Режим монитора Wi-Fi в Windows

С беспроводными атаками в Windows всё довольно плохо. Одной из немногих бесплатных программ, которые умеют выполнять настоящие атаки на Wi-Fi в Windows (а не только показывать доступные сети или извлекать ранее введённые пароли от Точек Доступа), является программа Router Scan by Stas’M. Она умеет выполнять атаки на WPS, в том числе Pixie Dust. Также она может подбирать пароли от Точек Доступа — но делает это онлайн, то есть требуется постоянное присутствие около ТД, к тому же, это очень медленно.

Есть несколько платных решений для режима монитора Wi-Fi в Windows и даже для беспроводной инъекции — но я их не изучал, если у кого-то есть практический опыт, то поделитесь им в этой теме.

Некоторое время назад (сейчас уже снят с производства), можно было купить аппаратное решение AirPcap, с которым могли работать некоторые программы.

Итак, в этой теме делимся своим опытом по переводу Wi-Fi адаптера в режим монитора в Windows и атаками на Wi-Fi из Windows.

Npcap + Wireshark = режим монитора Wi-Fi в Windows

Теперь Npcap, которая пришла на смену WinPcap, в связке с Wireshark умеет переводить сетевые интерфейсы Wi-Fi в режим монитора и захватывать сырые Wi-Fi фреймы.

После долгих мук мне удалось таки заставить это работать.

Порядок действий следующий:

• удалите WinPcap
• установите Microsoft Visual C++ Redistributable 2013 ( https://www.microsoft.com/ru-RU/download/details.aspx?id=40784 )
• установите Npcap ( https://nmap.org/npcap/#download )
• установите Wireshark (если ещё не установлена)
• проверьте, чтобы в папках C:\WINDOWS\System32 и в C:\WINDOWS\SysWOW64 не было файлов wpcap.dll и Packet.dll. То есть эти файлы должны быть только в C:\Windows\SysWOW64\Npcap\ и C:\Windows\System32\Npcap\ и больше нигде
• запустите Wireshark с правами администратора
• в настройках интерфейса поставьте галочку в колонке Monitor Mode:

Удачно протестировано с Alfa AWUS052NH (идёт захват фреймов), но есть проблемы, о которых ниже.

Нерешённые проблемы:

1. Не получилось менять номер канала для Wi-Fi адаптера Alfa AWUS052NH — всегда прослушивается только первый канал.
2. При переводе адаптера Alfa AWUS036NHA Windows вылетает в синий экран смерти. Возможно, дело в кривых драйверах — нужно попробовать разные варианты. Например, Alfa AWUS036NHA нормально работает в Windows без установки драйверов от производителя. Можно попробовать установить или наоборот удалить эти драйвера.

HackWare.ru

Этичный хакинг и тестирование на проникновение, информационная безопасность

Взлом Wi-Fi без пользователей в Windows (с использованием Wireshark и Npcap для захвата PMKID)

Npcap — это WinPcap для Windows 10

Npcap — это проект от программистов Nmap, это библиотека предназначенная для сниффинга (и отправки) пакетов, создана для работы в Windows. Она основывается на библиотеках WinPcap/Libpcap, но у неё улучшена скорость, портативность и безопасность. По своей сути, Npcap — это новая версия WinPcap, с новыми функциями и поддержкой современных версий Windows 10.

Классический WinPcap умеет захватывать сырые фреймы 802.11, но поддерживает только одно аппаратное решение — AirPcap. Npcap также умеет захватывать сырые фреймы 802.11, но поддерживает различные беспроводные карты.

Также в комплекте с Npcap идут сопутствующие утилиты, умеющие переводить беспроводные карты в режим монитора в Windows (если драйвер это поддерживает).

Режим монитора в Windows

Как и в Linux, в Windows можно переводить многие беспроводные карты, которые поддерживают режим монитора в Linux, в Monitor Mode. Например, это работает для многих Alfa. Но имеется сразу несколько проблем:

• программы из пакета Aircrack-ng не умеют работать с этими интерфейсами — то есть с помощью Airodump-ng невозможно захватить никакие данные
• практически нет программ, умеющих делать беспроводные инъекции, то есть нет возможности выполнять самые популярные атаки.

Тем не менее имеется более или менее рабочая связка, а именно: Wireshark умеет через Npcap переводить беспроводные интерфейсы в режим монитора и захватывать сырые фреймы Wi-Fi сетей (по крайней мере в официальной документации Npcap так написано). Опять же, невозможно делать беспроводные инъекции, но… В атаках без клиентов (подробности здесь и здесь) нам и не нужно делать беспроводные инъекции, для захвата PMKID нужен режим монитора, а также второй беспроводной интерфейс, с которого будет делаться обычная попытка подключения (с любым паролем).

Как установить Npcap для захвата сырых Wi-Fi фреймов

Итак, нам нужен сам Npcap. Скачать его можно здесь (это официальный сайт).

Обратите внимание, что Npcap и WinPcap не должны быть одновременно установлены. Поэтому если у вас уже есть WinPcap, предварительно удалите его. Npcap полностью заменяет WinPcap и имеет дополнительные возможности. Если вы удалите WinPcap во время установки Npcap, то когда появится запрос, перезагрузить ли компьютер сейчас, выберите ручную перезагрузку, чтобы завершить установку Npcap.

Хотя это нигде не написано, но для Npcap, видимо, нужен Microsoft Visual C++ Redistributable 2013.

При установке Npcap, выберите опции:

• Support raw 802.11 traffic
• Install Npcap in WinPcap API-compatible Mode

Нам также нужна программа Wireshark, которую можно скачать здесь. Если Npcap установлен правильно, то опция с предложением установить WinPcap должна быть неактивной:

Для работы с беспроводными картами в режиме монитора, Npcap использует интерфейс «Native 802.11 WLAN», который является устаревшим в Windows 10. И хотя есть подтверждения, что в Windows 10 ещё можно использовать Native 802.11 WLAN, лично у меня что-то не заладилось. Поэтому можете попробовать всё это установить в Windows 8. Я сам попробовал — установил Windows 8 в виртуальную машину, но у меня всё равно не получилось.

Также вам могут понадобиться драйверы для вашей беспроводной карты, например, для Alfa я скачивал драйверы здесь: alfa.com.tw/files/?dir=%5B1%5D%20WiFi%20USB%20adapter

Примеры адаптеров протестированных авторами программы: https://secwiki.org/w/Npcap/WiFi_adapters

Как захватить PMKID в Windows

Подключите ваш Wi-Fi адаптер.

Запустите от администратора Wireshark:

Теперь найдите меню Capture и выберите там Options:

Если ваша карта поддерживает режим монитора и если до этого вы установили всё правильно, то у вас в столбце Monitor Mode напротив беспроводных интерфейсов должен стоять чекбокс.

У меня для моих карт он есть (как вы можете увидеть на скриншоте), но как только я ставлю галочку, она исчезает. Я перепробовал три Wi-Fi адаптера с разными чипсетами, пробовал виртуальные машины, пробовал на реальном компьютере, даже специально установил Windows 8 и попробовал там. Результат всегда один и тот же — галочка сразу пропадает. Можно начать сомневаться, работает ли это вообще, но здесь авторы очень уверенно пишут что работает.

Поэтому будем исходить из того, что у вас также это сработало.

Чтобы точка доступа отправила первое сообщение рукопожатия с PMKID, необходимо подключиться к ней с другого беспроводного интерфейса — пароль можно выбрать любой, поскольку пароль не влияет на первое сообщение рукопожатия.

После того, как будут захвачены данные, отфильтровать нужный фрейм можно прямо в Wireshark, для этого используйте фильтр (подробности по работе с беспроводными фреймами смотрите в статье «Как извлечь рукопожатия из файла захвата с несколькими рукопожатиями»):

После извлечения PMKID, его можно начать брут-форсить прямо в Windows, в Aircrack-ng (как показано здесь) или в Hashcat (как показано здесь).

Как перевести Wi-Fi адаптер в режим монитора в Windows

Если у вас тоже возникли проблемы с захватом сырых Wi-Fi фреймов, то в качестве утешительного приза, можете перевести свою Alfa в режим монитора в Windows — с этим никаких проблем нет. Проблема в том, что какое-либо применение этого режима монитора отсутствует полностью: Airodump-ng эти интерфейсы не понимает. И даже Wireshark, которая вроде как работает с Npcap, не понимает этот режим монитора — нужно, чтобы она сама перевела карту в режим монитора.

Поэтому, для тех, у кого как у меня ничего не получилось, этот режим монитора достаётся в качестве утешительного (и бесполезного) приза.

Чтобы его включить, откройте командную строку от администратора и перейдите в папку C:\Windows\System32\Npcap\:

Посмотрите имена беспроводных интерфейсов:

Мой интерфейс я переименовал в awus052nh, по умолчанию он может называться «Беспроводная сеть» или как-то похоже. Как написано в справке, программа WlanHelper.exe должна понимать и Имя интерфейса и Идентификатор GUID, который показан на пару строк пониже. Но у меня WlanHelper.exe категорически не принимает Имя интерфейса, появляется ошибка

Хотя работа Идентификатором GUID протекает нормально.

Поэтому в последующих командах вместо имени я буду использовать именно Идентификатор GUID (замените его на свой).

Чтобы просмотреть текущий режим монитора введите:

Чтобы перевести в режим монитора:

Настолько же просто, насколько и бесполезно…

Заключение

Как я уже сказал, у меня не получилось захватить PMKID. Если у кого-то получится по этой инструкции — просьба написать в комментарии. Возможно, кто-то увидел, что именно мной было сделано неправильно и почему Wireshark не может использовать режим монитора? Буду благодарен любым советам.

Дополнение

Разрешил свою проблему с тем, что в Windows Wi-Fi адаптеры не переводятся в режим монитора. Помог совет от посетителя на англоязычной версии этой статьи:

Удалить 2 dll: wpcap.dll, Packet.dll в C:\WINDOWS\System32 и в C:\WINDOWS\SysWOW64. (возможно, whireshark перестанет работать; тогда удалить wireshark с winpcap, установить npcap, установить vc++2013, установить wireshark).

Проблема была решена удалением лишних файлов wpcap.dll и Packet.dll в C:\WINDOWS\System32 и в C:\WINDOWS\SysWOW64, эти файлы оставил только в папках C:\Windows\SysWOW64\Npcap\ и C:\Windows\System32\Npcap\.

Один Wi-Fi адаптер теперь нормально переводится в режим монитора и захватывает любые фреймы. Правда, у меня не получается переключить канал — он работает только на 1м канале. При переключении пишет «Успех», но при проверке канала вновь оказывается, что работает на 1м канале.

Второй Wi-Fi адаптер после перевода в режим монитора вызывает синий экран смерти — проблема именно в драйвере адаптера (имя файла вызвавшего ошибку выводится на синем экране).

Можно копать дальше и разбираться с проблемами — как будет время, продолжу возиться. Но всё-таки в Linux всё намного проще и стабильнее.

Помогите! Как убрать Wi-Fi адаптер с режима монитора

Здарова народ! Столкнулся с проблемой, в этом деле я не спец вот и прошу вашей помощи, у меня адаптер TP-Link TL-WN7227N и я его перевёл в режим монитора, как сделать всё обратно, как было?

Какой командой ты это сделал? Пробрвал ломать сеть соседа?

airmon-ng start. Ну типо да xD

Посмотри в man airmon-ng

AIRMON-NG(8) System Manager’s Manual AIRMON-NG(8)

NAME airmon-ng — POSIX sh script designed to turn wireless cards into monitor mode.

SYNOPSIS airmon-ng [channel] airmon-ng [kill]

DESCRIPTION airmon-ng This script can be used to enable monitor mode on wireless interfaces. It may also be used to go back from monitor mode to man‐ aged mode. Entering the airmon-ng command without parameters will show the interfaces status. It can also list/kill programs that can interfere with the wireless card operation.

OPTIONAL PARAMETERS start [channel] Enable monitor mode on an interface (and specify a channel). Note: Madwifi-ng is a special case, ‘start’ has to be used on wifi interfaces and ‘stop’ on ath interfaces.

stop Disable monitor mode and go back to managed mode (except for madwifi-ng where it kills the ath VAP).

check [kill] List all possible programs that could interfere with the wireless card. If ‘kill’ is specified, it will try to kill all of them.

—verbose This flag must precede start/stop/check and can be combined with with other parameters or used alone. This flag will increase the verbosity to provide additional useful information which may not be needed for normal operation.

—debug This flag must precede start/stop/check and can be combined with with other parameters or used alone. This flag will increase the verbosity to debug level to assist in troubleshooting errors in airmon-ng. Use this flag when opening a bug, but only use —verbose when requesting support in irc.

—elite WARNING: DO NOT USE: This flag must precede start or stop and will prevent airmon-ng from removing interfaces. WARNING: Use of this flag will immediately disqualify receiving any support from the aircrack-ng team, due to the fact that this behavior is known to be

HackWare.ru

Этичный хакинг и тестирование на проникновение, информационная безопасность

Как перевести беспроводную карту в режим монитора (контроля) в Kali Linux

Смотрите актуализированную инструкцию «Перевод беспроводной карты в режим монитора (наблюдения) в Kali Linux с использованием команд ip и iw», которая подготовлена на замену этой инструкции.

Перевод беспроводной карты в режим монитора (контроля) — это самое первое, что необходимо сделать перед началом тестирования беспроводных сетей на проникновение. Если этого не сделать, то ни одна программа не будет корректно работать! Поэтому если что-то сделано не так, либо что-то пошло не так на этом этапе, то все остальные действия, описанные в инструкциях, бессмысленны.

Это настолько базовая и обязательная операция, что некоторые инструкции просто пропускают этот шаг. А некоторые очень кратко его упоминают, поэтому если у вас какая-то ошибка при переводе беспроводной карты в режим контроля, то новичкам довольно трудно разобраться, почему у них ничего не работает.

Как определить, в каком режиме беспроводная карта

Чтобы контролировать процесс, давайте для начала научимся определять, в каком режиме беспроводная карта. Это можно сделать командой:

В моём случае, два интерфейса (eth0 и lo) не имеют беспроводных расширений (no wireless extensions.), они нас не интересуют и к ним мы возвращаться не будем. Нас интересует wlan0. Из всей приведённой информации, в настоящее время, для нас является важной строка Mode:Managed. Это означает, что беспроводная карта находиться в управляемом режиме.

Какие бывают режимы беспроводных карт

Прежде чем перейти к смену режима беспроводной карты, давайте разберёмся, какими они бывают и чем, собственно, нас не устраивает управляемый режим.

Установка режима работы устройства зависит от топологии сети и целей использования. Режим может быть:

• Ad-Hoc (сеть состоит только из одной ячейки без Точки Доступа),
• Managed — Управляемый (узел подключается к сети состоящей из множества Точек Доступа, есть роуминг)
• Master — Мастер (узел является мастером синхронизации или работает как Точка Доступа),
• Repeater — Повторитель (узел перенаправляет пакеты между другими беспроводными узлами)
• Secondary — Вторичный (узел выступает в качестве резервного мастера/повторителя),
• Monitor — Контроль (узел связан со всеми ячейками и пассивно мониторит все пакеты на частоте)
• Auto — Автоматический.

Уже из этого краткого описания становится понятно, что интересующим нас режимом является режим монитора (контроля).

Перевод беспроводной карты в режим монитора командой iwconfig

Самым популярным способом перевода является использование программы airmon-ng. Но последнее время есть сообщения о сопутствующих ошибках. Команда airmon-ng не только переводит в режим контроля, но и меняет имя интерфейса. Так вот, зачастую airmon-ng меняет имя и НЕ переводит в режим монитора. Непривычность ситуации может сбить с толку даже бывалых.

Поэтому я начну с альтернативного метода перевода в режим контроля, благо никакой сложности в этом нет. Нужно набрать следующую последовательность команд:

Или в одну строку

Обратите внимание, что в каждой из этих команд вам может потребоваться заменить wlan0 на то имя, которое имеет ваш беспроводной интерфейс. Это имя можно узнать этой же командой iwconfig, набранной без опций. Это относиться и к последующим командам — заменяйте имя интерфейса на своё, если у вас другое имя.

Строка Mode:Monitor говорит нам что всё удалось.

Канал можно установить следующим образом:

Но, во-первых, некоторые режимы игнорируют эту настройку, во-вторых, это нужно не часто.

Проще задать канал непосредственно в используемой программе:

Как вернуть беспроводную карту в управляемый режим (Managed)

Возвращение в управляемый режим делается так:

Если для перехода в режим контроля вы использовали метод, который изменил имя интерфейса (например на wlan0mon), то во всех командах нужно заменить wlan0 на новое имя интерфейса.

Как перевести беспроводную карту в режим монитора командой airmon-ng

Кстати, про команду airmon-ng в Энциклопедии Kali Linux можно почитать по этой ссылке (на русском): http://kali.tools/?p=406

Просматриваем доступные сетевые интерфейсы:

Для перевода в режим наблюдения используется команда:

Опять же если у вас другое имя интерфейса (а не wlan0), то поменяйте имя в приведённой команде на него.

Справка подсказывает нам две команды (подробности можете посмотреть по приведённой выше ссылке на Энциклопедию):

Но лично мне эти команды не помогают.

Отмена режима монитора делается так:

Если ваша карта не поддерживает перевод в режим монитора (наблюдения), это означает, что вам нужна новая Wi-Fi карта. Для помощи в выборе обратитесь к статье «Лучшая Wi-Fi карта для Kali Linux».