conducting-wireless-network-penetration-test

实施无线网络渗透测试

适用场景

• 评估企业无线网络的安全性，包括访客、企业及 IoT WiFi 网段
• 测试物理邻近范围内的攻击者是否能够攻破无线认证并访问内部网络
• 验证无线入侵检测/防御系统（WIDS/WIPS）针对已知攻击技术的能力
• 评估 WPA3 迁移及过渡模式配置的有效性
• 在无线网络被攻破后，测试无线网络与有线网络之间的网络隔离

请勿使用于未经网络所有者书面授权的无线网络、针对无线基础设施的干扰或拒绝服务攻击（除非明确授权），或在无线干扰可能影响生命安全系统的环境中使用。

前置条件

• 书面授权，明确指定目标 SSID、BSSID 及物理测试位置
• 支持监听模式和数据包注入的外置 WiFi 网卡（Alfa AWUS036ACH、TP-Link TL-WN722N v1）
• Kali Linux 或同等系统，并配备最新的无线工具（aircrack-ng 套件、hostapd、bettercap）
• 在授权测试时段内可实际进入测试位置
• 了解目标的无线架构（SSID、认证类型、RADIUS 基础设施）

工作流

步骤 1：无线侦察

发现并绘制目标环境中所有无线网络的分布：

• 启用监听模式：airmon-ng start wlan0
• 捕获无线流量：airodump-ng wlan0mon -w recon --output-format csv,pcap，以发现所有 SSID、BSSID、信道、加密类型及已连接客户端
• 从授权范围中识别目标网络，并记录其安全配置（WEP、WPA2-Personal、WPA2-Enterprise、WPA3-SAE、WPA3-Transition）
• 枚举已连接客户端及其信号强度，以了解客户端分布
• 通过捕获客户端的探测请求检查是否存在隐藏 SSID：airodump-ng wlan0mon --essid-regex ".*" -c <channel>
• 将发现的 BSSID 与客户的授权 AP 清单进行比对，以识别流氓接入点

步骤 2：WPA2-Personal 握手捕获与破解

对于 WPA2-PSK 网络，捕获 4 次握手并尝试离线破解：

• 针对特定 AP：airodump-ng wlan0mon -c <channel> --bssid <bssid> -w capture
• 对已连接客户端进行去认证，以强制重新认证：aireplay-ng -0 5 -a <bssid> -c <client_mac> wlan0mon
• 在 airodump-ng 中验证握手捕获（出现 WPA handshake 标识）
• 破解捕获的握手：
  • 字典攻击：aircrack-ng -w /usr/share/wordlists/rockyou.txt capture-01.cap
  • GPU 加速：hashcat -m 22000 capture.hc22000 /usr/share/wordlists/rockyou.txt
  • 基于规则：hashcat -m 22000 capture.hc22000 wordlist.txt -r /usr/share/hashcat/rules/best64.rule
• 对于 PMKID 捕获（无需客户端）：hcxdumptool -i wlan0mon --enable_status=1 -o pmkid.pcapng --filtermode=2 --filterlist_ap=<bssid>

步骤 3：WPA2-Enterprise 攻击

对于 802.1X/EAP 网络，尝试通过流氓 RADIUS 捕获凭据：

• 通过捕获关联请求识别所使用的 EAP 类型（PEAP-MSCHAPv2、EAP-TLS、EAP-TTLS）
• 使用 hostapd-mana 配合流氓 RADIUS 服务器，搭建模仿企业 SSID 的流氓 AP
• 配置 hostapd-mana 接受所有 EAP 认证尝试并捕获 RADIUS 握手
• 当客户端连接到流氓 AP 时，捕获 MSCHAPv2 质询-响应对
• 使用 asleap 破解捕获的凭据，或转换为 hashcat 格式：hashcat -m 5500 captured_ntlm.txt wordlist.txt
• 若使用的是 EAP-TLS（基于证书），则记录凭据捕获不可行，且该组织已实施强无线认证

步骤 4：邪恶双胞胎攻击

部署一个流氓接入点，拦截客户端连接：

• 创建一个与目标 SSID 匹配的邪恶双胞胎 AP：使用相同的 SSID 和信道配置 hostapd
• 使用 dnsmasq 设置强制门户以提供 DHCP 和 DNS，并部署一个呈现伪造登录页面的 Web 服务器
• 从合法 AP 解除对客户端的认证，强制其重新连接到邪恶双胞胎
• 捕获通过强制门户提交的凭据
• 对于 WPA3-Transition 模式网络：通过创建仅支持 WPA2 的邪恶双胞胎来利用降级漏洞，使过渡模式客户端连接到它
• 记录所有捕获的凭据以及从无线访问到内部网络的攻击路径

步骤 5：入侵后网络评估

在获得无线网络访问权限后，评估网络分段：

• 使用捕获的凭据连接到已攻陷的无线网络
• 扫描网段中可访问的主机和服务：nmap -sn <wireless_subnet>
• 测试无线客户端能否访问内部服务器、数据库或管理接口
• 验证 VLAN 分段是否正确隔离了访客、企业及 IoT 无线网络
• 通过尝试访问有线网络上的服务器，测试是否强制执行了无线到有线的分段
• 记录从无线网络可访问的所有资源，以证明分段失效

关键概念

术语	定义
邪恶双胞胎	一个模仿合法 SSID 的流氓接入点，诱骗客户端连接，从而实现中间人攻击和凭据捕获
4 次握手	客户端与 AP 之间的 WPA2 认证交换，用于建立加密密钥；捕获的握手可离线破解
WPA3-SAE	对等实体同时认证；WPA3 的密钥交换协议，可抵御离线字典攻击并提供前向保密
过渡模式	WPA3 向后兼容模式，同时支持 WPA2 和 WPA3 客户端，可能容易受到降级攻击
PMKID 攻击	一种无客户端攻击，从 AP 的第一个 EAPOL 帧中捕获成对主密钥标识符，无需捕获完整握手即可离线破解
802.1X/EAP	使用 RADIUS 和可扩展认证协议的企业无线认证，提供基于用户的凭据，而非共享预共享密钥
解除认证攻击	发送伪造的解除认证帧，将客户端从 AP 断开，迫使其重新连接，从而实现握手捕获或邪恶双胞胎攻击

工具与系统

• Aircrack-ng 套件：全面的无线审计工具包，包括 airodump-ng（捕获）、aireplay-ng（注入）和 aircrack-ng（破解）
• Hostapd-mana：修改版的 hostapd，用于创建具有 EAP 凭据捕获能力的流氓接入点
• Bettercap：网络攻击框架，具有用于解除认证、握手捕获和邪恶双胞胎部署的 WiFi 模块
• Hashcat：GPU 加速的密码破解工具，支持 WPA2（模式 22000）、MSCHAPv2（模式 5500）和 PMKID 格式
• Kismet：无线网络检测器、嗅探器和入侵检测系统，用于被动监控

常见场景

场景：企业办公室的无线安全评估

背景：一家金融服务公司有 3 个 SSID：CorpWiFi（面向员工的 WPA2-Enterprise）、GuestWiFi（强制门户）和 IoT-Net（面向打印机和会议系统的 WPA2-PSK）。测试人员被授权从大堂和会议室测试全部三个网络。

方法：

1. 无线侦察识别出分布在不同位置的 12 个接入点上的全部 3 个 SSID，以及 87 个已连接的客户端
2. 捕获 IoT-Net 的 WPA2-PSK 握手包，并在 3 分钟内破解（密码：Company2024!）
3. 从 IoT-Net 发起扫描，发现该子网可以访问内部服务器，包括打印服务器和文件共享，表明网络分段不足
4. 针对 CorpWiFi 的邪恶双胞胎攻击通过 hostapd-mana 捕获了 4 个员工的 MSCHAPv2 哈希；其中 2 个被破解并还原出密码
5. 通过伪造一个已认证设备的 MAC 地址，成功绕过 GuestWiFi 的强制门户
6. 记录 IoT-Net 提供了一条绕过 WPA2-Enterprise 认证直接通往内部网络的路径

陷阱：

• 在工作时间未与客户协调就发起去认证攻击，造成明显的 WiFi 中断
• 当组织已开始迁移到 WPA3 时，未测试 WPA3 过渡模式的降级漏洞
• 只关注密码破解，而忽略了往往是更高风险发现的网络分段问题
• 只从一个位置进行测试，遗漏了设施其他区域部署的流氓 AP

输出格式

## Finding: Weak WPA2-PSK on IoT Network with Inadequate Segmentation

**ID**: WIFI-001
**Severity**: Critical (CVSS 9.4)
**Affected SSID**: IoT-Net (BSSID: AA:BB:CC:DD:EE:FF)
**Encryption**: WPA2-Personal (PSK)

**Description**:
The IoT wireless network uses a weak pre-shared key that was cracked in 3 minutes
using a standard dictionary attack. Once connected to IoT-Net, the tester discovered
that the wireless VLAN is not properly segmented from the internal corporate network,
providing unrestricted access to file servers, the Active Directory domain controller,
and the internal database server.

**Proof of Concept**:
1. Captured WPA2 handshake: airodump-ng wlan0mon -c 6 --bssid AA:BB:CC:DD:EE:FF -w iot
2. Cracked PSK in 3 minutes: aircrack-ng -w rockyou.txt iot-01.cap -> Key: Company2024!
3. Connected to IoT-Net and scanned: nmap -sn 10.20.0.0/24
4. Accessible from IoT-Net: DC01 (10.20.0.5:445), FILESVR (10.20.0.10:445), DBSVR (10.20.0.15:3306)

**Impact**:
An attacker within wireless range (tested from the public lobby) can join the IoT
network and gain direct network access to the corporate infrastructure, bypassing
the WPA2-Enterprise authentication required for employee access.

**Remediation**:
1. Implement a complex 20+ character PSK for IoT-Net, rotated quarterly
2. Deploy VLAN segmentation to isolate IoT-Net from the corporate network
3. Implement firewall rules allowing IoT devices to reach only their required services
4. Migrate IoT devices to 802.1X authentication with device certificates where supported
5. Deploy WIDS to detect deauthentication attacks and rogue access points