MANUAL IPW2200+WIFISLAX 3.1

[NeOdEaTh]

RESUMEN IPW2200+WIFISLAX 3.1 by NeOdEaTh

INFORMACIÓN IPW2200: Podemos hacer ataques 1(autentificacion falsa), 2(seleccion interactiva del paquete a enviar), 3(reinyeccion de una ARP) y 4(chopchop). El de fragmentación(A5) al parecer no funciona.

PASOS:

1º) DRIVER: Recarga driver ipw2200 y comprobar en el shell que sale. En que ethx aparece nuestra ipw2200 y si está activo rtap0 por defecto.

2º) ESCANEO DE REDES: Verificar las redes a nuestro alcance e ir apuntando BSSID, canal y ESSID de los puntos de acceso. Para ello, escribir en el shell:

airodump-ng rtap0

Una vez visto esto, pausamos con CONTROL+C o cerramos ventana.

3º) CAPTURA: Iniciar airodump-ng de nuevo para capturar paquetes de una red específica e ir guardándolos en un archivo. Utilizaremos rtap0 para capturar ya que si utilizamos ethx ahora, luego no podremos inyectar con ethx. Para ello escribimos en un nuevo shell:

airodump-ng -c canal -b bssid -w captura rtap0
ej: airodump-ng -c 11 -b 01:12:42:23:25:5F -w captura rtap0

4º) ATAQUE: Es necesario que nuestra interface ethx esté en modo managed, que por defecto lo está. Esto podemos verlo haciendo un "iwconfig ethx" en un shell, si está en modo monitor habria que poner "iwconfig ethx mode managed". Necesitamos que haya algún cliente conectado y permanezca asociado para conseguir un paquete válido y luego poder reinyectarlo. Si el cliente se desconecta nos saldrá un mensaje (Got auth/deauth package is client connected?). Los clientes los veremos como STATION. Lo ideal ahora es que nos cambiemos la mac por seguridad. Para saber nuestra mac poner en un shell ifconfig ethx. Para cambiarla vamos a un shell y ponemos (macchanger --mac=XX:XX:XX:XX:XX:XX ethx). Solo se puede cambiar a macs que empiecen por 00.
Abrimos otra shell y los comandos serían estos:

Opciones de ataque:

1)SIN CLIENTES: el cliente somos nosotros

1.1) ataque 1+ataque 3: En este caso en el ataque 3 el cliente somos nosotros.

1.2) ataque 1+ataque 4 (chop chop): En este caso lo que cambia es la parte del ataque 4, que es un poco mas engorrosa. En este caso el cliente también somos nosotros.

2)CON CLIENTES(ataque 3) : El cliente es el que esté conectado.

---ATAQUES-------------------

ATAQUE 1: Asociación falsa a la red

Primero nos autentificamos falsamente en esa red(ataque 1)(da igual la key que pongamos):

iwconfig ethx essid "essid" key 1111111111111 channel "canal"

Nota: El ataque 1 se hace así para esta tarjeta ya que si fuera otra seria:  aireplay-ng -1 30 -e (nombre de ESSID) -a (MAC del AP a atacar) -h (nuestra MAC falsa) (interfaz).  Lo malo de hacerlo con otro comando para esta tarjeta es que no vemos en la ventana si nos hemos asociado bien o no, simplemente puede que nos veamos en la ventana del airodump donde estamos capturando como STATION y también podemos comprobar nuestra asociación al AP haciendo un iwconfig.


ATAQUE 3: Inyección

aireplay-ng -3 -x 1024 -g 1000000 -b bssid -h cliente -i rtap0 ethx
ej: aireplay-ng -3 -x 1024 -g 1000000 -b 00:13:4D:AC:22:44 -h 01:23:4F:AC:52:89 -i rtap0 eth1

Si va bien todo veremos como envia paquetes y la columna #Data del airodump va subiendo rápidamente.

Nota: Si no funcionan los ataques, bajad el rate de la tarjeta a 1 Mb por segundo:  iwconfig rtap0 rate 1M. Hay veces que no se podra. También intentar el ataque 3 y despues el 1. Este ataque depende de muchos factores y hay veces que no se podrá, el chopchop puede ser interesante.

ATAQUE 4: Chop chop

aireplay-ng -4 -a -b bssid -h cliente -i rtap0 ethx

Cuando pregunte ¿use this packet ? le decimos Y. Cuando termine copiamos el nombre del archivo “replay_dec…..xor” para usarlo en el siguiente comando y forjar el ARP que reinyectaremos después.

Ahora ponemos:

arpforge-ng “replay_dec…..xor” 1 “mac del AP” "cliente(nuestra mac)" 192.168.1.20 192.168.1.21 ficheroarp.cap

De esta forma usamos el fichero xor anterior para hacer el ARP que se reinyectara para aumentar los paquetes.
 “1” es el valor de FROMDS

Finalmente hacemos un ataque 2:

aireplay-ng -2 –r ficheroarp.cap ethx

Cuando pregunte ¿use this packet ? le decimos Y

Bueno, ahora ya vemos como empieza a inyectar paquetes y esperamos hasta que tengamos los suficientes.

5º) DESENCRIPTAR CLAVE: Si todo ha ido bien deberemos tener un montón de paquetes en #Data. Lo suyo es 250.000 para una clave 128bits, y el doble para una mas grande....vamos, cuantos mas, mejor. Ponemos en un nuevo shell:

Tenemos 3 opciones:
a) aircrack-ptw captura.cap           Este es el más rápido.

Si no funciona, probad con los siguientes:
b) aircrack-ng captura.cap       el ng es mas rápido que el último
el otro sería:

c) aircrack captura.cap

si no sabemos como se llama el archivo vamos al konqueror y vemos en /root como se llama el archivo. Según los paquetes que tengamos, tardará mas o menos hasta que nos muestre la key.

------------------

Aquí teneis una correción bajo mi experiencia.

Pruebas:

1) Con un cliente conectado: he conseguido el ataque 1 y el 3 perfectamente. Es decir, me he autentificado en la red, he aparecido junto con el cliente y he inyectado con mi cliente falso. Los paquetes se cogen rápidamente.

2) Con un cliente conectado falsamente(es decir otro ordenador conectado con key inventada): He intentado simular el ataque 1 con otro ordenador. El resultado....no inyecta paquetes. Supongo que será por lo que puse arriba, que necesitamos al menos un paquete válido para reinyectar, y este, no lo conseguimos nunca. He podido notar que al poner el comando de aireplay para inyectar, me dice que la mac que le puse para el cliente no corresponde con la mia...claro. Intenta cambiarmela a la que le puse yo como cliente pero haciendo un ifconfig se ve que no lo ha hecho. También puede ser este el fallo... Así que me autentifico falsamente en la red y hago una inyección con mi mac. Me veo asociado al AP junto con el otro cliente falseado(ordenador2) y los paquetes #Data suben muy lentamente hasta que...chof! Empieza a reinyectar!!!!, Suben a toda ostia los paquetes.

3) Sin cliente conectado: Hago los ataques 1 y 3 estando solamente yo y me veo autentificado al AP con un iwconfig aunque no me veo en la captura del airodump hasta pasar un poco. Aun habiendo falseado mi mac aparezco con mi mac original no sé por qué, pero al cabo de un rato ya aparece mi mac falseada. Después desaparezco de STATION pero sigo asociado al parecer haciendo un iwconfig. Los paquetes han subido a 42 en 8 minutos. A los 9 minutos empieza la inyección a una velocidad aplastante, mucho más rápido que las otras veces. :D En pocos minutos tengo mas de 300000 paquetes. Con el ataque 1 y 4 también lo consigo, en menos tiempo que el 1+3.


Nota: Bueno, aquí está mi experiencia. Las pruebas las he hecho en mi casa, bastante lejos de mi AP(D-link) con mi portatil ACER y la famosa ipw2200. La key era WEP 128bits. Intentaré hacer otras pruebas con APs de otras marcas y mas lejos. Con el airoscript ipw2200 del wifislax 3.1, sin clientes conectados, el ataque 1+3, que es el primero de la lista, no funciona. ¿Por qué? Pues porque nosotros tenemos una mac y el airoscript intenta reinyectar con la mac 11:22:33:44:55:66, que es una mac que no nos podemos poner nunca. Así que al inyectar paquetes, el aireplay no para de preguntarnos si está asociada la mac al AP. El airoscript general no funciona porque utiliza comandos generales que no valen para nuestra tarjeta. Me refiero al comando de autentificación falsa por ejemplo.

--------------------------------------------------------

Bueno, espero que la gente tenga mas claros los comandos y si alguno puede perfeccionar o aportar sus experiencias mucho mejor. ah!! a ver si alguien me dice cual es el comando para desasociarme de la red en la que estoy asociado.

Saludos

[*dudux]

todo bastante claro...........

[ChinoTauro]

Hola NeoDeath,
    lo primero felicitarte por el manual, está muy bien
A ver, te comento el problemilla que tengo. Lo que quiero hacer es el ataque 1 + 3 SIN clientes conectados.
Tengo la IPW2200 y wifislax 3.1, recargo la IPW2200 y...
Lo primero que hago es asociarme al AP con iwconfig. Esto lo hago bien porque me veo en el airodump (soy el único STATION conectado) y haciendo iwconfig tb veo que estoy asociado a la ESSID y la MAC del AP, tb veo q está en modo managed.
Una vez que me he autentificado con password falsa en el AP, hago el ataque 3. Por ahora los DATAs están a 0. Con el ataque 3 leo muchos paquetes pero los ARPs permanecen a cero y los paquetes enviados también.
Lo que hago ahora es autentificarme falsamente con otro portatil, lo hago bien porque veo como sale en airdump, ahora hay dos conexiones al AP. Al conectar este segundo portatil, capturo 2 o 4 DATAs pero se queda estancado, tb veo los ARPs están a 2 y ya manda paquetes en el aireplay, pero los DATAs suben unos 10 o 20 y se para. Sólo suben otra vez si me desconecto y me vuelvo a conectar desde el otro portatil. Es decir, solo suben los datas y los arps cuando me autentifico en el AP con el otro portatil. Según la teoría, aireplay debería coger esos paquetes válidos y reinyectarlos en el AP pero no lo hace.

Alguna cosa que se me haya pasado?


Gracias!

[NeOdEaTh]

buenas!!

a ver, por lo que me cuentas parece que lo haces bien. El ataque 3, y mas con la ipw2200 depende de muchos factores (distancia, marca AP, canal...) Sobre todo diría que depende de la marca del AP, ya que con mi router D-Link se traga todo y con otras pruebas he tenido resultados diferentes. Eso que me cuentas de otro portatil realmente no hace falta, si te has puesto en el ataque 3 como cliente tu mismo. Si el otro portatil se asocia con la WEP auténtica lo que pasaría es que subirían aún mas rápido los ARPs. De todas formas haz la inyección poniéndote tu de cliente. Una vez empieza a inyectar paquetes el data debe de subir rápidamente....¿te da algun mensaje? tipo: "esa mac esta asociada a la red?" Asegúrate de los parámetros de la red que atacas (cifrado wep, abierta, y sin filtrado de mac)...si todo parece estar correcto prueba poniendo el portatil en otro lado (mas cerca si sabes donde está el AP), déjalo unas horas a ver si los DATAS suben, con unos 30000 con el aircrack-ptw suele ser suficiente para una WEP de 128bits. Si es una red tipo WLAN_XX con un paquete es suficiente. Otra opción es usar el ataque CHOPCHOP(1+4), a ver si con este te va, reinyecta paquetes mucho más rápido. Está en el manual.

Un saludo y suerte

[ChinoTauro]

buenas!!

a ver, por lo que me cuentas parece que lo haces bien. El ataque 3, y mas con la ipw2200 depende de muchos factores (distancia, marca AP, canal...) Sobre todo diría que depende de la marca del AP, ya que con mi router D-Link se traga todo y con otras pruebas he tenido resultados diferentes. Eso que me cuentas de otro portatil realmente no hace falta, si te has puesto en el ataque 3 como cliente tu mismo. Si el otro portatil se asocia con la WEP auténtica lo que pasaría es que subirían aún mas rápido los ARPs. De todas formas haz la inyección poniéndote tu de cliente. Una vez empieza a inyectar paquetes el data debe de subir rápidamente....¿te da algun mensaje? tipo: "esa mac esta asociada a la red?" Asegúrate de los parámetros de la red que atacas (cifrado wep, abierta, y sin filtrado de mac)...si todo parece estar correcto prueba poniendo el portatil en otro lado (mas cerca si sabes donde está el AP), déjalo unas horas a ver si los DATAS suben, con unos 30000 con el aircrack-ptw suele ser suficiente para una WEP de 128bits. Si es una red tipo WLAN_XX con un paquete es suficiente. Otra opción es usar el ataque CHOPCHOP(1+4), a ver si con este te va, reinyecta paquetes mucho más rápido. Está en el manual.

Un saludo y suerte

Hola!
Asociándome sólo yo, no me sube ningún DATA. Tengo que asociarme tb con otro portatil para que me suba algo. Tienes razón si hay un cliente asociado correctamente los DATA suben más rápido, pero eso ya no sería ataque SIN cliente.
En cuanto empiezo a inyectar no me da ningún error, sólo si en "-h" pongo la MAC del otro portatil, pero lo soluciono poniendo la del portatil con la que inyecto.
La red que ataco seguro q es WEP y abierta, pero no sé si tiene filtrado MAC, eso como lo puedo mirar?
Los APs que he probado tienen bastante PWR y recibo muchos beacons, por lo que están bastante cerca.
En cuanto a dejarlo unas horas no lo veo muy factible a no ser que haya un cliente q se autentifique con clave correcta, porque sino de donde sacaría los paquetes a reinyectar? En teoría con mi cliente autentificado falsamente no estaría haciendo nada ya después d unas horas.
El ataque chop-chop tb lo probé pero se queda leyendo paquetes y parece que no detecta ninguno para usar y reinyectar. Cuánto tiempo hay que dejarlo hasta que coja un paquete útil?

Espero que con todos estos datos, me puedas ayudar

[ChimoC]

Buenas:

Si hay filtrado MAC el airodump te lo dice porque no te deja asociarte......

Un A3 sobre un A1 puede llegar a tardar muuuuuuuuuuuuuuuuuuuucho tiempo (muchas horas) ..... o inclusive puede no llegar a funcionar.

Y si no es tu red..... cuidado con lo que haces y mira una chincheta que pone "por favor lean esto"

Un saludo

ChimoC

[NeOdEaTh]

Está claro que cada AP y tarjetas son muy diferentes para la seguridad wireless... No todo el monte es orégano y puedes no tener suerte a veces. Yo tengo experiencias nefastas con determinados AP que pasan de mi a la hora de reinyectar. En fin...por lo que me cuentas no llega a encontrar ningún paquete válido para reinyectar, de todas formas, déjale tiempo....si te ves como STATION con tu mac es que estás asociado falsamente. La ipw2200 no es precisamente una tarjeta buena para la inyección. Intenta probar con una tarjeta con chipset atheros o reinyecta desde el otro portatil que me dices y nos cuentas la diferencia a ver que tal.

Un saludo

[ChinoTauro]

Buenas,
      el otro portatil que tengo tiene una tarjeta Agere, por lo que no puedo inyectar sólo ponerlo en modo monitor con los drivers de wildpackets
Entonces según lo que me cuentas es un problema más del AP que mío, seguiré probando cosas, gracias por todo.

[*dudux]

la gente se empeña en crear clientes falsos....................esta bien hay que probarlo todo............

pero recordar que las probabilidades son nulas................

[ChinoTauro]

dudux, crear un cliente falso (con password inventada) no sirve de nada?

[*dudux]

depende de para que...........claro esta


me refiero a la gente que se empeña en el A1+A3

si el A1 funciona hay que probar chopchop o fragmentacion antes que reinyeccion de ARP (A3)

si el A1 no funciona estamos perdid*s.........

[NeOdEaTh]

eso es lo que he estado probando hoy con otras redes para mi estudio.....la cosa es que el ataque 1 muy pocas veces funciona. Entonces, si hay cliente conectado se puede hacer el ataque 3 o el chop chop usando como cliente el ordenador que esté conectado al AP, pero he notado en ambos casos que el aireplay me dice que yo no tengo puesta de MAC la que yo le he dado como cliente...claro que no. Intenta cambiarmela a la del cliente que le he puesto, pero no lo consigue...entonces, nunca encuentra un ARP válido y si me pongo la MAC del cliente que haya he notado que intentando hacer el ataque 3 con duplicado de MAC el cliente llega a caerse, o a mi no me aparece en STATIOS... así que de momento con muchos AP no he conseguido capturar paquetes válidos para reinyectar ya que no conseguía el ataque 1. Eso para seguridad WEP, para seguridad WPA no puedo hacer el ataque 0 con la ipw2200 así que no puedo conseguir ningún handshake.... ¿conoceis algun otro ataque para WPA? ¿Alguna solución para ataques 3 y 4 cuando no puedo usar el ataque 1 y hay cliente conectado? ya que aireplay intenta siempre la reinyección con mi tarjeta, el comando que utilizo es el que pongo en el manual. ¿alguna solución para conseguir el ataque 1 porque no haya ningún cliente conectado?

muchas gracias

[ChinoTauro]

El ataque 1 consiste en:
iwconfig ethx essid "essid" key 1111111111111 channel "canal"

y si con iwconfig te ves asociado al AP ó te ves como STATION en airodump, es que funciona?


Porque a mí en teoría me funciona el A1 pero no consigue encontrar paquetes válidos para reinyectar, lo mismo pasa con chop-chop no encuentra ningún paquete válido.

[NeOdEaTh]

si, el ataque 1 es así....si te ves asociado debería encontrar un paquete válido rápidamente....sobre todo con el chop chop. Si no te sale unnasociated es extraño que no obtenga ningun arp....

[ChinoTauro]

wenas, después de probar y probar, he conseguido inyectar con el ataque chop-chop a una velocidad increíble 300 datas/s.
Conseguí la clave de un colega con 250.000 ivs usando aircrack-ng, el aircrack-ptw no me funciona, no sé por qué. El problema
es que con el AP de otro colega teniendo 300.000 ivs ejecuto el aircrack-ng, se tira 8 horas y todavía no encuentra la clave.
Sería normal que a las 2 horas se pare y no encuentre la clave, pero que se tire más de 8 horas ejecutando y lo tenga q parar yo...
 
Es normal que el aircrack-ng tarde tanto con 300.000 ivs? por qué no me funciona el ptw?



Gracias!