǎng)絡(luò)計(jì)算機(jī)來測(cè)試一下;或者假如這個(gè)實(shí)驗(yàn)WLAN已接連到因特網(wǎng)上，隨便打開一個(gè)WEB站點(diǎn)看是否能夠連接來加以確認(rèn)。如果不能成功地ping通已知地址的機(jī)器或者打不開正常的WEB站點(diǎn)，則打開無線網(wǎng)卡的屬性，單擊“支持”按鈕，檢查一下無線網(wǎng)上是否已獲取了一個(gè)正確的IP地址，如果沒有能夠獲取正確的IP地址，看看網(wǎng)絡(luò)中的DHCP服務(wù)器是否已啟用，并檢查無線網(wǎng)卡的TCP/IP屬性是否設(shè)置成“自動(dòng)獲取IP地址”了，如果一切都正常，在這個(gè)無線連接中點(diǎn)擊 “修復(fù)”按鈕來加以改正。
第三步就是記錄下Target機(jī)器的MAC地址。一旦成功連接到網(wǎng)絡(luò)上，就把被攻擊的Target計(jì)算機(jī)的MAC地址記錄下來。方法有兩種，一是打開一個(gè)命令提示符窗口并輸入ipconfig/all命令也可看到這個(gè)MAC地址。
二是在Windows XP中，可從“無線連接狀態(tài)”窗口來得到這個(gè)MAC地址，單擊“支持”按鈕，然后單擊“詳細(xì)信息”，這個(gè)MAC地址就顯示在窗口頂端的右邊
3、筆記本的設(shè)置
首先，我們來準(zhǔn)備破解WEP密鑰所需要的幾個(gè)工具軟件(Kismet、Airodump、Void11、Aireplay 和Aircrack)，Kismet:用來掃描整個(gè)區(qū)域內(nèi)的WLAN，找到實(shí)驗(yàn)用的目標(biāo)WLAN，收集相關(guān)數(shù)據(jù)(SSID值、頻道、AP及與之相連接的客戶端的MAC地址等);Airodump:對(duì)目標(biāo)WLAN進(jìn)行掃描并捕獲其產(chǎn)生的數(shù)據(jù)包到一個(gè)文件中;Void11:從目標(biāo)AP中驗(yàn)證某臺(tái)計(jì)算機(jī)，并強(qiáng)制這個(gè)客戶端重新連接到到目標(biāo)AP，以使其一個(gè)ARP請(qǐng)求;Aireplay:接受這些ARP請(qǐng)求并回送到目標(biāo)AP，以一個(gè)合法的客戶端身份來截獲這個(gè)ARP請(qǐng)求; Aircrack:接受Airodump生成的捕獲文件并從中提取WEP密鑰。
它們都是公開源代碼的共享或自由軟件，這些所有的工具都可以在一個(gè)被稱為 “Auditor Security Collection LIVE CD” 的共享光盤上找到，這個(gè)光盤是一張可引導(dǎo)系統(tǒng)的光盤，可以引導(dǎo)一個(gè)經(jīng)過改進(jìn)過的Kanotix Linux，這個(gè)Linux版本無需存取硬盤，在通過光盤啟動(dòng)時(shí)直接安裝到內(nèi)存中就，它啟動(dòng)后可自動(dòng)檢測(cè)和配置多種無線網(wǎng)卡。在下面使用的Auditor Security Collection LIVE CD是最新版本，通過NERO(或其他的刻錄軟件)把它刻錄下來，給Attack和Sniff機(jī)器各一張。
首先把無線網(wǎng)卡插入到筆記本中(如果機(jī)器內(nèi)置有無線網(wǎng)卡就最好不過了)，再把筆記本設(shè)置成從光盤引導(dǎo)，并把Auditor Security Collection CD放入光驅(qū)中。從Auditor引導(dǎo)菜單中選擇合適的屏幕分辨率后，Kanotix Linux會(huì)被安裝到內(nèi)存中運(yùn)行并出現(xiàn)Auditor開始屏幕。
在這個(gè)Auditor系統(tǒng)中，兩個(gè)最重要的圖標(biāo)是位于屏幕左下方的Programs和Command Line圖標(biāo)，我們以后的許多操作基本上都是要通過它們來完成的。
在這里，開始做其他任何其他的事情之前，先要確認(rèn)我們機(jī)器上的無線網(wǎng)卡能夠通過Auditor的驗(yàn)證。單擊Command Line圖標(biāo)以打開一個(gè)命令行窗口，然后輸入iwconfig命令，在Auditor顯示出的信息中，你會(huì)看到有關(guān)于“Wlan0”的信息，它是Auditor為基于PRISM芯片的卡確定的一個(gè)名稱，如果用來操作攻擊的筆記本的屏幕顯示W(wǎng)lan0”的信息，則表明Auditor已檢測(cè)到了無線網(wǎng)卡，現(xiàn)在就可以開始下一步工作了。對(duì)于另外一臺(tái)筆記本，也進(jìn)行同樣的步驟，重復(fù)這一操作。
三、實(shí)戰(zhàn)破解過程
1、用Kismet進(jìn)行網(wǎng)絡(luò)探測(cè)
Kismet是一個(gè)基于Linux的無線網(wǎng)絡(luò)掃描程序，這是一個(gè)相當(dāng)方便的工具，通過測(cè)量周圍的無線信號(hào)來找到目標(biāo)WLAN。雖說Kismet也可以捕獲網(wǎng)絡(luò)上的數(shù)據(jù)通信，但在還有其他更好的工具使用(如Airodump)，在這里只使用它來確認(rèn)無線網(wǎng)卡是否正常工作和用來掃描無線網(wǎng)絡(luò)，在下面的部分中將會(huì)換用不同的工具軟件來真正地偵聽和捕獲網(wǎng)絡(luò)上的數(shù)據(jù)通信。
運(yùn)行Kismet程序
除掃描無線網(wǎng)絡(luò)之外，Kismet還可以捕獲網(wǎng)絡(luò)中的數(shù)據(jù)包到一個(gè)文件中以方便以后加以分析使用，因此Kismet會(huì)詢問用來存放捕獲數(shù)據(jù)包的文件的位置，如我想把這些文件保存到root\desktop下，則單擊“Desktop”，然后選擇“OK”即可，如圖十三所示。然后Kismet然后會(huì)詢問捕獲文件的前綴名字，我們可以更改這個(gè)默認(rèn)的名字，例如把它更改為“capture”然后點(diǎn)擊OK，這樣Kismet就會(huì)以capture為文件名的開頭，再在其后依次添加序號(hào)來保存捕捉下來的數(shù)據(jù)包到不同的文件中。
當(dāng)Kismet開始運(yùn)行時(shí)，它將會(huì)顯示這個(gè)區(qū)域內(nèi)它找到的所有的無線局域網(wǎng)，“Name”那一列中所顯示出來的內(nèi)容就是哪一個(gè)WLAN中AP的SSID值，那當(dāng)然開始設(shè)定的目標(biāo)WLAN也應(yīng)該包含中其中(Name下值為wsrf的那一行)，在這一行中，CH列的值(AP所使用的頻道)應(yīng)該與開始所記下的相同。在窗口的最右邊顯示的信息是Kismet發(fā)現(xiàn)的WLAN的數(shù)目，已被捕捉下來了的數(shù)據(jù)包、已加密了的數(shù)據(jù)包的數(shù)目等等。甚至當(dāng)目標(biāo)計(jì)算機(jī)已關(guān)閉時(shí)，Kismet也正可從我們的目標(biāo)AP中檢測(cè)到數(shù)據(jù)包，這是因?yàn)槟繕?biāo)AP在不停地發(fā)出“beacons”，它將告之擁有無線網(wǎng)卡的計(jì)算機(jī)有一個(gè)AP在此范圍內(nèi)，我們可以這樣想像，這臺(tái)AP宣布，“我的名字是XXXXX，請(qǐng)大家與我連接。”
默認(rèn)的Kismet是運(yùn)行在“autofit”模式下的，它顯示的內(nèi)容雜亂無章的，我們可以通過排序把AP按任何有意義有順序來重新排列，按下“s”鍵到“Sort”菜單，在這兒可以按下某個(gè)字母來對(duì)搜尋到的AP進(jìn)行排序，如“f”鍵是按AP名字的第一個(gè)字母來排序，而“c”鍵是按AP使用的頻道來進(jìn)行排序,“l”是按時(shí)間來進(jìn)行排序等等。
現(xiàn)在我們來查看一下目標(biāo)WLAN中AP的詳細(xì)信息，按下“s”鍵，然后再按下“c”鍵，把整個(gè)AP的列表用頻道的方式來排列，使用光標(biāo)鍵移動(dòng)高亮條到表示目標(biāo)AP的SSID上，然后敲下回車鍵，然后將打開一個(gè)顯示所選擇AP的詳細(xì)信息的說明窗口(SSID、MAC地址和頻道等)。這樣，要破解一個(gè)加密WLAN的WEP密鑰所需要的基本信息大部分都在這兒了。有些WLAN從安全方面考試，隱藏了SSID或屏蔽SSID廣播，這樣做的話的確能夠防止使用Netstumbler來掃描，但碰上Kismet就毫無辦法了，它可輕易地檢測(cè)到隱藏的SSID。Kismet能夠比Netstumbler捕捉到更多的網(wǎng)絡(luò)信息，能夠通過跟蹤AP及與之相連接的客戶端之間的會(huì)話而發(fā)現(xiàn)某個(gè)AP的SSID。
要完成一個(gè)破解過程，還有最后一個(gè)需要了解的信息，就是WLAN中連接在目標(biāo)AP上的無線客戶端的MAC地址，這個(gè)使用Kismet也是很輕易地搞定的。返回Kismet，按下“q”鍵退出詳細(xì)信息窗口，默認(rèn)的選擇仍舊是剛才查看了的目標(biāo)AP，使用“Shift+C”鍵，這時(shí)會(huì)打開一個(gè)與目標(biāo)AP相關(guān)的客戶端列表，它們的MAC地址就顯示在這個(gè)窗口的左邊。在這個(gè)窗口顯示的內(nèi)容中，不但包含了與AP相連的客戶端的MAC地址，還包括AP自己的MAC地址，還記得在本文的開頭所記下的目標(biāo)AP的MAC地址嗎?在這，除了目標(biāo)AP的MAC地址外就是客戶端的MAC地址了。
如果你沒有看到Target計(jì)算機(jī)的MAC地址，請(qǐng)檢查一下，確認(rèn)一下它是否已開機(jī)或連接到了目標(biāo)AP(啟動(dòng)目標(biāo)計(jì)算機(jī)，連接到目標(biāo)AP并打開WEB頁面)，大約10-30秒后，你將會(huì)看到目標(biāo)計(jì)算機(jī)的MAC地址在Kismet中彈出。當(dāng)然，把所有的客戶端MAC地址都記下來也不失為一個(gè)老道的方法，這樣就可避免在開始破解過程時(shí)一個(gè)客戶端也沒有出現(xiàn)時(shí)受阻。
2、用Airodump來捕獲數(shù)據(jù)包
現(xiàn)在了解破解所需的基本信息了，該是開始使用Airodump工具的時(shí)候了，Airodump的主要工作是捕獲數(shù)據(jù)包并為Aircrack建立一個(gè)包含捕獲數(shù)據(jù)的文件。在用來攻擊與破解的兩臺(tái)計(jì)算機(jī)中的任一一臺(tái)上，我使用的是Attack計(jì)算機(jī)，打開一個(gè)shell窗口并輸入以下的命令:
iwconfig wlan0 mode monitor
iwconfig wlan0 channel THECHANNELNUM
cd /ramdisk
airodump wlan0 cap
注意:把THECHANNELNUM這個(gè)值更改成所要破解的WLAN中的頻道數(shù)，/ramdisk目錄是存儲(chǔ)捕獲數(shù)據(jù)文件的位置。如果在實(shí)驗(yàn)WLAN環(huán)境的附近還有別的WAP，則可目標(biāo)AP的MAC地址附在airodump命令的后部作為參數(shù)，如:airodump wlan0 cap1 MACADDRESSOFAP。
這個(gè)命令僅僅是使airodump把捕獲到的目標(biāo)AP的數(shù)據(jù)包寫入到那個(gè)生成的數(shù)據(jù)文件中(cap1)。 按下Ctrl+C鍵退出Airodump，輸入ls ?Cl命令列出這個(gè)目錄中的內(nèi)容，看看擴(kuò)展名為.cap文件的大小。在經(jīng)過幾秒鐘的捕獲動(dòng)作后，如果有數(shù)據(jù)包被成功地捕捉下來，那生成的這個(gè)包文件大約為幾個(gè) KB大小。如果Airodump使用同一個(gè)參數(shù)在捕獲數(shù)據(jù)包時(shí)被停止和重新開始后，這個(gè)生成的包文件會(huì)依照前一個(gè)文件順序添加，如第一個(gè)為cap1，第二個(gè)為cap2等。
當(dāng)Airodump在運(yùn)行時(shí)，在該窗口左邊看到的BSSID下列出來的值就是目標(biāo)AP的MAC地址。在這個(gè)Airodump的運(yùn)行窗口中，會(huì)看到Packet和IV這兩個(gè)值正在不停地增長，這都是由于Windows檢測(cè)網(wǎng)絡(luò)時(shí)產(chǎn)生的正常網(wǎng)絡(luò)通信，甚至在目標(biāo)客戶端上并沒有打開WEB網(wǎng)頁收發(fā)email也是如此。過一會(huì)兒后就會(huì)看到IV值只會(huì)幾個(gè)幾個(gè)慢慢地上升，不過如果在目標(biāo)計(jì)算機(jī)上瀏覽網(wǎng)頁時(shí)，隨著每一個(gè)新頁面的打開，Airodump中的IV值會(huì)在不斷地快速上升。
在這兒，我們對(duì)Packet 的值不感興趣，因?yàn)樗⒉荒軌蛴兄谄平釽EP，IV 值則是個(gè)很重要的數(shù)字，因?yàn)槿绻平庖粋€(gè)64bit的WEP密鑰，需要捕獲大約50000到200000個(gè)IV，而破解一個(gè)128bit的WEP密鑰，則需要大約200000到700000個(gè)IV。
大家可能會(huì)注意到，在正常的網(wǎng)絡(luò)通信條件下，IV值不會(huì)增長得很快。實(shí)際上，在正常的通信條件下，要成功地破解WEP密鑰而需要從大多數(shù)的WLAN中捕獲足夠數(shù)量的數(shù)據(jù)包可能會(huì)花費(fèi)數(shù)小時(shí)甚至數(shù)天的時(shí)間。幸運(yùn)的是，我們還有有幾個(gè)辦法可以把這個(gè)速度提高起來。要使IV值快速地上升，最有效的辦法就是加大網(wǎng)絡(luò)的通信量，把目標(biāo)WLAN變得繁忙起來，加快數(shù)據(jù)包產(chǎn)生的速度，通過連續(xù)不斷地ping某臺(tái)計(jì)算機(jī)或在目標(biāo)計(jì)算機(jī)上下載一個(gè)很大的文件能夠模仿這一過程，讓Attack計(jì)算機(jī)上運(yùn)行Airodump，可看到IV值慢慢在上升。
還有一個(gè)方法，在Windows的命令提示符窗口輸入如下的命令來進(jìn)行一個(gè)持續(xù)不斷的ping:
ping -t -l 50000 ADDRESS_OF_ANOTHER_LAN_CLIENT
這里 ADDRESS_OF_ANOTHER_LAN_CLIENT值更改成在本局域網(wǎng)中目標(biāo)AP、路由器或其他任何可ping得通的客戶端的IP地址。
3、用Void11來產(chǎn)生更多的通信流量
void11把一個(gè)無線客戶端從它所連接的AP上使用一個(gè)強(qiáng)制驗(yàn)證過程，也就是說這個(gè)客戶端開始被斷開，當(dāng)它被從WLAN中斷開后，這個(gè)無線客戶端會(huì)自動(dòng)嘗試重新連接到AP上，在這個(gè)重新連接過程中，數(shù)據(jù)通信就產(chǎn)生了，這個(gè)過程通常被叫做de-authentication或deauth attack過程。
啟動(dòng)Sniff計(jì)算機(jī)，并把Auditor CD插入它的光驅(qū)，Auditor啟動(dòng)后，打開一個(gè)shell命令窗口并輸入以下的命令:
switch-to-hostap
cardctl eject
cardctl insert
iwconfig wlan0 channel THECHANNELNUM
iwpriv wlan0 hostapd 1
iwconfig wlan0 mode master
void11_penetration -D -s MACOFSTATION -B MACOFAP wlan0
注意:把THECHANNELNUM替換成目標(biāo)WLAN的頻道數(shù)，MACOFSTATION 和 MACOFAP分別替換成目標(biāo)WLAN的客戶端的MAC地址和AP的代號(hào)，如下形式:void11_penetration -D -s 00:90:4b:c0:c4:7f -B 00:c0:49:bf:14:29 wlan0。當(dāng)在Auditor Security Collection CD中運(yùn)行void11時(shí)可能會(huì)看到“invalid argument error”的錯(cuò)誤信息，這無關(guān)緊要，不要理會(huì)這個(gè)錯(cuò)誤。
當(dāng)void11在Sniff計(jì)算機(jī)上運(yùn)行時(shí)，我們來看看Target計(jì)算機(jī)上正在發(fā)生的變化，通常，使用這臺(tái)機(jī)器的用戶會(huì)發(fā)現(xiàn)網(wǎng)絡(luò)突然地變得非常慢，而且最后好像停頓了，幾秒鐘后，徹底與網(wǎng)絡(luò)失去了連接。如果查看Windows XP自帶的無線客戶端實(shí)用程序，會(huì)發(fā)現(xiàn)void11開始攻擊之前，一切都正常，Windows顯示你正連接在AP上，Void11啟動(dòng)后，網(wǎng)絡(luò)狀態(tài)會(huì)從連接狀態(tài)改變到斷開狀態(tài)。如果在在Sniff計(jì)算機(jī)上停止void11后，Target計(jì)算機(jī)會(huì)在大約幾秒鐘內(nèi)重新連接到目標(biāo)AP。
讓我們到Attack計(jì)算機(jī)上去看一下，它總是在那運(yùn)行著Airodump，當(dāng)void11在運(yùn)行后，IV值在幾秒鐘內(nèi)增加大概100-200，這是由于目標(biāo)客戶端機(jī)器重復(fù)地嘗試重新連接到目標(biāo)AP上時(shí)產(chǎn)生的網(wǎng)絡(luò)通信引起的。
4、用Aireplay引起數(shù)據(jù)包的延遲
當(dāng)使用一個(gè)deauth attack過程強(qiáng)制產(chǎn)生通信時(shí)，它通常不能夠產(chǎn)生我們所需要的足夠數(shù)量的IV值，不過Airodump比較適合于干擾正常的WLAN操作的工具。為了產(chǎn)生更多的網(wǎng)絡(luò)通信流量，我們需要使用一種叫做replay attack的不同方法，replay attack截獲由目標(biāo)客戶端產(chǎn)生的合法數(shù)據(jù)包，然后再通過某種手段來欺騙這個(gè)客戶端，再三地延遲它的數(shù)據(jù)包，這個(gè)延遲過程比正常使用的時(shí)候更頻繁。由于這些通信流量看上去好像來自一臺(tái)網(wǎng)絡(luò)上合法的客戶端，因此它并不干擾正常的網(wǎng)絡(luò)操作，只是在幕后靜靜地從事著產(chǎn)生更多IV的職責(zé)。
把由void11的deauth attack產(chǎn)生的數(shù)據(jù)包捕獲下來后，停止這個(gè)deauth attack過程，然后使用這些捕獲下來的數(shù)據(jù)包開始一個(gè)replay attack過程。我們?cè)谄平膺^程中所要捕獲的數(shù)據(jù)包最好選擇是ARP包，因?yàn)樗鼈兌己苄?68字節(jié)長)，并有固定和容易被偵測(cè)的格式。把Attack和Sniff這兩臺(tái)機(jī)器都重新啟動(dòng)， Attack計(jì)算機(jī)只運(yùn)行aireplay，它僅僅是用來促使網(wǎng)絡(luò)中產(chǎn)生數(shù)據(jù)流量(和IV)以縮短破解WEP密鑰所使用的時(shí)間，Sniff計(jì)算機(jī)的用途不是來運(yùn)行deauth attack(通過Void11)，就是用來捕獲通信流量(通過Airodump)，并最后使用Aircrack工具來對(duì)被捕獲到的數(shù)據(jù)進(jìn)行破解。
先啟動(dòng)Aireplay，在Attack計(jì)算機(jī)上，打開一個(gè)shell窗口并輸入以下命令:
switch-to-wlanng
cardctl eject
cardctl insert
monitor.wlan wlan0 THECHANNELNUM
cd /ramdisk
aireplay -i wlan0 -b MACADDRESSOFAP -m 68 -n 68 -d ff:ff:ff:ff:ff:ff
注意:switch-to-wlanng和monitor.wlan是來自于Auditor CD，為簡化操作和減少輸入的腳本命令。 把THECHANNELNUM更改為目標(biāo)WLAN的頻道數(shù)。來看看這個(gè)操作命令會(huì)有什么結(jié)果產(chǎn)生，首先，沒有什么太令人激動(dòng)的事發(fā)生，會(huì)看到Aireplay報(bào)告已捕獲到了某些類型的數(shù)據(jù)包，不過由于這些數(shù)據(jù)包基本上不是我們所需要的(目標(biāo)MAC地址為FF:FF:FF:FF:FF:FF的68字節(jié)的包)。
現(xiàn)在來操作Target計(jì)算機(jī)并打開它的無線實(shí)用程序，監(jiān)視它的網(wǎng)絡(luò)連接狀態(tài)，然后在Sniff計(jì)算機(jī)上啟動(dòng)一個(gè)void11的deauth attack，一旦開始啟動(dòng)void11，這時(shí)可看到Targets計(jì)算機(jī)已從目標(biāo)AP上斷開了，當(dāng)然，Aireplay顯示的數(shù)據(jù)包速率增加得更快了。
Aireplay捕獲了相關(guān)的數(shù)據(jù)包后會(huì)并詢問是否與你所希望得到的相匹配，在本次破解中，需要捕獲的數(shù)據(jù)包具有以下特征:
FromDS - 0
ToDS - 1
BSSID ?C 目標(biāo)AP的MAC地址
Source MAC ?C 目標(biāo)計(jì)算機(jī)的MAC地址
Destination MAC - FF:FF:FF:FF:FF:FF
如果數(shù)據(jù)包并不與這些條件相匹配，輸入n(表示no)，Aireplay會(huì)重新再捕獲，當(dāng)aireplay成功地找到與以上條件相匹配的數(shù)據(jù)包后，回答y(表示yes)，Aireplay會(huì)從捕獲轉(zhuǎn)換到replay模式并開始啟動(dòng)replay攻擊。這時(shí)立即返回到Sniff計(jì)算機(jī)上停止void11的deauth attack。
如果Aireplay在幾千個(gè)數(shù)據(jù)包中并沒有捕獲到相應(yīng)的數(shù)據(jù)包包，則可使用Void11來助力，Void11能夠干擾目標(biāo)AP和它的客戶端不，給它們?nèi)魏螜C(jī)會(huì)去完成重新連接。手動(dòng)停止void11(按Ctrl+C鍵)然后重新啟動(dòng)它，添加“d”參數(shù)到void11的命令行中(延遲的值是微秒)，嘗試用不同的值去允許AP與客戶端重新連接的時(shí)間。
如果目標(biāo)客戶端處于空閑狀態(tài)，通過deauth攻擊來捕獲ARP包可能是比較困難的，這在一個(gè)真實(shí)環(huán)境的WLAN中可能不會(huì)發(fā)生，但在這個(gè)實(shí)驗(yàn)的WLAN下環(huán)境中則成了一個(gè)問題。如果Aireplay沒有捕獲到你所需要的數(shù)據(jù)包破解不能進(jìn)行下去，則可在開始deauth attack之前你需要到目標(biāo)客戶端計(jì)算機(jī)上運(yùn)行一個(gè)連續(xù)不斷的ping或開始一個(gè)下載任務(wù)。如果Void11完全不能正常工作，可Attack計(jì)算機(jī)上保持運(yùn)行aireplay，在Sniff計(jì)算機(jī)上關(guān)閉void11，操作Target計(jì)算機(jī)并手動(dòng)斷開無線網(wǎng)絡(luò)連接，再重新連接，在三十秒內(nèi)，當(dāng)它重新連接到WLAN并請(qǐng)求獲取一個(gè)IP地址時(shí)，在Attack計(jì)算機(jī)上的Aireplay能夠看到由目標(biāo)計(jì)算機(jī)發(fā)出的ARP包。
5、最后的破解的時(shí)刻
經(jīng)過一段時(shí)間的運(yùn)行，在Attack計(jì)算機(jī)上運(yùn)行的replay attack產(chǎn)生了足夠多的IV，現(xiàn)在是做真實(shí)的WEP破解的最終時(shí)刻到了，在Sniff計(jì)算機(jī)上停止void11，并輸入如下的命令以，設(shè)置Airodump來捕獲數(shù)據(jù)包。
switch-to-wlanng
cardctl eject
cardctl insert
monitor.wlan wlan0 THECHANNELNUM
cd /ramdisk
airodump wlan0 cap1
把THECHANNELNUM替換成目標(biāo)WLAN的頻道數(shù)，如果在這個(gè)區(qū)域內(nèi)有多個(gè)WAP，把目標(biāo)AP的MAC地址添加到airodump的尾部作為參數(shù)，如:airodump wlan0 cap1 MACADDRESSOFAP。隨著Airodump把IV寫進(jìn)一個(gè)文件中，我們可同時(shí)運(yùn)行Aircrack來尋找包含在這個(gè)文件中的這個(gè)WEP密鑰，讓Airodump繼續(xù)運(yùn)行，打開另外一個(gè)shell窗口，在這個(gè)新的命令窗口中輸入如下的命令來啟動(dòng)Aircrack。
cd /ramdisk
aircrack -f FUDGEFACTOR -m MACADDRESSOFAP -n WEPKEYLENGTH -q 3 cap*.cap
注意:FUDGEFACTOR 在一個(gè)整數(shù)(默認(rèn)值為2)，MACADDRESSOFAP是目標(biāo)AP的MAC地址。WEPKEYLENGTH 是你嘗試破解的WEP密鑰的長度(64, 128等等)。
Aircrack將從捕獲下來生成的數(shù)據(jù)包文件中讀入IV值，并依靠這些IV值上完成WEP密鑰的破解，Aircrack默認(rèn)的是使用一個(gè)速度比較慢的模式來尋找WEP密鑰，不過這種模式速度雖慢，但它找到WEP密鑰的機(jī)會(huì)很高;還有一種模式就是使用-f參數(shù)，這個(gè)則速度相當(dāng)快，不過成功的機(jī)會(huì)比前一個(gè)小得多。如果運(yùn)氣好的話，你會(huì)看到WEP密鑰被成功地找到啦。
要破解一個(gè)64bit的WEP在需要5分鐘時(shí)間，由同時(shí)運(yùn)行于replay attack的幾個(gè)操作的時(shí)間組成的:用airodump掃描、用aircrack破解和用aireplay產(chǎn)生網(wǎng)絡(luò)通信流量，不過這里有許多幸運(yùn)的地方，有時(shí)破解一個(gè)64bit的WEP的密鑰要收集25000個(gè)左右的IV，則它花費(fèi)的時(shí)間就更長了。必須把這個(gè)你嘗試恢復(fù)的WEP密鑰的長度輸入到Aircrack中，這個(gè)長度沒有哪一個(gè)工具能提供，對(duì)你自己的實(shí)驗(yàn)環(huán)境的WLAN當(dāng)然能夠知道這個(gè)信息，但在別的你一無所知的網(wǎng)絡(luò)環(huán)境中則可以使用64或128這兩個(gè)密鑰長度去嘗試。
使用配置更好的機(jī)器能夠有助于加快破解的過程，把捕獲下來生成的數(shù)據(jù)包文件拷貝到另外有更大內(nèi)存和更快處理器的機(jī)器上去完成最后的破解動(dòng)作不失為一個(gè)好的辦法，在這臺(tái)機(jī)器上就只要運(yùn)行Aircrack這個(gè)工具了，并且aircrack能夠使用-p選項(xiàng)來支持多處理器，使用AMD和Intel的新雙處理器設(shè)備能使破解過程更快。對(duì)于128bit長的密鑰來說更是要如此了。
結(jié)語：大家在使用無線AP時(shí)，盡可能使用更高的密碼位數(shù)，隱藏SSID，并關(guān)閉ICMP（防止Ping），如果有防火墻的話盡量打開并過濾非法的流量，并設(shè)置只允許特定的MAC接入，。。。 不過，這些都是相對(duì)安全的，最安全的的辦法就是不用無線網(wǎng)絡(luò)，，呵呵。。。
聯(lián)系客服
