简介这是一份面向无线网络安全入门学习者的实操型资料围绕 WPA/WPA2 等常见加密方式的认证机制与安全性评估展开适合已具备基础网络知识、希望理解 Wi-Fi 口令如何被还原的读者也便于家庭或小型办公网络的使用者检查自家无线网络是否足够安全。资源以 rar 压缩包形式提供整体约 3.33MB教程正文与配套工具软件打包在一起从原理讲解到动手验证可以连贯完成免去另行搜集软件的麻烦。目前已有 6986 人学习下载属于同类主题中关注度较高的资料。读者可从中获得对无线帧交互、握手过程、字典与算力关系等环节的直观认识理解口令强度、加密方式选择与路由器配置对安全性的实际影响并借助配套软件在自建环境中复现与验证。建议仅用于自有网络的安全检查与授权范围内的测试勿用于未经许可的他人网络。1. 从自家路由器后台多出来的三台设备说起去年搬进新租的房子头一件事就是把某品牌家用路由器的管理后台翻了一遍。设备列表里躺着三台我根本不认识的终端MAC 前缀一个比一个陌生其中一台还挂着在线状态。那一刻我脑子里冒出来的第一个念头很直接网上那些搜破解WiFi密码的教程照着做到底有多容易——而我自己家的网络正好就是教程里那个隔壁。这里不讲怎么去蹭别人的网那条线碰了就是给自己找事。反过来讲一件更有用的事站在攻击者视角把自家无线网络的抗攻击强度从头到尾验一遍看清楚哪些入口最松、哪些配置最容易漏、验完该怎么改。自己租房、家里挂着一堆摄像头和扫地机、或者在公司兼着半个网管的人都可以照着做一遍。整套流程我前后折腾了大半年翻过车也踩过坑下面全是一手记录。2. 先搞清楚对手在打什么WPA2 握手与 PMKID 的真实攻击面无线安全评估这件事最怕一上来就抄命令连对面在交换什么帧都不知道。我见过太多人拿着工具跑了一下午抓回来一个空包然后开始怀疑网卡、怀疑驱动、怀疑系统版本其实问题出在他压根没搞明白攻击面在哪。这一章先把原理拆开后面所有命令都是在验证这些原理。2.1 四次握手到底交换了什么WPA2-PSK 的认证核心是四次握手。AP 和客户端都拿 SSID 加预共享密钥经过 PBKDF2 迭代 4096 次算出 PMK再用双方各自的随机数 ANonce、SNonce 加上两个 MAC 地址派生出 PTK最后一帧带上 MIC 做完整性校验对上了才算认证通过。关键点在于攻击者完全不需要知道密码只要把这几帧抓下来就有了一份可以带回家慢慢算的样本。每猜一个候选口令就重算一遍 PMK→PTK→MIC和抓到的 MIC 比对对上就是密码。整个过程离线完成AP 那边一点感知都没有。所以我一直跟人说抓包这一步在整个链路里只值五分钟真正的成本全在后面的算力上。要抓到完整的四帧也有条件必须有客户端正在上线或者刚好在重新认证。已经稳定连着网的设备不会主动握手这时候就要靠强制重连去逼它一次。这一步在自家网络上做没问题代价是那台设备会短暂断网几秒别在自己开视频会议的时候干这事。# 仅在自有网络的无线网卡上执行切勿对他人 AP 操作 sudo airmon-ng start wlan0 # 开启监听模式生成 wlan0mon sudo airodump-ng wlan0mon # 扫描周边 AP记下自家 BSSID 与信道 sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w ./cap wlan0mon # -c 锁定信道2.4G 常见 1/6/11锁错信道会一帧都抓不到 # --bssid 只抓自家这一个 AP避免混入邻居的流量 # -w 抓包输出前缀最终生成 cap-01.cap第一行把网卡切到监听模式这一步失败基本是驱动问题换一张支持监听模式的网卡比折腾驱动快得多。第二行扫描是为了拿到自家 AP 的 BSSID 和信道很多人跳过它直接上手结果信道锁在 6而自家路由器在 44跑一晚上 EAPOL 计数还是 0。第三行才是真正的抓包抓够四帧后右上角数据帧里会出现WPA handshake:字样。抓全之后还要转格式直接用 pcap 喂给爆破工具效率很低# 把 pcap 转成 hashcat 的 22000 格式同时提取 EAPOL 和 PMKID hcxpcapngtool -o hash.hc22000 cap-01.cap # 输出会列出抓到几组 EAPOL、几组 PMKID这个统计值就是你的素材量转换完先看统计如果 EAPOL 显示 0 而 PMKID 有值说明没抓到完整握手但拿到了另一种素材后面照样能用。两组都不为 0 才叫素材齐了。2.2 PMKID 为什么把门槛又降了一截PMKID 是 RSN 信息元素里的一个可选字段计算方式是拿 PMK 对PMK Name加 AP 的 MAC 加客户端的 MAC 做一次 HMAC-SHA1。注意这里没有任何随机数参与只依赖 PMK 本身。这意味着攻击者只要向 AP 发一个关联请求从响应里把 PMKID 摘出来就能直接开始离线爆破全程不需要有任何一台客户端在线。以前抓握手包最玄学的一环——等设备上线、挑时间强制重连——被直接删掉了。我在自家网络上实测用这条路线从零到拿到可爆破的样本前后不到二十秒。# 在自有 AP 上采集 PMKID用于评估自家口令强度 sudo hcxdumptool -i wlan0mon -o dump.pcapng --enable_status1 # -i 监听模式接口-o 输出文件--enable_status 打印实时状态 hcxpcapngtool -o pmkid.hc22000 dump.pcapng # 转换后同样用 22000 格式hashcat 一条命令能同时吃两种素材这条路线的防护思路很清晰WPA3 的 SAE 让 PMKID 直接失效因为 SAE 的 PMK 是每次会话临时协商出来的抓到的值对下一次没有意义。如果设备条件不允许全量上 WPA3那就只能靠口令长度硬扛把搜索空间推到算力打不动的量级。2.3 授权边界三种能测和三种别碰技术本身没有立场边界在人这边。我给自己划的线是这样的自家路由器随便测公司网络必须有书面授权并且约定好时间窗和频段避免影响业务实验室隔离环境怎么折腾都行。反过来邻居的 AP、商场和咖啡店的公共热点、以及我在这个公司上班但没人授权我测的情况一律不碰。中间地带最麻烦的是房东提供的宽带和共享办公空间产权和使用权分离先问清楚谁负责再动手。判断标准其实就一条这台设备、这张网出事之后是不是你负责。不是就停手。我一般会把这个判断写在测试记录的第一行隔几个月回头看能立刻想起当时为什么测、测到什么程度。3. 弱口令自测字典、规则与实测耗时原理搞清楚之后最值得投入时间的是口令强度这一块。因为绝大多数家用网络的实际风险不在协议而在于那串被人随手设成手机号或者门牌号的密码。这一章讲怎么在自己网络上量化这个风险而不是凭感觉说我密码挺复杂的。3.1 弱口令的真实结构远不止 12345678很多人以为弱口令就是连续数字其实真实世界里被命中的口令有很明显的结构规律。我把见过的归纳成几类口令模式典型构造搜索空间量级消费级单卡粗略耗时纯数字生日/手机号8 到 11 位数字10^8 到 10^11几分钟到一天品牌型号加年份设备名缩写 4 位年份10^4 到 10^6 组合秒级到几分钟键盘走位qwerty、1qaz2wsx 一类字典可覆盖秒级常见词加数字后缀英文单词 2 到 4 位数字词典 × 10^4几分钟到几小时姓名拼音加生日拼音全拼 8 位日期10^5 到 10^7分钟级这张表最值得看的是最后两列的关系搜索空间每多一位耗时翻十倍以上。所以把密码加长一位这件事的收益比把密码里的字母换成符号要大得多。我见过有人把password改成pssw0rd觉得很安全实际上主流规则文件第一条就是把 a 换成 、o 换成 0一秒钟就变形出来了。真正有效的做法是长度优先12 位以上的随机串或者四个不相关单词拼接。前者难记后者好记而且搜索空间足够大我更推荐后者。3.2 用 hashcat 跑自家网络的握手包拿到 22000 格式的素材之后先用工具自带的基准测试摸一下自己机器的算力这个数字决定了后面所有估算的基础# 测本机对 WPA 类哈希的处理速度单位 H/s hashcat -b -m 22000跑出来的数字大概在每秒几十万到一两百万之间取决于显卡档次。记下这个值后面所有多久能破的判断都拿它换算别信网上抄来的数字。然后是正式的字典测试。这一步的目的是验证如果我这个小区的某个人拿到我的握手包能不能在合理时间内破开所以字典和规则要贴近真实攻击者的水平不能拿个小字典跑两分钟没出结果就宣布自己安全。# 词典 规则变形模拟真实攻击者最常用的一档配置 hashcat -m 22000 hash.hc22000 words.txt -r rules/best64.rule -w 3 # -m 22000 WPA-PBKDF2-PMKIDEAPOL 混合模式EAPOL 和 PMKID 都能吃 # -r 规则文件best64 会把每个词做 64 种常见变形大小写、后缀数字、符号替换 # -w 3 负载档位3 表示偏高跑的时候别同时干重活 # 掩码爆破验证纯数字口令的风险 hashcat -m 22000 hash.hc22000 -a 3 ?d?d?d?d?d?d?d?d -i --increment-min 8 # -a 3 掩码模式?d 代表一位数字八位就是 10^8 的搜索空间 # -i --increment-min 8 从 8 位开始逐位递增避免漏掉更短的口令掩码里的字符集要按需替换?l是小写字母、?u大写、?s符号、?a是全部可打印字符。实际测的时候别一上来就用?a?a?a?a?a?a?a?a那个空间大到没有意义先从最可能的口令形态往里收。长任务记得加--session和--restore显卡满载跑几个小时中途断电或者驱动崩一次没有断点就得从头再来这个后悔药我吃过不止一次。3.3 结果怎么读命中时间和口令形态的对应关系跑完之后别只看有没有 Cracked要看两件事命中所用的时间以及命中的是哪种掩码或规则。如果 8 位纯数字几分钟就出来了说明这个口令在当前算力下等于没设任何一台带独显的机器都能搞定。如果 11 位纯数字跑了一整天没出说明纯数字这条路走不通但要继续验证常见词加数字后缀这条线因为它覆盖的是另一片空间。真正让我放心的结果只有一种所有贴近真实的字典和规则都跑完依然没命中并且口令本身是随机生成的 12 位以上。还有个容易被忽略的细节口令强度和 SSID 是绑定的。同样一串密码换个 SSID 就要全部重算因为 PMK 派生时 SSID 是输入之一。所以改密码的时候顺手改一下 SSID等于让所有已经泄露的旧握手包彻底作废这是个成本极低的动作。4. 配置层排查比口令更容易漏的四个入口口令拉满之后很多人就以为万事大吉了我在自家网络上排查时发现最容易出事的恰恰是口令之外的那几项。这些开关默认往往开着藏在后台第二层菜单里不专门去找根本注意不到。4.1 WPS最容易被忽略的那扇门WPS 的 PIN 是 8 位数字但最后一位是前七位的校验位而且验证过程分两段先验前 4 位通过后再验后 4 位。这就把暴力枚举的空间从 10^8 压到了大约 1.1 万次任何一台普通设备几分钟就能穷举完。换句话说只要 WPS 是开着的你把主口令设成 30 位随机串也没有意义人家从侧门进来。不同厂商的叫法不一样有的叫 WPS有的叫 QSS有的藏在无线高级设置或者一键连接里。我的做法是逐层翻一遍后台找到就关掉找不到就查这个型号的说明书。真有部分老型号关不掉这种情况我建议直接换设备一个关不掉的 WPS 等于没有密码。4.2 WPA3-SAE 与过渡模式别被支持 WPA3骗了SAE 用的是口令认证密钥交换抗离线字典抓到的帧对爆破没有价值。但问题出在过渡模式上为了兼容只支持 WPA2 的老设备路由器会同时广播 WPA2 和 WPA3 两种能力攻击者可以选择降级到 WPA2 那一侧下手。也就是说过渡模式的安全性基本等同于 WPA2。加密模式握手可抓离线爆破可行我的建议WPA2-PSK是是口令必须 16 位以上随机WPA3-SAE是否优先选设备全支持就纯 WPA3WPA3 过渡模式是是走降级老设备多时用但按 WPA2 标准设口令WPS任意加密下是是PIN 穷举一律关闭判断路由器到底跑在哪个模式别只看后台的勾选项。从客户端侧看更准连接详情里显示安全性类型是 WPA3 还是 WPA2/WPA3 混合那个才是实际生效的。我遇到过后台选了 WPA3、实际还在广播 WPA2 的情况固件版本太老升级之后才真正生效。4.3 访客网络、IoT 隔离与 UPnP访客网络值得开但要确认它真的做了客户端隔离。很多路由器的访客 SSID 只是换了个名字连上去照样能访问内网里的 NAS 和摄像头管理页这种假隔离比不开还危险因为你以为隔开了。验证方法很简单手机连访客网络用内网扫描工具扫一下主网段能扫出设备就是没隔离。IoT 设备单独放一个 SSID 或者单独划一个 VLAN这条我是踩过坑之后才落实的。家里那台网络摄像头曾经被扫到在对外发心跳包查下来是固件里带的某个服务在往外连。把它挪到独立网段之后即使它自己有问题也够不到内网的其他机器。UPnP 默认是开的它允许内网设备自动向路由器申请端口映射等于把内网服务半自动地暴露出去。检查有没有已经存在的映射# 在 Linux 主机上列出当前路由器上生效的 UPnP 端口映射 upnpc -l # 输出里找 ExternalIPAddress 和下面的端口映射条目 # 看到不认识的映射条目就去路由器后台把它删掉并关闭 UPnP输出里如果出现一堆你没主动配过的映射基本就是某个设备自己开的。关掉 UPnP 之后需要外网访问的服务改成手动映射虽然麻烦但至少你知道开了哪些口。4.4 管理后台与固件最土但最有效的两项路由器管理后台的默认口令是另一个高频入口。很多人改 WiFi 密码很上心后台口令还是出厂那个 admin而管理页面又恰好对整片内网开放隔壁连上来就能直接改你的 DNS。顺手扫一下自家网段看路由器暴露了哪些管理端口# 只扫自家网段内的路由器地址确认管理面暴露范围 nmap -sT -p 1-65535 192.168.1.1 --open # -sT TCP 全连接扫描不需要 root--open 只显示开放端口 # 关注的端口80/443 管理页面、22 SSH、7547 远程管理协议7547 这个端口要特别留意它是运营商远程管理协议常用的端口家宽场景下如果对内网开放等于多了一条谁都能尝试的入口。管理后台只允许内网访问、关闭 WAN 侧远程管理、固件自动更新打开这三件事做完能挡掉相当一部分自动化扫描。5. 避坑与常见问题自查时最容易翻车的五件事这套流程我反复跑过很多次也教过身边的人跑翻车点高度集中在下面五处。每条按现象、原因、解决写清楚遇到问题直接对照。5.1 抓了几小时EAPOL 计数一直是 0现象airodump-ng跑了一晚上目标 AP 那一行的#Data在涨但#EAPOL始终是 0转格式时统计也是空的。原因有两类。一是信道锁错尤其家里同时开了 2.4G 和 5G 且用同一个 SSID 的时候你锁在 6 结果设备全连在 44 上抓到的只有无关的广播帧。二是所有客户端都已经稳定连上没有触发重新认证自然没有四次握手。解决先确认--bssid对应的信道与-c一致扫描结果里 CH 那一列就是。然后挑一台自己的设备手动断开 WiFi 再重连重连瞬间就能抓到完整握手。如果实在凑不齐改走 PMKID 路线不需要等任何设备上线。5.2 hashcat 报 No hashes loaded现象命令敲下去hashcat 立刻退出提示没有加载到哈希。原因文件格式不对。22000 格式对文件结构有严格要求混入了空行、注释或者被编辑器改过换行符都会失败。另一种可能是目标跑在 WPA3-SAE 上抓到的根本不是 EAPOL 帧转格式时统计为空。解决转换时盯着hcxpcapngtool的输出统计EAPOL 和 PMKID 两项至少有一项不为 0。文件用wc -l看一眼行数和统计值对不上就是转换出了问题。确认 AP 的加密模式SAE 的帧在 22000 格式下没有对应结构抓再多也没用。5.3 显卡满载跑一会儿整个系统卡死或者驱动崩掉现象跑了几十分钟屏幕黑一下驱动重载hashcat 进程消失。原因-w档位开太高加上长时间满载散热压不住触发了驱动的保护机制。笔记本尤其容易进风口被挡住就崩。解决-w降到 3加--hwmon-disable关掉温度监控的干预同时务必加--session名字崩了之后用--restore接着跑。真要长时间跑把负载分散到夜间白天别占着机器。5.4 后台翻遍了找不到 WPS 的开关现象知道 WPS 要关但把无线设置翻了个底朝天也没看到相关选项。原因部分型号把它放在无线高级设置一键连接甚至网络工具下面还有一些型号在开启某个功能比如访客网络时会把 WPS 隐藏必须先关掉那个功能才显示。解决按型号查说明书别按通用路径找。Web 后台找不到就试试手机 App 端有些厂商只在 App 里暴露这个开关。实在关不掉考虑升级固件或者换设备。5.5 换成 WPA3 之后老设备集体连不上现象主 SSID 改成 WPA3 后摄像头、扫地机、老款平板全部离线。原因这些设备的无线芯片只支持 WPA2-PSK遇到 SAE 直接放弃连接。解决主 SSID 保持 WPA3另开一个只给 IoT 用的 WPA2 SSID把那个 SSID 的口令设成 20 位以上随机串并且开启客户端隔离。这样既保住了主力设备的强度老设备也有地方待代价是这个 IoT 网段的口令要写在一张纸上贴在路由器背面不然自己都记不住。6. 收尾把一次性自查变成季度动作上面这套流程第一次跑完我花了整整两个周末其中一个周末全耗在等握手包上另一个在等显卡跑字典。但真正有价值的不是第一次而是把它变成固定动作之后。因为网络环境一直在变新买的设备可能自动开了 UPnP固件升级可能把 WPS 又打开运营商换了光猫可能把远程管理端口又露出来。一次性的自查半年后就过期了。我现在的做法是每季度跑一遍清单每次不超过半小时重点看这几项检查项判断标准不合格时的动作主 SSID 加密模式实际生效的是 WPA3 或 WPA2 强口令升级固件或调口令到 16 位以上WPS 状态关闭后台关闭关不掉换设备后台管理口令非默认12 位以上立即修改已知端口映射只有自己主动配的条目删掉多余条目关 UPnP设备列表每一台都认识陌生设备先断网再查来源固件版本自动更新开启或已是最新手动升级最后留一个我自己吃过亏之后才养成的习惯每次改完任何一项配置立刻在手机备忘录里记一行日期 改了什么 为什么改。听起来很土但半年后你面对一个陌生的后台界面时这几行字能省掉一整晚的排查。那次摄像头往外发心跳包的事就是因为翻到了三个月前的一条记录才在两分钟内定位到是哪个网段的问题。从那以后我每次动路由器配置之前都会强制走一遍上面那张表改完再补一行记录。无线安全这件事没有一劳永逸只有定期复核。希望这些踩过的坑能让你少走点弯路。本文还有配套的精品资源点击获取