Realizando Teste de Penetração em Redes Sem Fio

Quando Usar

• Avaliando a segurança de redes sem fio corporativas, incluindo segmentos de Wi-Fi para convidados, corporativos e de IoT
• Testando se atacantes em proximidade física podem comprometer a autenticação sem fio e acessar redes internas
• Validando as capacidades de sistemas de detecção/prevenção de intrusão sem fio (WIDS/WIPS) contra técnicas de ataque conhecidas
• Avaliando a eficácia das configurações de migração e modo de transição do WPA3
• Testando a segmentação de rede entre redes sem fio e com fio após um comprometimento da rede sem fio

Não use contra redes sem fio sem autorização por escrito do proprietário da rede, para ataques de bloqueio (jamming) ou negação de serviço (denial-of-service) contra a infraestrutura sem fio, a menos que explicitamente autorizado, ou em ambientes onde a interrupção sem fio possa afetar sistemas de segurança de vida.

Pré-requisitos

• Autorização por escrito especificando SSIDs alvo, BSSIDs e locais físicos de teste
• Adaptador WiFi externo que suporte modo monitor e injeção de pacotes (Alfa AWUS036ACH, TP-Link TL-WN722N v1)
• Kali Linux ou equivalente com ferramentas sem fio atualizadas (suíte aircrack-ng, hostapd, bettercap)
• Acesso físico ao local de teste durante o horário autorizado de testes
• Conhecimento da arquitetura sem fio do alvo (SSIDs, tipos de autenticação, infraestrutura RADIUS)

Fluxo de Trabalho

Etapa 1: Reconhecimento Sem Fio

Descubra e mapeie todas as redes sem fio no ambiente alvo:

• Habilite o modo monitor: airmon-ng start wlan0
• Capture tráfego sem fio: airodump-ng wlan0mon -w recon --output-format csv,pcap para descobrir todos os SSIDs, BSSIDs, canais, tipos de criptografia e clientes conectados
• Identifique as redes alvo dentro do escopo autorizado e anote suas configurações de segurança (WEP, WPA2-Personal, WPA2-Enterprise, WPA3-SAE, WPA3-Transition)
• Enumere os clientes conectados e seus níveis de sinal para entender a distribuição dos clientes
• Verifique SSIDs ocultos capturando requisições de probe de clientes: airodump-ng wlan0mon --essid-regex ".*" -c <channel>
• Identifique pontos de acesso (APs) falsos comparando os BSSIDs descobertos com o inventário de APs autorizados do cliente

Etapa 2: Captura e Quebra de Handshake WPA2-Personal

Para redes WPA2-PSK, capture o handshake de 4 vias e tente a quebra offline:

• Direcione ao AP específico: airodump-ng wlan0mon -c <channel> --bssid <bssid> -w capture
• Desautentique um cliente conectado para forçar a reautenticação: aireplay-ng -0 5 -a <bssid> -c <client_mac> wlan0mon
• Verifique a captura do handshake no airodump-ng (indicador de handshake WPA aparece)
• Quebre o handshake capturado:
  • Ataque de dicionário: aircrack-ng -w /usr/share/wordlists/rockyou.txt capture-01.cap
  • Acelerado por GPU: hashcat -m 22000 capture.hc22000 /usr/share/wordlists/rockyou.txt
  • Baseado em regras: hashcat -m 22000 capture.hc22000 wordlist.txt -r /usr/share/hashcat/rules/best64.rule
• Para captura de PMKID (sem cliente): hcxdumptool -i wlan0mon --enable_status=1 -o pmkid.pcapng --filtermode=2 --filterlist_ap=<bssid>

Etapa 3: Ataque WPA2-Enterprise

Para redes 802.1X/EAP, tente capturar credenciais através de um RADIUS falso:

• Identifique o tipo de EAP em uso (PEAP-MSCHAPv2, EAP-TLS, EAP-TTLS) capturando requisições de associação
• Configure um AP falso imitando o SSID corporativo usando hostapd-mana com um servidor RADIUS falso
• Configure o hostapd-mana para aceitar todas as tentativas de autenticação EAP e capturar handshakes RADIUS
• Quando os clientes se conectarem ao AP falso, capture pares de desafio-resposta MSCHAPv2
• Quebre as credenciais capturadas com asleap ou converta para o formato hashcat: hashcat -m 5500 captured_ntlm.txt wordlist.txt
• Se o EAP-TLS estiver em uso (baseado em certificado), documente que a captura de credenciais não é viável e que a organização implementou autenticação sem fio forte

Etapa 4: Ataque Evil Twin

Implante um ponto de acesso falso para interceptar conexões de clientes:

• Crie um AP "evil twin" correspondente ao SSID alvo: configure hostapd com o mesmo SSID e canal
• Configure um portal cativo usando dnsmasq para DHCP e DNS, e um servidor web apresentando uma página de login falsa
• Desautentique clientes do AP legítimo para forçar a reconexão ao "evil twin"
• Capture as credenciais enviadas através do portal cativo
• Para redes no modo WPA3-Transition: explore a vulnerabilidade de downgrade criando um "evil twin" apenas WPA2 ao qual clientes em modo de transição se conectarão

…