2021年10月17日01:33:13已关闭评论762 views字数 13398阅读44分39秒阅读模式

简介

The WiFi Pineapple 是由国外无线安全审计公司Hak5开发并售卖的一款无线安全测试神器（俗称大菠萝），从2008年起目前已经发布到第六代产品。当前的主打产品是The WiFi Pineapple NANO 和WiFI Pineapple TETRA（支持5GHz频段）

产品规格

CPU：400 MHz MIPS Atheros AR9331 SoC

内存：64 MB DDR2 RAM

磁盘：16 MB ROM + Micro SD（6G）

无线：Atheros AR9331（wlan0）+ Atheros AR9271（wlan1），均为IEEE 802.11 b / g / n

端口：（2）RP-SMA天线，USB网卡（ASIX AX88772A）

USB 2.0主机，Micro SD读卡器

电源：USB 5V 1.5A. 包括 Y型USB电源线

可配置状态指示灯LED

可配置的重置按钮

使用背景

1.安全研究

对于研究方向为wifi安全的小伙伴们，可以使用这款“外设”作为入门和进阶的部分，能够让我们了解一些常见的wifi安全问题、原理和攻击手段，进一步的可以分析这些利用工具的原理，实现方法，组合攻击手段

2.安全演示

如果你是安服的小伙伴，给客户演示的时候不要总是带着自建靶场，给领导搞个SQL注入，永恒之蓝，过时了！就算你配合Cobalt Strike来个主机上线，也顶多是视觉上的刺激。你带个wifipineapple，现场来个中间人，搞个绵羊墙，抓个密码，岂不美哉？

管理

Web管理端地址：http://172.16.42.1:1471

特性

用作 Wi-Fi 中间人攻击测试平台
一整套的针对 AP 的渗透测试套件
基于 WEB 应用的管理界面
基于嵌入式 linux 系统
不定时的各种软件更新，可以自定义模块、payload

管理页面简介

1.Dashboard仪表盘

仪表盘上显示了一些状态、统计信息、通知和公告的概览视图，包括：

CPU 使用率、设备运行时间、客户端连接数量

Landing Page 浏览状态，公告

Bulletins从wifipineapple.com获取的最新项目信息

2.Recon侦察

Recon模块采用被动式扫描方式，扫描过程会自动将网卡设置为监听模式，监听周围不同信道（客户端）发出的各种数据包。能够扫描出SSID、MAC地址、加密方式、是否启用了WPS功能、信道及信号强度等信息。甚至还能扫描出当前未连接任何AP的客户端

从下拉列表为扫描的持续时间，增加扫描时间可以在每个信道上看到更多潜在的流量，选中“Continuous”框将启用正在进行的扫描。每隔一段时间进行持续扫描，并更新扫描结果列表，直到扫描停止

扫描结果将显示在表格视图中

image-20210107231050591

未关联的客户端仅显示 MAC 地址。这些客户端具有活动无线电，但不与接入点关联

image-20210107231132085

单击SSID和MAC地址旁的下拉菜单，会出现如下两张图的菜单，用于 PineAP 模块的 Filter(过滤) 和 Tracking(追踪) 功能，以及进行 Deauth(取消认证洪水) 攻击中发送取消身份验证帧的倍数参数

image-20210107231253023

如果使用 Recon 模块进行扫描将会断开已有的连接

3.Client客户端

如果在 PineAP 中勾选了 Allow Associations(允许关联)，WiFi Pineapple将允许客户端进行连接

已连接的客户端将在“ Clients ”视图中列出它们各自的MAC地址，IP地址，它们已连接的 SSID （如果在PineAP中启用了Log Probes(日志探测) 功能）和主机名

Kick按钮可以从Wi-Fi Pineapple网络中删除客户端

MAC地址和SSID旁边的下拉菜单按钮用于 PineAP 模块的 Filter 和 Tracking 功能

Refresh按钮可以刷新Clients表格视图

image-20210107231838630

4.Tracking

跟踪功能将按MAC地址连续扫描指定的客户端，并执行可自定义的跟踪脚本

此功能需要启用 PineAP 的 Log Probes 和 Log Associations 中的至少一个选项

可以手动添加客户端，也可以在 Clients 或 Recon 视图中关联的MAC地址使用 PineAP Tracking Add MAC 按钮添加 Mac 地址到此模块中

当客户端被识别时，将会执行自定义脚本

5.Filters

image-20210107233004096

可以通过客户端MAC地址或SSID来执行过滤。支持“Deny”和“Allow”模式，可以使用Swith按钮进行切换

Client Filtering 客户端过滤

在Deny Mode下，客户端过滤器中列出的具有MAC地址的客户端将无法连接到WiFi Pineapple

在 Allow Mode下，只有客户端过滤器中列出的具有MAC地址的客户端才能连接

进行WI-FI安全测试时，最好使用“Allow Mode”以确保仅针对参与范围内的客户端

SSID Filtering SSID过滤

在Deny Mode下，如果客户端尝试连接到过滤器中列出的SSID，则客户端将无法与WiFi Pineapple关联

在 Allow Mode下，如果过滤器中列出了他们尝试连接的SSID，则客户端只能与WiFi Pineapple关联

SSID可以从与Recon中各自列表相关联的菜单按钮添加到过滤器中，也可以手动添加或删除过滤器中的条目

6.PineAP Pine接入点

PineAP是通过伪造的Probe Response响应包来响应周围的客户端（可能是笔记本、手机、pad等等），让客户端以为周围存在着曾经成功连接过的无线AP，而用来欺骗客户端进行连接我们的Pineapple Nano设备

image-20210107235456065

Allow Associations 允许关联

此项被勾选时，客户端可以通过任何请求的 SSID连接到Pineapple

禁用时，客户端将不允许被连接。相当于以前的 karma

PineAP Daemon PineAP 守护进程

这个进程必须开启

可以使用 Beacon 响应，捕获 SSIDs 到池里，以及对SSID进行广播

这个设置会作用于 wlan1 ，并且 wlan1 不能用于 Client 模式去桥接外网

Log PineAP Events 日志探测

开启后，将记录客户端的探针请求。可以从 Logging 模块里看查看分析

Beacon Response 响应

开启之后，目标 beacons 将会发送给客户端设备，用来响应客户端的 SSID 探针请求

这些 beacons 将不会被广播，而是指定发送给发送了探针请求的客户端设备。这可以防止beacon 被其他设备看见。如果 Allow Associations 启用并且有客户端连接，目标 beacon 响应将持续发送给客户端设备一段时间

Beacon 响应将会使用源 mac 地址设置，并且也会与广播 SSID池特性共享

Beacon 响应间隔将决定发射的频率

Capture SSIDs to Pool

使能之后，将会把捕捉到的探针请求里的 SSID 保存到 SSID 池子里。这

种被动的特点将有利于广播 SSID 池特性。SSID 池也可以被手动来管理

Broadcast SSID Pool

使能之后，SSID 池将会按照设定的时间间隔以及源地址、目标地址来广播

beacon。就是以前的 Dogma

Beacon Response Interval

指定广播 SSID 的时间间隔。间隔越小，对 CPU 的占用就越高。

Beacon Response Interval

指定 beacon 响应的时间间隔。间隔越小，对 CPU 的占用就越高

Source MAC

默认情况下，是菠萝 wlan0 的 mac 地址。这是菠萝的 ap 的热点。wlan0 的 mac 地

址也可以在 Networking 里改变。如果需要的话，这个 mac 地址可以被设定为一个次要的菠萝。

Target MAC

默认情况下，这是广播 mac 地址 FF:FF:FF:FF:FF:FF。用于广播帧数据将会被附近的

客户端看到。设置为客户端的 mac 地址将把 PineAP 的特性用于单一的设备。类似 beacon 响应，只

有池子里的 SSID 广播会被目标客户端看到。当和过滤器一起工作时，这个特性将更精确的定位到目

标设备。

SSID Pool

当Capture SSID Pool 被使能后，会自动记录。也可以手动添加。点击列表里的 SSID，

也可以执行删除和清除操作

7.Tracking

image-20210108003751612

跟踪功能将按MAC地址连续扫描指定的客户端，并执行可自定义的跟踪脚本

此功能需要启用 PineAP 的 Log Probes 和 Log Associations 中的至少一个选项

可以手动添加客户端，也可以在 Clients 或 Recon 视图中关联的MAC地址使用 PineAP Tracking Add MAC 按钮添加 Mac 地址到此模块中

当客户端被识别时，将会执行自定义脚本

8.Logging

image-20210108004435046

Logging模块共记录了 PineAP Log、System Log、Dmesg、Reporting Log四种日志

PineAP Log

如果启用了Log Probes 和 Log Associations其中的一个或全部，则按时间顺序显示PineAP事件。每个事件都包含时间戳，事件类型（探测请求或关联），客户端设备的MAC地址以及设备探测或关联的SSID

可以对结果进行过滤，在按下”Apply Filter”之前，过滤器不会生效，默认情况下，PineAP日志位于/tmp中，重启不会保存

System Log

系统日志

Dmesg

设备故障的诊断，硬件连接断开等信息

Reporting Log

生成报告日志

9.Reporting

image-20210108004746791

此功能能够以指定的间隔生成报告。报告可以通过电子邮件发送，也可以本地保存在SD卡上

报告内容可选，包括PineAP日志（可以在生成报告后删除），PineAP Site Survey（可指定扫描时间）PineAP 探测和跟踪客户端报告。

10.Networking网络

在 Networking 模块中，可以更改路由，接入点，MAC地址，主机名，并使用WiFi客户端模式连接到接入点

Route 路由

显示内核IP路由表，可以针对所选接口进行修改，默认网关为172.16.42.42

使用WiFi Pineapple Connector Android应用程序时，IP路由将自动更新以使用usb0作为默认网关

下拉菜单可以重启DNS服务

image-20210108004844930

Access Points 接入点

可以配置WiFi Pineapple主要开放接入点和管理接入点。开放和管理接入点共享相同的信道

可以隐藏开放接入点，并且可以禁用管理接入点

WiFi Client Mode WI-FI客户端模式

能够将WiFi Pineapple连接到另一个无线接入点，以进行Internet或本地网络访问

image-20210108005043399

11.Configuration

Landing Page

启动后，客户端全部链接将会被强制导向到此页面，页面访问的统计信息将会显示在 Dashboard 上

页面可以是 PHP 或 HTML 的

只有WiFi Pineapple具有Internet连接时，才会显示此页面

image-20210108005535734

12.Advanced

此页面显示一些系统资源信息，USB 设备，文件系统列表，CSS 和固件升级。

13.Help

可以查看对应模块的帮助和使用介绍

常用模块

模块总结

DWall 绵羊墙，可以显示 HTTP URLs, Cookies, POST DATA，可实时展示客户端的
图片
Deauth 对菠萝附近接入到其他 AP 的客户端进行认证攻击
EvilPortal 一个邪恶的强制网络门户
SSLsplit 使用 SSLsplit 执行中间人攻击
Status 显示设备的状态信息
ettercap 使用 ettercap 执行中间人攻击
NMAP GUI 的安全扫描器 NMAP
SiteSurvey 无线现场调查
urlsnarf 使用 urlsnarf 输出 客户端所有的 http URL 请求
Occupineapple 广播用于欺骗的 WiFi SSID 热点
tcpdump 使用 tcpdump 抓取 客户端数据包
DNSspoof dns 欺骗
SignalStrength 显示附近 ap 的信号强度
RandomRoll 恶搞连接到菠萝的客户端
wps 使用 Reaver, Bully and Pixiewps 进行 wps 攻击
ConnectedClients 显示当前连接的客户端设备的信息
OnlineHashCrack 提交 Hash 和 WPA Handshake 包 到 www.onlinehashcrack.com
PortalAuth 强制门户克隆 和 流量分发
get 通过客户端的浏览器插件来识别客户端的信息
p0f 使用 p0f 被动流量指纹
Papers 一个 TLS/ SSL 和 SSH 证书生成管理插件
LogManager 管理所有模块的 log 信息
Cabinet web 页面的文件管理器
Responder LLMNR，NBT-NS 和 MDNS 投毒内置的 HTTP，SMB，MSSQL，FTP 和 LDAP
流氓认证服务器
DNSMasqSpoof 使用 dnsmasq 来进行 dns 欺骗
ngrep 使用 ngrep 来匹配查找数据包
autossh autossh 插件，可用于远程 ssh 来管理菠萝
dump1090 使用 RTS-SDR 获取轨道飞行器的 ADS-B 信标
KeyManager ssh 密匙管理器
CursedScreech 安全控制容易被入侵的系统
base64encdec Base64 编码和解码
ModuleMaker module 生成工具
APITokens 在 wifipineapple 上创建和删除 API 令牌
Commander 通过 IRC 控制菠萝
HackRF HackRF 插件

DWall绵羊墙

DWall 是一款可以实时抓取 http 数据的插件，并且可以实时展示在web页面上

Enable开启模块，Start Listening 开始监听

所有连到 Pineapple 客户端的http连接都会被抓到

页面显示了客户端、URL、Cookies、数据内容，以及图片

image-20210120155024676

Deauth

De-authenticationFlood Attack，全称为取消身份验证洪水攻击或验证阻断洪水攻击，通常被简称为Deauth攻击，是无线网络拒绝服务攻击的一种形式。它旨在通过欺骗从AP到客户端单播地址的取消身份验证帧来将客户端转为未关联／未认证的状态

image-20210120155608984

normal模式下，选中网卡，点击 Start 后就开始攻击攻击过程中同网段内的网络认证（由于NANO不支持5G，所以攻击仅支持2.4G）均会失败，无法认证并连接

要针对某个WI-FI攻击，可以在Editor中选中网卡，扫描WI-FI，并Add to Blacklist（添加到黑名单），在Mode中也选择blacklist，输入Channels，信道可以去SiteSurvey中查看

DNS/DNSMasq Spoof

这个插件会启动 DNSMasq 服务，对客户端访问的域名进行重定向

在Hosts处填写要重定向的域名，写法与其他 Hosts 文件一致

此处可以填写内网配置好的钓鱼服务器，也可以指到Pineapple，并在上面搭建服务

image-20210120162539271

Urlsnarf URL捕获

选定网口后点击 Start ，模块将会捕获全部的HTTP流量，GET及POST的数据均会显示

显示格式为web访问日志类型

image-20210120163418442

Evil Portal

模块主要由以下几个部分组成：

Controls（控制）：启用模块和设置自动启动；

Word Bench（创建工作目录）：包含门户页面的php文件等；

White List（白名单）：不需要通过门户认证页面跳转的IP地址列表；

Authorized Clients（认证客户端）：当前通过门户页面认证跳转过的IP地址列表；

Live Preview（预览）：预览恶意门户页面。

Evil Portal模块和自带的Landing Page功能很像，区别在于Landing Page仅能够提供一个强制跳转显示页面的效果，不具有认证、白名单以及更自由化的门户页面自定义功能。Evil Portal能够实现像现在的商业WiFi接入访问一样，提供一个由我们自定义的认证页面，引导客户端用户完成认证及跳转功能

image-20210120170837202

Tcpdump

tcpdump可以将网络中传送的数据包完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来去掉无用的信息，是一款非常高级的网络数据分析工具

与Pineapple上很多其他的模块一样，提供的可供点选的web管理界面

Options提供了基本的选项模块

image-20210120174258901

在下方选中或勾选的参数将会被格式化到 Command 处

Interface 为需要监听的端口

Verbose 对应 -v 选项，代表输出报文信息的详细程度

Resolve 对应 -n 选项，不将主机名转换为IP地址，以及不进行端口名称的转换

Timestamp 对应 -t 选项，指定是否输出时间戳或时间戳格式

Don’t print domain name qualification of host names:对应 -N 选项，不输出主机名中的域名部分。例如，’wiki.ver007.org’只输出’wiki’

Show the packet’s contents in both hex and ASCII:对应 -X 选项，在解析和打印时，除了打印每个包的报头之外，还要用十六进制和ASCII打印每个包的数据（通常用于分析一种协议）

Print absolute sequence numbers：对应 -S 选项，将tcp的序列号以绝对值形式输出

Get the ethernet header as well：对应 -e 选项，在输出行打印出数据链路层的头部信息

Show less protocol information：对应 -q 选项，快速输出。只输出较少的协议信息

Monitor mode：对应 -I 选项，使标准输出变为缓冲行形式，可以把数据导出到文件

Filter提供了一些过滤规则，我们可以利用Filter编写过滤表达式，用来匹配得到我们想要的结果，在点选参数之后，手动输入参数值，并继续点击下一个参数，同样的，如果你熟悉tcpdump的话，可以进行手工填写，跟wireshark什么的过滤语法道理都类似

image-20210120175018888

Output为系统回显，History则可以查看和管理抓住的完整tcp数据包

在此处可以将捕获的包下载，得到一个pcap文件，可以在wireshark、networkminer、科来等其他工具中

具体的使用方法就根据需求不同定制，需要熟悉过滤表达式的编写

需要注意的是，tcpdump只能抓取流经本机的数据包，因此确保有 Client 连接上网

由于页面仅提供部分命令，如果想要达到与命令行完全一样的效果，可以SSH连接到Pineapple直接运行tcpdump.sh，路径在/pineapple/modules/tcpdump/scripts

Meterpreter

大名鼎鼎的 Meterpreter，配置主机端口后能够接收会话

image-20210120190521423

Ettercap

调用 ettercap 这款工具进行中间人欺骗，将参数转换为web页面，并将输出返回到页面上

image-20210120192438752

SSLsplit

SLsplit可以作为中间人监听 SSL 信息及 HTTP 信息。SSL 实现代理的同时要与服务器建立连接，同时伪造证书与客户端建立连接，即双连接，依据获取的 Client 信息再与服务器通信，从而实现明文数据监听

Configuration无需改变，使用默认即可

在客户端使用HTTPS进行通讯时，将会由SSLsplit作为中间代理

SLLsplit的实现需要配合其他欺骗手段，如果有Clients连接到Pineapple，那么就直接可以进行攻击，如果要攻击的目标在同一网段内，则需要将目标流量定向到此模块的监听端口，通常配合 ettercap等欺骗软件

如果网站具有HSTS（HTTP Strict Transport Security）,网站将不能正常显示，也就无法攻击

namp

Options（选项）与图形化的Nmap页面相似，输入目标，在 Profile 中选择一些预置的规则

![image-20210120192348639](../../../../../../Library/Application Support/typora-user-images/image-20210120192348639.png)

RandomRoll

这个模块是一个略微搞怪的模块，开启模块后，将会把全部 http 连接进行重定向到内置的黑页中

就是下面勾选的这些 rolls，每个对应一个黑页，随机选择出现

image-20210120192115418

开启后，客户端会随机出现选中的黑页

image-20210120192154957

image-20210120192211074

base64encode

base64加解密模块

image-20210120192739363

CursedScreech

这是一个远控模块

image-20210120192842955

Sein：信息收集功能，当监听的网络内出现漏洞系统时，将会更新模块的 target 列表

Kuro：攻击功能，自动尝试连接Sein功能发现的目标机器，并连接

image-20210120192902083

Listening Interface（监听端口）：用于组播socket的接口，如果目标直接连接到Pineapple，使用br-lan就可以

Multicast Group（组播组）：发送和接收目标心跳的地址，对于Sein和目标机器，组需要相同

Multicast Port（组播端口）：Sein将从目标接收消息的端口。这个端口需要在payload的startMulticaster()方法中

Heartbeat Interval（心跳间隔）：payload发送广播的间隔，Sein在3个心跳间隔还为收到广播包的话，就会判断目标为掉线状态

Kuro Keys/Target Keys（密钥）：用于TLS通信时的密钥，可以使用Papers模块创建Keys

可以从下方两个下载按钮下载 C# 和 Python 的payload模板

image-20210120192919836

Activity Log（活动日志）：记录 Kuro 功能执行过程中产生的全部记录，使用模块的大部分时间都是盯着这里看

右边的Targets就是一个上线机器列表，以及一个命令执行功能

如果有目标机器的话，可以通过Select选择机器，并执行命令

EZ Cmds事先预置了一些cmd命令，可以添加及删除

image-20210120192935988

设置好了之后，按照下载的模板，编写payload，在目标机器上运行

运行后点击Sein进行监听，测试时发现python版本的payload在监听后需要多等一下才能上线，此处要耐心等待一下，上线后可以开启Kuro，再耐心多等一会

当日志显示Kuro is ready后，就可以执行命令了

image-20210120193128326

dump1090

本模块能够对 1090MHz 的无线电进行收取和解码，通过调用google-API等方式，可以在web地图上描绘出飞机的轨迹，当然也可以手动更改频率如：

我国民航使用的无线电频率：1090MHz

民用对讲机使用的无线电频率：408-409MHz

警用频率：350-390MHz

等等

image-20210120193206688

软件有很多参数，但是界面上只显示了Gain

Checkbox 参数可以切换度量衡使用公制单位、切换到自动获取、增大功率、将结果输出为csv格式

使用此模块需要RTL-SDR（电视棒）接收无线电信号，插入模块，将显示地图

image-20210120193235965

HackRF

这个模块需要配合HackRF 硬件进行使用，在接入HackRF后，会出现一个简单的设置界面

image-20210120193308036

模块选项相当于 hackrf_transfer 的相关参数

Sample Rate（采样率）：每秒发送或接受的样本量。受到系统计算能力限制，设置过高可能会导致系统不稳定，此处建议设置默认10M或更低，相当于 -s

Center Frequency（中心频率）：就是HackRF开始调谐的频率，相当于 -f

Transceiever Mode（收发方式）：HackRF是半双工工作模式，因此必须指定是要 TX（发送）还是RX（接收），相当于 -t 或 -r

File Name（文件名）：目标文件路径，可以将收到的信号记录，也可以从文件发送

RF Amp & Antenna Power（射频放大器和天线功率）：Enable RF AMP可以指定是否开启射频放大器，Antenna Power可以指定功率是否被传送到天线端口

RX IF Gain & RX BB Gain（RX二中频增益和RX BB增益）：根据不同层级的db及步长选择增益模式

Repeat Transmission & TX IF Gain（重复和TX二中频增益）：是否重复播放，以及设置发送增益