简介这是一份面向无线网络安全爱好者与技术初学者的PDF教程围绕“如何破解WIFI密码”主题深入讲解WEP加密协议的弱点与实测攻防流程。文档从硬件选型讲起明确指出需要Atheros AR5001AR5006系列芯片或兼容驱动的无线网卡并推荐WinAirCrackPack与Network Stumbler两款工具随后按步骤演示了airodump抓取无线数据包、搜索隐藏SSID、统计WEP IV数据再用winaircrack进行64位密钥暴力破解的完整过程还给出了网卡序号选择、芯片类型确认、捕获文件保存等关键参数的处理方法图文配合、便于跟随操作。资源为单个PDF文档体积仅55KB可快速下载阅读。同时文档在详解技术路径时也多次声明未经授权破解他人网络属违法行为并借此提醒用户关注自家无线网络加密强度具有明确的安全伦理倾向。目前已有818人学习适合刚接触无线渗透测试、或想排查自家路由器是否存在WEP弱加密隐患的读者参考。1. 为什么“破解WIFI密码”是个伪命题但你还是该学这套方法先说结论WPA2/WPA3 下的 WIFI密码破解不是电影里那样打开软件等三秒就能出密码的。真实情况是绝大多数家庭路由器的破解路径只有一条抓握手包、跑字典、撞弱口令。成功率取决于密码本身的强度而不是你用的工具多花哨。但这套流程依然是无线安全测试、自家密码找回、企业内网评估的必备技能。网上搜“WIFI密码破解”出来的工具百分之八十是钓鱼真正能落地的核心就三件事监听、抓包、跑字典。这篇文章针对的是已经把“破解WIFI密码.pdf”这份文档思路内化成实战需求的读者。你可能是忘了自家路由器密码想找回可能是公司请你做无线安全巡检也可能是单纯想搞清楚 Kali 下那些命令到底怎么串联。适合的人群是网络工程师、安全测试入门者和运维人员。不适合的是想免费蹭网的人因为纯靠破解蹭网在 2025 年的城市环境里成本极高远不如老老实实问老板要密码。本文讲的方法必须建立在你有授权的前提下这是底线。2. WIFI 加密协议与破解原理为什么握手包是唯一突破口2.1 四种加密方式里只有一种值得花时间路由器后台常见的加密选项是 WEP、WPA、WPA2、WPA3。WEP 已经死了二十年破解工具能把密钥在几分钟内算出来因为它的 RC4 加密流存在严重的 IV 重用问题。WPA 和 WPA2 用的是同一套 PSK 认证框架区别只在 CCMP 取代了 TKIP对破解者来说攻击面几乎没有变化。WPA3 引入了 SAE 握手理论上能防离线字典攻击但目前市面普及率仍然低且部分兼容模式下会降级到 WPA2 让攻击者有机可乘。真正要理解的是 WPA2 的认证过程。客户端发送关联请求后AP 返回一个随机数 ANonce客户端用自己的随机数 SNounce 结合预先共享的 PSK通过 PBKDF2 派生出一个 256 位的 PTK。PTK 被分成 KCK、KEK、TK 三部分KCK 用于生成 MIC 校验码。四路握手的四个包交换完毕后攻击者只要能捕获前两个包手里又有 PSK 的字典候选值就能离线重放整个派生过程比对 MIC 是否一致。这就是破解的核心逻辑不是去和路由器实时对撞而是把抓到的握手包拿回本地慢慢算。离线攻击意味着攻击者不受时间限制GPU 跑得快就多试几个密码跑得慢就挂机。这也直接决定了防御思路只要 PSK 足够长足够随机离线攻击就没有意义。2.2 破解 WIFI密码 的最小信息模型整个攻击链路上需要保留的东西只有三样AP 的 BSSID、客户端的 MAC、握手包的 pcap 文件。BSSID 用于确认目标客户端 MAC 用于过滤噪声pcap 文件是唯一需要重点保护的资产。用 tshark、airodump-ng 或 Wireshark 打开 pcap能看到 EAPOL 协议的四个包只要认准了 M1 和 M2 两个包就可以关掉抓包界面了后面的活全部交给字典和显卡。# 用 tshark 快速确认 pcap 里是否存在可用的 EAPOL 握手包 tshark -r capture.pcap -Y eapol -T fields -e frame.number -e eth.addr -e eapol.type # 参数说明-r 读取 pcap 文件-Y 是显示过滤器只筛 eapol 协议 # 输出结果里如果看到 frame.number 连续的两到四个包且 eapol.type 为 2 和 3就说明握手完整这段命令的价值在于快速体检。很多人抓了两个小时的包跑到 hashcat 里才发现 pcap 里根本没有握手包白忙一场。tshark 是 Wireshark 的命令行版Kali 自带Windows 装了 Wireshark 也会带。eapol.type 为 2 是 M1为 3 是 M2只有同时拿到这两个才算有效捕获。2.3 为什么字典才是真正的主角协议层面的知识只能让你把包抓到真正决定能不能跑出密码的是字典质量。网上搜“wifi密码字典文件下载”能搜到几百兆甚至几个 G 的 txt 文件但那些大文件大部分是往里面塞各种数字组合的穷举结果效率极低。一个有效的字典应该是贴合目标的比如中国家庭路由器的密码习惯是 8 位纯数字、手机号后八位、姓名拼音加生日这些形态字典就应该按这个逻辑去生成而不是把一个 10G 的 rockyou.txt 直接丢进去。# 用 crunch 生成针对 8 位纯数字且首尾为 1 的候选字典适合测试自家路由器 crunch 8 8 0123456789 -t 1 -o digits_8.txt # 参数说明第一个 8 是最小长度第二个 8 是最大长度0123456789 是字符集 # -t 指定模板 表示按字符集填充1 是固定开头这样生成的字典只有 10^7 个候选这就是典型的带着脑子去破解。直接跑 8 位纯数字需要一亿次计算限制首尾后直接砍到一千万次在 GTX 1060 上用 hashcat 跑 WPA2 大概是一百万次每秒十分钟就能跑完。这个思路在真实渗透里也成立先收集目标信息再定制字典比盲目堆算力有用得多。注意字典生成后注意磁盘占用。crunch 默认输出是每行一个候选值8 位密码加换行符大概是 9 字节一行一千万行大约 90MB。如果直接生成 8 位全量纯数字是 1GB 级别不建议用机械硬盘直接存。3. 搭建本地破解环境Kali 网卡选型与监听模式配置3.1 网卡芯片是成败的第一道坎笔记本自带的 Intel 无线网卡绝大多数不支持监听模式和包注入这是新手翻车率最高的环节。Kali 装好了airodump-ng 一执行列表里什么都看不到或者能看到 AP 但抓不到任何客户端通信。原因不是命令出错是驱动根本没把网卡切到 RFMON 模式。解决路径很明确买一张支持监听模式的外置 USB 网卡芯片优先选 Realtek RTL8812AU 或 Atheros AR9271。前者支持 5GHz 频段和 802.11ac后者只支持 2.4GHz 但驱动兼容性极好。这里需要注意“驱动兼容性”。很多国产网卡用的是 RTL8811AU 芯片V2 版本改了 USB IDKali 内核默认驱动根本不认需要手动编译驱动编译又依赖内核头文件内核一升级驱动就失效属于典型的连环坑。# 查看网卡是否被系统识别以及驱动名称 iw dev # 输出里能看到类似 phy#0 的条目Interface 列显示 wlan0 或 wlan1 # 查看驱动是否支持 AP 模式和监听模式 iw phy phy0 info | grep -A 20 Supported interface modes # 输出里应该有 monitor 字样如果没有说明驱动不支持监听模式买卡之前先执行这三条命令能省掉后面所有麻烦。iw dev看的是网卡有没有被系统识别iw phy看的是驱动能力矩阵。很多人在虚拟机里做实验虚拟机把 USB 网卡透传进去以后物理机上的网络管理工具会抢占网卡导致 iw 能看到设备但一进 monitor 模式就报错“Device or resource busy”。解决办法是把 NetworkManager 停掉或者把 USB 口从物理机彻底解绑再透传。3.2 从 Managed 到 Monitor两步切换和常见失败原因# 停止网络管理服务避免它抢占无线网卡 sudo systemctl stop NetworkManager # 查看当前无线网卡接口名 iw dev # 将 wlan0 切换到监听模式 sudo ip link set wlan0 down sudo iw dev wlan0 set type monitor sudo ip link set wlan0 up # 验证是否真正进入监听模式 iw dev wlan0 info # 输出里 type 应该显示 monitor而不是 managed这套命令看起来简单实际执行时至少有三种失败路径。第一种是ip link set wlan0 down报错“Device or resource busy”说明有进程占用了网卡最常见的是 NetworkManager 的定时扫描也有的是 wpa_supplicant 在后台自动连接保存过的 Wi-Fi。第二种是切换后iw dev显示 type 还是 managed说明驱动没有实现 monitor 模式的切换逻辑属于硬件不支持只能换卡。第三种是切换成功但airodump-ng wlan0启动后三分钟内一个 AP 都搜不到大概率是频段没设对需要手动指定 2.4GHz 或 5GHz 频段。# 如果默认信道扫描不到目标可以手动锁定频段和信道 sudo iw dev wlan0 set channel 6 # 2.4GHz 常用信道 1/6/115GHz 家用路由器常见信道 36/149 等这里有一个容易被忽略的问题监听模式下的网卡一次只能监听一个信道。如果要扫描附近所有 APairodump-ng 会做信道跳变每秒切换几十次。锁定信道后虽然能稳定抓某个 AP 的包但也意味着你看不到其他 AP 的流量了。实战中的做法是先全信道扫描找到目标再锁定信道精准抓包。3.3 虚拟机透传 USB 网卡的正确姿势VMware 和 VirtualBox 都能把 USB 网卡透传进 Kali但直接透传后会出现两个问题物理机上的 Windows 还在占用这个网卡以及虚拟机内驱动加载顺序错误。正确做法是先拔掉网卡再插入让宿主机弹出“USB 设备已断开”然后在虚拟机设置里把 USB 控制器选成 USB 3.0最后开机后再插网卡让虚拟机直接接管。# 在虚拟机内部查看 USB 设备是否被正确识别 lsusb # 输出里如果看到 0bda:8812 或 0cf3:9271 之类的 ID说明设备已经透传成功透传成功不等于能进 monitor 模式Kali 内核自带的驱动如果没有覆盖到这块芯片lsusb 能看到设备但 iw dev 看不到无线接口。此时需要先确认内核模块是否加载lsmod | grep 88XXau或modprobe 88XXau。RTL8812AU 的驱动在 Kali 里属于第三方维护新装内核后第一次加载大概率要 dkms 重编。提示如果在真实物理机上执行这套流程不需要透传但需要注意 UEFI 的 Secure Boot。部分主板开启 Secure Boot 后DKMS 编译的第三方驱动模块会因为未签名而被内核拒绝加载。常见做法是在 BIOS 里临时关闭 Secure Boot驱动加载完成后再开回来。4. 四种破解 WIFI密码 的实操路线从握手包捕获到字典爆破4.1 路线一定向攻击单个 AP 的抓包流程定向抓包是用 airodump-ng 锁定目标 BSSID 和信道后持续监听并等待某个客户端进行认证。如果目标 AP 旁边没有活跃客户端ES 层就捕捉不到任何 EAPOL 包这时有两个办法等或者主动攻击。等待适合办公场景很多人手机每隔一段时间会重新连接 Wi-Fi这些自动重连动作会产生新的握手包。主动攻击则是对已连接的客户端发送 deauthentication 帧强制它断开重连从而在短时间内半强制地制造握手条件。这是唯一合法的主动干预点因为 deauth 帧本身就是管理帧不需要破解任何加密内容。# 终端一持续监听目标 AP 的流量并保存到文件 sudo airodump-ng wlan0 -c 6 --bssid 00:11:22:33:44:55 -w handshake # 参数说明-c 指定目标 AP 工作信道--bssid 指定目标 AP 的 MAC-w 指定保存文件前缀 # 生成文件为 handshake-01.cap后续 hashcat 转换和 aircrack-ng 爆破都用这个文件 # 终端二对一个已连接客户端发送 deauth 帧迫使它重连 sudo aireplay-ng -0 5 -a 00:11:22:33:44:55 -c AA:BB:CC:DD:EE:FF wlan0 # 参数说明-0 指定发送 5 个 deauth 帧-a 是 AP 的 BSSID-c 是目标客户端的 MAC # 如果不指定 -c则对广播地址发送强制所有客户端重连这里的核心细节是抓包命令不要提前结束。aireplay-ng 发送 deauth 后客户端会立刻重连整个重连过程在几百毫秒内完成如果此时 airodump-ng 没有保持运行状态就漏掉了握手包。实际执行时应该在终端一里等 airodump-ng 输出右上角出现“WPA handshake: 00:11:22:33:44:55”这行字才算真正抓到了。这个提示出现后按 CtrlC 终止抓包文件已经落盘不需要多等。4.2 路线二用 hashcat 把 cap 文件转成 GPU 可跑的格式aircrack-ng 自带 CPU 爆破功能但纯 CPU 跑字典在 2025 年的环境里效率太低普通笔记本用 aircrack-ng 跑一本 100MB 的字典可能要两三个小时而同本字典交给 hashcat 在 GTX 1660 Super 上只需要二十分钟。转换格式的工具有两种做法aircrack-ng 自带转换或者用 hcxpcapngtool 直接输出 hashcat 支持的 22000 格式。# 用 aircrack-ng 自带的转换能力把 cap 转为 hashcat 支持的 hccapx 格式 cap2hccapx handshake-01.cap handshake.hccapx # 如果提示找不到 cap2hccapx说明需要安装 hashcat-utils sudo apt install hashcat-utils # 更推荐的做法是直接用 hcxpcapngtool 转 22000 格式 hcxpcapngtool handshake-01.cap -o handshake.22000 # 参数说明-o 指定输出文件名22000 格式是 hashcat 新版统一支持的 WPA-PBKDF2-PMKIDEAPOL 格式为什么推荐 22000 格式而不是 hccapx因为 hccapx 是老工具只保留握手包的最小信息遇到某些厂商路由器发送的握手包字段不完整时会转换失败。hcxpcapngtool 会遍历 pcap 里的所有 EAPOL 包自动提取 PMKID 和握手信息兼容性更好而且在转换时还能报告“FOUND HANDSHAKE”确认握手包有效。# 用 hashcat 跑 WPA2 握手包-m 22000 代表 WPA-EAPOL-PBKDF2 模式 hashcat -m 22000 handshake.22000 dictionary.txt # 常用优化参数-w 3 表示全速运行-a 0 是字典攻击模式 hashcat -m 22000 -a 0 -w 3 handshake.22000 dictionary.txt # 如果密码命中hashcat 会显示 Cracked 状态并直接输出明文密码 # 查看已经跑出的密码 hashcat -m 22000 --show handshake.22000这里需要说明 hashcat 的模式代码不能记混。-m 22000是 WPA2 的握手包格式-m 22000不是 PMKIDPMKID 用的是 16800。有些教程还在说用-m 2500那是给旧版 hccapx 格式用的新版 hashcat 6.x 已经统一到 22000。跑包时如果提示“Token length exception”说明字典里包含非 ASCII 字符最常见的是包含中文密码的字典在 Linux 下需要用 iconv 转成 UTF-8 或者直接生成纯英文字符集字典。4.3 路线三PMKID 攻击连客户端都不需要的另类思路PMKID 攻击是 2018 年公开的一种针对 WPA2 的新手法它的独特之处在于不需要任何客户端在线。AP 在回应某些类型的关联请求时会在 Beacon 帧里携带一个 PMKID 字段这个字段的计算依赖 PSK。攻击者只需要向目标 AP 发送一个特定格式的关联请求就能从回应中提取 PMKID然后离线跑字典。这种攻击对大多数家用路由器无效因为厂商不一定实现了 PMKID 的发送逻辑。但对某些特定芯片组比如 Broadcom 方案的路由器命中率很高。现实场景里它作为 WPA2 握手包的补充手段在一开始没有客户端的情况下先试一把。# 用 hcxtools 里的 hcxdumptool 直接抓取 PMKID sudo hcxdumptool -i wlan0 -o pmkid.pcapng --filterlist_ap00:11:22:33:44:55 --filtermode2 # 参数说明-i 指定网卡-o 指定输出文件--filterlist_ap 指定目标 AP 的 MAC # --filtermode2 表示只针对列表中的 AP 发起探测 # 抓取后转换成 hashcat 可用的 16800 格式 hcxpcapngtool pmkid.pcapng -o pmkid.16800 # 然后交给 hashcat hashcat -m 16800 pmkid.16800 dictionary.txtPMKID 攻击对环境的要求苛刻5GHz 下某些网卡芯片不支持发送这类关联请求会出现能看到 AP 但无法触发 PMKID 的现象。此时不要恋战回到 4.1 的抓握手包流程等待客户端出现。实际测试中 PMKID 的触发成功率在 30% 左右属于典型的“试一下不亏”的选项不能作为主线依赖。4.4 路线四WPS PIN 的旁路攻击还值不值得打WPS 的 PIN 攻击在 2011 年被发现大规模漏洞后大多数路由器厂商已经在固件里加了锁定机制。连续输错三次 PIN 后路由器会进入五分钟的锁定状态暴力破解 PIN 需要尝试一万一千次左右按每次锁定五分钟计算跑完要几个月。除非目标 AP 是老固件且没有锁定机制否则不建议浪费时间。# reaver 攻击 WPS PIN 的命令 sudo reaver -i wlan0 -b 00:11:22:33:44:55 -vv -K 1 # 参数说明-i 指定监听网卡-b 指定目标 BSSID-K 1 是使用 known PIN 攻击 # 实际场景里这个命令大概率会被锁定机制挡住建议作为最后手段真实场景中常碰到的是路由器 WPS 虽然没锁但 PIN 算法有规律可循某些厂商直接使用固定 PIN 或者由 MAC 地址后六位派生。这类已知漏洞适合用专门的工具跑而作为安全测试者只需要确认目标是否存在 WPS 且 PIN 是否可预测不需要真的跑完一万一千次验证。4.5 多 AP 环境下的目标选择策略一个区域内往往同时存在十几个 Wi-Fi 信号盲目对最强信号下手不是最优策略。信号强代表路由器在你附近也代表它是家用设备但家用设备密码往往比企业设备更难跑。企业 AP 的信号弱但为了兼容老设备很多还开着 WPA2-AES 混合模式PSK 复杂度取决于 IT 部门的建网习惯有些公司会把 Wi-Fi 密码设置成统一的强密码字典很难跑通。实操经验是优先选择 RSSI 在 -50dBm 以上的 AP同时排除“ChinaNet-xxxx”这类运营商的公共热点这类热点多为 Portal 认证不适用 PSK 破解。还要排除后缀带 5G 的 AP5GHz 频段衰减更快抓包成功率更低而且很多家用路由器 2.4G 和 5G 的 SSID 和密码是相同的抓 2.4G 的包能解出密码5G 的 SSID 密码也自然知道了。注意抓包目标和字典生成是同一件事。先确定目标的路由器品牌和型号再去网上搜该品牌默认密码规律比直接跑通用字典有效得多。光猫背面贴纸上的默认密码、宽带运营商统一设置的初始密码都是字典里应该优先放进去的候选。5. WIFI密码暴力破解的硬件加速与字典优化跑得快比工具多更重要5.1 GPU 选型与算力参考hashcat 对 WPA2 的支持依赖 OpenCL 运行时NVIDIA 显卡需要安装 CUDA 驱动AMD 显卡需要安装 ROCm 或 AMD APP SDK。笔记本的集成显卡基本没有跑包价值核显会占用 CPU 算力反而拖慢整体速度。即使是笔记本电脑的 RTX 3050 移动版跑 WPA2 的算力也就 200kH/s 左右桌面版 RTX 3060 能达到 500kH/s而一张二手 Tesla P106 矿卡能跑到 800kH/s价格只有几百元。# 查看 hashcat 是否识别到 OpenCL 设备和算力 hashcat -I # 输出里会列出 Platform 和 Device 列表每个设备后面有算力预估跑包前务必确认hashcat -I能看到独立显卡否则 hashcat 会退回 CPU 模式跑一个 100MB 的字典要好几个小时。实际踩坑中常见的是笔记本双显卡切换导致 OpenCL 识别到的是核显而不是独显此时需要强制指定设备编号。# 指定使用 GPU 设备 1 来跑包设备编号从 0 开始 hashcat -m 22000 -a 0 -w 3 -d 1 handshake.22000 dictionary.txt # -d 参数指定设备如果 -I 里 GPU 是设备 1这里就写 -d 1RTX 3090 跑 WPA2 的算力大约 2.2MH/s也就是每秒能试两百万个候选密码。8 位纯数字的全量空间是一亿个候选50 秒就能跑完。但纯数字只是字典里最小的一类一旦密码变成“生日手机号尾号字母”的混合组合攻击空间立刻膨胀到几十亿甚至百亿级别再强的显卡也需要按小时计算。5.2 字典构造的四种策略别再下 10G 的通用包字典决定成败这条要刻在脑子里。网上下载的 rockyou.txt 有 14G包含了一千四百万个常见密码但它是从国外的数据泄露事件汇总而来对中国用户密码习惯的覆盖率惨不忍睹。国内用户的典型密码形态是手机号、微信号、拼音缩写、车牌号这些在 rockyou.txt 里几乎不存在。策略一个人信息字典。通过目标社交媒体、快递单、公司通讯录获取姓名拼音、生日、手机号然后按以下模板拼接# 用 crunch 基于姓名和生日组合生成候选 crunch 8 8 0123456789 -t 1990 -o birth.dict # 固定前四位为出生年份后四位为数字组合 # 姓名拼音加生日的常见形态比如 zhangsan1990策略二弱口令和默认密码优先。家用路由器的默认管理密码、光猫背面贴纸上的密码、运营商统一初始密码都是高优先级候选。华为、中兴光猫的超级密码存在于各版本固件中不同但初始用户密码大多可以在运营商文档里查到规律。策略三数字字母的常见变形。很多人的密码是把一个英文单词后加两个数字比如 password12、qwer1234。这类形态用 hashcat 的规则集可以直接扩展不需要真的把规则展开成字典文件。# 使用 best64.rule 规则集扩展基础字典 hashcat -m 22000 -a 0 -w 3 handshake.22000 base.dict -r /usr/share/hashcat/rules/best64.rule # 参数说明-r 指定规则文件best64.rule 包含 64 种最常见的密码变换模式 # 这些规则包括在末尾追加数字、首字母大写、替换字母为数字等best64.rule 的效果是把一个 10 万行的基础字典扩展成 640 万种形态。一条规则就能把 Qwer1234 从 qwer 扩展出来。但要注意规则攻击的计算量不是简单乘以 64而是每一条候选都要重新派生 PBKDF2在 GPU 上消耗的时间是字典模式的好几倍。策略四字典与规则的组合攻击。先用基础字典 规则跑一轮再用纯数字全量跑一轮最后跑姓氏拼音生日组合。三轮下来命中率已经可以覆盖大多数家用设备。如果这三轮都没出说明目标密码是随机的趁早收工。5.3 暴力穷举的边界没有 GPU 就别硬啃有些新手拿着 8GB 内存的笔记本用 aircrack-ng 纯 CPU 跑 WPA2跑了一天一夜没出结果然后怀疑抓包流程错了其实错在算力。Intel i7-12700K 的 CPU 跑 WPA2 大约是 300kH/s这个速度其实不慢但把它和 GPU 对比一下就清楚了。关键是 CPU 在跑包时整台电脑没法干别的事hashcat 会吃满全部核心。没有独立显卡时的替代方案有两种。一种是找云 GPU 服务按小时租一张 A100把 cap 文件传上去跑完下载结果。另一种是买一张二手矿卡P106 这类卡没有视频输出接口但不影响 OpenCL 计算。P106 在 2025 年的市场价格很低作为跑包专用卡性价比极高。# 在 Ubuntu 下安装 NVIDIA 驱动和 CUDA 工具包 sudo apt install nvidia-driver-535 nvidia-utils-535 sudo apt install nvidia-cuda-toolkit # 验证 OpenCL 运行时 clinfo | grep Number of platforms # 输出数字大于 0 说明 OpenCL 环境正常没有 GPU 也没租云 GPU 的话建议换个思路一个密码如果三条定制字典都跑不通那说明大概率是随机密码放弃比坚持更划算。这个判断在安全测试里很重要评估报告里写“密码强度高WPA2 无法在合理时间内破解”也是合法的测试结论。6. 从“破解”到“防御”的进阶之路验证加固效果的三个实操方法6.1 用攻击链反向检测自家路由器掌握了攻击路径之后第一件事是拿自家路由器做对照实验。把自己家的 Wi-Fi 密码改成一个简单密码比如 7 位数字加 abcd然后用本文的流程走一遍验证从抓包到跑出密码的完整链路。这个实验的意义不是为了测试工具而是确认自己的攻击技能链是通的。# 一条链路的完整命令回顾 sudo airodump-ng wlan0 -c 6 --bssid 你的AP_MAC -w test sudo aireplay-ng -0 3 -a 你的AP_MAC wlan0 # 看到 WPA handshake 提示后 CtrlC cap2hccapx test-01.cap test.hccapx hashcat -m 22000 test-01.cap test.dict # 设置 8 位简单密码10 秒内就应该能跑出来这个测试同时验证了网卡和驱动是否正常工作也验证了你的字典生成工具扣不扣得住。如果链路中的某些环节失败比如 hcxpcapngtool 转换时报错那就是 pcap 里包含的 EAPOL 包不完整需要重新抓包。多试几次后你会明显感觉到哪个环节最脆弱这就是真正的“血泪经验”。6.2 强化路由器配置的三个核心参数了解破解方式后路由器加固其实变得很简单。第一条是修改默认 SSID不要用“TP-LINK_XXXX”这类默认名称因为默认名称直接暴露了路由器品牌攻击者精准查找默认密码字典只需三步。第二条是密码长度低于 8 位直接不考虑12 位以上的随机大小写字母加数字是安全基线14 位以上则几乎无法离线破解。第三条是关闭 WPS。这不是可选项而是必选项。WPS PIN 是 WPA2 体系里最容易被旁路攻击的入口关闭以后才能确保攻击者只能走握手包这一条路。此外如果路由器支持 WPA3优先开启 WPA3/WPA2 混合模式兼容旧设备的同时能保证支持 SAE 的设备走更安全的握手流程。但注意混合模式下老旧设备仍可能降级到 WPA2所以密码长度依然必须保证。# 用 nmap 扫描自家 AP 开放的服务端口 sudo nmap -sS -T4 -p 1-65535 你的路由器IP # 如果看到 23/telnet 或其他远程管理端口开放应该关闭 # 远程管理端口和 Wi-Fi 密码破解是两条独立链路但任何攻击面都越小越好6.3 企业无线网络巡检的最小流程企业内网做 Wi-Fi 安全评估时不能直接跑破解流程正确顺序是先和运维确认测试 AP 的 MAC 和信道获得书面授权然后在非业务高峰期执行抓包。测试的核心目标是验证公司 WiFi 密码是否在弱口令字典的覆盖范围内而不一定真的把密码跑出来。因为从合规角度看证明“该密码在 10 分钟内被自动字典命中”已经足够说明风险等级。实操上饭点或凌晨时段是抓握手包的最佳窗口因为员工手机当天解锁后会频繁触发重连可捕获的 EAPOL 包比白天多几倍。抓包 15 分钟后即可转移到本地做离线分析不需要长时间停留在现场。交给 hashcat 之前先做一步过滤排除企业网络中其他 AP 的干扰帧。# 分离 pcap 中指定 BSSID 的握手包 tshark -r full_capture.pcap -Y wlan.bssid 00:11:22:33:44:55 eapol -w target_ap.pcap # 用过滤后的文件做转换效率和准确性都会提升6.4 最终的底线意识所有破解动作都必须在自有设备或授权测试范围内进行这是没有商量余地的红线。笔者的习惯是建立一个记录文件每次测试前先写下测试目的、授权范围、目标 AP 的 BSSID结束后把 pcap 文件和中间产物一并销毁。这个习惯跟技术无关是保护自己的基本手段。毕竟技术本身是中性的但如果越界使用带来的麻烦远超过掌握这套技能的价值。最后分享一条从多次翻车中总结出来的经验跑字典之前永远先确认握手包的捕获时间如果这个包是几周前抓的而你只抓到了 M1 和 M2 却没抓到 M3 和 M4那么大概率这个握手包是不完整的。硬拿去跑等于白费算力。宁可重新抓也不要拿无效包去赌。希望这一整套从原理到落地、从工具到防御的思路能帮到你下次碰到弱口令路由器时你会知道从哪里下手也会知道该在什么时候停手。本文还有配套的精品资源点击获取