Pero probar o intentar asociarte con todas las combinaciones posibles... es una locura 

Mi idea en base a lo que propones, sería ir bastante rapidito hasta que encuentres un arp, y luego una vez acotada la zona, ir pasando cada vez mas lento, hasta que te asegures...

De todas maneras, no me acuerdo, pero cuantas contraseñas genera el wlandecrypter?

Saludos

Pero hay alguna api de apple que valga si quiera para intentar asociarte a un AP?
Yo solo he encontrado éstas funciones privadas
http://code.google.com/p/iphone-wireless/wiki/Apple80211Functions
y la mayoria no estan documentadas.

Un saludo

En la versión 2.0 de WLAN Buster vamos a procurar que ya esté disponible el ataque ADB, aunque de momento es sólo una teoría.
El escenario dónde este ataque funcionaría es el siguiente:
- Un punto de acceso WLAN_XX está en el radio de alcance
- WLAN Buster en el modo de funcionamiento normal detecta balizas del punto de acceso con buena señal
- WLAN Buster no puede capturar ningún paquete que contenga datos y por lo tanto se pueda intentar descifrar con la password compuesta de la MAC interna, porque no hay tráfico wifi entre el AP y un cliente autenticado.

Bien, en este punto el problema es conseguir un paquete del AP con datos.
Lo primero que debemos hacer es realizar una falsa autenticación con el AP, para lo cual inyectamos las correspondientes peticiones de autenticación y asociación y esperamos a recibir la trama con la confirmación de asociación. Hasta aquí fácil y hasta ahora conseguido, pero por el hecho de estar asociados al punto de acceso no tiene porque llegarnos ningún paquete de datos. De hecho, normalmente no llega.
Hay que forzar al punto de acceso para que nos devuelva un paquete que contenga datos cifrados correctamente con el IV y la clave WEP, pero para solicitarle algo debemos hacerlo con la información cifrada correctamente también, para lo cual nos hace falta la clave WEP. Y vuelta al principio.... ¡o no!.

Si analizamos el algoritmo de asignación de claves WEP de Telefónica podremos darnos cuenta de lo siguiente:
- de los trece caracteres que componen la clave WEP de 104 bits, conocemos de antemano gracias al BSSID, como ya se ha explicado en más de una ocasión, 9 de ellos, y nos faltan cuatro posiciones (la 8ª, 9ª, 10ª y 11ª)
- esas cuatro posiciones suponen 2^32 = 65.536 posibilidades
En el siguiente esquema vemos reflejado este concepto:

Image

y podemos darnos cuenta de que en un paquete de baliza tenemos toda la información para generar la clave WEP correspondiente si es que no ha sido cambiada, excepto las posiciones de las que hablabamos previamente. En el caso mostrado en el gráfico serían las ocupadas por los dígitos [A4][32] y que habría que ocupar con valores que deconocemos y son las 65.536 posibilidades. Como aclaración diremos que los deconocemos ya que en el gráfico ilustramos la correspondencia existente con un paquete de datos, mientras que el paquete del que disponemos nosotros en el caso que nos ocupa es una baliza.
Sin embargo, se da una circunstancia adicional, y es que la 8ª y 9ª posiciones, por lo que he podido comprobar siempre forman un octeto hexadecimal de valor igual o igual menos 1 o igual más uno que su correspondiente octeto en el BSSID, en este caso [A3]. Es decir que si esto se cumple, las posibilidades se reducen a 768 correspondientes a los 256 valores del octeto correspondiente a las posiciones 10ª y 11ª multiplicado por las tres posibilidades del octeto procedente con valores igual, +1 y -1.
Y aquí es donde se crea el Diccionario de Bolsillo con sólo 768 claves WEP.
Habiendo reducido el número de posibilidades a tan sólo 768 tenemos opción de utilizar la falsa asociación (ya conseguida) al punto de acceso para enviarle paquetes de datos con una petición que deba responder, cada uno de ellos encrioptado con una clave WEP del diccionario.
Si la teoría funciona, siendo pesimistas pongamos que somos capaces de enviar 50 paquetes por segundo. Estaríamos hablando de que enviamos todo el diccionario en 16 segundos, y nuevamente si la teoría funciona, cuando el punto de acceso reciba la petición cifrada con la clave WEP que le corresponde nos enviará la ansiada contestación en un paquete de datos cifrado igualmente con esa clave y un distinto IV.

Posibles fallos en la teoría:
- Que el punto de acceso nos desautentique por enviar demasiados paquetes con clave WEP errónea. Tengo mis dudas de que lo haga, pero....
- Que el punto de acceso no valide los paquetes por no aportar un número de secuencia en el paquete válido.

El tiempo dirá.

Se ha comprobado el ataque con un paquete UDP de tipo BootPC cifrado con n contraseñas. Los paquetes se han enviado a un ratio de aprox. 50 paquetes por segundo.

Ha funcionado. El punto de acceso ha respondido con un BootPS dejando expuesta su MAC interna y por lo tanto su clave.

El siguiente paso es trabajar con paquetes de tipo ARP para los APs que no dispongan de DHCP habilitado.

La teoría del ADB ha funcionado.

Se ha comprobado el ataque con un paquete UDP de tipo BootPC cifrado con n contraseñas. Los paquetes se han enviado a un ratio de aprox. 50 paquetes por segundo.

Ha funcionado. El punto de acceso ha respondido con un BootPS dejando expuesta su MAC interna y por lo tanto su clave.

El siguiente paso es trabajar con paquetes de tipo ARP para los APs que no dispongan de DHCP habilitado.

La teoría del ADB ha funcionado.