尧图网页设计 
简介这是一份无线网络密码破解的图解式教程文档PDF格式面向无线网络安全入门学习者、网络运维人员及对渗透测试感兴趣的读者强调在合法授权前提下检测与验证无线网络加密强度。资源共1个PDF文件大小2.12MB内容紧凑、步骤完整无需额外配套文件即可查阅。目前已有1099人学习/下载。文档以实验环境为基础先介绍WirelessMon扫描周边无线信号并判断网络类型与强度再引入WinAircrackPack工具包分别讲解WEP与WPA密钥的破解原理与实操流程包括硬件选型、路由器WEP加密配置、DHCP关闭、抓包网卡驱动安装、airodump数据包捕获、IVs文件生成、WinAircrack参数设置以及字典攻击等关键环节。读者可借此了解无线网络常见加密缺陷、抓包分析方法与安全加固建议为后续开展无线安全测试或加固自家路由器提供系统性参考。1. 无线网络密码破解这个方向先别急着跑字典先想清楚你到底要验证什么很多人下载“无线网络密码破解-wifi破解教程”这类资料是想拿到一套能直接“跑出密码”的流程。但真在无线安全方向里待过一阵就会明白所谓破解绝大多数时候是把 WPA/WPA2 的握手包拿下来再拿字典做离线弱口令验证——它解决的不是“黑掉谁家的网”而是“你的无线网络密码到底扛不扛得住字典”。这个方向适合三类人做无线安全评估的工程师、被公司要求自查 Wi-Fi 弱口令的运维、以及想搞懂认证协议再动手的实验党。新手能按步骤搭起一套自测环境熟手则能在参数和边界上少走弯路。下面这套流程我默认你只对“自己搭建的实验热点”或“自己管理的无线网络”操作。2. 无线安全评估的最小闭环从网卡选型到信号采集2.1 一张能监听的信道网卡是整个流程的第一道门槛网上那些打包好的“wifi破解教程”PDF十有八九会先从工具列表讲起但真正劝退新手的不是软件是网卡。笔记本内置网卡大多不支持监听模式或者驱动在 Linux 下不认导致你连第一步扫描都跑不起来。常见做法是准备一张外接 USB 无线网卡优先看芯片组而不是只看品牌。我一般会按下面几点选芯片组是否被 Kali 或 Ubuntu 内核原生支持、是否支持 5GHz、是否有外接天线接口。老牌 atheros AR9271 在 2.4GHz 下驱动成熟缺点是单频rtl8812au 系列能覆盖 2.4G/5G但需要额外装驱动rtl8821cu 类似。给一张简单对比表芯片组频段驱动体验适合场景atheros ar92712.4GHz开箱即用入门、只测 2.4Gralink rt30702.4GHz开箱即用入门、兼容老设备rtl8812au2.4G/5GHz需装驱动要扫 5GHz 的完整审计intel ax2102.4G/5G/6G看内核版本日常上网监听能力有限这不是玄学而是“硬件能力决定了你能看到哪一层信号”。如果你只带着手机热点练手2.4GHz 单频网卡完全够如果你要评估公司办公区里的 5GHz 网络就必须上双频网卡。另外尽量别用虚拟机直通网卡来做很多教程会让你在 VMware 里挂 USB 网卡实际抓包时经常丢帧丢握手物理机装一个精简 Linux 反而更省心。2.2 把网卡切到监听模式三步操作拿到网卡后的第一件事不是装破解工具而是确认它能进入监听模式。监听模式monitor mode让网卡接收范围内所有无线帧而不是只收发给自己的数据。这一步用 airmon-ng 就能完成iw dev wlan0 info sudo airmon-ng check kill sudo airmon-ng start wlan0 iw dev第一行iw dev wlan0 info是为了确认接口名有些机器叫 wlan1 或 wlp3s0不要照抄。第二行会杀掉占用无线网卡的 NetworkManager 进程这是很多新手翻车的地方不杀的话刚切到监听模式系统又把网卡拉回受管模式接口名字变来变去。第三行把 wlan0 切到 wlan0mon。最后再iw dev看成没成功。如果输出里出现了type monitor说明已经就绪如果接口名没带 mon 后缀也不一定失败有些驱动保持原名但类型已是 monitor。你可以用iw dev wlan0 info再确认一次。这一步做完记得把虚拟机网卡、系统自带的网络管理服务都排除干扰否则数据包里会混进一堆无意义的管理帧。2.3 识别目标网络信道、加密方式与客户端监听模式就位后用 airodump-ng 扫描周围环境。这是整个流程里最“干净”的一步它只是被动接收无线帧不发送任何数据。命令如下sudo airodump-ng wlan0mon sudo airodump-ng wlan0mon --band abg --wps -w scan第一条命令是快速看周边网络第二条加了参数--band abg同时扫 2.4GHz 和 5GHz网卡不支持 5GHz 时会报错--wps会在结果里多显示 WPS 状态-w scan把扫描结果写入 scan-01.csv 这类文件方便后面分析。输出表格里你需要关注几个字段字段含义判断要点PWR信号强度越接近 0 越好低于 -70 基本别抱期望CH信道后面抓包时要固定到对应信道ENC加密方式WPA2/WPA3 是主流WEP 已很少见CIPHER加密套件CCMP 常见TKIP 老设备才用AUTH认证方式PSK 是预共享密钥WPSWPS 状态对后续评估有参考价值Client客户端数量有客户端在线才有握手包的来源如果扫描时看不到目标先怀疑网卡频段和信道设置。2.4GHz 下信道是 1/6/11 互不重叠5GHz 频段更多自动扫描模式下可能漏掉某个 DFS 信道。这时候我会手动指定目标信道再扫一次例如sudo airodump-ng -c 6 wlan0mon确认信道对不对。2.4 常见做法合法测试的最小授权姿势讲操作前必须先明确边界下面所有抓包和验证我只建议在自建实验网络中做。最常见的做法是开一个手机热点或者拿家里一台旧路由器单独设一个实验 SSID密码故意设成弱口令比如“12345678”再用另一台手机连上这样你就有了“目标网络 一个在线客户端”的最小测试环境。你可以顺手做一张授权测试记录表哪怕只给自己看也值得项目内容目标 SSID实验热点名称BSSID路由器 MAC测试责任人自己授权范围仅该实验网络测试时间起止时间测试项握手包捕获、弱口令验证这张表看起来多余但它能避免你在测试到一半时顺手扫了隔壁的 Wi-Fi。商用项目的授权通常写在合同里个人自测我只碰自己设备和自家热点。接下来每一步只要离开这个范围请立刻停手。技术上能做的事和该做的事从来不是一回事。3. WPA 握手包与弱口令验证从四次握手到密码体检3.1 为什么大家都在等那个握手包WPA/WPA2-PSK 的认证核心是“预共享密钥”也就是你输入的 Wi-Fi 密码。路由器和客户端之间会通过四次握手EAPOL 4-way handshake协商出一个会话密钥而这个过程中交换的握手包可以被记录下来用于离线验证。你不需要连着路由器也能验证密码只要拿到握手包就可以在本地把字典里的每个候选密码跑一遍看哪个能推导出匹配的密钥。这就解释了为什么所有教程都反复强调“抓到握手包没有”。没有握手包后面的一切都是空谈有握手包密码强度体检才算开始。WPA3 换成 SAE 握手后离线字典攻击的成本高了很多所以你现在看到的大量老教程默认目标还停留在 WPA2-PSK 网络。对做无线管理的人来说这句“握手包”不只是一个数据包它意味着这个网络的密码强度可以被量化评估。3.2 抓握手的参数时长、信道与客户端重连扫描阶段确认目标之后把 airodump-ng 固定到目标信道开始监听并保存原始数据sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w cap wlan0mon-c 6锁定信道 6--bssid后跟目标路由器的 MAC 地址-w cap指定输出文件前缀。运行后在终端右上角看到 “WPA handshake: AA:BB:CC:DD:EE:FF” 字样说明握手包已经抓到了。如果迟迟不出现常见原因是没有任何客户端正在重新连接。此时在自建实验网络里可以让手机断网重连一次或者用下面的命令触发重新认证# 仅限自建实验网络取消认证指定客户端迫使其重新连接 sudo aireplay-ng -0 3 -a AA:BB:CC:DD:EE:FF wlan0mon-0是 deauth 模式3是发送帧数-a指定目标 BSSID。注意这个操作会主动发送无线帧性质上是主动测试不是被动扫描千万不要对不属于你的网络执行。在自己的实验热点上发三次一般就够发多了反而会让路由器进入某种限速或保护状态拖慢后续流程。抓包时间也要控制。我一般至少监听 2 到 3 分钟因为客户端重连不完全受你控制。如果你看到握手包后还想继续抓更多样本可以不打断让它再跑一会儿。保存下来的文件通常是 cap-01.cap、cap-02.cap 这类名字后面用哪个都行因为 airodump-ng 会把多个文件关联起来。3.3 把.pcap 转成 hashcat 可用的格式拿到 .cap 文件后很多老教程会让你直接aircrack-ng cap-01.cap -w wordlist.txt这在包量小时没问题但跑大字典时 CPU 效率不够理想。常见做法是先转换成 hashcat 支持的 22000 格式再用 GPU 跑。转换工具是 hcxtools 里的 hcxpcapngtoolhcxpcapngtool -o capture.22000 cap-01.cap-o指定输出文件。这一步会解析 cap 文件提取出握手信息并生成一个文本格式的哈希文件。如果你手里是一堆散乱的 pcapng 文件也可以直接传目录或者用通配符例如hcxpcapngtool -o capture.22000 *.pcapng。工具装好之后先转换再删除原始包免得后面发现握手包缺失时没法重来。如果你偏好 aircrack-ng 生态也可以用aircrack-ng cap-01.cap -J cap生成旧版 hccapx但新版 hashcat 更推荐 22000。判断转换是否成功直接看生成文件的行数和内容形式一行一个 hash以WPA*01*...开头。文件太小比如只有几百字节基本说明没抓到完整握手别急着跑。3.4 字典与规则生成弱口令体检的素材从哪来网上流传的“wifi 密码字典包”“wifi 常用密码 1000 个密码本”质量参差不齐很多是几十 GB 的杂烩合集实际命中率并没有想象中高。在做密码强度体检时我更推荐分两层准备素材。第一层是基础弱口令比如纯数字、生日组合、路由器默认密码第二层是按规则生成的字典用来验证“稍微复杂但规律明显的密码”。可以用 crunch 自己生成crunch 8 8 -f /usr/share/crunch/charset.lst mixalpha-numeric -o topass.txt这条命令生成 8 位长度、包含大小写字母和数字的字典。注意这个字符集的全量规模非常大文件可能几十 GB直接跑不现实。实际操作时我会先用纯数字规则做小字典冒烟测试比如crunch 8 8 -d 2 -t 138%%%%%%生成以 138 开头的 8 位纯数字密码先把流程走通。规则越贴近目标网络的使用习惯效率越高否则就只是“省钱”版的原地烧机。跑包时命令大致是hashcat -m 22000 capture.22000 topass.txt -d 1 --status --status-timer 10-m 22000指定 WPA-PBKDF2-PMKID 模式-d 1选择 GPU 设备--status每 10 秒打印一次进度。这里的重点是先确认设备能被识别跑之前执行hashcat -I看 GPU 列表没有 OpenCL 或 CUDA 环境时 GPU 跑不起来只能退回 CPU 硬扛速度差异能到几十倍。套餐里如果只有 CPU 机器建议优先用 aircrack-ng 直接跑反而省掉转换时间。4. WPS、弱口令与 Web 后台无线审计里更“便宜”的三个突破口4.1 WPS 与 PIN 码为什么审计时要先看它WPSWi-Fi Protected Setup是早年为了简化连接而设计的机制PIN 码只有八位数字最后一位还是校验位所以暴力破解空间实际只有七位。很多老教程把 WPS 列为优先级极高的突破口原因就在这里它把 Wi-Fi 密码的强度问题变成了 PIN 码的强度问题。但现代路由器已经普遍默认关闭 WPS或者做了多次错误锁定所以今天的审计逻辑不是“怎么攻击 WPS”而是“先看目标有没有开 WPS开着的就要重点警告”。扫描 WPS 状态可以用 washsudo wash -i wlan0mon -C-i指定监听接口-C表示只显示支持 WPS 的网络。运行后你会看到类似这样的信息项目判断WPS Locked锁定状态锁定后 PIN 尝试会受限VersionWPS 协议版本低版本风险更高RSSI信号强度弱信号下扫描结果不可靠如果 WPS 是关闭的那这个入口就不存在别去硬试。如果目标是自建路由器且 WPS 开着我会直接进后台关掉它同时在评估报告里注明“WPS 开放是主要风险”。这一步不需要什么高级姿势但往往比后面跑几小时字典更管用。提醒一句有些路由器即使后台显示关闭 WPS重启或恢复出厂后又会默认打开复查时要再确认一遍。4.2 默认密码与弱口令比字典更常见另一个经常被忽略的入口是路由器 Web 管理后台。很多单位的路由器管理端口暴露在局域网内密码还是 admin/admin 或设备标签上的初始密码。审计时我会先看管理后台是否可访问、是否启用了 HTTPS、是否用默认证书。用 nmap 扫一下常见管理端口即可nmap -sS -p 80,443,8080 192.168.1.1这条命令对网段内的默认网关做 TCP SYN 扫描端口列表按设备品牌调整。企业级 AP 的管理端口可能跑到 8443 或 4433最好先查一下设备型号的默认管理地址。扫到之后下一步不是暴力猜密码而是检查 Web 登录页有没有默认密码、会话有没有超时、有没有强制修改初始密码的流程。无线密码再强如果管理后台能被轻易登录那整个网络也不可信。这类问题在“被迫自查”的场景里尤其多家里光猫的超级管理员密码仍为默认值办公区 AP 的访客网络和主网络没隔离IoT 设备用着出厂密码。这些都是 Wi-Fi 侧看不到、但实际影响安全评估结论的点。所以你手里的 PDF 如果只讲抓包和跑字典它是不完整的真正值钱的审计清单往往是从后台配置开始的。4.3 Web 后台与访客网络两个总是被漏掉的对象无线审计时我会把访客网络也列为独立评估项。访客 SSID 看起来只是“给客人用的网”但很多设备默认开启了“允许访问内网资源”等于把一个未验证的入口挂在了核心网络旁边。检查方式很简单连上访客 Wi-Fi 后尝试访问主网段网关地址或打印机 IP如果通说明隔离策略没生效。还有一个容易漏掉的是 Mesh 和 AC 集中管理场景。每个 AP 都可能是独立的 Wi-Fi 入口但管理面在控制器上。如果你只评估了一个 SSID它的 BSSID 可能对应多个物理 AP。我一般会拉出所有 AP 的 BSSID 列表逐一确认信道、加密、WPS 和固件版本。PDF 教程不会告诉你这些因为它们默认你只是对单台路由器操作但做真正落地评估时网络规模和拓扑决定了评估项的数量。5. 避坑与排查无线审计最容易翻车的五个场景5.1 监听模式反复掉线现象airmon-ng start 之后接口时而是 wlan0mon过几分钟又变回 wlan0抓包中断。 原因NetworkManager 或者 NetworkManager-wait-online 服务在后台重新接管了无线网卡驱动也被一并重置。 解决先停掉网络管理服务再切监听模式。sudo systemctl stop NetworkManager sudo airmon-ng check kill sudo airmon-ng start wlan0测试做完后记得恢复sudo systemctl start NetworkManager。这个坑在 Ubuntu 桌面版上特别频繁在 Kali 里稍好但也可能被其他管理工具干扰。另外一个方程是某些 USB 网卡供电不稳插在 USB 3.0 口和 USB 2.0 口表现完全不同换接口比调参数更快。这是血泪经验先查供电再查驱动。5.2 包也抓了就是跑不出弱口令现象已经看到 “WPA handshake” 提示转换也成功字典跑完却一无所获。 原因最常见的是密码压根不在字典候选空间里其次是握手包虽然抓到但包含了太多不完整帧hashcat 解析出的有效 hash 极少。还有一类情况是路由器开了 PMFProtected Management Frames部分工具抓到的握手包不含可用信息。 解决先用一个已知密码的弱口令热点做阳性对照。比如把实验热点密码设成 12345678再用包含 12345678 的小字典去跑确认全链路没问题。然后换一个强密码热点做阴性对照验证“跑不出结果”才是正常结论而不是流程出错。5.3 字典几十 G跑了一天没结果现象软件不报错但 GPU 占用率低速度只有几百 H/s或者进度条一直不动。 原因大概率是字典文件太大IO 阻塞了 GPU也可能没加载 OpenCL 环境hashcat 在用 CPU 跑还有可能是 hash 模式选错了比如把 22000 的包当 2500 跑。 解决先跑基准测试hashcat -b -m 22000 head -n 10000 topass.txt mini.txt hashcat -m 22000 capture.22000 mini.txt --status先确认设备列表里有 GPU再确认 22000 模式的速度。用小字典跑通后再上大字典。跑包不是人多就快规则写得差只会让人干等。我常用的做法是把大字典先按行数切块先用 10 万行试探观察单位时间速率和内存占用再决定是不是要挂一晚上。5.4 5GHz 抓不到目标现象扫描列表里全是 2.4GHz 网络5GHz 路由器就在旁边但死活看不见。 原因网卡不支持 5GHz或网卡支持 5GHz但当前监管域限制了某些信道也可能是你用--band abg扫了但网卡固件没启用 DFS 信道。 解决先用iw list查看网卡的频段能力关键词看supported bands里有没有5000.0 MHz。如果没有换网卡如果有设置监管域sudo iw reg set CN按用户所在地区设置这里的 CN 仅示意不同区域用对应 ISO 代码。设置完再iw dev wlan0mon set channel 149手动跳到 5GHz 常用信道看看。注意部分无线网卡在监听模式下只能扫部分信道需要手动切换这不是玄学是网卡射频前端扫描范围有限。5.5 授权边界你可以测试但不能越界现象顺手把周围邻居家的 Wi-Fi 也扫了一遍甚至尝试握手然后沾沾自喜认为“技术厉害”。 原因没有提前划定实验范围把“能扫到”和“可以测”混为一谈。 解决我在前面 2.4 节里做过一张授权测试记录表实际项目里会更严格目标 SSID、BSSID、物理位置、有效期全部写明到期自动作废。个人自测只碰自己的热点和路由器公司网络测试要拿到明确的设备清单。技术上的可行性不等于行动上的正当性这条边界跨过去后面任何一个步骤都会变味。这不是套话是做这行最该有的习惯。6. 从“跑一次”到“日常巡检”把无线安全评估做成固定动作6.1 一套可复用的巡检脚本思路如果整套流程只是为了跑一次字典那下次网络改密、AP 升级后又要从头来。常见做法是把扫描和记录脚本化让每次安全评估都留下痕迹。下面是一个最小脚本#!/bin/bash LOG_DIR~/wifi-audit/$(date %Y%m%d) mkdir -p $LOG_DIR sudo airodump-ng wlan0mon --band abg --wps -w $LOG_DIR/scan --write-interval 60 /dev/null 21 sleep 180 sudo pkill airodump-ng echo 扫描完成结果在 $LOG_DIR/scan-01.csv这段脚本的核心是--write-interval 60每 60 秒写一次 CSV避免中途断电丢失全部扫描结果。跑完后检查 scan-01.csv 里的加密方式分布和 WPS 状态作为本次巡检记录。脚本里没有包含字典跑包因为巡检的重点是发现风险趋势不是每次都要跑一轮密码。6.2 验证方法怎么确认密码强度检查有效脚本化之后你要定期用“阳性对照 阴性对照”验证整个体检流程仍然有效。我会保留一个专门用于测试的实验热点密码固定为弱口令每次巡检前先跑这个样本确保抓包、转换、跑包链路没坏。再用办公主 Wi-Fi 的强密码做阴性验证跑不出结果才是预期结果。这套习惯能避免“工具装好了但一直没跑通”的尴尬。6.3 进阶把弱口令体检接入无线网络变更流程再进一步我会把扫描和弱口令验证作为无线网络变更流程里的必做项调整 SSID、更换 AP、升级固件后都自动跑一轮扫描重点看 WPS 是否被恢复出厂设置重新打开、加密方式是否从 WPA2 被设备自动降级到 WPA/WEP、访客网络隔离是否失效。变更后的 24 小时内再做一次复查避免第二天所有设备重新连接时才暴露问题。每回看到那些带着“密码大合集”的 PDF我第一反应已经不是它能不能跑出结果而是它有没有把授权边界和验证方法讲清楚工具版本和驱动一变再厉害的命令也会翻车。希望今天这套流程能帮你少走这段弯路也希望帮到你把自己的无线网络看明白。本文还有配套的精品资源点击获取 无线安全评估实战：从WPA握手包抓取到弱口令验证的完整指南
简介这是一份无线网络密码破解的图解式教程文档PDF格式面向无线网络安全入门学习者、网络运维人员及对渗透测试感兴趣的读者强调在合法授权前提下检测与验证无线网络加密强度。资源共1个PDF文件大小2.12MB内容紧凑、步骤完整无需额外配套文件即可查阅。目前已有1099人学习/下载。文档以实验环境为基础先介绍WirelessMon扫描周边无线信号并判断网络类型与强度再引入WinAircrackPack工具包分别讲解WEP与WPA密钥的破解原理与实操流程包括硬件选型、路由器WEP加密配置、DHCP关闭、抓包网卡驱动安装、airodump数据包捕获、IVs文件生成、WinAircrack参数设置以及字典攻击等关键环节。读者可借此了解无线网络常见加密缺陷、抓包分析方法与安全加固建议为后续开展无线安全测试或加固自家路由器提供系统性参考。1. 无线网络密码破解这个方向先别急着跑字典先想清楚你到底要验证什么很多人下载“无线网络密码破解-wifi破解教程”这类资料是想拿到一套能直接“跑出密码”的流程。但真在无线安全方向里待过一阵就会明白所谓破解绝大多数时候是把 WPA/WPA2 的握手包拿下来再拿字典做离线弱口令验证——它解决的不是“黑掉谁家的网”而是“你的无线网络密码到底扛不扛得住字典”。这个方向适合三类人做无线安全评估的工程师、被公司要求自查 Wi-Fi 弱口令的运维、以及想搞懂认证协议再动手的实验党。新手能按步骤搭起一套自测环境熟手则能在参数和边界上少走弯路。下面这套流程我默认你只对“自己搭建的实验热点”或“自己管理的无线网络”操作。2. 无线安全评估的最小闭环从网卡选型到信号采集2.1 一张能监听的信道网卡是整个流程的第一道门槛网上那些打包好的“wifi破解教程”PDF十有八九会先从工具列表讲起但真正劝退新手的不是软件是网卡。笔记本内置网卡大多不支持监听模式或者驱动在 Linux 下不认导致你连第一步扫描都跑不起来。常见做法是准备一张外接 USB 无线网卡优先看芯片组而不是只看品牌。我一般会按下面几点选芯片组是否被 Kali 或 Ubuntu 内核原生支持、是否支持 5GHz、是否有外接天线接口。老牌 atheros AR9271 在 2.4GHz 下驱动成熟缺点是单频rtl8812au 系列能覆盖 2.4G/5G但需要额外装驱动rtl8821cu 类似。给一张简单对比表芯片组频段驱动体验适合场景atheros ar92712.4GHz开箱即用入门、只测 2.4Gralink rt30702.4GHz开箱即用入门、兼容老设备rtl8812au2.4G/5GHz需装驱动要扫 5GHz 的完整审计intel ax2102.4G/5G/6G看内核版本日常上网监听能力有限这不是玄学而是“硬件能力决定了你能看到哪一层信号”。如果你只带着手机热点练手2.4GHz 单频网卡完全够如果你要评估公司办公区里的 5GHz 网络就必须上双频网卡。另外尽量别用虚拟机直通网卡来做很多教程会让你在 VMware 里挂 USB 网卡实际抓包时经常丢帧丢握手物理机装一个精简 Linux 反而更省心。2.2 把网卡切到监听模式三步操作拿到网卡后的第一件事不是装破解工具而是确认它能进入监听模式。监听模式monitor mode让网卡接收范围内所有无线帧而不是只收发给自己的数据。这一步用 airmon-ng 就能完成iw dev wlan0 info sudo airmon-ng check kill sudo airmon-ng start wlan0 iw dev第一行iw dev wlan0 info是为了确认接口名有些机器叫 wlan1 或 wlp3s0不要照抄。第二行会杀掉占用无线网卡的 NetworkManager 进程这是很多新手翻车的地方不杀的话刚切到监听模式系统又把网卡拉回受管模式接口名字变来变去。第三行把 wlan0 切到 wlan0mon。最后再iw dev看成没成功。如果输出里出现了type monitor说明已经就绪如果接口名没带 mon 后缀也不一定失败有些驱动保持原名但类型已是 monitor。你可以用iw dev wlan0 info再确认一次。这一步做完记得把虚拟机网卡、系统自带的网络管理服务都排除干扰否则数据包里会混进一堆无意义的管理帧。2.3 识别目标网络信道、加密方式与客户端监听模式就位后用 airodump-ng 扫描周围环境。这是整个流程里最“干净”的一步它只是被动接收无线帧不发送任何数据。命令如下sudo airodump-ng wlan0mon sudo airodump-ng wlan0mon --band abg --wps -w scan第一条命令是快速看周边网络第二条加了参数--band abg同时扫 2.4GHz 和 5GHz网卡不支持 5GHz 时会报错--wps会在结果里多显示 WPS 状态-w scan把扫描结果写入 scan-01.csv 这类文件方便后面分析。输出表格里你需要关注几个字段字段含义判断要点PWR信号强度越接近 0 越好低于 -70 基本别抱期望CH信道后面抓包时要固定到对应信道ENC加密方式WPA2/WPA3 是主流WEP 已很少见CIPHER加密套件CCMP 常见TKIP 老设备才用AUTH认证方式PSK 是预共享密钥WPSWPS 状态对后续评估有参考价值Client客户端数量有客户端在线才有握手包的来源如果扫描时看不到目标先怀疑网卡频段和信道设置。2.4GHz 下信道是 1/6/11 互不重叠5GHz 频段更多自动扫描模式下可能漏掉某个 DFS 信道。这时候我会手动指定目标信道再扫一次例如sudo airodump-ng -c 6 wlan0mon确认信道对不对。2.4 常见做法合法测试的最小授权姿势讲操作前必须先明确边界下面所有抓包和验证我只建议在自建实验网络中做。最常见的做法是开一个手机热点或者拿家里一台旧路由器单独设一个实验 SSID密码故意设成弱口令比如“12345678”再用另一台手机连上这样你就有了“目标网络 一个在线客户端”的最小测试环境。你可以顺手做一张授权测试记录表哪怕只给自己看也值得项目内容目标 SSID实验热点名称BSSID路由器 MAC测试责任人自己授权范围仅该实验网络测试时间起止时间测试项握手包捕获、弱口令验证这张表看起来多余但它能避免你在测试到一半时顺手扫了隔壁的 Wi-Fi。商用项目的授权通常写在合同里个人自测我只碰自己设备和自家热点。接下来每一步只要离开这个范围请立刻停手。技术上能做的事和该做的事从来不是一回事。3. WPA 握手包与弱口令验证从四次握手到密码体检3.1 为什么大家都在等那个握手包WPA/WPA2-PSK 的认证核心是“预共享密钥”也就是你输入的 Wi-Fi 密码。路由器和客户端之间会通过四次握手EAPOL 4-way handshake协商出一个会话密钥而这个过程中交换的握手包可以被记录下来用于离线验证。你不需要连着路由器也能验证密码只要拿到握手包就可以在本地把字典里的每个候选密码跑一遍看哪个能推导出匹配的密钥。这就解释了为什么所有教程都反复强调“抓到握手包没有”。没有握手包后面的一切都是空谈有握手包密码强度体检才算开始。WPA3 换成 SAE 握手后离线字典攻击的成本高了很多所以你现在看到的大量老教程默认目标还停留在 WPA2-PSK 网络。对做无线管理的人来说这句“握手包”不只是一个数据包它意味着这个网络的密码强度可以被量化评估。3.2 抓握手的参数时长、信道与客户端重连扫描阶段确认目标之后把 airodump-ng 固定到目标信道开始监听并保存原始数据sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w cap wlan0mon-c 6锁定信道 6--bssid后跟目标路由器的 MAC 地址-w cap指定输出文件前缀。运行后在终端右上角看到 “WPA handshake: AA:BB:CC:DD:EE:FF” 字样说明握手包已经抓到了。如果迟迟不出现常见原因是没有任何客户端正在重新连接。此时在自建实验网络里可以让手机断网重连一次或者用下面的命令触发重新认证# 仅限自建实验网络取消认证指定客户端迫使其重新连接 sudo aireplay-ng -0 3 -a AA:BB:CC:DD:EE:FF wlan0mon-0是 deauth 模式3是发送帧数-a指定目标 BSSID。注意这个操作会主动发送无线帧性质上是主动测试不是被动扫描千万不要对不属于你的网络执行。在自己的实验热点上发三次一般就够发多了反而会让路由器进入某种限速或保护状态拖慢后续流程。抓包时间也要控制。我一般至少监听 2 到 3 分钟因为客户端重连不完全受你控制。如果你看到握手包后还想继续抓更多样本可以不打断让它再跑一会儿。保存下来的文件通常是 cap-01.cap、cap-02.cap 这类名字后面用哪个都行因为 airodump-ng 会把多个文件关联起来。3.3 把.pcap 转成 hashcat 可用的格式拿到 .cap 文件后很多老教程会让你直接aircrack-ng cap-01.cap -w wordlist.txt这在包量小时没问题但跑大字典时 CPU 效率不够理想。常见做法是先转换成 hashcat 支持的 22000 格式再用 GPU 跑。转换工具是 hcxtools 里的 hcxpcapngtoolhcxpcapngtool -o capture.22000 cap-01.cap-o指定输出文件。这一步会解析 cap 文件提取出握手信息并生成一个文本格式的哈希文件。如果你手里是一堆散乱的 pcapng 文件也可以直接传目录或者用通配符例如hcxpcapngtool -o capture.22000 *.pcapng。工具装好之后先转换再删除原始包免得后面发现握手包缺失时没法重来。如果你偏好 aircrack-ng 生态也可以用aircrack-ng cap-01.cap -J cap生成旧版 hccapx但新版 hashcat 更推荐 22000。判断转换是否成功直接看生成文件的行数和内容形式一行一个 hash以WPA*01*...开头。文件太小比如只有几百字节基本说明没抓到完整握手别急着跑。3.4 字典与规则生成弱口令体检的素材从哪来网上流传的“wifi 密码字典包”“wifi 常用密码 1000 个密码本”质量参差不齐很多是几十 GB 的杂烩合集实际命中率并没有想象中高。在做密码强度体检时我更推荐分两层准备素材。第一层是基础弱口令比如纯数字、生日组合、路由器默认密码第二层是按规则生成的字典用来验证“稍微复杂但规律明显的密码”。可以用 crunch 自己生成crunch 8 8 -f /usr/share/crunch/charset.lst mixalpha-numeric -o topass.txt这条命令生成 8 位长度、包含大小写字母和数字的字典。注意这个字符集的全量规模非常大文件可能几十 GB直接跑不现实。实际操作时我会先用纯数字规则做小字典冒烟测试比如crunch 8 8 -d 2 -t 138%%%%%%生成以 138 开头的 8 位纯数字密码先把流程走通。规则越贴近目标网络的使用习惯效率越高否则就只是“省钱”版的原地烧机。跑包时命令大致是hashcat -m 22000 capture.22000 topass.txt -d 1 --status --status-timer 10-m 22000指定 WPA-PBKDF2-PMKID 模式-d 1选择 GPU 设备--status每 10 秒打印一次进度。这里的重点是先确认设备能被识别跑之前执行hashcat -I看 GPU 列表没有 OpenCL 或 CUDA 环境时 GPU 跑不起来只能退回 CPU 硬扛速度差异能到几十倍。套餐里如果只有 CPU 机器建议优先用 aircrack-ng 直接跑反而省掉转换时间。4. WPS、弱口令与 Web 后台无线审计里更“便宜”的三个突破口4.1 WPS 与 PIN 码为什么审计时要先看它WPSWi-Fi Protected Setup是早年为了简化连接而设计的机制PIN 码只有八位数字最后一位还是校验位所以暴力破解空间实际只有七位。很多老教程把 WPS 列为优先级极高的突破口原因就在这里它把 Wi-Fi 密码的强度问题变成了 PIN 码的强度问题。但现代路由器已经普遍默认关闭 WPS或者做了多次错误锁定所以今天的审计逻辑不是“怎么攻击 WPS”而是“先看目标有没有开 WPS开着的就要重点警告”。扫描 WPS 状态可以用 washsudo wash -i wlan0mon -C-i指定监听接口-C表示只显示支持 WPS 的网络。运行后你会看到类似这样的信息项目判断WPS Locked锁定状态锁定后 PIN 尝试会受限VersionWPS 协议版本低版本风险更高RSSI信号强度弱信号下扫描结果不可靠如果 WPS 是关闭的那这个入口就不存在别去硬试。如果目标是自建路由器且 WPS 开着我会直接进后台关掉它同时在评估报告里注明“WPS 开放是主要风险”。这一步不需要什么高级姿势但往往比后面跑几小时字典更管用。提醒一句有些路由器即使后台显示关闭 WPS重启或恢复出厂后又会默认打开复查时要再确认一遍。4.2 默认密码与弱口令比字典更常见另一个经常被忽略的入口是路由器 Web 管理后台。很多单位的路由器管理端口暴露在局域网内密码还是 admin/admin 或设备标签上的初始密码。审计时我会先看管理后台是否可访问、是否启用了 HTTPS、是否用默认证书。用 nmap 扫一下常见管理端口即可nmap -sS -p 80,443,8080 192.168.1.1这条命令对网段内的默认网关做 TCP SYN 扫描端口列表按设备品牌调整。企业级 AP 的管理端口可能跑到 8443 或 4433最好先查一下设备型号的默认管理地址。扫到之后下一步不是暴力猜密码而是检查 Web 登录页有没有默认密码、会话有没有超时、有没有强制修改初始密码的流程。无线密码再强如果管理后台能被轻易登录那整个网络也不可信。这类问题在“被迫自查”的场景里尤其多家里光猫的超级管理员密码仍为默认值办公区 AP 的访客网络和主网络没隔离IoT 设备用着出厂密码。这些都是 Wi-Fi 侧看不到、但实际影响安全评估结论的点。所以你手里的 PDF 如果只讲抓包和跑字典它是不完整的真正值钱的审计清单往往是从后台配置开始的。4.3 Web 后台与访客网络两个总是被漏掉的对象无线审计时我会把访客网络也列为独立评估项。访客 SSID 看起来只是“给客人用的网”但很多设备默认开启了“允许访问内网资源”等于把一个未验证的入口挂在了核心网络旁边。检查方式很简单连上访客 Wi-Fi 后尝试访问主网段网关地址或打印机 IP如果通说明隔离策略没生效。还有一个容易漏掉的是 Mesh 和 AC 集中管理场景。每个 AP 都可能是独立的 Wi-Fi 入口但管理面在控制器上。如果你只评估了一个 SSID它的 BSSID 可能对应多个物理 AP。我一般会拉出所有 AP 的 BSSID 列表逐一确认信道、加密、WPS 和固件版本。PDF 教程不会告诉你这些因为它们默认你只是对单台路由器操作但做真正落地评估时网络规模和拓扑决定了评估项的数量。5. 避坑与排查无线审计最容易翻车的五个场景5.1 监听模式反复掉线现象airmon-ng start 之后接口时而是 wlan0mon过几分钟又变回 wlan0抓包中断。 原因NetworkManager 或者 NetworkManager-wait-online 服务在后台重新接管了无线网卡驱动也被一并重置。 解决先停掉网络管理服务再切监听模式。sudo systemctl stop NetworkManager sudo airmon-ng check kill sudo airmon-ng start wlan0测试做完后记得恢复sudo systemctl start NetworkManager。这个坑在 Ubuntu 桌面版上特别频繁在 Kali 里稍好但也可能被其他管理工具干扰。另外一个方程是某些 USB 网卡供电不稳插在 USB 3.0 口和 USB 2.0 口表现完全不同换接口比调参数更快。这是血泪经验先查供电再查驱动。5.2 包也抓了就是跑不出弱口令现象已经看到 “WPA handshake” 提示转换也成功字典跑完却一无所获。 原因最常见的是密码压根不在字典候选空间里其次是握手包虽然抓到但包含了太多不完整帧hashcat 解析出的有效 hash 极少。还有一类情况是路由器开了 PMFProtected Management Frames部分工具抓到的握手包不含可用信息。 解决先用一个已知密码的弱口令热点做阳性对照。比如把实验热点密码设成 12345678再用包含 12345678 的小字典去跑确认全链路没问题。然后换一个强密码热点做阴性对照验证“跑不出结果”才是正常结论而不是流程出错。5.3 字典几十 G跑了一天没结果现象软件不报错但 GPU 占用率低速度只有几百 H/s或者进度条一直不动。 原因大概率是字典文件太大IO 阻塞了 GPU也可能没加载 OpenCL 环境hashcat 在用 CPU 跑还有可能是 hash 模式选错了比如把 22000 的包当 2500 跑。 解决先跑基准测试hashcat -b -m 22000 head -n 10000 topass.txt mini.txt hashcat -m 22000 capture.22000 mini.txt --status先确认设备列表里有 GPU再确认 22000 模式的速度。用小字典跑通后再上大字典。跑包不是人多就快规则写得差只会让人干等。我常用的做法是把大字典先按行数切块先用 10 万行试探观察单位时间速率和内存占用再决定是不是要挂一晚上。5.4 5GHz 抓不到目标现象扫描列表里全是 2.4GHz 网络5GHz 路由器就在旁边但死活看不见。 原因网卡不支持 5GHz或网卡支持 5GHz但当前监管域限制了某些信道也可能是你用--band abg扫了但网卡固件没启用 DFS 信道。 解决先用iw list查看网卡的频段能力关键词看supported bands里有没有5000.0 MHz。如果没有换网卡如果有设置监管域sudo iw reg set CN按用户所在地区设置这里的 CN 仅示意不同区域用对应 ISO 代码。设置完再iw dev wlan0mon set channel 149手动跳到 5GHz 常用信道看看。注意部分无线网卡在监听模式下只能扫部分信道需要手动切换这不是玄学是网卡射频前端扫描范围有限。5.5 授权边界你可以测试但不能越界现象顺手把周围邻居家的 Wi-Fi 也扫了一遍甚至尝试握手然后沾沾自喜认为“技术厉害”。 原因没有提前划定实验范围把“能扫到”和“可以测”混为一谈。 解决我在前面 2.4 节里做过一张授权测试记录表实际项目里会更严格目标 SSID、BSSID、物理位置、有效期全部写明到期自动作废。个人自测只碰自己的热点和路由器公司网络测试要拿到明确的设备清单。技术上的可行性不等于行动上的正当性这条边界跨过去后面任何一个步骤都会变味。这不是套话是做这行最该有的习惯。6. 从“跑一次”到“日常巡检”把无线安全评估做成固定动作6.1 一套可复用的巡检脚本思路如果整套流程只是为了跑一次字典那下次网络改密、AP 升级后又要从头来。常见做法是把扫描和记录脚本化让每次安全评估都留下痕迹。下面是一个最小脚本#!/bin/bash LOG_DIR~/wifi-audit/$(date %Y%m%d) mkdir -p $LOG_DIR sudo airodump-ng wlan0mon --band abg --wps -w $LOG_DIR/scan --write-interval 60 /dev/null 21 sleep 180 sudo pkill airodump-ng echo 扫描完成结果在 $LOG_DIR/scan-01.csv这段脚本的核心是--write-interval 60每 60 秒写一次 CSV避免中途断电丢失全部扫描结果。跑完后检查 scan-01.csv 里的加密方式分布和 WPS 状态作为本次巡检记录。脚本里没有包含字典跑包因为巡检的重点是发现风险趋势不是每次都要跑一轮密码。6.2 验证方法怎么确认密码强度检查有效脚本化之后你要定期用“阳性对照 阴性对照”验证整个体检流程仍然有效。我会保留一个专门用于测试的实验热点密码固定为弱口令每次巡检前先跑这个样本确保抓包、转换、跑包链路没坏。再用办公主 Wi-Fi 的强密码做阴性验证跑不出结果才是预期结果。这套习惯能避免“工具装好了但一直没跑通”的尴尬。6.3 进阶把弱口令体检接入无线网络变更流程再进一步我会把扫描和弱口令验证作为无线网络变更流程里的必做项调整 SSID、更换 AP、升级固件后都自动跑一轮扫描重点看 WPS 是否被恢复出厂设置重新打开、加密方式是否从 WPA2 被设备自动降级到 WPA/WEP、访客网络隔离是否失效。变更后的 24 小时内再做一次复查避免第二天所有设备重新连接时才暴露问题。每回看到那些带着“密码大合集”的 PDF我第一反应已经不是它能不能跑出结果而是它有没有把授权边界和验证方法讲清楚工具版本和驱动一变再厉害的命令也会翻车。希望今天这套流程能帮你少走这段弯路也希望帮到你把自己的无线网络看明白。本文还有配套的精品资源点击获取