1. 无线安全评估到底在评什么很多人第一次接触无线安全脑子里想的都是怎么把隔壁的密码搞到手。这个出发点本身就偏了。在正规的安全评估工作里无线网络评估的目标从来不是蹭网而是帮网络所有者发现他们无线配置里的薄弱环节——比如加密协议选得对不对、口令强度够不够、有没有隐藏的管理接口暴露在外、访客网络和办公网络有没有做隔离。搞清楚这个定位后面的所有操作才有意义。我做了几年无线侧的安全评估最深的感受是绝大多数所谓的破解本质上都是配置失误或者口令太弱而不是加密算法被攻破了。WPA2-PSK用AES加密到今天为止在密码学层面依然是安全的。你能破进去要么是对方用了WEP这种早就该淘汰的东西要么是口令是12345678或者手机号要么是开了WPS的PIN码功能。真正需要动用抓包和离线计算的那些场景考验的其实是字典质量和硬件算力而不是什么高深的技术。所以这篇内容我想讲清楚三件事无线评估的完整流程长什么样、每个环节背后的原理是什么、以及在实际操作中哪些地方最容易翻车。适合已经有一定网络基础、想系统了解无线安全评估的从业者也适合刚入行的安全测试人员拿来当操作参考。文中涉及的所有技术手段请务必只在你自己拥有或获得书面授权的网络环境中使用未经授权对他人网络进行测试是违法行为这一点没有任何商量余地。2. 评估前的环境准备与硬件选型2.1 网卡芯片才是决定成败的关键新手最容易犯的错就是拿笔记本自带的无线网卡去干活。内置网卡绝大多数不支持监听模式Monitor Mode和数据包注入Packet Injection这两个能力是无线评估的基础。监听模式让网卡能捕获空中所有的802.11帧而不只是发给自己的那些注入能力则让你能主动发送构造好的管理帧。没有这两样后面的一切都无从谈起。选外置网卡核心看芯片方案。市面上能买到的、对监听和注入支持良好的芯片主要有几个系列我把常见型号整理成表格方便对照芯片方案典型型号频段支持监听/注入备注Atheros AR9271TP-Link TL-WN722N v12.4G良好v1版本才是AR9271v2/v3换了芯片Ralink RT3070各种小厂网卡2.4G良好便宜但驱动偶尔抽风Realtek RTL8812AU多款双频网卡2.4G/5G良好双频首选发热略大Realtek RTL8814AU高端双频网卡2.4G/5G良好支持4x4价格偏高MediaTek MT7612U部分双频网卡2.4G/5G良好驱动较新稳定性不错注意买网卡前一定要确认具体版本号。同一个型号不同批次可能换芯片比如TL-WN722N只有v1是AR9271买错了就是一块普通网卡。2.2 系统环境与驱动配置操作系统我一般用Kali Linux它预装了aircrack-ng、hcxtools、hashcat等一整套工具省去大量配置时间。如果你习惯用其他发行版手动装这些工具也不复杂但要注意内核版本和驱动兼容性。网卡插上之后第一件事是确认系统认没认出来# 查看无线接口 iwconfig # 或者用更现代的iw iw dev如果看到类似wlan0的接口说明驱动加载正常。接下来要确认网卡是否支持监听模式# 查看网卡支持的模式 iw list | grep -A 8 Supported interface modes输出里如果有* monitor这一行恭喜你这块网卡能干正事。如果没有要么换网卡要么去查这块芯片有没有第三方的监听模式驱动。2.3 把网卡切到监听模式确认支持之后就可以切换了。这里有个细节切换前先把可能干扰的网络管理进程停掉否则它们会不断把网卡拉回管理模式。# 停掉网络管理服务 sudo airmon-ng check kill # 启动监听模式 sudo airmon-ng start wlan0执行完接口名通常会变成wlan0mon。用iw dev确认一下能看到类型是monitor就对了。如果airmon-ng check kill把网络整个搞断了别慌这是正常的它本来就会停掉NetworkManager这类服务。评估结束后重启服务或者重启系统就能恢复。3. 从扫描到握手包完整链路拆解3.1 扫描周边AP锁定目标监听模式起来之后第一步是扫描。这一步不只是看有哪些WiFi更重要的是收集每个AP的BSSIDMAC地址、信道、加密类型、客户端数量这些信息。# 扫描所有信道上的AP sudo airodump-ng wlan0mon屏幕上会刷出一堆AP和它们关联的客户端。这里要重点看几列CH是信道ENC是加密方式WPA2、WPA3、WEP、OPNPWR是信号强度。信号强度这个值越接近0越好-30比-80强得多。如果目标信号太弱抓包会非常痛苦这时候可以考虑换个位置或者用定向天线。锁定目标后记下它的BSSID和信道然后针对性地只监听这一个AP# 只监听目标AP指定信道 sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w capture wlan0mon-w capture表示把抓到的包存成文件后面会生成capture-01.cap这样的文件。这个文件就是我们的核心产出。3.2 抓握手包等待还是主动出击WPA/WPA2的握手包4-way handshake是验证口令的关键。当有客户端连接AP时双方会交换四次握手信息这里面包含了可以用来离线验证口令的材料。问题在于握手包只在客户端重新连接的时候才会产生。如果目标网络一直有设备连着不掉线你可能等半天也抓不到。这时候有两种思路。第一种是干等适合目标网络客户端频繁上下线的场景。第二种是主动让某个已连接的客户端掉线逼它重连从而触发握手。第二种方法用到的就是取消认证帧Deauthentication Frame# 向指定客户端发送取消认证帧逼它重连 sudo aireplay-ng --deauth 5 -a AA:BB:CC:DD:EE:FF -c 11:22:33:44:55:66 wlan0mon--deauth 5表示发5个取消认证帧-a是AP的BSSID-c是客户端的MAC。发完之后客户端会掉线并尝试重连这时候airodump-ng的界面右上角如果出现WPA handshake: AA:BB:CC:DD:EE:FF就说明抓到了。提示取消认证帧发太多会引起注意也可能被某些AP的防护机制记录。实际评估中控制在个位数抓到就停手。另外如果目标开了802.11w管理帧保护取消认证帧会被拒绝这条路就走不通了只能老老实实等自然重连。3.3 验证握手包是否完整抓到握手包不等于万事大吉得确认它是完整的。用aircrack-ng检查一下aircrack-ng capture-01.cap如果输出里明确写着1 handshake说明握手包完整可用。如果显示0 handshake那这个包是废的得重新抓。这一步很多人会跳过结果拿着不完整的包去跑字典跑了几小时才发现根本没戏白白浪费时间。4. 离线口令验证字典、算力与策略4.1 字典质量决定一切握手包到手接下来就是离线验证口令。这个过程的本质是拿字典里的每一个候选口令用握手包里提取的参数去计算看能不能匹配上。所以字典的质量直接决定了成功率。网上流传的各种万能字典其实大部分是垃圾动辄几个G里面全是无意义的字符串。真正有用的字典通常来自几个方向针对目标背景定制的字典比如公司名、人名、生日组合、从历史泄露口令库中提炼的高频口令、以及按规则生成的变体。我常用的几个字典来源和它们的定位rockyou.txt经典中的经典1400多万条Kali自带。适合做第一轮快速尝试。针对性的小字典根据目标信息手工构造几百到几千条命中率往往比大字典还高。规则变体用hashcat的规则引擎把基础字典做大小写、数字后缀、符号替换等变换能大幅扩展覆盖面。4.2 用aircrack-ng做快速验证如果只是想快速试一下aircrack-ng自带字典验证功能简单直接aircrack-ng -w rockyou.txt -b AA:BB:CC:DD:EE:FF capture-01.cap-w指定字典-b指定目标BSSID。跑起来之后它会实时显示尝试速度和进度。这个方式的优点是方便缺点是速度受限于CPU而且不支持复杂的规则变换。4.3 用hashcat榨干GPU算力要追求速度就得上hashcat。它能把计算任务丢给GPU速度比CPU快几十倍甚至上百倍。流程分两步先从cap文件里提取出hash再用hashcat去跑。# 提取hash输出到hash.txt hcxpcapngtool -o hash.hc22000 capture-01.cap # 用hashcat跑字典 hashcat -m 22000 hash.hc22000 rockyou.txt-m 22000是WPA-PBKDF2-PMKIDEAPOL的hash模式这是目前推荐的方式。如果你的hashcat版本较老可能用的是-m 2500那是旧的hccapx格式。跑之前建议先跑一下hashcat -m 22000 hash.hc22000 --show确认hash提取成功。关于速度这里给个参考一块中端显卡跑WPA的验证速度大概在每秒几十万次量级。听起来很快但如果字典有上亿条那也得跑好几分钟。所以字典的精准度比算力更重要与其堆一块顶级显卡不如花时间研究目标可能用什么口令。4.4 规则引擎让字典以一当十hashcat的规则功能是真正的效率放大器。一条基础口令通过规则可以生成成百上千个变体。比如password这一条经过规则变换能变成Password、password1、password123、pssword等等。# 使用best64规则 hashcat -m 22000 hash.hc22000 rockyou.txt -r rules/best64.rulebest64.rule是hashcat自带的经典规则集包含64条最常用的变换。还有dive.rule这种更激进的规则能生成海量变体但耗时也成倍增加。实际用的时候我一般先用best64快速过一遍没结果再上更重的规则。5. 那些年踩过的坑与排查思路5.1 网卡明明支持监听却切不过去这个坑我踩过不止一次。现象是iw list里明明有monitor模式但airmon-ng start之后接口没变化或者报错。原因通常有几个一是NetworkManager在后台抢网卡airmon-ng check kill没杀干净二是驱动版本有问题某些Realtek芯片需要装特定的驱动三是USB接口供电不足尤其是用USB延长线的时候。排查顺序我一般是这样先ps aux | grep -i network看看还有没有网络管理进程在跑有就手动kill掉然后dmesg | tail看内核日志有没有驱动报错最后换个USB口直插主板后置接口试试。十有八九能解决。5.2 抓了半天抓不到握手包抓不到握手包的原因很多按概率排一下目标网络当前没有客户端连接没客户端就没握手、信号太弱导致丢包严重、信道设错了、或者目标开了管理帧保护。排查的时候先确认airodump-ng里能看到目标AP的客户端列表如果STATION那一栏是空的说明确实没设备连着那就只能等。如果有客户端但抓不到检查信道对不对然后试着发几个取消认证帧。还有一种情况是抓到了但显示0 handshake这通常是握手包不完整可能只抓到了四次握手里的前两次。解决办法是继续监听等下一次重连或者多发几个取消认证帧。5.3 字典跑完了却没结果跑完字典没出结果不代表这个网络就安全。可能的原因口令不在字典里、握手包本身有问题、或者目标用的是WPA3。WPA3的SAE握手和WPA2完全不同用抓WPA2握手包的方法根本抓不到可验证的材料hashcat也跑不了。遇到WPA3离线验证这条路基本堵死只能考虑其他评估角度比如WPS漏洞或者配置问题。另外要提醒一句跑字典是个体力活不是技术活。与其花几天时间跑一个几百G的字典不如先花半小时分析目标背景构造一个几百条的精准字典。我见过太多人一上来就挂个大字典跑通宵结果什么都没跑出来其实目标口令可能就是公司名2024这种。5.4 关于WPS一个经常被忽略的入口WPSWiFi Protected Setup设计初衷是方便用户快速连接但它有个PIN码机制8位数字分成两段验证导致暴力枚举的难度大幅降低。很多路由器默认开启WPS这就是一个明显的配置风险。检测WPS是否开启可以用washsudo wash -i wlan0mon输出里WPS那一列如果显示1.0或2.0说明开着。针对WPS的评估工具有reaver和bully原理是枚举PIN码。不过现在很多新路由器都加了防暴力破解机制PIN码试错几次就锁定所以这个方法在新设备上成功率不高但在一些老设备上依然有效。6. 评估之后从发现到修复6.1 一份合格的无线评估报告该写什么找到问题只是第一步把问题讲清楚、给出可落地的修复建议才是评估的价值所在。我写报告一般包含这几块发现的问题、风险等级、复现步骤、影响范围、修复建议。比如目标AP使用WPA2-PSK且口令为弱口令这个问题风险等级高复现步骤就是上面抓包加跑字典的流程影响范围是任何能接收到该AP信号的攻击者均可获取网络访问权限修复建议是改用WPA3或设置16位以上包含大小写字母、数字、符号的强口令并定期更换。6.2 防御方的视角怎么让自己的无线网络更难被攻破站在防御角度有几件事是性价比极高的。第一关掉WPS这个功能带来的便利远小于它带来的风险。第二用WPA3如果设备支持的话SAE握手能有效抵抗离线字典攻击。第三口令要够强长度优先于复杂度一句好记的长短语比一堆乱码符号更安全也更好用。第四访客网络和内部网络隔离别让访客WiFi能访问到内网设备。第五定期检查有没有陌生的客户端连进来很多路由器管理界面都能看到已连接设备列表。6.3 关于工具和心态的一点个人体会工具这东西够用就行。aircrack-ng套件加上hashcat基本能覆盖无线评估的绝大部分场景。没必要追求什么一键破解神器那些东西要么是套壳要么夹带私货用着不放心。真正拉开差距的是对802.11协议的理解、对目标环境的分析能力以及遇到问题时能不能有条理地排查。最后再说一遍那个老生常谈但必须强调的点所有这些技术只能在你自己拥有或获得明确书面授权的网络中使用。未经授权测试他人网络不管出于什么目的都是违法的。技术本身没有对错用在哪里、怎么用才是关键。我见过太多人因为一时好奇惹上麻烦真的不值得。把精力放在提升自己的专业能力上在合规的框架内做评估这条路才能走得长远。
