[图文]无线攻防:破解WEP密钥

图四:组建一个实验环境

在图四所示的网络中，无线AP的选用，我们使用的是一个Netgear的产品，型号为WGT624v2，它在以后充当被攻击目标的角色，在以后就称它为目标AP。在所使用的三台机器中，一台是作为被攻击目标的客户端机器，暂且称之为“Target”;另外两台笔记本一台执行主动攻击，促使网络流量的产生，以便足够多的数据包有比较短的时间内能够被捕捉到，称这台机器为“Attack”;剩下的那台笔记本就是用来嗅探并捕捉那些主动攻击产生的数据包了，则把它称为“Sniff”。当然，尽管整个的破解过程可以在一台笔记本上完成，但笔者并不推荐这种做法，用仅仅一台笔记本，会使以后的工作变得很麻烦，并且发现使用这种方法的话窃听程序可能会发生一点小问题。在一个使用率不高的WLAN中，使用主动攻击比被动探测的机会更大，它可在较短的时间内使WLAN产生更多的数据包从而加快破解WEP的速度。

在这个实验环境中一定非得要使用笔记本不可，我们当然也能够使用桌面PC或桌面PC与笔记本混用，不过使用笔记本的话它的便携性更好，而且对现在的无线PC Card卡有更好的兼容性。

Target所使用的无线网卡与芯片无关，只要是基于802.11b，任意厂家的产品都可满足要求。而Attack与Sniff两台机器是使用的两块基于PRISM芯片的802.11b的无线网卡。尽管我们在以后的操作中中使用的很多工具(如Kismet)都可支持相当多种类的无线网卡，但笔者还是建议使用基于PRISM 2芯片的网卡，因为这种芯片能够被我们在破解过程所要使用到的所有工具都支持。

无线网卡一般有外置天线与内置天线两种，如果所购买的无线网卡并没有内置天线的话，还必须自己再另购天线。不过外置天线的优点就是增益更高，灵敏度更好，可以调节天线的方向从而得到更好的信号接收;而内置天线是可以更方便地携带，缺点是天线方向无法调节。笔者看到有一种移动式外置天线，使用起来是很方便的，在这种移动式天线的底部有几个橡胶材料的小吸杯，可以把它方便地吸附在笔记本的顶盖上，如果是在车内使用的话，还可把它牢牢地吸在车空窗玻璃上呢。如下图五所示。

图四:移动式天线

2、实验WLAN的设置

适当地对这个实验环境进行一下设置是很重要的，因为我们毕竟只想要在这个用来实验的环境中来完成所有的操作，在下文中描述的攻击过程中，将会强制终止一个与AP有连接的客户端。这种攻击可能会对在这个邻近区域内的无线用户造成严重损害，为了避免邻近的AP上的用户受到附带的攻击，是要保护那些并不属于实验WLAN的用户。如果这个操作环境中位于一个复杂的办公室、办公大楼或其他有许多无线网络覆盖的区域中的话，要尝试一下这样的破解操作，请最好等到晚上没什么人工作，网络不再繁忙时进行，免得“城门失火，殃及池鱼”。

第一步就是连接和设置这个被攻击的实验无线局域网，如前面所述，这个WLAN包含有一个Access Point(无线路由器)和仅仅一个无线客户端，且这个无线局域网被我们想要破解的WEP密钥保护起来了。把目标AP的SSID(System Set ID)设置为“starbucks”，SSID用来区分不同的网络，也称为网络名称。无线工作站必须出示正确的SSID，与无线访问点AP的SSID相同，才能访问AP;如果出示的SSID与AP的SSID不同，那么AP将拒绝他通过本服务区上网。可以认为SSID是一个简单的口令，从而提供口令机制，实现一定的安全性。并在这个WAP上配置一个64位的WEP密钥来进行保护。

把如下的信息记录下来以便以后使用

①AP的MAC地址。它通常会在AP的WEB配置菜单上显示出来， AP的底部或侧面的标签上也可能记有本机的MAC地址。

②AP的SSID。

③AP的无线频道(Channel)。

④WEP 密钥。如果无线AP显示的密钥像0xFFFFFFFFFF这样的格式(把设定的值替代F的值)，把除0x外的每个字母都记下来。

第二步就是把Target客户端连接到目标AP上。我们现在需要把这个客户端连接到目标AP以进行进一步的配置，(以下都是在Windows XP下进行的)，右键单击桌面上的“网上邻居”图标，或者通过“开始”菜单，然后单击“属性”，双击“Wireless Network Connection”，然后打开如图五所示的窗口，其中显示的是有多个可用的无线网络，但如果只有一个无线网络的话，则在该窗口中可能只仅仅显示刚刚配置的那个名为“starbucks”的AP，双击相应的SSID名称以连接到目标AP。

图五:连接到目标WLAN

因为AP已开启了WEP保护，连接时Windows会要求输入一个密码(如图六所示)，把刚才设置的的WEP密钥输入(当然从记事本或写字板文档中粘贴过来也可)，稍等一会儿后Windows就会报告已连接到网络上。确认一下是否已真正地连接成功，去ping一个在有线网络计算机来测试一下;或者假如这个实验WLAN已接连到因特网上，随便打开一个WEB站点看是否能够连接来加以确认。如果不能成功地ping通已知地址的机器或者打不开正常的WEB站点，则打开无线网卡的属性，单击“支持”按钮，检查一下无线网上是否已获取了一个正确的IP地址，如果没有能够获取正确的IP地址，看看网络中的DHCP服务器是否已启用，并检查无线网卡的TCP/IP属性是否设置成“自动获取IP地址”了，如果一切都正常，在这个无线连接中点击 “修复”按钮来加以改正。

图六:输入WEP密钥

第三步就是记录下Target机器的MAC地址。一旦成功连接到网络上，就把被攻击的Target计算机的MAC地址记录下来。方法有两种，一是打开一个命令提示符窗口并输入ipconfig/all命令也可看到这个MAC地址，这个窗口的内容如下图七所示(无线网卡的MAC地址信息已高亮度显示)。

图七:输入ipconfig/all命令来发现MAC地址

二是在Windows XP中，可从“无线连接状态”窗口来得到这个MAC地址，单击“支持”按钮，然后单击“详细信息”，这个MAC地址就显示在窗口顶端的右边(如图八所示)，当然，不同的机器显示的名称可能不尽相同，另外的计算机显示的就可能如“物理地址”这一类的描述信息了。在这个窗口的信息，组成MAC地址的字母和数字被短划线分隔，短划线的目的只是使这些字符看得更清楚，但实际的MAC地址是没有这些短划线的。

图八:在网络连接详细信息中显示的MAC地址

3、笔记本的设置

首先，我们来准备破解WEP密钥所需要的几个工具软件(Kismet、Airodump、Void11、Aireplay 和Aircrack)，Kismet:用来扫描整个区域内的WLAN，找到实验用的目标WLAN，收集相关数据(SSID值、频道、AP及与之相连接的客户端的MAC地址等);Airodump:对目标WLAN进行扫描并捕获其产生的数据包到一个文件中;Void11:从目标AP中验证某台计算机，并强制这个客户端重新连接到到目标AP，以使其一个ARP请求;Aireplay:接受这些ARP请求并回送到目标AP，以一个合法的客户端身份来截获这个ARP请求; Aircrack:接受Airodump生成的捕获文件并从中提取WEP密钥。

它们都是公开源代码的共享或自由软件，这些所有的工具都可以在一个被称为 “Auditor Security Collection LIVE CD” 的共享光盘上找到，这个光盘是一张可引导系统的光盘，可以引导一个经过改进过的Kanotix Linux，这个Linux版本无需存取硬盘，在通过光盘启动时直接安装到内存中就，它启动后可自动检测和配置多种无线网卡。在本文使用的Auditor Security Collection LIVE CD是最新版本，版本号为auditor-150405-04，下载地址为http://new.remote-exploit.org/index.php/Auditor_mirrors，下载的文件格式是CD映像文件或.ISO文件，通过NERO(或其他的刻录软件)把它刻录下来，给Attack和Sniff机器各一张。

首先把无线网卡插入到笔记本中(如果机器内置有无线网卡就最好不过了)，再把笔记本设置成从光盘引导，并把Auditor Security Collection CD放入光驱中。从Auditor引导菜单中选择合适的屏幕分辨率后，Kanotix Linux会被安装到内存中运行并出现Auditor开始屏幕(如图九所示)。

图九:Auditor的开始屏幕

在这个Auditor系统中，两个最重要的图标是位于屏幕左下方的Programs和Command Line图标，我们以后的许多操作基本上都是要通过它们来完成的。如图十所示。

图十:Program和Command Line的位置

在这里，开始做其他任何其他的事情之前，先要确认我们机器上的无线网卡能够通过Auditor的验证。单击Command Line图标以打开一个命令行窗口，然后输入iwconfig命令，在Auditor显示出的信息中，你会看到有关于“Wlan0”的信息，它是Auditor为基于PRISM芯片的卡确定的一个名称，如果用来操作攻击的笔记本的屏幕显示如图十一所示的窗口，则表明Auditor已检测到了无线网卡，现在就可以开始下一步工作了。对于另外一台笔记本，也进行同样的步骤，重复这一操作。

图十一:用iwconfig命令检验无线网卡

好，准备工作现在基本完成，在本文的下篇里，我们将开始实际的解决过程。