1 關(guān)于WPS

WPS(Wi-Fi Protected Setup，Wi-Fi保護(hù)設(shè)置)是由Wi-Fi聯(lián)盟(http://www.wi-fi.org/) 組織實(shí)施的認(rèn)證項(xiàng)目，主要致力于簡(jiǎn)化無(wú)線網(wǎng)絡(luò)的安全加密設(shè)置。

在傳統(tǒng)方式下，用戶新建一個(gè)無(wú)線網(wǎng)絡(luò)時(shí)，必須在接入點(diǎn)手動(dòng)設(shè)置網(wǎng)絡(luò)名( SSID)和 安全密鑰，然后在客戶端驗(yàn)證密鑰以阻止“不速之客”的闖入。Wi-Fi Protected Setup能幫 助用戶自動(dòng)設(shè)置網(wǎng)絡(luò)名( SSID)、配置最高級(jí)別的WPA2安全密鑰，具備這一功能的無(wú)線 產(chǎn)品往往在機(jī)身上設(shè)計(jì)一個(gè)功能鍵，稱為WPS按鈕，用戶只需輕輕按下該按鈕或輸入PIN 碼，再經(jīng)過(guò)兩三步簡(jiǎn)單操作即可完成無(wú)線加密設(shè)置，同時(shí)在客戶端和路由器之間建立一個(gè) 安全的連接。

用戶可在產(chǎn)品包裝上尋找Wi-Fi PROTECTED SETUP的標(biāo)識(shí)，以確保所購(gòu)產(chǎn)品 具備WPS功能。具備WPS功能的無(wú)線產(chǎn)品都會(huì)在其機(jī)體外殼上注明WPS標(biāo)識(shí)，如 圖11-1所示。

2 WPS的基本設(shè)置

由于元線路由器的品牌和型號(hào)不同，下述步驟將稍有偏差。

@運(yùn)用配置程序選擇“連接到帶有WPS的無(wú)線網(wǎng)絡(luò)”。

@個(gè)別無(wú)線設(shè)備需要按住路由器上的WPS按鈕，或者用其他計(jì)算機(jī)登錄到路由器頁(yè)面，如圖11-2所示，在有關(guān)頁(yè)面選擇連接計(jì)算機(jī)。

@在無(wú)線網(wǎng)卡配置工具上選擇PBC連接形式，或者在無(wú)線網(wǎng)卡上按圖11-3中的WPS按鍵。

@等待數(shù)秒鐘，連接成功。

整個(gè)流程與TCP/IP的三次握手協(xié)議類似，看起來(lái)只有一呼一應(yīng)兩個(gè)聯(lián)系，但是因?yàn)榕?置了120秒超時(shí)的限定，所以實(shí)際上也是一個(gè)三次握手的流程。WPS完成的工作只是一個(gè) 輸入超長(zhǎng)密鑰的流程，但因?yàn)椴僮鞯谋憷�以及純�(nèi)斯す芸�，使得不太容易被運(yùn)用攻擊。

圖11-2 圖11-3

對(duì)于市面上的絕大多數(shù)n系列無(wú)線路由器來(lái)說(shuō)，都能非常便利地運(yùn)用WPS功能，并且 建立連接的時(shí)間不超過(guò)20秒。對(duì)一個(gè)初級(jí)用戶來(lái)說(shuō)，只要按兩次按鍵就可以建立超長(zhǎng)位數(shù) 的WPA2加密，無(wú)疑是一項(xiàng)非常有吸引力的功能。不過(guò)需要特別注意的是，使用WPS的前 提是使用無(wú)線網(wǎng)卡自帶的管理配置程序，不能使用Windows自帶的無(wú)線管理配置服務(wù)。

掃描WPS狀態(tài)

1 掃描工具介紹

目前專門支持WPS掃描的工具并不多，不過(guò)由于WPS相關(guān)標(biāo)準(zhǔn)的公開，各大廠商在各 自的無(wú)線網(wǎng)卡產(chǎn)品配套工具中，都內(nèi)置了WPS掃描及總動(dòng)配置功能。這里介紹兩款工作在 Linux下使用python編寫的小工具，分別為wpscan.py和wpspy.py。其中，wpscan.py用于 掃描開啟WPS功能的無(wú)線網(wǎng)絡(luò)設(shè)備，wpspy.py則用來(lái)確認(rèn)無(wú)線網(wǎng)絡(luò)設(shè)備當(dāng)前WPS狀態(tài)。此 工具套裝可以到http://bogpack.blogbus.com上下載。

安裝很簡(jiǎn)單，將wps_tools.tar.gz下載到本地，然后使用tar命令解壓縮，會(huì)看到圖11-4 歷示的內(nèi)容。該壓縮包包含兩個(gè)文件，分別為wpscan.py和wpspy.py。

2掃描開啟WPS功能的無(wú)線設(shè)備

工具安裝完畢，即可開始具體的WPS掃描，具體步驟如下：

設(shè)置無(wú)線網(wǎng)卡為監(jiān)聽模式。

和之前最基本的坡解過(guò)程一樣，在Linux下需要先行使用Aircrack-ng工具套裝中的 airmon-ng工具將無(wú)線網(wǎng)卡設(shè)置為監(jiān)聽模式。注：若覺(jué)得安裝Aircrack-ng工具套裝很麻煩， 可以考慮直接使用BackTrack4 Linux。具體命令如下：

其中，start后跟具體的無(wú)線網(wǎng)卡名稱，此處為wlan0，載入后的監(jiān)聽網(wǎng)卡ID為 mon0。

當(dāng)前采用Ralink 2573芯片的無(wú)線網(wǎng)卡已被激活為Monitor監(jiān)聽模式，之后的程序?qū)⒄{(diào) 用名為mon0的無(wú)線網(wǎng)卡，如圖11-5所示。

圖11-5

掃描開啟WPS功能的無(wú)線設(shè)備。

掃描開啟WPS功能的無(wú)線路由器，具體命令如下：

其中，-1后跟無(wú)線網(wǎng)卡名稱，這里是mon0。 按【Enterl鍵后稍等片刻，wpscan.py可以將周圍能夠搜索到的開啟WPS的無(wú)線路由 器全部列舉出來(lái)。如圖11-6所示，掃描出了一款開啟WPS的無(wú)線路由器，其SSID為 ZerOne Lab.其具體型號(hào)未能顯示，但其芯片組為Ralink。

圖11-6

沒(méi)有顯示出產(chǎn)品具體型號(hào)也是正常的，因?yàn)椴⒉皇撬�有的廠商都會(huì)在WPS中加入廠商 的詳細(xì)信息，這也是出于安全的考慮。不過(guò)一些大的廠商都會(huì)在WPS中加入一些信息，比 如在圖11-7中的Model Name處，就識(shí)別出Belkin的型號(hào)為F5D7230-4的無(wú)線路由器，甚 至可以顯示出具體的型號(hào)為v9。這也就導(dǎo)致了信息的暴露，所以針對(duì)WPS的掃描也是有效 探測(cè)無(wú)線設(shè)備的方法之一。

圖11-7

監(jiān)測(cè)WPS狀態(tài)。

在獲知了存在開啟WPS功能的無(wú)線設(shè)備后，即可對(duì)其進(jìn)行監(jiān)控，代碼如下：

參數(shù)解釋：

●-i：后跟無(wú)線網(wǎng)卡，這里即為mon0。

●-e:后跟SSID，若需要對(duì)某指定AP進(jìn)行監(jiān)測(cè)，可以使用此項(xiàng)，但并不是必需的。

按IEnterl鍵后即可看到圖11-8所示的內(nèi)容，監(jiān)測(cè)到SSID為ZerOne Lab的無(wú)線路由 器。當(dāng)前WPS功能狀態(tài)為已配置，即WPSState處顯示為Configured。而在WPSPasswordID 處顯示為PushButton，即要求客戶端按無(wú)線網(wǎng)卡上的PBC按鍵進(jìn)行連接。

若WPS功能未被配置，則會(huì)幽現(xiàn)圖11-9所示的內(nèi)容，在WPSState處顯示為Not Configured。

圖11-8 圖11-9

在WPS的狀態(tài)改變過(guò)程中，使用wpspy.py監(jiān)測(cè)的顯示也在不斷變化，這將有助于攻擊 者掌握當(dāng)前的WPS部署情況。如圖11-10所示，兩個(gè)不同的提示表示當(dāng)前WPS正處于調(diào)試 配置過(guò)程中，當(dāng)出現(xiàn)WPSPasswordID:PushButton時(shí)，將是最利于后續(xù)連接的時(shí)刻。

圖11-10

11.3 使用WPS坡解WPA-PSK密鑰

直接進(jìn)入正題，開始講解如何利用WPS坡解WPA/WPA2密鑰，具體步驟如下：

圓先確認(rèn)當(dāng)前網(wǎng)絡(luò)中是否存在開啟WPS功能的無(wú)線設(shè)備。

具體參考本章前面的內(nèi)容，這里不再重復(fù)。

圓打開無(wú)線網(wǎng)卡配置工具。

此時(shí)打開無(wú)線網(wǎng)卡自帶配置工具，掃描當(dāng)前存在的無(wú)線網(wǎng)絡(luò)。如圖11-11所示，可以看 到，之前掃描發(fā)現(xiàn)的SSID名為ZerOne的無(wú)線網(wǎng)絡(luò)信號(hào)充足，當(dāng)前無(wú)線網(wǎng)卡處于其信號(hào)范 圍內(nèi)。

需要注意的是，若此時(shí)無(wú)法接收到之前掃描的目標(biāo)AP信號(hào)，應(yīng)采用為無(wú)線網(wǎng)卡加裝高 增益的天線、增大網(wǎng)卡功率、改變當(dāng)前接收位置等多種方法來(lái)改善。此外，需要額外注意的 是，不要使用Windows系統(tǒng)自帶的無(wú)線網(wǎng)絡(luò)配置工具，否則將無(wú)法進(jìn)行下一步無(wú)線網(wǎng)卡上 的WPS功能配置。

圖11-11

連接開啟WPS功能無(wú)線設(shè)備。

打開無(wú)線網(wǎng)卡配置工具中的WPS配置頁(yè)面。如圖11-12所示，單擊“重新掃描”按鈕 來(lái)確認(rèn)當(dāng)前開啟WPS功能的無(wú)線網(wǎng)絡(luò)，可以看到在“WPS AP列表”中出現(xiàn)了ZerOne的無(wú) 線網(wǎng)絡(luò)設(shè)備。

圖11-12

接下來(lái)，單擊下方的PBC按鈕，開始嘗試與該AP進(jìn)行WPS自動(dòng)連接。此時(shí)，在 PBC按鈕右側(cè)的狀態(tài)欄中會(huì)出現(xiàn)PBC-Scanning AP的提示，表示當(dāng)前處于掃描WPS設(shè) 備中。

稍等10～20秒左右，會(huì)出現(xiàn)PBC-Get WPS profile successfully提示，即配置成功的提示。 此時(shí)，該無(wú)線網(wǎng)卡已經(jīng)和SSID名為ZerOne的無(wú)線網(wǎng)絡(luò)設(shè)備的WPS匹配成功，并成功連接 至該無(wú)線網(wǎng)絡(luò)，如圖11-13所示。

圖11-13

此時(shí)若登錄無(wú)線路由器，在其上對(duì)應(yīng)的WPS設(shè)置中將能看到出現(xiàn)“添加無(wú)線設(shè)備成功”， 如圖11-14所示。

查看無(wú)線連接加密配置內(nèi)容。

在WPS頁(yè)面下可以看到具體的配置內(nèi)容。如圖11-15所示，當(dāng)前已連接網(wǎng)絡(luò)的名稱為 ZerOne，認(rèn)證方法為WPA2-PSK，加密方法為TKIP，密鑰為一系列星號(hào)顯示。

圖11-14 圖11-15

坡解WPA-PSK或WPA2-PSK加密。

既然是星號(hào)顯示，那么使用星號(hào)查看器查看，即可顯示出星號(hào)背后真實(shí)的密鑰內(nèi)容。如 圖11-16所示，打開星號(hào)密碼查看工具，把鼠標(biāo)光標(biāo)移至密鑰顯示星號(hào)的位置，即可在圖11-16 右上角密碼查看工具中看到密碼為longaslast。

也就是說(shuō)，當(dāng)前SSID名為ZerOne的無(wú)線路由器，啟用的WPA2-PSK密鑰為longaslast。 至此，該無(wú)線網(wǎng)絡(luò)的WPA2-PSK加密認(rèn)證已被徹底攻破。

圖11-16

對(duì)于一些使用長(zhǎng)字符串密碼的WPA-PSK或者WPA2-PSK加密，此方法依然有效。如 圖11-17所示，當(dāng)前無(wú)線網(wǎng)絡(luò)采用WPA-PSK/WPA2-PSK混合加密方式，具體密鑰采用加密 關(guān)鍵字為無(wú)規(guī)律長(zhǎng)字符串。

圖11-17

使用星號(hào)查看器查看，即可顯示出星號(hào)背后真實(shí)的密鑰內(nèi)容。如圖11-18所示，當(dāng) 前SSID名為IPTIME WPS 3424的無(wú)線路由器的啟用密鑰為35a08cddc7b07491abd8， 即雖然之前設(shè)置時(shí)輸入長(zhǎng)達(dá)60多位的加密密鑰，但在實(shí)際使用時(shí)只有前20位起作用。 這個(gè)原因除了WPA-PSK本身要求密鑰在8~64位之間的定義外，還可能是因?yàn)楫a(chǎn)品不 同而導(dǎo)致的。

圖11-18

11.4 常見配合技巧

為方便讀者學(xué)習(xí)和使用，這里將常見的配合技巧和可能出現(xiàn)的一些問(wèn)題列舉出來(lái)，以供 對(duì)比查閱。

11.4.1 常見技巧

一般來(lái)說(shuō)，在無(wú)線黑客們的實(shí)際攻擊及測(cè)試中，總會(huì)遇到諸如無(wú)線路由器WPS功能沒(méi) 有開啟、WPS開啟時(shí)間有限制或者當(dāng)前管理員在線但沒(méi)有訪問(wèn)無(wú)線路由器進(jìn)行配置等情況， 所以無(wú)線黑客也會(huì)使用一些技巧來(lái)回避或者繞過(guò)這些問(wèn)題。

1.發(fā)送跨站請(qǐng)求

由于大多數(shù)無(wú)線路由器上的WPS功能默認(rèn)是沒(méi)有開啟的，而這些無(wú)線設(shè)備需要使用者 手動(dòng)進(jìn)入無(wú)線路由器的WPS配置頁(yè)面，按啟動(dòng)鍵才能開啟WPS功能。在這種情況下，無(wú)線 黑客會(huì)考慮結(jié)合其他方式進(jìn)行配合攻擊，比如針對(duì)無(wú)線設(shè)備的CSRF攻擊。

CSRF的英文全稱是Cross Site Request Forgery，字面上的意思是跨站點(diǎn)偽造請(qǐng)求。以韓 國(guó)IPTime品牌無(wú)線路由器為例，將攻擊路徑偽造后發(fā)送至具備管理員權(quán)限的用戶，將會(huì)導(dǎo) 致需要手動(dòng)啟動(dòng)的WPS功能在后臺(tái)悄悄啟動(dòng)，此時(shí)攻擊者即可使用本節(jié)講述的方法與WPS 關(guān)聯(lián)。

關(guān)于針對(duì)無(wú)線設(shè)備的CSRF攻擊具體細(xì)節(jié)由于涉及較多的Web方面的知識(shí)，這里就不 再深入講解。 2.構(gòu)造特殊腳本 和上面提到的CSRF攻擊方式不同的是，構(gòu)造特殊開機(jī)腳本這一方法主要是針對(duì)如下情 況：無(wú)線黑客已經(jīng)入侵到無(wú)線網(wǎng)絡(luò)中，并通過(guò)該無(wú)線網(wǎng)絡(luò)侵入到其他在線的主機(jī)系統(tǒng)，獲取 到管理員權(quán)限。在這一情況下，黑客為了保存自己的“戰(zhàn)果”，會(huì)考慮植入一些木馬等后門 工具。但需要注崽的是，這些木馬可能會(huì)被查殺、當(dāng)前已連接的無(wú)線網(wǎng)絡(luò)加密方式及密鑰也 可能被修改等情況。

而構(gòu)造特殊腳本正是應(yīng)對(duì)上面提及情況的方法之一。最簡(jiǎn)單的腳本可以使用批處理實(shí) 現(xiàn)，如下所示的代碼為可以在運(yùn)行后直接訪問(wèn)WPS配置頁(yè)面并開啟WPS功能，但不會(huì)有任 何窗口及提示出現(xiàn)。由于是合法訪問(wèn)，所以360、卡巴斯基之類的殺毒軟件都不會(huì)報(bào)警。

在上述代碼的基礎(chǔ)上，也可以通過(guò)再加入for循環(huán)語(yǔ)句和無(wú)線路由器登錄賬戶及密碼， 就可以使得這個(gè)批處理每隔3分鐘訪問(wèn)一次無(wú)線路由器的WPS配置頁(yè)面并開啟WPS功能， 換句話說(shuō)，也就是隨時(shí)開放WPS以便下一次連入。將做好的bat批處理文件放置到網(wǎng)關(guān)服 務(wù)器的組策略中，就是“計(jì)算機(jī)配置”中的“啟動(dòng)腳本”中，保存并退出，放置在這個(gè)位置 的批處理文件將會(huì)在每次服務(wù)器開機(jī)后出現(xiàn)操作系統(tǒng)登錄界面時(shí)直接運(yùn)行，也就是說(shuō)，只要 主機(jī)再一次重啟后這個(gè)腳本就會(huì)一直在后臺(tái)運(yùn)行。

11.4.2常見問(wèn)題

由于WPS攻擊屬于比較高級(jí)的攻擊方式，需要一些技巧的配合。所以在進(jìn)行WPS攻 防測(cè)試的時(shí)候，肯定會(huì)遇到一些問(wèn)題，下面將常見的問(wèn)題歸納如下，以供讀者參考。

1.無(wú)線網(wǎng)卡配置工具中沒(méi)有WPS選項(xiàng)?

答：請(qǐng)使用具備WPS功能的元線網(wǎng)卡。目前支持802.lln的無(wú)線網(wǎng)卡基本都具備 此項(xiàng)功能，具體請(qǐng)?jiān)谫?gòu)買前仔細(xì)查看外包裝說(shuō)明上是否出現(xiàn)WPS的描述。再次強(qiáng)調(diào) 一下，當(dāng)在外包裝上產(chǎn)品簡(jiǎn)述中出現(xiàn)所謂“一鍵加密”功能的描述時(shí)，即為具備WPS 功能。

2.使用wpspy.py或wpscan.py時(shí)出現(xiàn)Killed提示并中斷的問(wèn)題

答：如圖11-19所示，在監(jiān)控時(shí)可能遇到下述錯(cuò)誤提示，并在末尾出現(xiàn)Killed后自動(dòng) 退出。

圖11-19

這是由于驅(qū)動(dòng)不穩(wěn)定，或者程序本身bug導(dǎo)致，此類中斷情況不影響監(jiān)控效果，重新輸 入命令開啟即可。