REAVER: Vulnerabilidad de WPA por WPS habilitado

[HCK.]

Bueno. Como siempre mis ambiciones, llevan ha intentar cumplir mis disparatados planes 

Asi que cuelgo datos sobre mi plan magistral de supuestamente recreado como sería capturar una asociación WPS y atacarla por fuerza bruta pura y dura.

Cabe destacar que he hecho todo lo posible disponiendo de un PC cacoso, arcaico, y una GPU que a lo mejor un dia le da un calenton y explota, pero bueno empezemos la delicatese 

Al dia de hoy, he cambiado la clave de mi red, por una de 8 digitos numericos sin ningun caracter especial (al igual de como funciona WPS).

Haciendo una desauthenticación, he capturado un handshake de mi propia red con la nueva clave, de aqui en adelante lo llamaremos "PIN", como corresponde a las caracteristicas recreadas de una asociación por WPS.
Vuelvo a destacar que es una recreación, al dia de hoy no exite tal herramienta para capturar tal asociación WPS como si de un handshake se tratase. Lo dejo claro por no crear dudas.

El resultado a la pesca es este.
Adjunto imagen:

Utilizando una de las ultimas versiónes de EWSA.
De equipo cacoso:
Intel Core 2 Duo E2200 @ 2,2 Ghz (podia haberlo subido a 3 Ghz, que es como lo tengo OC aveces, pero seguro que no sería mucha diferencia.)
GPU GeForce 8400 GS (si, es patetico... Pero probaré dentro de poco con una GTS450 OC, que tengo pensado pillarme, digo yo que variará la cosa bastante.)
2GB de RAM DDR2.

El resultado son de média 200keys/x seg, con algun subidón a 300. La clave esta en el diccionario que he utilizado, una de las finales.
Tiempo estimado para concluir el diccionario y obtener aproximadamente el PIN sería: 358dias, 16 horas, 54 min y 21 seg aprox. (como bien dice la imagen.)
Realmente una locura. Animo a la gente, a intentar recrearlo, que disponga de un equipo con un rendimiento decente, o actual. Equipos de media/alta gama.
El cambio tiene que ser brutal.
Lo volveré a intentar, cuando haga algunas modificaciones, tengo pensado poner GPU GTS450 OC, otro módulo de 2GB de RAM, y si pillo alguno barato, pillar un Q6600 o cosa así. Si no se puede pues subiré las frecuencias hasta el limite del E2200.

Por poder se puede, con algo medianamente util, se puede. Y en poco tiempo. Haber si es posible esa idea de la captura de la asociación WPS.

Bueno, un saludo.

[P4nd3m0n1um]

358dias, 16 horas, 54 min y 21 seg aprox. (como bien dice la imagen.)
Realmente una locura. Animo a la gente, a intentar recrearlo, que disponga de un equipo con un rendimiento decente, o actual. Equipos de media/alta gama.
El cambio tiene que ser brutal.

mito eso por usar windows, yo paso diccionarios de 8 dígitos numérico de 00000000-99999999 en 4 días con una maquina mas pobre y eso que lo estoy generando con el crunch; no hay ningun archivo lógico de diccionario.

[P4nd3m0n1um]

lo peor que el reaver llega un momento que hace colapsar al router, ha desaparecido por unas 10 horas... pero llegar a 100% y q me diga algo, sino llueven mensajes contra este  

mas bien habria que encontrar alguna forma de burlar al router, onda de cambiar el tiempo entre pin y pin ya que he probado algunos comandos pero sigue haciéndolo a su velocidad normal.

I'm using ALfa rtl8187. reaver 1.4

found this way to make it work

1. run: aireplay-ng mon0 -1 120 -a (MACADDRESS) -e (SSID)
2. then: reaver -i mon0 -A -b (MACADDRESS) -c 6 -vv --no-nacks --win7

hope this help

por todos lados lo puso.
http://code.google.com/p/reaver-wps/issues/detail?id=230

también están los Mx o M4, etc. Cuando uno capa el M6 se saben los primeros 4 dígitos del PIN, salta al 90% el reaver.

------------------------------------------------------------------------------------

por algo también agregue en WPSCrackGUI una base de datos, ejemplo si sabes los primeros 4, te faltan solo 4 y así se crackearia mas fácilmente especificando estos pines.

Mejor 10⁴=10.000 que 10⁸=100.000.000.

[HCK.]

Ums, eso de que puede ser por Windows, te doy la razón, y me tenta. Probare con el mismo handshake en pyrit. Nunca lo he usado pero por probar cosas nuevas .
No se, el router parece ser que lo tiene muy bien controlado. Probé con el mio que tiene WPS, se comió los 10 primeros, y ya petó. Al dia siguiente probé y seguia petado :S, ni arrancaba como cuando los 10 primeros. Lo que no he probado por ejemplo, es intentarlo, petarme a los 10, hacer un spoof de la MAC y volverlo a intentar, a lo mejor cuela... Lo tengo que intentar. A no ser que el WPS directamente bloquee todas las asociaciones que le lleguen si algun cliente introduce varias erroneas.
Ums, tengo un rato para seguir experimentando.

Usan una asociación y luego pasan reaver, es muy raro. Lo probaré, pero me huele a que la cosa no cambiará nada.

Yo aún no le hice funcionar ni medio decente, y he probado con mi router y con otro, que tiene un ONOXXXX.

[P4nd3m0n1um]

yo probe cambiando la MAC por la del router, reaver no iniciaba, cambiando por la de algún usuario tampoco cambio en nada, si hay veces que cuando se bloquea ejemplo, cambias la mac y podes probar alguno mas, pero seria cambiar mac cada ves q este se bloquea, aproximadamente, 5 cambios por hora pero no siempre funciona.

en Wikipedia EN, explica como funciona, segun parece es imposible pensar un handshake:

Protocol  The WPS protocol consists as a series of EAP message exchanges that are triggered by a user action and relies on an exchange of descriptive information that should precede that user's action. The descriptive information is transferred through a new Information Element (IE) that is added to the beacon, probe response and optionally to the probe request and association request/response messages. Other than purely informative Type-length-values, those IEs will also hold the possible, and the currently deployed, configuration methods of the device. After the identification of the device's capabilities on both ends, a human trigger is used to initiate the actual session of the protocol. The session consists of 8 messages that are followed, in the case of a successful session, by a message to indicate the protocol is done. The exact stream of messages may change when configuring different kinds of devices (AP or STA) or using different physical media (wired or wireless).x

[HCK.]

¿No te funciona con el MAC spoof?. Leí esto en la wiki del reaver.

Código [Seleccionar] Expandir

MAC Spoofing

In some cases you may want/need to spoof your MAC address. Reaver supports MAC spoofing with the --mac option, but you must ensure that you have spoofed your MAC correctly in order for it to work.

Changing the MAC address of the virtual monitor mode interface (typically named mon0) WILL NOT WORK. You must change the MAC address of your wireless card's physical interface. For example:

# ifconfig wlan0 down
# ifconfig wlan0 hw ether 00:BA:AD:BE:EF:69
# ifconfig wlan0 up
# airmon-ng start wlan0
# reaver -i mon0 -b 00:01:02:03:04:05 -vv --mac=00:BA:AD:BE:EF:69

Es más, en muchos sitios recomiendan el spoof, puesto que el ataque por WPS es detectable. Tambien es cierto que si hay que hacer un spoof cada pocos X intentos, la cosa cambia y deja de ser algo viable.
Esto empieza a ser una movida muy rara.. A cada cual le vá como quiere.  
Mañana por la mañana aré pruebas con el asunto y te comento, ya tengo echado el ojo a unos cuantos con WPS ON.

[psych0tyck]

Les Cuento mi experiencia con reaver: empeze el Lunes a sacar una clave me demore 3 dias, termine el miercoles en la noche.. el resultado?

http://k21.kn3.net/13A5F50B0.png
Ahora estoy desde el jueves tratando de sacar otra clave pero llevo 1.04% en tres dias bueno hasta hace 10 minutos 0,78% pero leyendo los comments probe cambiando la mac y me funciono me acepta 12 request y aparece esto

Código [Seleccionar] Expandir

[!] WARNING: Receive timeout occurred
[+] Sending EAPOL START request
[!] WARNING: Receive timeout occurred
[+] Sending EAPOL START request
[!] WARNING: Receive timeout occurred
[+] Sending EAPOL START request
^C

Pero ya es un avanze a que me tire todo el rato el mismo error
Tambien cree un script para que me cambie la mac y inicie reaver

Código [Seleccionar] Expandir

#!bin/sh
ifconfig wlan1 down
macchanger -r wlan1
ifconfig wlan1 up

reaver -i mon0 -b 00:1D:XX:XX:XX:XX -vv
Saludos!!

[P4nd3m0n1um]

¿No te funciona con el MAC spoof?. Leí esto en la wiki del reaver.

Código [Seleccionar] Expandir

MAC Spoofing

In some cases you may want/need to spoof your MAC address. Reaver supports MAC spoofing with the --mac option, but you must ensure that you have spoofed your MAC correctly in order for it to work.

Changing the MAC address of the virtual monitor mode interface (typically named mon0) WILL NOT WORK. You must change the MAC address of your wireless card's physical interface. For example:

# ifconfig wlan0 down
# ifconfig wlan0 hw ether 00:BA:AD:BE:EF:69
# ifconfig wlan0 up
# airmon-ng start wlan0
# reaver -i mon0 -b 00:01:02:03:04:05 -vv --mac=00:BA:AD:BE:EF:69

Es más, en muchos sitios recomiendan el spoof, puesto que el ataque por WPS es detectable. Tambien es cierto que si hay que hacer un spoof cada pocos X intentos, la cosa cambia y deja de ser algo viable.
Esto empieza a ser una movida muy rara.. A cada cual le vá como quiere.  
Mañana por la mañana aré pruebas con el asunto y te comento, ya tengo echado el ojo a unos cuantos con WPS ON.

yo lo hago con el macchanger, es lo mismo recién probé.

Les Cuento mi experiencia con reaver: empeze el Lunes a sacar una clave me demore 3 dias, termine el miercoles en la noche.. el resultado?

http://k21.kn3.net/13A5F50B0.png
Ahora estoy desde el jueves tratando de sacar otra clave pero llevo 1.04% en tres dias bueno hasta hace 10 minutos 0,78% pero leyendo los comments probe cambiando la mac y me funciono me acepta 12 request y aparece esto

Código [Seleccionar] Expandir

[!] WARNING: Receive timeout occurred
[+] Sending EAPOL START request
[!] WARNING: Receive timeout occurred
[+] Sending EAPOL START request
[!] WARNING: Receive timeout occurred
[+] Sending EAPOL START request
^C

Pero ya es un avanze a que me tire todo el rato el mismo error
Tambien cree un script para que me cambie la mac y inicie reaver

Código [Seleccionar] Expandir

#!bin/sh
ifconfig wlan1 down
macchanger -r wlan1
ifconfig wlan1 up

reaver -i mon0 -b 00:1D:XX:XX:XX:XX -vv
Saludos!!

algo es algo pero no se salta el router que se bloquea por 24 horas. Fíjate que ahí esta el M6, el reaver detecto que el router tiene los primeros 4 dígitos 5888xxxx desde ahí solo cambiara los últimos 4 hasta encontrar el pin. Así que quizás mi base de datos tenga un efecto positivo. El M7 es q encontró los otros 4. como comienza la MAC del Router?

cabe destacar que también leí que según parece el router tiene un micro y una memoria, al intentar tantos ataques este se sobre cargar y se reinicia o prácticamente desaparece.

PD: para el que quiera aportar su pin; para la base de datos de WPSCrackGUI, parcial (primeros 4 dígitos) o completo (8 dígitos), puede enviarlo desde aquí.

[tainonaino]

Hola P4nd3m0n1um no quiero quitarte la ilusion pero dudo que el pin y la wpa sigan un patron o que se produzcan equivalencias o repeticiones en ambas.De hecho tu clave puede ser "PATATA" y ya me diras que relacion puedes establecer con el pin.
Creo ,esta es mi experiencia personal, que la distancia al router es la que va a determinar en gran medida el tiempo de respuesta en cada intento .
Yo he tardado unas 7 horas en conseguir una wpa2 a unos 40 m y unas 4 horas a unos 10 m , como consecuencia de la demora en la recepcion de la respuesta del r
outer que hace que reaver repita el mismo pin en varias ocasiones..
Un dato, los routers con BSSID 38:60:77:xx:xx:xx traen como pin por defecto 12345670 asi que al primer intento salen.
En ocasiones , a mi me ha pasado que el reaver me ha dado solo el pin pero repitiendo el proceso ,si es que reaver ya habia agotado todos los posibles pins;al final tambien me proporcionaba la wpa.
En fin, un saludo..

[P4nd3m0n1um]

Hola P4nd3m0n1um no quiero quitarte la ilusion pero dudo que el pin y la wpa sigan un patron o que se produzcan equivalencias o repeticiones en ambas.De hecho tu clave puede ser "PATATA" y ya me diras que relacion puedes establecer con el pin.

nunca dije que pasaba eso, solamente vi varias "en ESPAÑA" solamente que paso lo que conté anteriormente que el pin estaba en parte de la WPA pero eso no quiere decir que en todos los routers pase, mas un solamente en los usuarios que no son ni capases de cambiar contraseñas o dejan siempre la por defecto si esta existe o no.

Creo ,esta es mi experiencia personal, que la distancia al router es la que va a determinar en gran medida el tiempo de respuesta en cada intento .

eso mismo me dijo el tipito del reaver pero no es tan así, tener el router al 98% (como estar dentro del router) de señal no indica que se pueda crackear rápido fijate yo, mas de 8 días sin nada, ya estoy por llegar al 80% en el reaver y nada... espero que salga algo...

Yo he tardado unas 7 horas en conseguir una wpa2 a unos 40 m y unas 4 horas a unos 10 m , como consecuencia de la demora en la recepcion de la respuesta del r
outer que hace que reaver repita el mismo pin en varias ocasiones..
Un dato, los routers con BSSID 38:60:77:xx:xx:xx traen como pin por defecto 12345670 asi que al primer intento salen.
En ocasiones , a mi me ha pasado que el reaver me ha dado solo el pin pero repitiendo el proceso ,si es que reaver ya habia agotado todos los posibles pins;al final tambien me proporcionaba la wpa.
En fin, un saludo..

también al contactarme con el del reaver me dijo que se sobrecargan por eso es que resultan estas fallas, mas bien podemos imaginar que por cada pin le pegamos un martillazo al router, va a llegar un momento en el que el router no responda mas... jeje que ejemplo!

Buena data la del 38:60:77 y gracias por compartirla.

En ocasiones , a mi me ha pasado que el reaver me ha dado solo el pin pero repitiendo el proceso ,si es que reaver ya habia agotado todos los posibles pins;al final tambien me proporcionaba la wpa.
En fin, un saludo..

ese es un error que vi en el sitio del reaver, hay veces que te da la WPA en hex, hay q repetir varias veces para determinar la final.

gracias por tu información ha sido de gran ayuda.