• marauder.pdf
• https://github.com/justcallmekoko/ESP32Marauder/wiki/marauder-v6
• https://github.com/justcallmekoko/ESP32Marauder/wiki/update-firmware
• https://momentum-fw.dev/update

• Use hcxdumptool or Bettercap to capture the PMKID/Handshake
• Convert it using hcxpcapngtool
• Pass it into Hashcat to exhaustively test millions of dictionary words per second using your GPU

Как ломать Wi-Fi.

• Вставляем SD-карту и убеждаемся, что она распозналась.
• Идем в Device → Settings → и включаем там всё. Я не понял какая именно настройка отвечает за DEAUTH TX: TRUE, чтобы во время сканирования флудить деаутентификацию.
• Этого можно не делать. Идем в Sniffers → ScanAP/STA. Смотрим на каком канале работает нужная точка доступа. Там будут строки типа

  #6 -88 2 AP_NAME

  Так вот тут третья цифра 2 - это номер канала. Либо - просто смотрим с компа:

  sudo nmcli dev wifi list

• Идем в Sniffers → EAPOL/PMKID Scan и включаем HOP или кнопочками +/- переключаемся на нужный канал.
• Ждем пока в EAPOL/Complete EAPOL сменятся цифры. Типа случится захват пакетика с аутентификацией. На SD карте появится файлик eapol_X.pcap
• Дальше нужно ломать. https://hashcat.net/wiki/doku.php?id=cracking_wpawpa2

• У меня ноут на AMD, поэтому - я собрал имидж отсюда - https://github.com/hashcat/hashcat/blob/master/docker/runtime.amd.ubuntu24.release
• Проверил, что моя системка все умеет:

  ls -l /dev/kfd
  ls -l /dev/dri/
  crw-rw---- 1 root render 509, 0 Jul  5 13:30 /dev/kfd
  total 0
  drwxr-xr-x  2 root root         80 Jul  5 13:30 by-path
  crw-rw----+ 1 root video  226,   1 Jul 17 10:40 card1
  crw-rw----+ 1 root render 226, 128 Jul  5 13:30 renderD128

• Проверил, какие группы нужны для доступа к девайсу:

  stat -c '%A %U %G %n' /dev/kfd /dev/dri/renderD*
  stat -c '%A %U %g %n' /dev/kfd /dev/dri/renderD*

  То есть gid при запуске контейнера надо задавать именно тот что в выводе последней команды. Либо - просто добавить своего пользователя в группу, если не пользуемся контейнером:

  sudo usermod -aG video,render "$USER"

• Стартуем имидж:

  docker run --rm -it \
    --device=/dev/kfd \
    --device=/dev/dri \
    --user 0:105 \
    --ipc=host \
    --shm-size=8g \
    -v "$PWD:/workspace" \
    -w /workspace \
    gitea.autosys.tk/gitea_admin/hashcat:amd-latest-master

• в контейнере проверяем что оно работает

  rocminfo
  rocm-smi

• Для анализа файлов .pcap понадобится пакет hcxtools:

  apt-get install -y hcxtools

  смотрим что есть у нас среди файлов

  for file in *.pcap *.pcapng; do
      [ -e "$file" ] || continue
      echo "===== $file ====="
      hcxpcapngtool "$file"
  done

• Извлекаем полезное:

  hcxpcapngtool -o hash.hc22000 -E ap_list ./eapol_1.pcap

  На выходе будут файлики hash.hc22000 (с зашифрованными хендшейками) и ap_list (с с именами точек доступа из дампа, но не обязательно с хендшейками).

• смотрим хендшейки каких точек доступа нам достались:

  cat hash.hc22000 | cut -d'*' -f6 | xxd -r -p

  В файлах hash.hc22000 имя точки доступа - это 6-е поле.

• Ломаем:

  hashcat -m 22000 hash.hc22000 wordlist

  Тут указываем файли из предыдущей команды, а также - файлик со словарем паролей. Словарики есть тут: https://github.com/duyet/bruteforce-database . Можно указывать сжатый файлик:

  hashcat -m 22000 test.hc22000 cracked.txt.gz

  Вот так перебираем символы по маске (в данном случае 8 цифр):

  hashcat -m 22000 hash.hc22000 -w 3 -a 3  ?d?d?d?d?d?d?d?d

• Если все получилось то будет примерно такое:

  6adb4a1768bcbcf74a84660abcdef:741213abcdef:a8e291abcdef:---AP_NAME----:---AP-PASSWORD---
                                                            
  Session..........: hashcat
  Status...........: Cracked
  Hash.Mode........: 22000 (WPA-PBKDF2-PMKID+EAPOL)
  Hash.Target......: hash.hc22000
  Time.Started.....: Fri Jul 17 12:54:41 2026 (0 secs)
  Time.Estimated...: Fri Jul 17 12:54:41 2026 (0 secs)
  Kernel.Feature...: Pure Kernel (password length 8-63 bytes)
  Guess.Base.......: File (wordlist)
  Guess.Queue......: 1/1 (100.00%)
  Speed.#01........:      345 H/s (1.63ms) @ Accel:8 Loops:1024 Thr:128 Vec:1
  Recovered........: 1/1 (100.00%) Digests (total), 1/1 (100.00%) Digests (new)
  Progress.........: 4/4 (100.00%)
  Rejected.........: 1/4 (25.00%)
  Restore.Point....: 0/4 (0.00%)
  Restore.Sub.#01..: Salt:0 Amplifier:0-1 Iteration:0-1
  Candidate.Engine.: Device Generator
  Candidates.#01...: ---AP_NAME---- -> ---AP-PASSWORD---
  Hardware.Mon.#01.: Temp: 58c Fan:  0% Util: 39% Core:1295MHz Mem:   0MHz Bus:16
  
  Started: Fri Jul 17 12:54:38 2026
  Stopped: Fri Jul 17 12:54:42 2026

  Тут я, естественно, заменил

  ---AP_NAME----:---AP-PASSWORD---

• Вот обозначения символов для атаки по маске:

  ?l = Lowercase letters (a-z) [1]
  ?u = Uppercase letters (A-Z)
  ?d = Digits (0-9)
  ?s = Special characters (!, @, #, etc.)
  ?a = All characters combined

  То есть команда для подбора 8 символьного пароля с любыми символами будет такая:

  hashcat -m 22000 -a 3 pcap3.hc22000 ?a?a?a?a?a?a?a?a

• чтобы подбирать 8-символьный пароль из маленьких букв и цифр -

  hashcat -m 22000 hash.hc22000 -w 3 -a 3 ?1?1?1?1?1?1?1?1

  -1 ?l?d - custom pool of lowercase letters and digits.
  ?1 - tells Hashcat to fill that position using the custom pool.

• Extreme - https://flipper-xtre.me/ , https://github.com/ClaraCrazy/Flipper-Xtreme
• Unleashed - https://github.com/DarkFlippers/unleashed-firmware

Определить тип RFID и рабочую частоту.

• LF: 120-1355 kHz (HID Prox, EM, Nedap NeXS)
• HF: 13.56 MHz – (MIFARE Classic, DESfire, HID iCLASS, Legic)
• UHF: 860 – 980 MHz (RAIN RFID/EPC Gen 2)
• Microwave: 2.45 GHz and > (Nedap TRANSIT)

ЧТо я пытался сделать:

• С помощью Frequency Analyzer определяю что мой UHF RFID работает на частоте 915 Mhz.
  
• Дальше - записываю с помощью SubGhz → Read RAW передачу, предварительно выбрав частоту 915 и модуляцию AM650.
• с помощью qFlipper копирую файлик .sub на компик
• Визуализирую записанное с помощью https://github.com/cberetta/flipperzero_scripts :

  wget https://raw.githubusercontent.com/cberetta/flipperzero_scripts/master/fzsubtk.py
  chmod +x ./fzsubtk.py
  fzsubtk.py ./parking_raw.sub

• Для работы с UHF RFID существует софт и модуль YRM100 (~$40) - https://github.com/frux-c/uhf_rfid а вот готовый модуль под флиппера - https://www.redteamtools.com/flippermeister/
• Вот проекты ридеров https://github.com/zaphoxx/zaphoxx-uhf-rfid , https://github.com/zaphoxx/zuhf-rfid/blob/main/HOWTO_PART1.md https://github.com/haffnerriley/Simultaneous-UHF-RFID-FlipperZero , https://lab.flipper.net/apps/simultaneous_rfid_reader из ардуино и двух TI CC1101 - очевидно один для передачи сигнала, который инициирует и синхронизирует карту, второй для приема и статья про opensource UHF RFID reader - rfid_2023_tag.pdf

Позволяет писать скрипты, которые будут тыкать кнопки в USB-клавиатуре.
https://github.com/flipperdevices/flipperzero-firmware/blob/dev/documentation/file_formats/BadUsbScriptFormat.md
То есть можно скриптовать сложные действия там, где невозможно использовать интернет и Copy-Paste.

Банковские карты - стандарт NXP MIFARE (Classic).
Про то как оно работает - https://forum.flipperzero.one/t/what-are-the-mifare-classic-keys-for-and-how-do-i-use-them/11147
Чтение этих карт при помощи flipper предполагает перебор ключей. При чтении критично взаимное расположение флиппера и карты. То есть, возможно, читать начнет не сразу и нужно быдет подвигать флиппер относительно карты.
Существуют инструменты для чтения карт самртфонами: https://play.google.com/store/apps/details?id=de.syss.MifareClassicTool
https://github.com/noproto/FlipperMfkey
https://forum.dangerousthings.com/t/how-to-flipper-zero-write-mifare-classic-to-a-gen1a-implant/17766/2
https://medium.com/exc3l/cracking-mifare-classic-cards-with-proxmark3-e42121cd968b

https://www.reddit.com/r/flipperzero/s/UH2bn9BkVD

Sorry for the weird step by step instruction formatting. Looked normal when I wrote it, Reddit won't let me edit it. Here's how it's supposed to look like:

Get access to a working remote already paired to the receiver and read it's signal. Check it's name and remember it.
Alternatively, if you don't have access to an existing remote, try to look up the protocol on the internet via searching receiver's name.

Go to subghz → add manually and find your protocol on the list. If it isn't there, you can try to download it from the web (or just install 3rd party software that already has a lot of the most common protocols, like I did) Click the protocol, name it and save.

Try searching the receivers name on the internet, and find it's manual. There you can find info on how to pair a regular new remote. Note that the process is often different if the receiver has no other remotes in it's memory.

If the manual says, for example, to hold some button on the receiver, just hold-send the signal you added manually.

5. Wait for the receiver to stop programming and enjoy your paired remote! You can use the added manually signal to control the receiver.