Как aireplay-ng --arpreplay идентифицирует пакет ARP, когда он зашифрован?
aireplay-ng --arpreplay ожидает пакеты ARP, захватывает их и затем внедряет их, как пожелает. Предполагая, что сетевой трафик зашифрован с помощью WEP или как вообще может aireplay-ng идентифицировать пакет ARP? Когда я смотрю на трафик в Wireshark, я не вижу никаких доказательств ARP, если не расшифрую трафик.
1 ответ
WEP CRACKING
Слабые ИВ: Слабые ИВ - это iv, которые показывают информацию о самом ключе wep
Было обнаружено, чтоRC4 в своей реализации в WEP имеет слабые ключи. Наличие слабого ключа означает, что между ключом и выводом корреляции больше, чем должно быть для обеспечения безопасности. Определить, какие пакеты были зашифрованы слабыми ключами, легко, потому что первые три байта ключа берутся из IV, который отправляется в незашифрованном виде в каждом пакете. Эта слабость может быть использована пассивной атакой. Все, что нужно атакующему, это находиться в пределах ста футов от точки доступа.
Из 16 миллионов доступных значений IV около 9000 представляют интерес для самого популярного инструмента атаки, то есть указывают на наличие слабых ключей. Атакующий захватывает "интересные пакеты", фильтруя IV, которые предлагают слабые ключи. После того, как злоумышленник соберет достаточно интересных пакетов, он проанализирует их, и ему нужно только попробовать небольшое количество ключей, чтобы получить доступ к сети. Поскольку все исходные IP-пакеты начинаются с известного значения, легко узнать, когда у вас есть правильный ключ. Чтобы определить 104-битный ключ WEP, вам нужно захватить от 2000 до 4000 интересных пакетов. В довольно загруженной сети, которая генерирует миллион пакетов в день, может быть захвачено несколько сотен интересных пакетов. Это будет означать, что для определения ключа потребуется неделя или две
теперь давайте перейдем к вашему вопросу
как aireplay-ng может идентифицировать пакет ARP?
да, пакеты зашифрованы, но пакеты запроса ARP всегда имеют фиксированный размер 28 байтов, поэтому при просмотре заголовка кадра DOT11, имеющего широковещательный адрес, и обнаруживаются полезные данные запросов arp фиксированного размера
Надеюсь, вы получили то, что искали