Kali Linux 无线渗透测试入门指南 第四章 WLAN 加密缺陷

即使做了最充分的预测，未来始终是不可预测的。WLAN 委员会设计了了 WEP 和 WPA 作为最简单的加密机制，但是，久而久之，这些机制拥有在现实世界中广泛公布和利用的缺陷。

WLAN 加密机制易受密码学攻击，这有相当长的历史了。这从 2000 年的 WEP 开始，它最后被完全破解。最近，攻击慢慢转向了 WPA。即使当前没有公开攻击方式用于在所有情况下破解 WPA，特殊情况下的攻击还是可行的。

WLAN 在空气中传输数据，所以保护数据的机密性是一种内在需求。使用加密是最佳方案。WLAN 委员会（IEEE 80211）为数据加密指定了以下协议：

这一章中，我们会看一看每个加密协议，并演示针对它们的多种攻击。

WEP 协议在 2000 年发现漏洞，但是，诧异的是，它仍然被使用，并且接入点仍然自带 WEP 功能。

WEP 中有许多密码学缺陷，它们被 Walker，Arbaugh，Fluhrer，Martin，Shamir，KoreK，以及其它人发现。密码学立场上的评估超出了这本书的范围，并且涉及到复杂的数学。这一节中，我们会看一看如何使用 Kali 中便捷可用的工具来破解 WEP 加密。这包含整个 aircrack-ng 工具套件 -- airmon-ng ， aireplay-ng ， airodump-ng ， aircrack-ng ，以及其它。

WEP 的基础缺陷是使用 RC4 和短的 IV 值，每 224 帧复用。虽然这本身是个大数，但是每 5000 个封包中还是有 50% 的几率重用四次。为了利用这个，我们尝试大量流量，是我们增加重用 IV 的可能性，从而比较两个使用相同密钥和 IV 加密的密文。

让我们首先在测试环境中建立 WEP，并且看看如何破解。

遵循以下指南来开始：

我们在环境中建立 WEP，并成功破解了 WEP 密钥。为了完成它，我们首先等待正常客户端连接到接入点。之后，我们使用 aireplay-ng 工具在网络上重放 ARP 封包。这会导致网络发送 ARP 重放封包，从而增加空中发送的数据封包数量。之后我们使用 aircrack-ng 工具，通过分析数据风暴的密码学缺陷来破解 WEP 密钥。

要注意我们也能够使用共享密钥验证绕过机制，来伪造接入点的验证，这会在后面的章节中学到。如果正常客户端离开了网络，这可以更方便一些。这会确保我们可以伪造验证和关联，并且继续将重放封包发送到网络。

在之前的练习中，如果正常客户端突然断开了网络，我们就不能重放封包，因为接入点会拒绝接受来自未关联客户端的封包。

你的挑战就是，使用即将在后面学到的共享密钥绕过伪造验证和授权，使你仍然能够将封包注入到网络中，并验证接入点是否接受和响应它们。

WPA 或者 WPA v1 主要使用 TKIP 加密算法。TKIP 用于改进 WEP，不需要完全新的硬件来运行。反之，WPA2 必须使用 AES-CCMP 算法来加密，这比 TKIP 更加强大和健壮。

WPA 和 WPA2 允许 基于 WAP 的验证，使用基于 RADIUS 服务器（企业）和预共享密钥（PSK）（个人）的验证模式。

WPA/WPA2 PSK 易受字典攻击。攻击所需的输入是客户端和接入点之间的四次 WPA 握手，以及包含常用口令的单词列表。之后，使用例如 Aircrack-ng 的工具，我们可以尝试破解 WPA/WPA2 PSK 口令。

四次握手的演示见下面：

WPA/WPA2 PSK 的原理是它导出了会话层面的密钥，叫做成对临时密钥（PTK），使用预共享密钥和五个其它参数 -- 网络 SSID、验证者 Nounce （ANounce）、申请者 Nounce （SNounce）、验证着 MAC 地址（接入点 MAC）、申请者 MAC 地址（WIFI 客户端 MAC）。密钥之后用于加密接入点和客户端之间的所有数据。

通过嗅探空气来窃取整个对话的攻击者，可以获得前面提到的全部五个参数。它唯一不能得到的东西就是预共享密钥。所以，预共享密钥如何创建？它由用户提供的 WPA-PSK 口令以及 SSID 导出。这些东西的组合通过基于密码的密钥推导函数（PBKDF2）来发送，它的输出是 256 位的共享密钥。

在典型的 WPA/WPA2 PSK 字典攻击中，攻击者会使用可能口令的大量字典以及攻击工具。工具会从每个口令中导出 256 位的预共享密钥，并和其它参数（之前提到过）一起使用来创建 PTK。PTK 用于在握手包之一中验证信息完整性检查（MIC）。如果匹配，从字典中猜测的口令就正确，反之就不正确。

最后，如果授权网络的口令存在于字典中，它会被识别。这就是 WPA/WPA2 PSK 破解的工作原理。下面的图展示涉及到的步骤：

下个练习中，我们会看一看如何破解 WPA PSK 无线网络。使用 CCMP（AES）的WPA2-PSK 网络的破解步骤与之相同。

遵循以下指南来开始：

我们在接入点上设置了 WPA-PSK，使用常见口令： abcdefgh 。之后我们使用解除验证攻击，让正常客户端重新连接到接入点。当我们重新连接时，我们捕获了客户端和接入点之间的 WPA 四次握手。

因为 WPA-PSK 易受字典攻击，我们向 Aircrack-ng 输入了包含 WPA 四次握手的捕获文件，以及常见口令的列表（以单词列表形式）。因为口令 abcdefgh 出现在单词列表中， Aircrack-ng 就能够破解 WPS-PSK 共享口令。要再次注意，在基于字典的 WPA 破解中，你的水平就等于你的字典。所以在你开始之前，编译一个大型并且详细的字典非常重要。通过 Kali 自带的字典，有时候可能不够，可能需要更多单词，尤其是考虑位置因素。

Cowpatty 是个同样使用字典攻击来破解 WPA-PSK 口令的工具。这个工具在 Kali 中自带。我将其留做练习，来让你使用 Cowpatty 破解 WPA-PSK 口令。

同样，设置不常见的口令，它不出现在你的字典中，并再次尝试。你现在再破解口令就不会成功了，无论使用 Aircrack-ng 还是 Cowpatty。

要注意，可以对 WPA2-PSK 网络执行相同攻击。我推荐你自己验证一下。

我们在上一节中看到，如果我们在字典中拥有正确的口令，破解个人 WPA 每次都会像魔法一样。所以，为什么我们不创建一个大型的详细字典，包含百万个常见密码和词组呢？这会帮助我们很多，并且多数情况都会最终破解出口令。这听起来不错，但是我们错过了一个核心组件 -- 所花费的时间。更多需要 CPU 和时间的计算之一就是使用 PSK 口令和 SSID 通过 PSKDF2 的预共享密钥。这个函数在输出 256 位的与共享密钥之前，计算超过 4096 次二者组合的哈希。破解的下一步就是使用这个密钥以及四次握手中的参数来验证握手中的 MIC。这一步计算了非常大。同样，握手中的参数每次都会变化，于是这一步不能预先计算。所以，为了加速破解进程，我们需要使来自口令的与共享密钥的计算尽可能快。

我们可以通过预先计算与共享密钥，在 80211 标准术语中也叫作成对主密钥（PMK）来加速。要注意，因为 SSID 也用于计算 PMK，使用相同口令和不同 SSID，我们会得到不同的 PMK。所以，PMK 取决于口令和 SSID。

下个练习中，我们会看看如何预先计算 PMK，并将其用于 WPA/WPA2 的破解。

我们可以遵循以下步骤来开始：

我们查看了多种不同工具和技巧来加速 WPA/WPA2-PSK 破解。主要原理就是对给定的 SSID 和字典中的口令列表预计算 PMK。

在所有我们做过的联系中，我们使用多种技巧破解了 WEP 和 WPA 密钥。我们能拿这些信息做什么呢？第一步就是使用密钥解密我们捕获的数据封包。

下一个练习中，我们会在相同的我们所捕获的记录文件中解密 WEP 和 WPA 封包，使用我们破解得到的密钥。

遵循以下步骤来开始：

我们刚刚看到了如何使用 Airdecap-ng 解密 WEP 和 WPA/WPA2-PSK 加密封包。要注意，我们可以使用 Wireshark 做相同的事情。我们推荐你查阅 Wireshark 的文档来探索如何用它来完成。

我们也可以在破解网络密钥之后连接到授权网络。这在渗透测试过程中非常方便。使用破解的密钥登录授权网络，是你可以提供给客户的证明网络不安全的证据。

遵循以下步骤来开始：

我们连接到了 WEP 网络。

遵循以下步骤来开始：

默认的 WIFI 工具 iwconfig 不能用于连接 WPA/WPA2 网络。实际上的工具是 WPA_Supplicant 。这个实验中，我们看到如何使用它来连接 WPA 网络。

Q1 哪种封包用于封包重放？

Q2 WEP 什么时候能被破解？

Q3 WPA 什么时候能被破解？

这一章中，我们了解了 WLAN 加密。WEP 含有缺陷，无论 WEP 密钥是什么，使用足够的数据封包就能破解 WEP。WPA/WPA2 在密码学上不可破解；但是，在特殊的场景下，例如 WPA/WP2-PSK 中使用了弱口令，它就能够通过字典攻击来获得口令。

下一章中我们会看一看 WLAN 设施上的不同工具，例如伪造接入点，邪恶双生子，位反转攻击，以及其它。

渗透测试，是为了证明网络防御按照预期计划正常运行而提供的一种机制。不妨假设，你的公司定期更新安全策略和程序，时时给系统打补丁，并采用了漏洞扫描器等工具，以确保所有补丁都已打上。如果你早已做到了这些，为什么还要请外方进行审查或渗透测试呢？因为，渗透测试能够独立地检查你的网络策略，换句话说，就是给你的系统安了一双眼睛。而且，进行这类测试的，都是寻找网络系统安全漏洞的专业人士。

渗透测试一定要遵循软件测试基本流程，要知道测试过程和目标特殊，在具体实施步骤上主要包含以下几步：

1、明确目标

当测试人员拿到需要做渗透测试的项目时，首先确定测试需求，如测试是针对业务逻辑漏洞，还是针对人员管理权限漏洞等;然后确定客户要求渗透测试的范围，如ip段、域名、整站渗透或者部分模块渗透等;最后确定渗透测试规则，如能够渗透到什么程度，是确定漏洞为止还是继续利用漏洞进行更进一步的测试，是否允许破坏数据、是否能够提升权限等。

2、收集信息

在信息收集阶段要尽量收集关于项目软件的各种信息。比如：对于一个Web应用程序，要收集脚本类型、服务器类型、数据库类型以及项目所用到的框架、开源软件等。信息收集对于渗透测试来说非常重要，只要掌握目标程序足够多的信息，才能更好地进行漏洞检测。

信息收集的方式可分为以下2种：主动收集、被动收集。

3、扫描漏洞

在这个阶段，综合分析收集到的信息，借助扫描工具对目标程序进行扫描，查找存在的安全漏洞。

4、验证漏洞

在扫描漏洞阶段，测试人员会得到很多关于目标程序的安全漏洞，但这些漏洞有误报，需要测试人员结合实际情况，搭建模拟测试环境对这些安全漏洞进行验证。被确认的安全漏洞才能被利用执行攻击。

5、分析信息

经过验证的安全漏洞就可以被利用起来向目标程序发起攻击，但是不同的安全漏洞，攻击机制不同，针对不同的安全漏洞需要进一步分析，制定一个详细的攻击计划，这样才能保证测试顺利执行。

6、渗透攻击

渗透攻击实际是对目标程序进行的真正攻击，为了达到测试的目的，像是获取用户账号密码、截取目标程序传输数据等。渗透测试是一次性测试，在攻击完成后能够执行清理工作。

7、整理信息

渗透攻击完成后，整理攻击所获得的信息，为后边编写测试报告提供依据。

8、编写报告

测试完成之后要编写报告，阐述项目安全测试目标、信息收集方式、漏洞扫描工具以及漏洞情况、攻击计划、实际攻击结果等。此外，还要对目标程序存在的漏洞进行分析，提供安全有效的解决办法。

新建一个文本文件，更改扩展名为aabbudl双击此文件，选数据库类型、设置ip、用户名、密码，数据库可进行连接测试 ，当然对方要开sql服务的测试成功后，点确定将这个文件以文本方式打开， 里面有连接字符串，装sql 查询分析器。

渗透的语言教育内容通常出现的情景详细介绍如下：

1、渗透的语言教育内容通常出现的情景有日常生活中的语言交往、自由游戏中的语言交往、其他领域活动中的语言交往、随机渗透在日常生活中的语言学习。

2、渗透的语言教育就是充分利用学前儿童的各种生活和学习经验，在真实的生活情景中为学前儿童提供更加广泛的、多种多样的学习语言的机会，提供学前儿童更好地运用语言获得新的生活经验和其他方面的学习经验。其核心问题是促进学前儿童与教师、同伴之间的有效言语交流。

3、语言教育泛指任何语言的教导行为与学习行为。其内容涵盖文字形态、语音、语汇、语法、听解、会话、阅读与写作等。一般人提起语言教育的时多半会联想为外语的教学。 而在提及中文的语言教育时，多用国文或中文等字词。

4、主要是提供普通话的语言环境，培养儿童正确说普通话，创造一个自由、宽松的语言交往环境，培养儿童语言交往的习惯，提高儿童语言交往的能力；同时引导与提高儿童倾听和欣赏儿童文学作品的能力，引发儿童对阅读与书写的兴趣、习惯和能力；为儿童入学后的继续学习做好准备。

​一、RDP 服务确定和启动

1 确定RDP服务是否启动和服务端口

（1）注册表查询

（2）进程查看

2 启动RDP服务

（1）cmd 本地注册表启动

也可以通过reg配置文件的方式启动：regedit /s startrdpreg

（2） 利用Wmic 启动远程主机的RDP服务

二、RDP 用户登录前

（1） 明文密码：RDP爆破，SMB爆破（使用MSF中的smb_login 模块可以确定有效用户并判断是否是管理员组的）等工具

（2） Hash：Impacket工具包中的rdp_checkpy 脚本可以通过hash确定目标机器是否存在枚举的用户

当用户存在时会提示 Access Granted，否者提示 Access Denied

（3） RDP中间人：Seth

执行后客户端链接服务器会失败，过段时间恢复正常

但是如果普通的用户，那需要进一步判断目标系统来确定合适的登录时机

（1） Windows XP、2003 支持统一用户登陆多地登陆互不影响，使用query user查看在线用户，XP没有该命令也可以使用taskmgr从任务管理器查看，同一权限下可以相互注 销会话。

（2） 非服务器版本的Windows 系统默认只允许一个账户登录。当远程用户登录时使用与原系统相同的账户，原系统将切换到登陆页面，并会看到登陆的机器名

如果使用不同的账户，原系统将d窗提示其他用户已登陆到此计算机

选择继续后，原系统将会提示是否端口当前链接（30s后默认选择同意，退出到登陆页面）

（1） mstscexe

可以通过如下命令开启 Restricted Admin mode

开启后使用：mstscexe /restrictedadmin 进行登录不需要密码，将使用当前用户的hash 进行验证

（2） mimikatzexe

4 Linux上使用用户hash登录

PS：这里有一个坑，高版本xfreerdp不支持 /pth 参数，可以使用上面的安装命令安装支持/pth的版本,也可以使用kali/parrot中默认安装好

PS2：如果RDP服务启动了，客户端无法链接，可能是防火墙配置的问题，可以执行如下命 令添加防火墙规则允许3389端口TCP通信

PS3：如果出现远程连接出现身份验证错误，要求的函数不支持，解决方法：

四、关于 RDP 权限维持方法

1 关闭 RDP 安全认证

当服务器开启安全认证时，必须先通过登陆密码才能进入远程桌面；如果服务端用的是 不安全的认证方式，即可以先远程链接后登陆可以触发Shift后门

如何设置不安全的连接，去掉”仅允许使用网络级别的身份验证的远程桌面的计算机连 接”选项，需要注意的是先上系统后验证也会在计算机本地留下一定的进程、日志。

2 Shift后门 + RDP劫持

配合上面的关闭RDP安全认证方式，利用Shift后门可以让攻击者快速获得System权 限，结合RDP劫持可以实现无需创建用户、不更改劫持用户登录时间、解锁劫持用户界面、 等功能。注意RDP劫持需要System权限

另外一种方法可以通过创建服务激活

Mimikatz中也有相关的利用模块

3 开启多人登录模式

（1）手动设置：将计算机配置（Computer Configuration）->管理模板 （Administrative Templates）->Windows组件（Windows Components）->远程桌面 服务（Remote Desktop Services）->远程桌面会话主机（Remote Desktop Session Host）->链接（Connections）,禁用”将远程桌面服务的用户限制到单独的远程桌面会 话”（Restrict Remote Desktop Services users to a single Remote Desktop Services session） （2）Mimikatz 开启多用户登录，支持Win 7 及以前的版本系统

PS：使用与原系统相同的账户，原系统还是会被切换到登录界面；不同账户登陆成功 （3）RDPwrap：支持Win Vista - Win10

（4）SharpDoor：仅使用于Win 10 开启多会话RDP

五、RDP 服务器反打客户端

需要客户端RDP链接时，开启磁盘共享（将本地磁盘挂在到服务器上）才能正常利用

2 手动利用过程：假设客户端和登录服务器的用户都是Administrator

\Startup\powershellvbs 作用是无d窗执行bat脚本

（2）Windowsbat 脚本内容实现马（serviceexe）拷贝到客户端的启动目录

也可以根据实际情况，将Rat拷贝到客户端的其他目录，将激活脚本拷贝到客户端启动目 录；如果不出网的情况下，也可以将exe替换成要执行的脚本 。

以上就是关于Kali Linux 无线渗透测试入门指南 第四章 WLAN 加密缺陷全部的内容，包括:Kali Linux 无线渗透测试入门指南 第四章 WLAN 加密缺陷、什么是渗透测试如何做渗透测试、如何进行渗透测试才有可能登录到数据库服务器的远程终端等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！