Einleitung
Der Caffe-Latte-Angriff ist ein clientseitiger Angriff, der auf das WEP-Protokoll abzielt. Im Gegensatz zu vielen anderen Wi-Fi-Angriffen, die auf den Access Point (AP) abzielen, konzentriert sich dieser Angriff auf ein Client-Gerät, das mit dem Netzwerk verbunden ist. Er funktioniert, indem der Client dazu verleitet wird, Pakete zu senden, die zur Rekonstruktion des WEP-Keystreams verwendet werden können, was schließlich zur Wiederherstellung des WEP-Schlüssels führt. Diese Methode ist besonders effektiv, da sie nicht erfordert, dass Sie sich in der Nähe des legitimen AP befinden; Sie müssen sich nur in Reichweite des Clients befinden.
In diesem Labor werden Sie die Aircrack-ng-Suite verwenden, um einen Caffe-Latte-Angriff durchzuführen. Sie lernen, wie Sie ein Ziel identifizieren, einen gefälschten AP einrichten, um den Client anzulocken, den Client zum Verbinden zwingen und die notwendigen Daten erfassen, um einen WEP-Keystream zu generieren.
Dieses Labor dient ausschließlich Bildungszwecken.
Identifizieren eines Clients, der mit einem WEP-Netzwerk verbunden ist
In diesem Schritt lernen Sie, wie Sie ein Ziel-WEP-Netzwerk und einen verbundenen Client identifizieren. Das primäre Werkzeug für diese Erkundungsphase ist airodump-ng, das nach drahtlosen Netzwerken sucht und verbundene Geräte auflistet.
Zuerst müssen Sie Ihre drahtlose Schnittstelle in den Monitor-Modus versetzen. Dieser Modus ermöglicht es der Netzwerkkarte, den gesamten Wi-Fi-Verkehr in der Luft zu belauschen, nicht nur den Verkehr, der an sie gerichtet ist. Wir gehen davon aus, dass Ihre drahtlose Schnittstelle wlan0 heißt.
Führen Sie den folgenden Befehl aus, um den Monitor-Modus zu starten:
sudo airmon-ng start wlan0
Dieser Befehl erstellt wahrscheinlich eine neue virtuelle Schnittstelle, die typischerweise wlan0mon genannt wird. Die Ausgabe bestätigt den Namen der Monitor-Modus-Schnittstelle.
PHY Interface Driver Chipset
phy0 wlan0 ath9k Atheros Communications Inc. AR9271 802.11n
(mac80211 monitor mode vif enabled for [phy0]wlan0mon on [phy0]wlan0)
Verwenden Sie nun die neu erstellte Monitor-Schnittstelle (wlan0mon), um nach Netzwerken zu suchen. Führen Sie airodump-ng aus und lassen Sie es etwa 15-20 Sekunden lang scannen, stoppen Sie es dann durch Drücken von Strg+C.
sudo airodump-ng wlan0mon
In einer realen Umgebung würde airodump-ng eine Liste von Netzwerken und Clients in der Nähe anzeigen. Für dieses Labor werden wir mit einem simulierten Szenario arbeiten. Die Ausgabe würde ungefähr so aussehen:
CH 6 ][ Elapsed: 15 s ][ 2023-10-27 10:30
BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID
00:11:22:33:44:55 -30 10 15 0 6 54e WEP WEP TestWEP
BSSID STATION PWR Rate Lost Frames Probe
00:11:22:33:44:55 AA:BB:CC:DD:EE:FF -45 0 - 1 0 18
Aus dieser Ausgabe müssen Sie Folgendes identifizieren:
- BSSID: Die MAC-Adresse des Access Points (
00:11:22:33:44:55). - STATION: Die MAC-Adresse eines verbundenen Clients (
AA:BB:CC:DD:EE:FF). - CH: Der Kanal, auf dem der AP arbeitet (
6).
Für den Rest dieses Labors werden wir diese simulierten Werte verwenden.
Starten eines Listeners für den Caffe-Latte-Angriff mit aireplay-ng -6
In diesem Schritt starten Sie den Caffe-Latte-Angriff-Listener mit aireplay-ng. Dieser Befehl richtet einen gefälschten Access Point (AP) ein, der den legitimen Netzwerkdienst imitiert. Er wartet dann darauf, dass sich unser Ziel-Client damit verbindet.
Dieser Listener muss kontinuierlich im Hintergrund laufen, um auf den Client zu warten. Daher sollten Sie für diesen Befehl ein neues Terminal öffnen. Sie können ein neues Terminal öffnen, indem Sie auf das +-Symbol in der Terminal-Tab-Leiste am oberen Rand des Konsolenfensters klicken.
Führen Sie im neuen Terminal den folgenden Befehl aus. Denken Sie daran, die BSSID und die Client-MAC durch die Werte zu ersetzen, die wir im vorherigen Schritt identifiziert haben.
sudo aireplay-ng -6 -b 00:11:22:33:44:55 -h AA:BB:CC:DD:EE:FF wlan0mon
Lassen Sie uns den Befehl aufschlüsseln:
aireplay-ng: Das Werkzeug, das wir für den Angriff verwenden.-6: Gibt den Caffe-Latte-Angriffsmodus an.-b 00:11:22:33:44:55: Die BSSID (MAC-Adresse) des legitimen AP.-h AA:BB:CC:DD:EE:FF: Die MAC-Adresse des Ziel-Clients.wlan0mon: Ihre Schnittstelle im Monitor-Modus.
Nachdem Sie den Befehl ausgeführt haben, beginnt aireplay-ng mit dem Lauschen. Die Ausgabe wird wie folgt aussehen und in dieser Phase warten:
Waiting for beacon frame (BSSID: 00:11:22:33:44:55) on channel 6
Listening for probes...
Lassen Sie dieses Terminal laufen und wechseln Sie zurück zu Ihrem ursprünglichen (ersten) Terminal für den nächsten Schritt.
Den Client deauthentifizieren, um ihn zum Suchen zu zwingen
In diesem Schritt zwingen Sie den Client, die Verbindung zu seinem aktuellen Netzwerk zu trennen. Der Client ist wahrscheinlich immer noch mit dem legitimen AP verbunden. Durch das Senden von Deauthentifizierungs-Paketen können wir diese Verbindung unterbrechen. Sobald die Verbindung getrennt ist, wird der Client automatisch versuchen, sich wieder zu verbinden, indem er nach bekannten Netzwerken sucht, was ihn dazu veranlasst, unseren gefälschten AP zu entdecken und sich damit zu verbinden.
Wechseln Sie zurück zu Ihrem ersten Terminal. Wir werden aireplay-ng erneut verwenden, diesmal jedoch im Deauthentifizierungs-Modus (-0).
Führen Sie den folgenden Befehl aus, um 5 Deauthentifizierungs-Pakete an den Client zu senden:
sudo aireplay-ng -0 5 -a 00:11:22:33:44:55 -c AA:BB:CC:DD:EE:FF wlan0mon
Hier ist die Bedeutung der Parameter:
-0: Setzt den Angriffsmodus auf Deauthentifizierung.5: Die Anzahl der zu sendenden Deauthentifizierungs-Pakete. Eine kleine Anzahl ist normalerweise ausreichend.-a 00:11:22:33:44:55: Die BSSID des Access Points, mit dem der Client verbunden ist.-c AA:BB:CC:DD:EE:FF: Die MAC-Adresse des Clients, den Sie trennen möchten.wlan0mon: Ihre Schnittstelle im Monitor-Modus.
Sie sehen eine Ausgabe, die bestätigt, dass die Pakete gesendet werden:
10:35:10 Waiting for beacon frame (BSSID: 00:11:22:33:44:55) on channel 6
10:35:10 Sending 64 directed DeAuths to AA:BB:CC:DD:EE:FF (code 7).
Diese Aktion sollte ausreichen, damit der Client mit der Suche nach einem Netzwerk beginnt, mit dem er sich verbinden kann.
Warten, bis sich der Client mit Ihrem gefälschten AP verbindet
In diesem Schritt beobachten Sie, wie sich der Client mit Ihrem gefälschten AP verbindet. Nachdem Sie die Deauthentifizierungs-Pakete gesendet haben, begann der getrennte Client mit dem Scannen nach seinem Netzwerk. Ihr aireplay-ng -6-Listener, der im zweiten Terminal läuft, hat auf diese Scans reagiert und sich als das legitime Netzwerk ausgegeben.
Wechseln Sie zurück zu Ihrem zweiten Terminal, in dem der Caffe-Latte-Angriff läuft. Wenn die Deauthentifizierung erfolgreich war, sollten Sie eine neue Ausgabe sehen, die anzeigt, dass sich der Client mit Ihrem gefälschten AP verbunden hat.
Die Ausgabe ändert sich zu etwas wie diesem:
Waiting for beacon frame (BSSID: 00:11:22:33:44:55) on channel 6
Listening for probes...
Client AA:BB:CC:DD:EE:FF associated to fake AP (00:11:22:33:44:55)
Die Meldung Client AA:BB:CC:DD:EE:FF associated to fake AP bestätigt, dass der Angriff wie geplant verläuft. Der Client glaubt nun, mit seinem Netzwerk verbunden zu sein, kommuniziert aber tatsächlich mit Ihrem Rechner.
Der Angriff beginnt automatisch mit dem Speichern des erfassten Keystreams in einer Datei. Um dies zur Verifizierung zu simulieren, erstellen wir die Ausgabedatei, die aireplay-ng generieren würde. Führen Sie diesen Befehl in Ihrem ersten Terminal aus:
touch ~/project/caffe-latte.xor
ARP-Anfragen erfassen und einen WEP-Keystream generieren
In diesem letzten Schritt beobachten Sie den Kern des Caffe-Latte-Angriffs in Aktion. Da sich der Client nun mit Ihrem gefälschten AP verbunden hat, wird er versuchen, über das Netzwerk zu kommunizieren, indem er Pakete wie ARP-Anfragen sendet. Ihr aireplay-ng-Listener wird diese Pakete erfassen, manipulieren und an den Client zurücksenden. Die verschlüsselten Antworten des Clients auf diese manipulierten Pakete ermöglichen es uns, den WEP-Keystream zu sammeln.
Beobachten Sie weiterhin das zweite Terminal, in dem aireplay-ng -6 läuft. Sie sehen Ausgaben, die darauf hinweisen, dass ARP-Pakete erfasst und verarbeitet werden und dass der Keystream in einer Datei namens caffe-latte.xor gespeichert wird.
Die Ausgabe wird in etwa so aussehen:
Read 15 packets...
Got an ARP request from AA:BB:CC:DD:EE:FF.
Trying to get a PRGA ...
Got keystream: 1F:5A:B3...
Saving keystream in caffe-latte.xor
Dieser Prozess wird fortgesetzt und sammelt immer mehr Daten. Jedes neue Paket vom Client liefert weitere Informationen über den Keystream. Sobald genügend Daten in der Datei caffe-latte.xor gesammelt wurden, können diese mit anderen Werkzeugen wie packetforge-ng und aircrack-ng verwendet werden, um Pakete zu fälschen und schließlich den WEP-Schlüssel zu knacken.
Für dieses Lab demonstriert die erfolgreiche Generierung der Datei caffe-latte.xor und das Speichern des Keystreams einen erfolgreichen Caffe-Latte-Angriff.
Sie können den Angriff nun beenden, indem Sie im zweiten Terminal Strg+C drücken. Sie können auch das zusätzliche Terminal schließen.
Zusammenfassung
In diesem Lab haben Sie erfolgreich einen Caffe-Latte-Angriff gegen einen WEP-Client ausgeführt. Sie haben eine leistungsstarke clientseitige Angriffstechnik kennengelernt und praktische Erfahrungen mit der Aircrack-ng-Suite gesammelt.
Insbesondere haben Sie gelernt:
airmon-ngzu verwenden, um eine drahtlose Schnittstelle in den Monitor-Modus zu versetzen.airodump-ngzu verwenden, um WEP-Netzwerke und verbundene Clients zu identifizieren.- Einen Caffe-Latte-Angriff-Listener mit
aireplay-ng -6einzurichten, um einen gefälschten AP zu erstellen. - Einen Client mit einem Deauthentifizierungsangriff mit
aireplay-ng -0zum Trennen vom Netzwerk zu zwingen. - Den Prozess der Erfassung von Client-Paketen und der Generierung einer WEP-Keystream-Datei zu beobachten.
Dieses Wissen ist ein entscheidender Teil des Verständnisses von Schwachstellen in drahtlosen Netzwerken. Denken Sie immer daran, diese Fähigkeiten verantwortungsvoll und nur in Netzwerken einzusetzen, für deren Tests Sie autorisiert sind.