無線LANのパケットを手っ取り早くキャプチャする方法メモ 3 comments
こんにちは。
もうそろそろ、といっても9月ですが「無線LANセキュリティの教科書2012」が出るはずです。その原稿書きに8月は追われていました。とはいえあくまで入門書なので、ここをご覧いただいているようなある意味突き抜けた人にはご縁がないかもしれません。あしからず。
で、そこには収録されることはないと思いますが、ちょっとだけ紹介したBlackBuntuをインストールしたついでに無線LANのフレームをキャプチャしたりしてみたのでメモしておきます。
久しぶりの更新だというのにメモなのでたいしたことは書いてません。
・無線LANのキャプチャ
まずWireSharkでキャプチャ。暗号化されて流れているフレームを復号して、パケットを眺める方法です。
ただ集めて保存するだけなら、パスワード設定のくだりは必要ないですし、べつにairodump-ng使えばいいと思います。
起動してまず
Windowsの場合は
「View」→「Wireless Toolbar」しておくと便利かも。
まず「Edit」→「Preference」の「Preference」から「IEEE802.11」を選びます。
フレームが暗号化されている場合「Enable decryption」にチェック。
WEPの場合は16進数でキーを(5文字の場合:で区切る13)
WPAの場合は
wpa-psk:パスワード
もしくはwpa-psk:パスワード:ssid
wpa-pskにしたい場合は
http://www.wireshark.org/tools/wpa-psk.html
のWPA PSK (Raw Key) Generatorを使うといいかも。
設定が終わったら「Capture」からキャプチャ。
WEPの場合は最初からモリモリ取れるけど、WPAの場合鍵交換が終わってテンポラリキーが手に入るまではキャプチャできないので焦らず待つことに。
・フレームのデコードというか復号というか
WireSharkで保存したフレームはデータが復号されてない802.11の生データなので
IP通信覗きたいときはデコードした形にしたいよね。毎回パスワード設定すんの面倒だよね。
と思った俺はairdecap-ngを使うといいみたい。
WEPの場合
# airdecap-ng -w [16進パスワード] [ファイル名]
WPAの場合(essid必須)
# airdecap-ng -p [パスワード] -e [essid] [ファイル名]
これで暗号化されていない802.11フレームが
hoge.capだとhoge-dec.capみたいに別ファイルで保存されますので、これでパスワード忘れてもいいね。
(WireSharkで復号されたまま保存されるやり方もあるのかもしれないが未確認)
・Xplicoを使っていろいろデータを復元
ついでにインストールされているXplicoを使ってデータを復元してみます。
特に何も考えず
「Service」→「Xplico」→「Start Xplico」
アクセスはブラウザーから
http://127.0.0.1:9876/
デフォルトユーザー/パスワードは「xplico」
デコードしたpcapファイルをアップロードするとデータが復元されるっぽい。
あんまりがっつりデータを取ってないので詳細はまた後日。
とりあえずどれもよく落ちるのでメモリとCPUは高スペックな方がいいと思いました。
3 Responses to '無線LANのパケットを手っ取り早くキャプチャする方法メモ'
Subscribe to comments with RSS or TrackBack to '無線LANのパケットを手っ取り早くキャプチャする方法メモ'.
-
こんにちは。コメントありがとうございます。
確かに2012ですね。訂正しておきます。 -
コメント失礼します。
1.無線LANに接続する前にキャプチャを始めていれば、必ずテンポラリ鍵を入手できますか?それとも、何回かwifiをON/OFFしないといけませんか?
2.テンポラリ鍵を入手するために必要なパケットはなにですか?(Key message 1 of 4とかなのかなと思っています)
3.復号化できたファイルを保存して、翌日また開いたら復号化できなくなったのですがなぜかわかりませんか?
質問をたくさんして申し訳ないのですが、答えられるのがあったら回答いただければ幸いです
余計な事だったらごめんなさい。
「無線LANセキュリティの教科書2011」ではなく
「無線LANセキュリティの教科書2012」なような気がします。