Crack-wifi.com FORUM

LE FORUM DU SITE

Wifi, Backtrack, crack WEP et WPA...

Vous n'êtes pas identifié(e).  

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#1 10-10-2012 19:33:52

o554700
Membre Actif
Lieu : Telestra!
Inscription : 26-09-2012
Messages : 36

Capture d'ARP : tout ou rien ! Question de distance ?

Bonjour.

Depuis quelques temps je boss sur le crack WEP.
C'est plus compliqué que la capture d'un handshake WPA !
Je comprends le fonctionnement des différentes attaques, mais niveau résultat c'est tout ou rien.

Soit je capture 50.000 ARP en 5 minutes, soit un nombre ridicule (entre 0 et 5) et puis plus rien ne bouge.

Pour ChopChop et Frag, je n'ai jamais eu le moindre résultat, soit l'adresse mac du PA est mauvaise, soit je ne parviens pas à forger les paquets.


Bref...

Est ce que cela peut être une question de distance ?
Quelle sont les Power / RXQ minimums pour réussir ce genre d'attaque ?
Est ce que les ARP qui n'augmentent pas viennent simplement du fait que je ne stimule pas le réseau en naviguant par exemple?

Merciiiiiiii


Telestra !

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#2 10-10-2012 19:53:58

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Capture d'ARP : tout ou rien ! Question de distance ?

Déjà, il ne faut pas confindre "Data" et "ARP". Les Data sont les paquets utiles sur le réseau, et l'ARP n'est qu'un cas particulier de ces Data. Ce que tu vois dans airodump-ng, ce sont les Data au total (qui incluent les ARP).

Pourquoi c'est important les ARP ? Parce qu'ils permettent l'attaque la plus efficace contre le WEP, pour deux raisons, j'y reviendrai. L'avantage de l'ARP, c'est qu'il est émis en broadcast, donc à destination de tous les utilisateurs du réseau. Ca veut dire que quand le point d'accès reçoit un ARP, il va le réémettre lui-même pour être sûr que tout le monde l'a reçu (ce qui n'est pas garanti si l'émetteur est une station toute seule dans son coin loin des autres). Le truc, c'est que l'AP va réémettre cet ARP... avec un nouvel IV ! Et les IV, c'est précisément ce dont on a besoin pour cracker le WEP.
Donc pour résumer :
- si l'AP reçoit un ARP, il le réémet.
- si on peut injecter nous-même un ARP, l'AP va le réémettre, mais on ne connaît pas la clé WEP donc on ne sait pas fabriquer l'ARP nous-même.
- si on peut choper un ARP "normal" qui circule sur le réseau et qu'on l'envoie tel quel à l'AP, il va le réémettre (sans s'inquiéter du fait qu'il l'a déjà réémis une ou plusieurs fois avant).
C'est ce qu'on appelle l'attaque "ARP Replay" (aireplay-ng -3) : on capture un ARP légitime et on le "rejoue" (on l'injecte en fait, d'où la nécessité du mode injection). Ca tombe bien, parce que l'ARP est facilement repérable, même chiffré, question de taille de paquet. Un autre avantage, c'est que sa structure connue permet l'attaque PTW lors du crack, ce qui l'accélère fortement mais ce n'est pas la question ici.

Donc, le but du jeu est de choper un ARP. Une fois qu'on en a un, on peut l'injecter plein de fois (par défaut, c'est 500x par seconde) ce qui va générer autant de nouveaux paquets (si tout va bien) et donc faire grimper le #DATA en flèche. Tant qu'on a pas d'ARP, on ne peut que capturer les données présentes naturellement sur le réseau, et ça peut prendre du temps. Question : comment choper un ARP ?
- soit en attendant gentiment
- soit en kickant une station : les machines Windows en tout cas envoient des ARP à la reconnexion
- soit en envoyant un "ping" depuis une machine connectée au réseau, vers une autre machine du LAN (même si l'adresse est bidon). Taper un "ping 192.168.1.42" (si ton réseau est en 192.168.1.*) est une façon plutôt efficace de faire démarrer l'attaque.
Il y a une façon simple de voir si tu as chopé un ARP ou pas : dans la fenêtre de "aireplay-ng -3", tu verras un "got X ARP and Y ACK". Tant que X est à 0, tu l'as pas (le Y ce sont des accusés de réception d'ARP donc c'est des paquets que t'as loupé, généralement à cause d'un RXQ trop faible). Tu verras aussi "sent Z packets", avec Z qui augmente rapidement, une fois que l'attaque a démarré.

Tout ça pour dire que si tu captures un ARP légitime rapidement, tes Data vont monter en flèche. Sinon, ça stagne... smile

o554700 a écrit :

Pour ChopChop et Frag, je n'ai jamais eu le moindre résultat, soit l'adresse mac du PA est mauvaise, soit je ne parviens pas à forger les paquets.

Ca je ne sais pas dire avec aussi peu d'infos. Mais certains AP ne sont pas vulnérable face à ces 2 attaques, donc il nous faudrait plus d'info pour trancher.

Le PWR n'a pas tellement d'importance (surtout que les valeurs affichées dépendent du pilote utilisé), mais le RXQ est important si tu veux capter les ARP et injecter correctement. D'expérience, je dirais qu'un RXQ de 80 est un  minimum si tu veux attaquer dans de bonnes conditions. Mais comme tu attaques ton propre réseau, c'est pas un problème hein... big_smile

A noter qu'il y a également l'attaque "-p 0841", qui permet de transformer n'importe quel paquet de Data en broadcast et donc forcer l'AP à le réinjecter même si ce n'est pas un ARP. Mais c'est un peu plus compliqué et ça peut donner des résultats bizarres lors du crack avec PTW wink

Hors Ligne

#3 13-10-2012 14:37:45

o554700
Membre Actif
Lieu : Telestra!
Inscription : 26-09-2012
Messages : 36

Re : Capture d'ARP : tout ou rien ! Question de distance ?

Salut,

Merci Antares pour cette réponse de folie. Néanmoins cela n'a pas résolu mon problème :-(

Alors passons à un cas concret.

http://www.pix-host.com/allimages/15231489.jpeg

Après 1 heure de scan
- 4 ARP (réalisés dans les premières minutes)
- 45 ISV (le chiffre augmente régulièrement)

Pour atteindre les 300.000 IVS nécessaires au crack, il me faudrait 277 jours smile !

Dans ce cas concret, vais-je au bout de 277 jours avoir de quoi cracker la clé ?
Comment puis-je améliorer la situation ?

Dernière modification par o554700 (13-10-2012 14:39:35)


Telestra !

Hors Ligne

#4 13-10-2012 15:21:57

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Capture d'ARP : tout ou rien ! Question de distance ?

Bien. Est-ce que tu comprends l'anglais ?

Notice : got a deauth/disassoc packet. Is the source MAC associated ?

En français dans le texte, tu t'es fait virer par le point d'accès, donc tous les paquets que tu injectes ne sont ni acceptés ni répétés, ton attaque est inefficace. Le fait que le message soit autant répété aurait pu (du ?) te mettre la puce à l'oreille smile

Comme l'indique le message sus-cité, c'est un problème d'association de l'adresse MAC. Donc, questions :
- est-ce que tu as bien lancé une attaque en fakeauth (aireplay-ng -1) ?
- est-ce que tu la laisses bien tourner pendant toute l'attaque ?
- si [oui] et [oui], qu'est-ce que ça dit dans le shell de la fakeauth ? Sûrement pas "Association succesful" wink

Il nous faudrait toutes les commandes que tu as tapées (idéalement, depuis airmon-ng jusqu'aà aircrack-ng), pour voir s'il n'y a pas quelque chose à adapter. En tout cas, ici il est clair que c'est la fakeauth qui pose problème : ou bien elle n'est pas lancée, ou bien elle échoue. Ca peut arriver quand on stimule trop le réseau, on peut régler le problème en réduisant la vitesse d'injection ("aireplay-ng -3 -x 100 ...", par exemple) smile

Evidemment, si tu utilises Gerix (c'aurait été bien de le préciser dès le début), il faut trouver dans l'interface om on peut changer ces réglages, là je dois avouer que je n'en sais rien (je travaille en console, c'est plus flexible).

[EDIT] Posté à 15:37 une capture faite le même jour à 17:28... C'est comment le futur ? big_smile

Dernière modification par antares145 (13-10-2012 15:27:47)

Hors Ligne

#5 13-10-2012 15:53:48

o554700
Membre Actif
Lieu : Telestra!
Inscription : 26-09-2012
Messages : 36

Re : Capture d'ARP : tout ou rien ! Question de distance ?

Le Futur?! Même dans le futur j'y arrive pas à cracker du WEP ! ^^

Bon sinon:
- Gerix me dit qu'il réussit le fake auth mais j'y crois pas car
- Quand je fakeauth manuellement en console, il échoue (filtrage mac ?!)
- D'après les tutos, fakeauth n'est pas obligatoire non ?

- Après 2H je suis à 5 ARP et 71 IV, je progresse quand même. Est ce normal alors que je ne suis pas associé ?


Est ce qu'on peut faire un fakeauth à un PA qui a un filtrage mac, sans avoir la bonne mac ?

Dernière modification par o554700 (13-10-2012 15:59:21)


Telestra !

Hors Ligne

#6 13-10-2012 16:15:43

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Capture d'ARP : tout ou rien ! Question de distance ?

o554700 a écrit :

- D'après les tutos, fakeauth n'est pas obligatoire non ?

Arf, on doit pas parler des mêmes tutos alors lol Je demande une source !

La fakeauth sert à associer ton adresse MAC auprès du point d'accès. C'est obligatoire si tu veux que l'AP accepte et répète tes paquets, sinon ils seront juste envoyés "dans le vide". C'est vrai que si tu spoofes ton adresse MAC en prenant celle d'un client légitime qui est déjà connecté (donc associé) au réseau, tu n'as pas besoin de fakeauth, mais c'est une approche bancale : si l'association saute à cause de ton attaque, tu dois attendre que la station se réassocie (si l'AP accepte), bref je suis pas trop fan de cette méthode. Je préfère dire qu'une fakeauth est "obligatoire" et doit tourner pendant toute l'attaque (pour pouvoir se réassocier automatiquement en cas de kick) wink

Note que dans ton cas je suis pas sûr qu'il y a filtrage MAC, c'est peut-être juste un blocage temporaire de ta MAC à toi à cause d'une injection trop massive. Il faudrait que tu fasses des essais de fakeauth avec différentes adresses "aléatoires" (paramètre -h), si elles sont toutes bloquées alors il y a sans doute filtrage (ou bug de l'AP).

o554700 a écrit :

- Après 2H je suis à 5 ARP et 71 IV, je progresse quand même. Est ce normal alors que je ne suis pas associé ?

Même si tu ne peux pas injecter, tu continues à récupérer le trafic légitime émis par les autres stations. Donc si un autre utilisateur du réseau télécharge à donf', tu verras tes DATA augmenter rapidement. Là, pas de chance, l'utilisateur ne fait rien ou presque donc tu récupères que dalle smile

o554700 a écrit :

Est ce qu'on peut faire un fakeauth à un PA qui a un filtrage mac, sans avoir la bonne mac ?

Il te faut une adresse MAC autorisée par l'AP, que tu récupères généralement en attendant qu'une station légitime se connecte au réseau. Mais bien sûr, tu t'attaques à ton réseau donc tu devrais savoir s'il y a filtrage ou pas ... wink

Hors Ligne

#7 13-10-2012 17:15:50

o554700
Membre Actif
Lieu : Telestra!
Inscription : 26-09-2012
Messages : 36

Re : Capture d'ARP : tout ou rien ! Question de distance ?

Ca devient tellement plus clair  smile
Merci encore.

J'étais confus à propos de l'association, le tuto de Crack-wifi n'est pas très clair sur le caractère obligatoire  de cette étape :

Il est judicieux de tenter une association avant de se lancer dans l'injection de paquet.

Telestra !

Hors Ligne

#8 15-10-2012 19:42:07

o554700
Membre Actif
Lieu : Telestra!
Inscription : 26-09-2012
Messages : 36

Re : Capture d'ARP : tout ou rien ! Question de distance ?

Arf j'ai encore trouvé un cas étrange!

Après une heure:
- Plus de 500.000 ARP récoltés sur deux stations différentes (aireplay-ng -3)
- Pourtant les data ne décollent pas : 1250 ! (donc 1250 IVS)

- j'ai tenté toutes attaques possibles aireplay-ng -0 -1 -2 -3 -4 -5 -6 rien n'augmente les data.

Pire, Aircrack-ng échoue à casser la clé, alors que d'après les tuto:
La version actuelle de la suite aircrack-ng utilise l'algorithme "PTW" qui permet de cracker un réseau WEP 128 bits avec à peine 45000 datas. Cependant, l'algoritme PTW n'utilise pas les Ivs, mais les arp pour le crack. C'est la raison pour laquelle l'attaque par rejeu d'arp est la solution la plus performante et la plus rapide pour cracker une clé WEP.

http://www.crack-wifi.com/tutoriel-crac … ktrack.php


Telestra !

Hors Ligne

#9 15-10-2012 19:59:14

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Capture d'ARP : tout ou rien ! Question de distance ?

O554700 a écrit :

- Plus de 500.000 ARP récoltés sur deux stations différentes (aireplay-ng -3)

'comprends pas ce que tu appelles "2 stations différentes". Deux clients légitimes connectés au réseau ? Deux machine d'attaques ? Deux réseaux de station-service (qui t'appartiennent bien sûr) ?
Où est-ce que tu vois que tu as 500k ARP ?

o554700 a écrit :

- Pourtant les data ne décollent pas : 1250 ! (donc 1250 IVS)

Et ton association, chef, ça dit quoi ? Est-ce que tu as une attaque fakeauth qui tourne en permanence et qui te répond régulièrement "Association succesful" ?

o554700 a écrit :

- j'ai tenté toutes attaques possibles aireplay-ng -0 -1 -2 -3 -4 -5 -6 rien n'augmente les data.

Dire ça ou ne rien dire, c'est pareil... Au risque de me répéter : il nous faut (toutes) les commandes exactes que tu as tapées si tu veux qu'on puisse t'aider efficacement.

o554700 a écrit :

Pire, Aircrack-ng échoue à casser la clé, alors que d'après les tuto: [...]

On parle ici d'une attaque statistique, donc le résultat n'est pas garanti. Enfin, plus exactement il y a une probabilité de réussite très proche de 100% mais le temps d'exécution n'est pas garanti. 45k IV's représente un cas favorable qui est loin d'être représentatif, d'expérience je suis plutôt autour de 60k, voire parfois 100k pour les clés longues.
L'attaque PTW travaille avec les ARP, effectivement (même si je crois que le crack final se fait sur les IV's mais je suis pas sûr), plus exactement les séquences de requêtes/réponses ARP. Séquences qui peuvent être interrompues par des paquets parasites, mais dans le cas d'une attaque par rejeu d'ARP (aireplay-ng -3) ça ne devrait pas poser problème. Note que si tu utilises l'attaque -p0841 par exemple, tu n'auras pas forcément des paquets ARP et tu ne pourras pas utiliser la PTW wink

[EDIT] Qu'est-ce que tu as comme RXQ sur ton réseau-cible ?

Dernière modification par antares145 (15-10-2012 20:00:35)

Hors Ligne

#10 15-10-2012 20:27:26

o554700
Membre Actif
Lieu : Telestra!
Inscription : 26-09-2012
Messages : 36

Re : Capture d'ARP : tout ou rien ! Question de distance ?

Désolé pour les imprécisions...

- oui, un PA avec deux clients légitimes connectés au réseau
- j'ai spoofé l'adresse MAC de l 'un des deux
- les fakeauth ne fonctionnement pas, avec aucune des deux MAC légitimes

-h mac non spoofée : got deauth packet
-h mac spoofée :
Sending authentication request (Open systeme)
Sending authentication request (Open systeme)
...
...
Failed !

- Je pense nénamoins capter des ARPs d'après mes fenêtres d'attaque par rejeu d'arp (Aireplay-ng -3) (les deux de gauche ici)

http://img15.hostingpics.net/pics/785598snapshot6.jpg

- Pour les attaques, j'ai fais un peu de tout en suivant les tutos du site: déauth, puis fake auth, ChopChop, Frag, Café-latte, a chaque fois en double sur les deux stations connectées. Aucun résultat probant. J'avoue avoir fait un peu n'importe quoi dans l'espoir de stimuler ces foutues data & IV !



Autres questions:
- tu me disais plus haut que les ARP sont des datas particulières... comment je fais pour capter tant d'ARP et si peu de data ?!
- pourquoi la fenêtre d'attaque par rejeu d'arp (Aireplay-ng -3), reste parfois stable (celle d'en bas à gauche), et parfois elle raffraichit continuellement sa ligne (celle d'en haut à gauche) ?!

Merciii

Dernière modification par o554700 (15-10-2012 20:32:51)


Telestra !

Hors Ligne

#11 15-10-2012 20:58:00

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Capture d'ARP : tout ou rien ! Question de distance ?

o554700 a écrit :

- les fakeauth ne fonctionnement pas, avec aucune des deux MAC légitimes

Je pensais pourtant avoir été clair sur la nécessité de la fakeauth roll Relis mon message #6 : tant que ta fakeauth n'est pas bonne, ça ne sert à RIEN d'injecter, ton trafic sera tout simplement ignoré.
Le déauth avec ta propre adresse peut indiquer un filtrage MAC, mais tu dois savoir mieux que moi s'il y en a un ou pas. Le manque de réaction avec une adresse légitime me fait supposer que l'AP n'aime pas avoir deux machines avec la même MAC (me demande pas comment il sait, PWR reçue sans doute). Il te reste juste à essayer avec une MAC aléatoire, et si tu te fais kicker aussi ça confirmera le filtrage MAC. Si c'est le cas, tu devras attendre qu'un des clients se déconnecte (genre la nuit) et utiliser son adresse quand il n'est pas là.

o554700 a écrit :

- Je pense nénamoins capter des ARPs d'après mes fenêtres d'attaque par rejeu d'arp (Aireplay-ng -3) (les deux de gauche ici)

Regarde le compteur #DATA de ton réseau sur airodump-ng : à peine 1707 paquets reçus. Ca confirme ce que je disais plus haut, tout ce que tu injectes, tu l'injectes dans le vide et ça ne change rien à ton attaque. Les 5 millions et quelques d'ARP injectés, ça ne veut rien dire ils sont tous ignorés. ceux que tu vois sont ceux que tu injectes toi-même, mais ils n'entrent pas en compte dans l'attaque.

o554700 a écrit :

- Pour les attaques, j'ai fais un peu de tout en suivant les tutos du site: déauth, puis fake auth, ChopChop, Frag, Café-latte, a chaque fois en double sur les deux stations connectées. Aucun résultat probant. J'avoue avoir fait un peu n'importe quoi dans l'espoir de stimuler ces foutues data & IV !

... sans résultat probant visiblement. Mais ça ne nous donne toujours pas les commandes que tu as tapées, même stupides, donc je n'ai rien à ajouter par rapport au message précédent.

o554700 a écrit :

- tu me disais plus haut que les ARP sont des datas particulières... comment je fais pour capter tant d'ARP et si peu de data ?!

Je pense que ce sont tes propres ARP injectés que tu captures (la différence entre les paquets émis et reçus est, je pense, liée au fait que la carte ne peut pas émettre et recevoir en même temps, en tout cas pas à 1000 paquets/s).

o554700 a écrit :

- pourquoi la fenêtre d'attaque par rejeu d'arp (Aireplay-ng -3), reste parfois stable (celle d'en bas à gauche), et parfois elle raffraichit continuellement sa ligne (celle d'en haut à gauche) ?!

Aucune idée, j'ai ça parfois aussi. Je suppose que ça doit être lié au manque d'association et/ou aux éventuels paquets de deauth que tu reçois, mais j'en suis pas plus sûr que ça.

Autre chose que j'ai déjà constaté : une injection trop rapide a parfois tendance à faire sauter l'association et empêcher la fakeauth de fonctionner. Dans ces cas-là, je limite ma vitesse d'injection (aireplay-ng -3 [...] -x 100), c'est plus lent mais plus stable. C'est peut-être ça le problème que tu as ici wink

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

Pied de page des forums


Le coin des bonnes affaires, achats informatiques:


|   Alfa 1000 mW AWUS036H   |    Linksys WRT54GL   |    Misco, informatique   |   
 |    Ebay   |    PC portables   |    PC Gamers & Tuning   |    Cles USB   |   
|   Disques durs externes 2 To   |   
|   Wifi-highpower.com   |   


Server Stats - [ Generated in 0.035 seconds ]   Forum Stat - [ Most users ever online on the forum was : 150 on 20-09-2009 17:06:59 ]