Aireplay-ng

Aireplay-ng se usa para inyectar paquetes.Su función principal es generar tráfico para usarlo más tarde con aircrack-ng y poder crackear claves WEP y WPA-PSK. Hay varios ataques diferentes que se pueden utilizar para hacer deautenticaciones con el objetivo de capturar un handshake WPA, para realizar una falsa autenticación, un reenvio interactivo de un paquete, o una reinyección automática de un ARP-request. Con el programa packetforge-ng es posible crear paquetes “ARP request” de forma arbitraria.

La mayoría de los drivers tienen que estar parcheados para ser capaces de inyectar.
Algunos de los ataques
Actualmente se pueden realizar diferentes ataques:
Deautenticación
Falsa autenticación
Selección interactiva del paquete a enviar
Reinyección de una petición ARP (ARP-request)
Ataque chopchop
Ataque de Fragmentación
Ataque Cafe-latte
Ataque de fragmentación orientada al cliente
Modo de migración WPA
Prueba de inyección

Opciones 
Aireplay-ng       [opciones ]   
-H   - - help       muestra la ayuda
Opciones de filtro:
-b     mac address del access point
-d     mac address del destino
-s      mac address de la fuente
 -m  tamaño minimo del paquete
-n    tamaño maximo del paquete
-u    control de trama, tipo de campo
-v    control de trama, campo de subtipo
 -t      control de trama, “To”  DS bit (or 1)
-f       control de trama  “from” DS bit (0 or 1)
-w     control de trama, WEP bit (0 or 1)
-D       deshabilitar la detección de AP
Replay options:
-x            numero de paquetes por segundo
-p              fijar palabra “frame control” (hexadecimal)
-a             configurar el punto de acceso de direcciones MAC(ap)
-c              establecer la dirección MAC de destino
-h                 establecer la direccion MAC  fuente
-q            anillo de cambio de tamaño de búfer (por defecto: 8 paquetes). El mínimo es 1
-F        elegir primero paquete coincidente
-e           ataque de falsa autenticación: indicado objetivo SSID (véase más adelante).
-o       ataque de falsa autenticación: permite establecer el número de paquetes por cada intento de autenticación y asociación (por defecto: 1). 0 significa auto
-q     ataque de falsa autenticación: permite configurar el tiempo entre los paquetes keep-alive en falso modo de autenticación
-Q   ataque de falsa autenticación: envía solicitud de reasociación en lugar de realizar una autenticación completa después de cada período de retardo
-y   falsa autenticación y el ataque: especifica el archivo (diccionario) de cadena de  claves(shared key  ) para la  clave compartida autenticación
-T n         ataque de falsa autenticación: si la salida falsa autenticación fracasa  'n'        
-j                 ARP replay attack : inject FromDS pakets
-k           ataque de fragmentación:  IP de origen
-B               opción de prueba: Prueba de velocidad de bits
Opciones de fuente:
-i               captura los paquetes en la interface indicada
-r                    extraer paquetes de este archivo cap
Opciones varias:
-R      disable   /dev/rtc   usage
- - ignore-negative-one    si el canal de interfaz no puede ser determinada caso omiso de la falta de coincidencia, necesario para parchear cfg80211ATTACK MODES:
-0         - - deauth 
Este ataque envía paquetes desautenticación a uno o más clientes que en la actualidad están asociados con un punto de acceso en particular.este ataque no funciona si no existen un cliente asociado.
-1       - - fakeauth   
El ataque de falsa autenticación le permite realizar los dos tipos de autenticación WEP (sistema abierto y clave compartida) más asociado con el punto de acceso (AP). Esto es útil  cuando se necesita una dirección MAC asociada en varios ataques aireplay-ng y no hay actualmente ningún cliente asociado. Cabe señalar que el ataque falsa autenticación no genera ningún paquete ARP. falsa autenticación no se puede utilizar para autenticar / asociarse con puntos de acceso WPA/WPA2.
-2   - -interactive
Este ataque le permite elegir un paquete específico para responder (inyección). El ataque puede obtener paquetes para reproducir formar de dos fuentes. El primero es un flujo en vivo de los paquetes fuente de su tarjeta Wirelees. El segundo es de un archivo pcap. Forma de lectura de un archivo es una característica a menudo pasada por alto de aireplay-ng. esto le permite leer paquetes forman otras sesiones de captura o muy a menudo, varios ataques generan archivos pcap para facilitar su reutilización. Un uso común de la lectura de un archivo que contienen un paquete ensamblado en packetforge-ng.
-3   - -arpreplay
El clásico de los ataques de repetición de petición ARP es la forma más Efectiva para generar nuevos vectores de inicialización (IVs), y funciona muy bien. El programa detecta un paquete ARP y lo retransmite de nuevo al punto de acceso. Esto, a su vez, hace que el punto de acceso repita el paquete ARP con un nuevo IV. El programa retransmite el mismo paquete de ARP. Sin embargo, cada paquete ARP repetido por el punto de acceso tiene  nuevas IVs y todas estas Ivs nuevas le permiten determinar la clave wep.
-4   - - chopchop
Este ataque, cuando tiene éxito, puede descifrar un paquete de datos WEP sin conocer la clave. Incluso puede trabajar en contra de WEP dinámica. Este ataque no recupera la misma clave WEP, sino que simplemente muestra el texto sin formato. sin embargo, algunos puntos de acceso no son vulnerables a este ataque. algunos pueden parecer vulnerable al principio, pero en realidad descartar paquetes de datos más corto que 60 bytes. si el punto de acceso descarta los paquetes más cortos que 42 bytes, aireplay trata de adivinar el resto de los datos que faltan, por lo que los encabezados son predecibles. Si se captura un paquete IP, que además comprueba si el checksum de la cabecera es correcto después de adivinar las partes faltantes de la misma. este ataque requieres al menos un paquete de datos WEP.
-5  - - fragment
Este ataque, cuando tiene éxito, puede obtener 1500 bytes de PRGA (pseudo algoritmo de generación aleatoria). Este ataque no recupera la misma clave WEP, sino que simplemente obtiene el PRGA, el PRGA se la puede utilizar para generar paquetes con packetforge-ng, que a su vez se utilizan para diversos ataques de inyección. Se requieres al menos un paquete de datos que se reciba de punto de acceso con el fin de iniciar el ataque.
-6    - - coffe-latte Por lo general para ataque de esta indole, el atacante tiene que estar en el rango de un AP y un cliente conectado (falso o verdadero). el Ataque Caffe latte permite reunir suficientes paquetes para romper una clave WEP con la necesidad de un punto de acceso, es sólo una necesidad de un cliente y estar en un rango considerable.
-7    - -cfrag
Este ataque se convierte IP o paquetes ARP forman un cliente en petición ARP contra el cliente. Este ataque funciona especialmente bien contra redes ad-hoc. Además, puede ser utilizado contra el AP y los clientes normales de AP.
-8    - - migmode
Este ataque va en contra de puntos de acceso Cisco aironet configurados en modo de migración WPA, que permiten a los clientes WPA y WEP para asociar a un punto de acceso con el mismo identificador de conjunto de servicios (SSID). El programa  escucha  un paquete ARP broadcast WEP-encapsulado, para hacerla en un ARP viene formulario con la dirección MAC del atacante y lo retransmite al punto de acceso. Esto, a su vez, hace que el punto de acceso reenvie el paquete ARP con un nuevo IV y también para reenviar la respuesta ARP al atacante con un nuevo IV. El programa retransmite el mismo paquete ARP una y otravez . Sin embargo, cada paquete ARP repetido por el punto de acceso tiene un nuevo IV al igual que la respuesta ARP remitida al atacante por el punto de acceso. Es todas estas nuevas IVs que le permiten determinar la clave WEP.
-9   - -test   test de injeccion y calidad del AP
Fragmentation versus chopchop
Fragmentation:
Pros
-Puede obtener la longitud del paquete completo de 1.500 bytes XOR. Esto significa que puede posteriormente bastante bien crear cualquier tamaño de paquete.
-puede trabajar donde chopchop no
- Es extremadamente rápido. produce el flujo XOR muy rápidamente cuando tiene éxito
Contras
-instalación para ejecutar el ataque es más asignada a los controladores de dispositivos. Por ejemplo. Atheros no genera los paquetes correctos a menos que la tarjeta wirelesss se establece en la dirección MAC que es spoofing.
-es necesario ser físicamente más cerca del punto de acceso, ya que si se pierden los paquetes, entonces el ataque falla
Chopchop
Pros
- puede trabajar donde frag no funciona.
Contras
-no puede ser utilizado en contra de todos los puntos de acceso.
-los bits máximos XOR se limita a la longitud del paquete que chopchop.
- Mucho más lento que el ataque de fragmentación


Solo veremos unos pocos ejemplos ya que se son muchas sus funciones
Para nuestro primer ejemplo nesesitamos una AP y algun cliente a desautenticar pero como tenemos la opcion --deauth en el valor 0 esto significa que todos los clientes conectados a nuestro AP seran desautenticados en caso de tener el valor en 1 o mas sera el numero de intentos de desautenticasion al cliente especificado, la sintaxis es la siguiente
Aireplay-ng --deauth 0 –a ( mac del AP) –c (mac cliente ) (nombre de la interface mon0,mon1,etc)


En este ejemplo nesecitamos mac ap mac cliente y mac fuente que es la nuestra la opcion -5 es el ataque de fragmentacion de mis favoritos (siempre me sirve) la sintaxis es la siguiente
Aireplay-ng -5 –a (mac AP) –e  (essid) –h (mac fuente )  (interface mon0,mon1,mon2)

En este ejemplo es igual que el primero  a diferencia esque la desautenticacion sera dirigida a un solo cliente con un numero de 99 intentos de desautenticacion al cliente

airodump-ng

Airodump-ng se utiliza para capturar tramas de datos o paquetes raw  o crudos del protocolo 802.11 n o g etc con el fin de utilizarlos con aircrack-ng. si un receptor GPS conectado al ordenador, airodum-ng es capaz de registrar las coordenadas de los puntos de acceso encontrados. Además, airodump-ng escribe un archivo de texto que contiene los detalles de todos los puntos de acceso y Clientes vistos.
Opciones

Syntaxis
airodump-ng [opciones]  
-H   --help       mostrar opciones.
-i       - - ivs           sólo guardar IVs  (sólo es útil para el craqueo) si el se especifica la opción, 
                                usted tiene que dar un prefijo de archivo. (- w opción de escritura)
-g   - -gpsd     indican que airodump-ng debe tratar de utilizar el GPSD para obtener coordenadas.
-w   - -write           Es el prefijo de archivo de volcado de usar. Si esta opción
                                     no se da, sólo mostrará los datos en la pantalla. Al lado de este archivo, se
                                      creará un archivo CSV con el mismo nombre que la captura
-e   - -beacons        Se registrará todas los beacons en el archivo cap. Por defecto sólo se registra 
                                 una para cada red.
-u   ,  --update      Retraso segundos de retardo entre actualizaciones de la
                                                         pantalla (por defecto: 1 segundo). Útil para CPU lenta
--showack
Imprime estadísticas ACK / CTS / RTS. Ayuda en la depuración y optimización general de la inyección. Es indicación de si, se inyecta demasiado rápido, llegar a la AP, si los paquetes  son paquetes cifrados válidos. Permite detectar la estación de "oculto", que están demasiado lejos para capturar imágenes de alta tasa de bits, como tramas ACK se envían a 1Mbps. -h  para estaciones ocultas  - -showack.
--berlin       Tiempo antes de retirar la AP / cliente cuando no se reciben más paquetes (predeterminado: 120 segundos).
-c   [,[…]],  tambien puede ser - - channel   [channel[,…]]
           Indicar el canal (S) para escuchar. Por defecto airodump-ng escuha en todos los canales 2.ghz

-b   ,  o tambien - -band
Indique la banda en la que airodump-ng debe operar. que puede ser una combinación de la 'a', 'b' y Letras 'g' ('b' y 'g' utiliza 2,4 GHz y 'a' utiliza 5GHz). Incompatible con la opción -- channel.

-s ,  tambien puede ser   - -cswith < method>
Define la forma en airodump-ng establece los canales cuando se utiliza más de una tarjeta. valores válidos: 0 (FIFO, el valor predeterminado), 1 (Round Robin) o 2 (hop en último lugar).
-r        lee paquete de un archivo.
-x           simulación de exploración activa (enviar solicitud de sondeo y analizar las respuestas de la sonda).

- -output-format   
Definir los formatos a utilizar (separada por una coma), los valores posibles son: pcap, IVS, csv, gps, kismet, netxml. Los valores por defecto son pcap, csv, kismet, kismet-Newcore. 'pcap' es para el registro de una captura en pcap en formato pcap, "IVS" es el formato forwill (es un acceso directo para - IVS) 'csv' creará un archivo csv airodump-ng, "Kismet" creará un kismet csv archivo y 'kismte-Newcore' creará el archivo netxml kismet, 'gps' es un acceso directo para - gps. Valores Teses se pueden combinar con la excepcion de IVS y pcap.
--ignore-negative-one
Retire el mensaje que dice "canal fija: -1‘.
OPCIONES DE FILTRO:
-t    <OPN|WEP|WPA|WPA1|WPA2>,  - -encrypt <OPN|WEP|WPA|WPA1|WPA2>
Solo mostrara los cifrados especificados: ‘-t  pueden ser mas de uno ejemplo: -t opn –t wpa2’
-m ,  --netmask       sólo mostrará las redes que coincidan con el BSSID a Conceder en combinación máscara de red. Es necesario  - - BSSID (o puede ser  -d) a especificar.
-a     sólo mostrará los clientes asociados.
INTERACTUAR CON AIRODUMP-NG.
Airodump-ng puede recibir e interpretar las pulsaciones de teclas mientras se ejecuta. La siguiente lista describe las claves asignadas actualmente y las supuestas acciones
a  seleccione áreas activas por los ciclos a través de estas opciones de visualización: AP + STA + ACK, sólo AP:sólo STA
d       reiniciar la clasificación por defecto (POWER)
i         invertir algoritmo de ordenación
m       marcar el AP seleccionado o el ciclo a través de colores diferentes si el AP seleccionado ya está marcado
r   (des-) activa la clasificación en tiempo real - se aplica cada vez que el algoritmo de ordenación es mostrado
s         cambiar Columnas de orden, que incluye actualmente; BSSID: pwr level: beacons;data  
          packets; packet rate ; channel : max . data rate ;encryption; stongest ciphersuite; strong-est
          authentication; ESSID
SPACE     pausar y refrescar la pantalla/mostrar resumen pausar
TAB         activar / desactiva el desplazamiento por la lista de AP
Up       seleccionar el AP anteriorio al marcado actualmente en la lista de visualización, si es aviable
DOWN      seleccionar la AP después de la marcada actualmente AP
Si se selecciona un punto de acceso o marca, todas las estaciones conectadas también serán seleccionados o marcados con el mismo color que el punto de acceso correspondiente.
Ejemplos
Airodump-ng  - - band bg ath0

BSSID   
Dirección MAC del  AP. En la sección de clientes, un BSSID de "(not associated)" el cliente no esta asociado a ningun AP(acces point). En este estado no asociado, que es la búsqueda de un punto de acceso para conectarse con el.
PWR
Nivel de señal reportado por la tarjeta. La señal es mayor en cuanto este mas cerca al punto de acceso o de la estación. si el BSSID PWR es -1, entonces el driver no soporta informes de nivel de señal. Si el PWR es -1 para un número limitado de estaciones, entonces este es un paquete que venían de la AP al cliente pero las transmisiones clientes están fuera de alcance . Si todos los clientes tienen PWR como -1, entonces el controlador no es compatible con informes de nivel de señal.   
RXQ
Sólo se muestra cuando en un canal fijo, recibirá la calidad se mide por el porcentaje de paquetes (calidad de tramas de datos) recibido con éxito en los últimos 10 segundos. Se mide la calidad de los datos. Esa es la idea, esto le permite leer más cosas de este valor. Digamos que tienes un 100 por ciento RXQ y los 10 (o lo que sea la tarifa) beacons por segundo estan ahora de RXQ repente cae por debajo de 90, pero todavía se capturan todas los beacons enviados. En otro caso como por ejemplo seria que RXQ sea10 y no obtengamos ni un solo beacons esto significaria que no existe el suficiente trafico o que necesitamos estar mas cerca del AP .

Beacons  
Número de beacons(paquetes) enviados por el AP. Cada punto de acceso envía unos diez beacons por segundo a la velocidad más baja (1M), por lo que normalmente se puede recoger la forma varía mucho.
#data
Número de paquetes capturados, incluyendo los paquetes de difusión de datos.
#/s 
Numero de paquetes por cada 10 segundos.
CH
Número de canal (paquetes beacons forma adoptada). Nota: a veces los paquetes de otros canales son capturados incluso si airodump-ng  esta orientado a un solo canal , debido a las interferencias de radio y/o a que mas de un AP esta en el mismo canal .
MB
Máxima velocidad soportada por AP. Si MB = 11, es 802.11b, si MB = 22 es 802.11b +  las tasas más altas son 802.11g.the punto (después de 54 arriba) indica preámbulo corto es compatible. 'e' indica que la red dispone de QoS (802.11e) enable.
ENC
Algoritmo de cifrado en uso. OPN = sin encriptación "WEP" = wep o superior (no hay datos suficientes para elegir entre WEP y WPA/WPA2), WEP (sin el signo de interrogación) indica estática o dinámica WEP y WPA2 o WPA o WPA2 si TKIP o CCMP o MGT es presente.
CIPHER
El sistema de cifrado detectado. Uno de CCMP, WRAP, TKIP, WEP, WEP 40 o WEP104. No es obligatorio, pero se suele utilizar TKIP con WPA y CCMP se suele utilizar con WPA2. WEP40 se muestra cuando el índice de la clave es rallador luego 0. La norma establece que el índice puede ser 0-3 para 40 bits y debe ser 0 para 104 bits.
AUTH
El protocolo de autenticación utilizado. uno de MGT (WPA/WPA2 usando un servidor de autenticación por separado), SKA (clave compartida para WEP(shared key for WEP)), PSK (clave pre-compartida para WPA/WPA2 (pre- shared key for WPA/WPA2 )), o OPN (abierto para WEP (open for WEP))
ESSID
Nombre del AP "SSID", que puede estar vacía si se activa  ESSID oculta. En este caso, airodump-ng intentará obtener informacion acerca del nombre mediante pruebas de solicitud de asociacion.
STATION
La dirección MAC de cada estación o estaciones asociadas o en busca de un punto de acceso para conectar con los AP los que no están asociados actualmente con un AP tienen un BSSID de "( not associated)".
RATE
Aparece cuando existe trafico entre el cliente y el AP siendo el primer numero la velocidad de los datos del AP (BSSID) al cliente (STATION).el segundo los datos del cliente (STATION) al AP (BSSID)
LOST
Esto significa la pérdida de paquetes próximos por el cliente. Para determinar el número de paquetes perdidos hay un campo de secuencia en cada paquete enviado,
PACKETS
Numero de paquetes enviados por el cliente.
Probes
Los ESSIDs sondeadas del cliente, son las redes que el cliente está tratando de conectarse o está conectado actualmente
La primera parte es los puntos de acceso detectados. Lo segundo es una lista de los clientes inalámbricos detectados, estaciones. Al basarse en la potencia de la señal, se puede determinar con precisión incluso físicamente la ubicación de una estación particular.


Bueno antes de iniciar el airodump-ng es necesario tener nuestra tarjeta de red inalambrica en modo monitor y claro antes saber el nombre de nuestra interface tipeamos  IWCONFIG

Y cambiamos  con airmon-ng (ver correspondiente tutorial de esta herramienta)

Una ves esto echo pasamos con el primer comando que nos permitira ver todo el trafico

Asi se muestra la informacionque es escuchada con nuestra tarjeta inalambrica es importante recordar que podemos interactuar con esta interface como ya se a comentado en la sintaxis de esta herramienta

Con la tecla ctrl+c detenemos la ejecucion del programa


 Una ves seleccionado el target nos valemos de los filtros para “solo” escuchar lo que se transmite en un determinado AP la sintaxis puede ser como la siguiente
Airodump-ng --bssid (mac del AP) –c (canal del AP) –w (ruta del archivo donde se escribiran los archivos en mi caso le puse el nombre de kitikit) mon0 (esta es el nombre de mi interface en monitor)
La mac(puede ser de AP o de un cliente) en la imagen de color turquesa y el essid o nombre del ap de color verde

 

 Toma en cuanta que si vemos mas de un AP  en un mismo canal y tu te encuentras alajado de  ellos el trafico se puede ver afectado puesto que las señales se solapan entresi y esto causa que los paquetes no sean los correctos para limpieza de tus capturas puedes usar la herramienta de airdecloak-ng para ello.