Bài tập lớn môn an toàn mang, học viện bưu chính viễn thông (28)

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG
KHOA CƠNG NGHỆ THƠNG TIN I

HỌC PHẦN: AN TỒN MẠNG

Báo cáo đề tài:
Tìm hiểu công cụ Airbase-ng

Giảng viên:

TS. Đặng Minh Tuấn

Họ và tên:

Nguyễn Hữu Độ

Mã sinh viên:

B18DCAT055

Nhóm lớp học:

02

Hà Nội – 2021

Mục lục
1


Danh sách các thuật ngữ tiếng anh và viết tắt

3

Lời nói đầu

4

Chương 1. Tổng quan

5

1. Mạng khơng dây

5

2. Cơng cụ airbase-ng

6

Chương 2. Hướng dẫn cài aircrack-ng

7

1. Cài đặt trên Linux

8

2. Cài đặt trên Window

8

Chương 3. Hướng dẫn sử dụng airbese-ng

11

1. Tập lệnh hỗ trợ

11

2. Tùy chọn

12

3. Tùy chọn lọc

18

Chương 4. DEMO

19

1. Caffe-Latte Attack

19

2. Hirte Attack

23

3. Evil Twin Attack

25

Tài liệu tham khảo

33

2


DANH SÁCH CÁC THUẬT NGỮ TIẾNG ANH VÀ VIẾT TẮT

Từ viết tắt

Thuật ngữ tiếng Anh

AES

Advanced Encryption Standard

AP

Access Point

ARP

Address Resolution Protocol

CRC

Cyclic Redundancy Check

HTTP

HyperText Transfer Protocol

HTTPS

HTTP Secure

IP

File Transfer Protocol

MAC

Messenger authentication code

RC4

Extensible Authentication Protocol

SSID

Service Set Identifier

WEP

Wi-Fi Proteᴄted Aᴄᴄeѕѕ

WPA

Wi-Fi Proteᴄted Aᴄᴄeѕѕ

WLAN

Wireless LAN

MITM

Man In The Middle

3


Lời mở đầu
Khoa học nói chung và cơng nghệ nói riêng đang ngày càng được ứng dụng
rộng rãi trong mọi lĩnh vực của đời sống xã hội hiện nay. Chúng ta có thể bắt gặp cơng
nghệ thơng tin ở mọi nơi và trong mọi thời điểm: trong công việc, khi vui chơi giải trí
và ngay cả trong chính gia đình chúng ta. Cuộc sống có cơng nghệ trở nên đơn giản và
thuận tiện hơn rất nhiều. Chúng ta có thể trao đổi tiền bạc thông qua các ứng dụng
ngân hàng một cách nhanh chóng. Trị chuyện, kết nối với bạn bè thông qua các trang
mạng xã hội: facebook, zalo,….. Theo dõi, quan tâm đến tình hình học tập của con cái
thơng qua các ứng dụng kết nối gia đình và nhà trường. Và ngay cả trong cuộc sống
gia đình, ta có thể quan sát, bảo vệ gia đình thơng qua camera,……Công nghệ phát
triển đem lại cuộc sống văn minh tiện ích cho con người. Nhưng bên cạnh đó, việc
đảm bảo bí mật các thơng tin cá nhân cũng trở nên khó khăn và phức tạp hơn. An tịa
thơng tin cá nhân trở thành một vấn đề cấp thiết hiện nay. Thơng tin người dùng có thể
bị đánh cắp nhằm vào nhiều mục đích khác nhau : quảng cáo, trộm cắp,….. Thông tin
người dùng bị đánh cắp thông qua rất nhiều cách khác nhau.Sử dụng tool có sẵn là

một trong các cách đánh cắp thông tin người dùng phổ biến hiện nay. Trong bài viết
này, chúng ta sẽ cùng tìm hiểu một số tool đánh cặp thông tin, tài khản cá nhân của
người dùng. Tại sao tool có thể đánh cắp tài khoản, thông tin người dùng, chúng dựa
vào những điểm yếu nào, cũng như cách thức hoạt động của chúng ra sao sẽ được giới
thiệu chi tiết trong phần nội dung chính dưới đây.
Hi vong thơng qua bài viết này, các bạn sẽ có những thơng tin cơ bản nhất cũng
như cách bảo vệ, phòng chống trước các nguy cơ từ việc dánh cặp thông tin người
dùng.

4


Chương 1. Khái quát về mạng không dây và công cụ Airbase-ng
1. Mạng không dây?
● Khái niệm
Mạng không dây (wireless network) là mạng điện thoại hoặc mạng máy tính sử
dụng sóng radio làm sóng truyền dẫn (carrier wave) hay tầng vật lý. Ở đây chúng ta
chỉ nói về mạng wlan(wifi) trên tiêu chuẩn 802.11.
Mạng không dây cung cấp kết nối không dây tới các điểm truy cập. Mạng không
dây xây dựng nhiều kết nối giữa nơi phát và nơi thu để đảm bảo q trình truyền được
thơng suất và nhanh.
● Mã hóa mạng khơng dây
Có nhiều loại mã hóa mạng khơng dây. Tuy nhiên, em xin trình bày sơ lược về 3
loại mã hóa mạng khơng dây : WEP, WPA, WPA2.
WEP (Wired Equivalent Privacy) là giao thức mạng không dây, cung cấp thuật
toán bảo mật cho dữ liệu khi truyền trong mạng không dây. WEP cung cấp bảo mật
cho dữ liệu trên mạng khơng dây qua phương thức mã hóa sử dụng thuật tốn RC4,
với khóa bảo mật có chiều dài 64 bit để mã hóa thơng tin. Với phương thức mã hóa
RC4, WEP cung cấp tính bảo mật và tồn vẹn thơng tin trên mạng khơng dây, đồng
thời được xem như là một phương thức kiểm soát truy câp. Mỗi máy kết nối mạng

khơng dây khơng có khóa WEP chính xác sẽ khơng thể truy cập đến AP và cũng không
thể giải mã cũng như thay đổi dữ liệu trên đường truyền.
Khóa bảo mật có chiều dài 64bit, điều này sẽ dễ dàng cho các hacker sử dụng
biện pháp tấn cơng vén cạn để tìm ra khóa. Mã hóa sử dụng thuật tốn mã hóa dịng bit
RC4, vì vậy cần đảm bảo cho các dữ liệu giống nhau sẽ khơng cho ra kết quả giống
nhau. Chính vì vậy, một giá trị IV ( vecto khởi tạo) được sinh ra ngẫu nhiên và cộng
thêm vào với khóa để tạo ra các khóa khác nhau cho mỗi lần mã hóa. Do giá trị IV
khơng được mã hóa và đặt trong header của gói dữ mạng đều có thể thấy được. Với
các giá trị IV được sử dụng với cùng một khóa trên một gói dữ liệu mã hóa ( gọi là va
chạm IV), hacker có thể bắt gói dữ liệu và tìm ra khóa WEP. Tính bảo mật ᴄủa WEP
khơng tương đương ᴄhút nào như một mạng đi dâу. Do đó, khơng lâu ѕau một ᴄơng
nghệ mới ᴄó têngọi WPA (Wi-Fi Proteᴄted Aᴄᴄeѕѕ) ra đời, khắᴄ phụᴄ đượᴄ nhiều
nhượᴄ điểm ᴄủa WEP
WPA(wifi protected access) là một giao thức anh ninh trên mạng khơng dây. Nó
được tạo ra dựa trên tiêu chuẩn 802.11 thay thế cho WEP.WPA cũng bao gồm một
kiểm tra tính tồn vẹn thơng điệp. WPA được thiết kế để ngăn chặn kẻ tấn công từ
chụp, thay đổi, hoặc gửi lại các gói dữ liệu.
WPA2 cung cấp các hãng và sử dụng wifi bảo vệ dữ liệu mạnh và điều khiển
truy nhập mạng. Cung cấp các mức độ an toàn bởi nhiều tiêu chuẩn của các quốc gia
và công nghệ NIST 140-2 tạo ra thuật tốn mã hóa AES.

5


2. Công cụ Airbase.
● Bộ công cụ Aircrack-ng
Aircrack-ng là một bộ cơng cụ hồn chỉnh để đánh giá khả năng bảo mật mạng WiFi.
Nó tập trung vào các lĩnh vực bảo mật WiFi khác nhau:
➢ Giám sát: Chụp gói và xuất dữ liệu sang tệp văn bản để xử lý thêm bằng các
công cụ của bên thứ ba

➢ Tấn công: Phát lại các cuộc tấn công, hủy xác thực, điểm truy cập giả mạo và
những thứ khác thông qua chèn gói
➢ Kiểm tra: Kiểm tra thẻ WiFi và khả năng của trình điều khiển (chụp và chèn)
➢ Bẻ khóa: WEP và WPA PSK (WPA 1 và 2) Tất cả các cơng cụ đều là dịng
lệnh cho phép tạo script nặng.
Rất nhiều GUI đã tận dụng tính năng này.
Nó hoạt động chủ yếu trên Linux nhưng cũng có Windows, macOS, FreeBSD,
OpenBSD, NetBSD, cũng như Solaris và thậm chí cả eComStation 2.
● Công cụ Airbase

Airbase-ng là một công cụ trong bộ công cụ Aircrack-ng, nó có nhiều chức
năng, và tấn cơng nhằm vào client. Nó đa năng và linh hoạt, dưới đây là một số
tính năng nổi bật:
- Cài đặt tấn cơng Caffe Latte.
- Cài đặt tấn cơng Hirte.
- Có thể bắt WPA/WPA2 handshark.
- Có thể hoạt động như một Ad-hoc AP.
- Có thể hoạt động như một điểm truy cập đầy đủ(full AP).
- Có khả năng lọc bởi SSID hoặc địa chỉ MAC của khách hàng.
- Có khả năng xử lý và gửi lại gói tin.
- Có khả năng mã hóa gói tin gửi đi và giải mã gói tin được nhận.

6


Chương 2. Hướng dẫn cài đặt Aircrack-ng
1. Cài đặt trên linux.
Bộ công cụ Aircrack-ng được cài đặt sẵn trên một số bản phân phối của linux
như Kali, Parrot OS.
Việc cài đặt Aircrack trên các bản phân phối Debian, Mint, Ubuntu rất đơn giản.

Chúng ta có thể cài đặt bộ cơng cụ Aircrack-ng sử dụng câu lệnh apt dưới đây:
Cú pháp: sudo apt-get install -y aircrack-ng

7


2. Cài đặt trên windows.
Bước 1: tải aircrack-ng và giải nén.

Bước 2: copy thư mục vừa giải nén vào C:\Program Files

Bước 3: thêm biến môi trường

8


Vậy là chúng ta đã cài đặt thành công bộ công cụ Aircrack-ng trên Windows.

9


Chương 3. Hướng dẫn sử dụng Airbase-ng
1. Tập lệnh hỗ trợ.
Sử dụng câu lệnh man airbase-ng hoặc airbase-ng --help(hoặc -H) để
xem các hướng dẫn và các tùy chọn mà công cụ hỗ trợ.

Cú pháp của airbase-ng:
airbase-ng <options> <replay interface>
Trong đó:
● <options>: các tùy chọn.

● <replay interface>: giao diện mạng được dùng.

10


2. Tùy chọn.
-a <BSSID>: đặt địa chỉ MAC cho AP.
● Nếu BSSID không được xác định rõ ràng bởi -a <BSSID> , thì địa chỉ
MAC hiện tại của giao diện mạng được dùng.
-i <iface>: bắt các gói tin từ giao diện mạng <iface>.
● Nếu chỉ định một giao diện với tùy chọn này thì các gói tin cũng được ghi
lại và xử lý từ giao diện này ngoài giao diện phát lại.
-w <WEP key>: sử dụng <WEP key> để mã hóa/giải mã các gói tin.
● Nếu WEP nên được sử dụng làm mã hóa, thì tham số “-w <WEP key>” sẽ
đặt khóa mã hóa/ giải mã. Điều này là đủ để airbase-ng tự đặt tất cả các
cờ thích hợp.
● Nếu softAP hoạt động với mã hóa WEP, khách hàng có thể chọn sử dụng
xác thực hệ thống mở hoặc xác thực khóa chia sẻ. Cả hai phương pháp
xác thực đều được airbase-ng hỗ trợ. Nhưng để có được một dịng khóa,
người dùng có thể cố gắng buộc máy khách sử dụng xác thực khóa chia
sẻ. “-S” buộc xác thực khóa dùng chung và “-S <len>” đặt độ dài khóa.
-h <MAC>: địa chỉ <MAC> nguồn trong tấn công MITM.
● Đây là MAC nguồn cho cuộc tấn công man-in-the-middle. “-M” cũng
phải được chỉ định.
-f <disallow>: không cho phép các địa chỉ MAC mà đã được xác định(mặc
định: cho phép).
● Nếu tùy chọn này khơng được chỉ định, nó sẽ mặc định là “-f allow”.
Điều này có nghĩa là các bộ lọc MAC của máy khách khác nhau (-d và
-D) xác định máy khách nào sẽ chấp nhận.
● Bằng cách sử dụng tùy chọn “-f disallow”, điều này sẽ đảo ngược lựa

chọn và khiến airbase bỏ qua các máy khách được chỉ định bởi bộ lọc.
-W <0 | 1>: đặt cờ WEP(mặc định: tự động).
● Điều này đặt cờ báo hiệu WEP. Các máy khách thông thường sẽ chỉ kết
nối với các AP giống như chúng.
● Tùy chọn “auto” là cho phép airbase-ng tự động đặt cờ dựa trên ngữ cảnh
của các tùy chọn khác được chỉ định. Ví dụ: nếu ta đặt khóa WEP bằng
-w, thì cờ báo hiệu sẽ được đặt thành WEP.
● Một cách sử dụng khác của "auto" là để đối phó với các khách hàng có
thể tự động điều chỉnh loại kết nối của họ.
11


-q: quiet(không in số liệu thống kê).
● Điều này ngăn chặn việc in bất kỳ số liệu thống kê hoặc thông tin trạng
thái nào.
-v: in chi tiết.
● Điều này in ra các thông báo và chi tiết bổ sung để hỗ trợ gỡ lỗi.
-M: chế độ MITM (hiện tại chưa được cài đặt).
● Tùy chọn này chưa được triển khai. Đây là một cuộc tấn công man-in-themiddle giữa các máy khách được chỉ định và BSSID.
-A, --ad-hoc: chế độ ad-hoc, cho phép các khách hàng khác ngang hàng.
● Điều này khiến airbase-ng hoạt động như một ứng dụng khách đặc biệt
thay vì một Điểm truy cập thơng thường.
● Trong chế độ đặc biệt, airbase-ng cũng gửi các báo hiệu, nhưng khơng
cần bất kỳ xác thực / liên kết nào. Nó có thể được kích hoạt bằng cách sử
dụng “-A”. AP mềm sẽ tự động điều chỉnh tất cả các cờ cần thiết để mô
phỏng một trạm ở chế độ đặc biệt và tạo ra một MAC ngẫu nhiên, được
sử dụng làm MAC CELL thay vì BSSID. Điều này có thể được ghi đè bởi
thẻ “-a <BSSID>”. Giao diện MAC sau đó sẽ được sử dụng như nguồn
mac, có thể được thay đổi bằng “-h <sourceMAC>”.
-Y <in | out | both>: xử lý gói tin bên ngồi.

● Tham số “-Y” cho phép Chế độ “xử lý bên ngoài”. Điều này tạo ra một
giao diện thứ hai “atX”, được sử dụng để phát lại / sửa đổi / thả hoặc đưa
các gói theo ý muốn. Giao diện này cũng phải được đưa lên với ifconfig
và cần có một cơng cụ bên ngồi để tạo vịng lặp trên giao diện đó.
● Cấu trúc gói khá đơn giản: tiêu đề ethernet (14 byte) bị bỏ qua và ngay
sau đó sẽ theo sau khung ieee80211 hồn chỉnh giống như cách nó sẽ
được airbase-ng xử lý (đối với các gói đến) hoặc trước khi các gói được
gửi đi. ra khỏi thẻ khơng dây (gói gửi đi). Chế độ này chặn tất cả các gói
dữ liệu và lặp chúng qua một ứng dụng bên ngoài, điều này sẽ quyết định
điều gì xảy ra với chúng. MAC và IP của giao diện chạm thứ hai khơng
quan trọng, vì các khung ethernet thực trên giao diện này vẫn bị loại bỏ.
● Có 3 đối số cho “-Y”: “in”, “out” và “both”, chỉ định hướng của khung để
lặp qua ứng dụng bên ngoài. Rõ ràng là “trong” chỉ chuyển hướng các
khung đến (qua NIC không dây), trong khi các khung đi khơng được
chạm vào. “Out” thì ngược lại, nó chỉ lặp lại các gói gửi đi và “both” gửi
tất cả các hướng thơng qua giao diện chạm thứ hai.
● Có một ứng dụng ví dụ nhỏ và đơn giản để phát lại tất cả các khung hình
12


trên giao diện thứ hai. Công cụ này được gọi là “replay.py” và nằm trong
“./test”. Nó được viết bằng python, nhưng ngơn ngữ khơng quan trọng.
Nó sử dụng pcapy để đọc các khung và scan để có khả năng thay đổi /
hiển thị và từ chối các khung. Công cụ này vốn có, chỉ cần phát lại tất cả
các khung và in một bản tóm tắt ngắn về các khung đã nhận. Biến “gói”
chứa gói ieee80211 hồn chỉnh, có thể dễ dàng phân tích và sửa đổi bằng
cách sử dụng scan.
● Điều này có thể được so sánh với bộ lọc ettercap, nhưng mạnh hơn, vì
một ngơn ngữ lập trình thực có thể được sử dụng để xây dựng logic phức
tạp cho việc lọc và tùy chỉnh gói. Nhược điểm của việc sử dụng python là

nó gây ra độ trễ khoảng 100ms và việc sử dụng cpu khá lớn trên mạng tốc
độ cao, nhưng nó hồn hảo cho một cuộc trình diễn chỉ với một vài dịng
mã.
-c <channel>: đặt kênh mà AP đang chạy.
● Điều này được sử dụng để chỉ định kênh để chạy AP.
-X, --hidden: ẩn ESSID.
● Điều này làm cho Điểm truy cập ẩn SSID và không phát đi giá trị.
-s: buộc xác thực khóa chia sẻ.
● Khi được chỉ định, điều này buộc xác thực khóa chia sẻ cho tất cả các
máy khách.
● AP mềm sẽ gửi từ chối “phương thức xác thực không được hỗ trợ” đối
với bất kỳ yêu cầu xác thực hệ thống mở nào nếu “-s” được chỉ định.
-S: đặt độ dài khóa chia sẻ(mặc định 128)
● “-S <len>” đặt độ dài thử thách, có thể là bất kỳ thứ gì từ 16 đến 1480.
Giá trị mặc định là 128 byte. Đó là số byte được sử dụng trong thử thách
ngẫu nhiên. Vì một thẻ có thể chứa kích thước tối đa là 255 byte, bất kỳ
giá trị nào trên 255 sẽ tạo ra một số thẻ thử thách cho đến khi tất cả các
byte được chỉ định được viết. Nhiều máy khách bỏ qua các giá trị khác
nhau hơn 128 byte, vì vậy tùy chọn này có thể khơng phải lúc nào cũng
hoạt động.
-L, --caffe-latte: chế độ Caffe-Latte attack.
● Airbase-ng cũng chứa cuộc tấn công caffe-latte mới, cũng được thực hiện
trong aireplay-ng như cuộc tấn cơng “-6”. Nó có thể được sử dụng với “L” hoặc “–caffe-latte”. Cuộc tấn công này đặc biệt hoạt động chống lại
các máy khách, vì nó chờ một yêu cầu arp phát sóng, đây là một cuộc tấn
13


cơng vơ cớ. Xem điều này để giải thích về arp vơ cớ là gì. Sau đó, nó lật
một vài bit trong MAC và IP của người gửi, sửa giá trị ICV (crc32) và gửi
lại cho máy khách, nơi xuất phát của nó. Điểm lý giải tại sao cuộc tấn

cơng này hoạt động trên thực tế là ít nhất các cửa sổ gửi các arps vô cớ
sau khi kết nối trên lớp 2 được thiết lập và một ip tĩnh được đặt, hoặc
dhcp không thành công và các cửa sổ được gán một IP ngoài
169.254.X.X.
● “-X ” đặt số lượng gói mỗi giây để gửi khi thực hiện tấn cơng caffelatte. Hiện tại, cuộc tấn công này vẫn chưa dừng lại, nó liên tục gửi các
yêu cầu arp. Airodump-ng là cần thiết để nắm bắt các câu trả lời.
-N, --cfrag: chế độ Hirte attack(cfrag attack), tạo yêu cầu arp chống lại ứng
dụng khách wep.
● Cuộc tấn công này lắng nghe một yêu cầu ARP hoặc gói IP từ máy khách.
Sau khi nhận được một gói, một lượng nhỏ PRGA được trích xuất và sau
đó được sử dụng để tạo gói yêu cầu ARP được nhắm mục tiêu đến máy
khách. Yêu cầu ARP này thực sự được tạo thành từ nhiều phân đoạn gói
sao cho khi nhận được, máy khách sẽ phản hồi.
● Cuộc tấn công này hoạt động đặc biệt tốt đối với các mạng đặc biệt.
Ngồi ra, nó có thể được sử dụng chống lại các ứng dụng khách softAP và
ứng dụng khách AP bình thường.
● Tùy chọn này bao gồm khả năng tương thích bổ sung với một số máy
khách. Ngoài ra, các IP và MAC nguồn ngẫu nhiên cho cuộc tấn công
cfrag được bao gồm để tránh bảo vệ lũ lụt đơn giản.
-x <nbpps>: số lượng gói tin/giây(mặc định: 100).
● Điều này đặt số lượng gói trên tốc độ truyền thứ hai (mặc định: 100).
-y: vô hiệu hóa phản hồi đối với các thăm dị.
● Khi sử dụng tùy chọn này, AP giả mạo sẽ không phản hồi với các đầu dị
phát sóng. Một đầu dị quảng bá là nơi AP cụ thể không được xác định
duy nhất. Thông thường, hầu hết các AP sẽ phản hồi bằng các phản hồi
thăm dò đối với một đầu dò phát sóng. Cờ này sẽ ngăn điều này xảy ra.
Nó sẽ chỉ phản hồi khi AP cụ thể được yêu cầu duy nhất.
-0: đặt tất cả thẻ WPA, WEP, mở. Không thể sử dụng cùng với -z & -Z.
● Điều này cho phép tất cả các Thẻ WPA / WPA2 / WEP được bật trong các
báo hiệu được gửi. Nó không thể được chỉ định khi cũng sử dụng -z hoặc

-Z
-z <type>: đặt thẻ WPA1. 1=WEP40 2=TKIP 3=WRAP 4=CCMP 5=WEP104.
14


● Điều này chỉ định các thẻ báo hiệu WPA. Các giá trị hợp lệ là: 1 =
WEP40 2 = TKIP 3 = WRAP 4 = CCMP 5 = WEP104. Bạn cũng nên đặt
cờ WEP trong beacon với “-W 1” khi sử dụng tham số này vì một số ứng
dụng khách sẽ nhầm lẫn khi khơng có nó.
-Z<type>: giống với -z nhưng cho WPA2.
● Điều này chỉ định các thẻ báo hiệu WPA2. Các giá trị hợp lệ giống như
WPA. Bạn cũng nên đặt cờ WEP trong beacon với “-W 1” khi sử dụng
tham số này vì một số ứng dụng khách sẽ nhầm lẫn khi khơng có nó.
-V <type>: giả mạo EAPOL 1=MD5 2=SHA1 3=auto.
● Điều này chỉ định các loại EAPOL hợp lệ. Các giá trị hợp lệ là: 1 = MD5
2 = SHA1 3 = auto
-F : ghi tất cả các khung đã gửi và nhận vào tệp pcap.
● Tùy chọn này khiến airbase-ng ghi tất cả các gói đã gửi và nhận vào một
tệp pcap trên đĩa. Đây là tiền tố của tệp (như airodump-ng -w).
-P: phản hồi tất cả các thăm dò, ngay cả khi ESSID được xác định
● Điều này khiến điểm truy cập giả phản hồi với tất cả các đầu dò bất kể
ESSID được chỉ định. Nếu khơng có -P, hành vi cũ là bỏ qua các đầu dò
đối với các ESSID không phù hợp sẽ được sử dụng.
-I: đặt giá trị khoảng thời gian giữa các tín hiệu, tính bằng ms.
● Điều này đặt thời gian tính bằng mili giây giữa các báo hiệu được gửi.
● Khi sử dụng danh sách các ESSID, tất cả các ESSID sẽ được phát với các
đèn hiệu. Khi các ESSID bổ sung được thêm vào, giá trị khoảng thời gian
báo hiệu hiện được điều chỉnh dựa trên số lượng ESSID nhân với giá trị
khoảng thời gian (0x64 vẫn là mặc định). Để hỗ trợ báo hiệu "nhanh" cho
một danh sách dài các ESSID, tham số -I có thể được sử dụng để đặt

khoảng thời gian nhỏ hơn. Để nhận khoảng 0x64 cho N đèn hiệu, hãy đặt
tham số -I thành 0x64 / N. Nếu giá trị này xuống dưới ~ 10 hoặc lâu hơn,
tốc độ phun tối đa sẽ đạt đến và airbase-ng sẽ không thể xử lý đáng tin
cậy các khách hàng mới. Vì tốc độ tiêm của mỗi thẻ là khác nhau, các
thông số -I cho phép nó được điều chỉnh theo một thiết lập và tốc độ tiêm
cụ thể dựa trên số lượng đèn hiệu.
-C: cho phép báo hiệu các giá trị ESSID được thăm dò (yêu cầu -P)
● Tùy chọn -P cũng phải được chỉ định để sử dụng tùy chọn này. Các
ESSID ký tự đại diện cũng sẽ được đánh dấu số giây này. Giá trị điển
15


hình tốt để sử dụng là “-C 60”.
● Khi chạy ở chế độ mặc định (khơng có ESSID) hoặc với tham số -P, tùy
chọn -C có thể được sử dụng để cho phép phát sóng báo hiệu của các
ESSID được nhìn thấy bởi các đầu dị được hướng dẫn. Điều này cho
phép một máy khách đang thăm dò mạng dẫn đến báo hiệu cho cùng một
mạng trong một khoảng thời gian ngắn (tham số -C, là số giây để phát các
yêu cầu thăm dò mới). Điều này hoạt động tốt khi một số khách hàng
đang gửi các thăm dò được định hướng, trong khi những người khác lắng
nghe một cách thụ động các báo hiệu. Một máy khách thực hiện các thăm
dò được định hướng dẫn đến một báo hiệu đánh thức máy khách thụ động
và khiến máy khách thụ động cũng tham gia vào mạng. Điều này đặc biệt
hữu ích với các máy khách Vista (lắng nghe thụ động các báo hiệu trong
nhiều trường hợp) chia sẻ cùng một WiFi? mạng như các máy khách
Linux / Mac OS X gửi các đầu dò được định hướng.

3. Tùy chọn lọc.
-b, --bssid <MAC>: BSSID để lọc / sử dụng
-B, --bssids <file>: đọc danh sách BSSID từ tệp đó

-d, --client <MAC>: MAC của khách hàng để chấp nhận
-D, --clients <file>: đọc danh sách MAC ra khỏi tệp đó
-e, --essid <ESSID>: chỉ định một ESSID duy nhất
-E, --essids <file>: đọc danh sách ESSID từ tệp đó

16


Chương 4. Demo - Lab
1. Caffe-Latte Attack

Tại hội nghị Toorcon 2007, hai nhà nghiên cứu bảo mật không dây Vivek
Ramachandran và MD Sohail Ahmad đã trình bày một cách tấn công mới được
gọi là Caffe-Latte, cho phép chúng ta lấy được WEP key từ khách hàng ngay cả
khi nó khơng được kết nối và ở xa so với mạng.
Để thực hiện được tấn công, chúng ta phải làm cho khách hàng tạo ra đủ số
lượng gói tin WEP mã hóa cần thiết. Các hệ điều hành như Windows, lưu trữ
WEP shared key cùng với chi tiết các mạng liên quan trong Preferred Network
List (PNL) để tự động kết nối tới chúng. Khách hàng sẽ gửi các yêu cầu thăm dò
cho các mạng trong PNL, nếu chúng ta nghe lén được các u cầu thăm dị,
chúng ta có thể xác định được SSID của mạng và tạo điểm truy cập giả mạo với
cùng SSID với mạng đó, phản hồi lại các yêu cầu thăm dò.
Khi khách hàng truy cập vào các điểm truy cập giả này, chúng sẽ được gán địa
chỉ ip tĩnh hoặc động. Sau đó, khách hàng sẽ bắt đầu gửi một vài gói tin ARP vu
vơ, chúng được mã hóa với WEP key. Để bẻ khóa những WEP key này, chúng ta
cần làm cho khách hàng gửi liên tục những gói tin này, cho đến khi đủ số lượng
cần thiết.
Caffe-Latte attack yêu cầu một cách hiệu quả để bắt các gói tin ARP vu vơ này,
và lật các bit thích hợp để sửa địa chỉ MAC và địa chỉ IP của người nhận, chúng
nằm ở vị trí cố định trong gói tin.

Những ARP vu vơ này được biến đổi thành yêu cầu ARP và quay trở lại khách
hàng. Theo cách này, khách hàng sẽ phản hồi yêu cầu ARP nhanh chóng, tăng
tốc q trình bẻ khóa WEP key.
Đầu tiên, chúng ta cần đặt giao diện mạng không dây vào chế độ “monitor”, sử
dụng airmon-ng
Câu lệnh: airmon-ng start wlan0.

17


Sau đó, sử dụng airodump-ng để phát hiện các yêu cầu thăm dị.
Chúng ta có thể thấy những u cầu thăm dị ở phần phía dưới của output khi
chạy lệnh airodump-ng wlan0mon.
Ở đây, chúng ta có thể thấy có yêu cầu thăm do tới mạng “legiabao".

18


Sau khi xác định được SSID của mạng đích, chúng ta tiến hành cài đặt một điểm
truy cập giả mạo(fake AP) có cùng SSID với mạng đích, sử dụng câu lệnh:
airbase-ng -c 6 -W 1 -F coffee -L -e legiabao wlan0mon.

19


Sau khi khách hàng kết nối vào fake AP và gửi những gói ARP thì airbase-ng sẽ
bắt đầu cuộc tấn cơng Caffe-Latte:

Sau khi thu thập đủ số gói tin cần thiết, chúng ta sử đụng aircrack-ng để bẻ khóa
20

WEP key.

Như vậy là chúng ta đã bẻ khóa thành công WEP key sử dụng Caffe-Latte
Attack.
2. Hirte Attack

Hirte attack là tấn cơng được phát triển từ Caffe-Latte attack. Nó cũng cho phép
sử dụng gói tin IP bất kì và khơng chỉ những gói tin ARP vu vơ được nhận từ
khách hàng.
Bằng cách lật bit những gói tin này, chúng ta tạo ra những yêu cầu ARP để gửi
quay trở về khách hàng và thực hiện tấn công.

Thực hiện Hirte attack gần giống với Caffe-Latte attack, sự khác biệt là chúng ta
21


sẽ thay tùy chọn -L bằng tùy chọn -N.
airbase-ng -c 6 -W 1 -F hirte -N -e legiabao wlan0mon

Sau khi thu thập đủ số gói tin cần thiết, chúng ta cũng sử dụng aircrack-ng để bẻ
khóa WEP key.

22


3. Evil Twin Attack

Evil Twin là một kiểu tấn công Man-in-the-Middle trong đó điểm truy

cập giả được sử dụng để theo dõi hoạt động người dùng. Evil Twin hợp pháp
hóa bằng cách nhân bản địa chỉ MAC và Name or Service Set Identifier (SSID)
của mạng. Evil Twin sử dụng nhiều chiến thuật tương tự website spoofing (Một
hình thức khác của MITM).
Evil Twin bắt đầu bằng cách nhân bản SSID mạng và giả vờ là một điểm
truy cập an toàn. Khi người dùng kết nối với chúng và tin rằng đó là nó đảm bảo
mà khơng hay biết sự thật là kẻ tấn công đang chặn tất cả lưu lượng giữa người
dùng và máy chủ, đồng thời đánh cắp dữ liệu cá nhân mà khơng để lại dấu vết
gì. Hậu quả của việc này đó là thơng tin bị đánh cắp nhằm phục vụ hành vi trộm
cắp danh tính hoặc tổn thất tài chính. Cuộc tấn cơng này rất hiệu quả vì phần lớn
các thiết bị truy cập mạng hiện nay khơng thể phân biệt hai mạng có cùng tên.
● Phương pháp tấn công Evil Twin:
Bước 1: Kẻ tấn công thiết lập điểm truy cập không dây giả
Kẻ tấn công thường chọn một nơi cơng cộng có nhiều điểm truy cập công cộng,
23


ví dụ như sân bay. Những nơi như vậy thường có nhiều điểm truy cập WiFi có
cùng tên. Rất tiện lợi trong việc chúng ta đi mọi nơi trong khuôn viên sân bay
mà không bị ngắt kết nối, nhưng điều đó cũng giúp cơng việc của kẻ tấn cơng dễ
dàng hơn nhiều khi tạo ra một điểm phát sóng giả có cùng tên WiFi.
Bây giờ, kẻ tấn cơng có thể sử dụng bất cứ thứ gì từ card mạng, máy tính bảng
hoặc máy tính xách tay đến bộ định tuyến di động để tạo điểm phát sóng. Nó
khá dễ, tương tự khi chúng ta sử dụng điện thoại làm điểm phát sóng để chia sẻ
kết nối với bạn bè của bạn. Tuy nhiên, họ sử dụng cùng tên SSID.
Dùng cách này bởi vì hầu hết các thiết bị khơng đủ thông minh để phân biệt
điểm truy cập hợp pháp và giả nếu chúng có cùng SSID (Một số kẻ tấn cơng có
thể đi xa hơn bằng cách nhân bản địa chỉ MAC của mạng đáng tin cậy).
Bước 2: Kẻ tấn công tạo Captive Portal giả mạo
Nếu đã từng sử dụng WiFi cơng cộng, có lẽ bạn đã thấy trang CP. Chúng thường

yêu cầu bạn nhập thông tin đăng nhập WiFi. Vấn đề với CP là khơng có tiêu
chuẩn nào về vẻ ngoài của chúng và chúng thường được thiết kế rất đơn giản.
Do đó dễ giả mạo.
Những người sử dụng WiFi công cộng đã quá quen với họ theo cách này đến nỗi
thật khó để phân biệt sự khác biệt giữa trang hợp pháp và trang giả mạo. Thật
không may, nếu bạn gặp phải cái sau, nó sẽ gửi thơng tin truy cập WiFi cho kẻ
tấn công.
Nếu là WiFi công cộng khơng có mật khẩu thì kẻ tấn cơng có thể bỏ qua bước
này
Bước 3: Kẻ tấn công khiến nạn nhân kết nối với WiFi Evil Twin
Giờ đây, kẻ tấn cơng đã có một điểm truy cập và một cổng thông tin giả mạo,
chúng cần phải khiến mọi người bỏ kết nối hợp pháp và kết nối với chúng. Điều
này có thể được thực hiện theo hai cách:
● Họ tạo ra tín hiệu Wi-Fi mạnh hơn, điều này sẽ dẫn đến việc các thiết bị
tự động kết nối với Evil Twin.
● Họ ngắt kết nối tất cả mọi người ra khỏi mạng chính bằng cách làm thực
hiện cuộc tấn cơng de-authentication. Các thiết bị được kết nối với mạng
hợp pháp sẽ bị ngắt kết nối, điều này sẽ làm người dùng phải thực hiện
kết nối lại. Bây giờ họ sẽ thấy một mạng mới có cùng tên, rất có thể sẽ
ghi là “Unsecure”. Điều này sẽ gióng lên hồi chng cảnh báo cho người
dùng nhận biết bảo mật, nhưng nhiều người sẽ gạt đi. Phương pháp này
có thể khơng hoạt động trong mơi trường văn phịng, nơi nó sẽ gây nghi
24


ngờ. Những kẻ tấn cơng tìm cách tránh sự nghi ngờ thường chọn một
cơng cụ phổ biến có tên là bettercap, có thể chạy trên các hệ thống Linux,
Mac, Windows và Android.
Bước 4: Bây giờ kẻ tấn cơng có tồn quyền với những dữ liệu người dùng
cung cấp khi truy cập WiFi của họ.

Khi một người dùng được kết nối với AP Evil Twin, cuộc tấn cơng kết thúc.
Tồn bộ quá trình này được sử dụng để cho phép kẻ tấn cơng thiết lập các vị trí
MITM từ đó chúng có thể đánh cắp dữ liệu và tiêm phần mềm độc hại hoặc vào
kiểm soát các thiết bị nạn nhân từ xa. Khi ở vị trí MITM, kẻ tấn cơng có tồn
quyền kiểm sốt WiFi.

● Demo:
Bắt đầu tấn cơng bằng airmon-ng start wlan0

Giám sát lưu lượng, sử dụng airdump-ng wlan0:

25