airgeddon

Overview

airgeddon is an all-in-one wireless auditing script that wraps aircrack-ng, hostapd, dnsmasq, and other tools into a menu-driven interface. It simplifies complex multi-step attacks like evil twin portals, PMKID attacks, and deauthentication floods.

Launch

sudo airgeddon

→ Requires root, and will check/install dependencies automatically

Menu Structure

1. DoS attacks (deauthentication, disassociation, WIDS confusion)
2. Handshake/PMKID tools
   - Capture WPA handshake
   - PMKID capture (no deauth)
   - Clean/validate captured handshake
3. Offline WPA/WPA2 cracking
   - Dictionary attack (aircrack-ng)
   - Hashcat cracking
   - PMKID cracking
4. Evil Twin attacks (MITM)
   - Rogue AP + captive portal (phishing WPA password)
   - Rogue AP + hostapd-wpe (enterprise WPA credential capture)
5. WEP tools
6. WPS tools (Pixie Dust, PIN brute-force, Reaver)
7. Enterprise attacks (hostapd-wpe, eaphammer)

Evil Twin Attack (Key Feature)

The most powerful airgeddon attack: creates a rogue AP mimicking the target, deauths clients from the real AP, and presents a captive portal that harvests the WPA password:

1. Select target AP
2. Choose Evil Twin + Captive Portal
3. airgeddon clones the AP, deauths clients
4. Victims reconnect to the fake AP and see a portal asking for the WiFi password
5. Password is logged when the victim enters it

WPS Attacks

# From the menu: WPS tools
# 1. Pixie Dust (instant for vulnerable routers)
# 2. PIN brute-force (slow but effective)
# 3. Known PINs attack (tries default PINs first)

Handshake Capture

# From menu: Handshake/PMKID tools
# 1. Select interface → put in monitor mode
# 2. Scan for networks
# 3. Select target
# 4. Choose handshake capture method:
#    - Deauth (faster, noisier)
#    - PMKID (no clients needed)
# 5. Handshake saved to /tmp/

# Validate captured handshake
# Menu → Handshake tools → Check/clean handshake file

Prerequisites

airgeddon auto-checks and offers to install:

• aircrack-ng suite
• hostapd / hostapd-wpe
• dnsmasq
• iw / wireless-tools
• hashcat
• curl / wget

Tips

• The evil twin attack with captive portal is highly effective — users expect to re-enter WiFi credentials
• Always run in a VM or dedicated hardware — monitor mode can disrupt your regular internet connection
• Pixie Dust WPS attack works in seconds on vulnerable routers; try it before PIN brute-force
• airgeddon logs everything to /tmp/airgeddon_* by default

Required:
  iw, awk, aircrack-ng, xterm

Optional (enable specific features):
  hashcat              → GPU cracking
  hostapd              → Evil Twin AP
  hostapd-wpe          → Enterprise attacks
  dnsmasq              → DHCP for evil twin
  lighttpd / php       → Captive portal
  reaver               → WPS attacks
  bully                → WPS Pixie Dust
  pixiewps             → WPS Pixie Dust
  mdk3 / mdk4          → DoS attacks
  beef-xss             → Browser exploitation
  ettercap             → MITM

Vue d’ensemble

airgeddon est un script d’audit sans fil tout-en-un qui enveloppe aircrack-ng, hostapd, dnsmasq et d’autres outils dans une interface à menus. Il simplifie les attaques complexes en plusieurs étapes comme les portails evil twin, les attaques PMKID et les floods de déauthentification.

Lancement

sudo airgeddon
# → Nécessite le root, et vérifie/installe les dépendances automatiquement

Structure du menu

1. DoS attacks (deauthentication, disassociation, WIDS confusion)
2. Handshake/PMKID tools
   - Capture WPA handshake
   - PMKID capture (no deauth)
   - Clean/validate captured handshake
3. Offline WPA/WPA2 cracking
   - Dictionary attack (aircrack-ng)
   - Hashcat cracking
   - PMKID cracking
4. Evil Twin attacks (MITM)
   - Rogue AP + captive portal (phishing WPA password)
   - Rogue AP + hostapd-wpe (enterprise WPA credential capture)
5. WEP tools
6. WPS tools (Pixie Dust, PIN brute-force, Reaver)
7. Enterprise attacks (hostapd-wpe, eaphammer)

Attaque Evil Twin (fonctionnalité phare)

L’attaque airgeddon la plus puissante : elle crée un AP malveillant imitant la cible, déauthentifie les clients du vrai AP, et présente un portail captif qui récolte le mot de passe WPA :

1. Sélectionner l’AP cible
2. Choisir Evil Twin + Captive Portal
3. airgeddon clone l’AP et déauthentifie les clients
4. Les victimes se reconnectent au faux AP et voient un portail demandant le mot de passe WiFi
5. Le mot de passe est enregistré quand la victime le saisit

Attaques WPS

# Depuis le menu : WPS tools
# 1. Pixie Dust (instantané sur les routeurs vulnérables)
# 2. Brute-force du PIN (lent mais efficace)
# 3. Attaque par PINs connus (essaie d'abord les PINs par défaut)

Capture de handshake

# Depuis le menu : Handshake/PMKID tools
# 1. Sélectionner l'interface → la passer en mode monitor
# 2. Scanner les réseaux
# 3. Sélectionner la cible
# 4. Choisir la méthode de capture du handshake :
#    - Deauth (plus rapide, plus bruyant)
#    - PMKID (aucun client nécessaire)
# 5. Handshake enregistré dans /tmp/

# Valider le handshake capturé
# Menu → Handshake tools → Check/clean handshake file

Prérequis

airgeddon vérifie automatiquement et propose d’installer :

• la suite aircrack-ng
• hostapd / hostapd-wpe
• dnsmasq
• iw / wireless-tools
• hashcat
• curl / wget

Conseils

• L’attaque evil twin avec portail captif est très efficace : les utilisateurs s’attendent à devoir ressaisir leurs identifiants WiFi
• Lancez toujours dans une VM ou sur du matériel dédié : le mode monitor peut couper votre connexion internet habituelle
• L’attaque WPS Pixie Dust fonctionne en quelques secondes sur les routeurs vulnérables ; essayez-la avant le brute-force du PIN
• airgeddon journalise tout dans /tmp/airgeddon_* par défaut

Required:
  iw, awk, aircrack-ng, xterm

Optional (enable specific features):
  hashcat              → GPU cracking
  hostapd              → Evil Twin AP
  hostapd-wpe          → Enterprise attacks
  dnsmasq              → DHCP for evil twin
  lighttpd / php       → Captive portal
  reaver               → WPS attacks
  bully                → WPS Pixie Dust
  pixiewps             → WPS Pixie Dust
  mdk3 / mdk4          → DoS attacks
  beef-xss             → Browser exploitation
  ettercap             → MITM