简介这份资源是西南科技大学无线网络安全技术课程的实验四报告围绕使用aircrack-ng工具对WPA/WPA2加密无线网络进行破解展开适合正在学习无线安全、准备实验报告或想了解WPA握手包抓取与字典爆破流程的高校学生与安全入门者。压缩包内仅含1个doc文档约1.37MB完整记录了实验目的、环境配置、监听模式开启、字典生成、握手包抓取及aircrack-ng破解全过程并附有讨论分析与问题总结。文档中详细说明了airmon-ng、airodump-ng、aireplay-ng等命令的参数含义与操作截图还针对家用WiFi安全加固给出了弱密码规避、MAC白名单、管理密码分离等实用建议。目前已有812人学习可作为无线网络安全实验的参考模板帮助读者理解WPA破解原理、掌握Kali Linux下相关工具的使用并积累握手包抓取与排错经验。1. 无线安全实验的实战价值从抓包到WPA破解的完整链路很多人以为WPA2破解是电影里那种跑个程序几秒钟出密码的玄学操作实际上手才发现光是让网卡进入监听模式就能卡住一半人。西南科技大学无线网络安全技术实验四这份报告核心就是一条完整的WPA/WPA2握手包捕获与离线破解链路配置环境、开启监听、生成字典、抓握手包、aircrack-ng爆破。它解决的不是如何攻击别人WiFi的问题而是让你真正理解WPA四次握手协议在哪儿露出了可被离线爆破的口子。适合正在做无线安全课程实验的学生、刚接触Kali Linux安全工具集的运维人员以及想搞清楚自家路由器密码强度到底扛不扛得住字典攻击的技术爱好者。整条链路里握手包抓取是成败关键字典质量决定破解效率而网卡监听模式配置则是最容易翻车的第一步。2. 实验环境搭建与网卡监听模式配置别让wlan0把你带沟里2.1 为什么必须用外置无线网卡Kali Linux跑在虚拟机里是绝大多数人的选择但虚拟机默认的NAT或桥接网络用的是宿主机的物理网卡这块网卡在Kali里根本看不到更别提切换监听模式了。常见做法是买一块支持Monitor模式的USB外置无线网卡芯片方案优先选RTL8812AU、AR9271或MT7601U这几款在Kali下驱动成熟airmon-ng能直接识别。把USB网卡挂载到虚拟机后ifconfig -a或iwconfig就能看到类似wlan0的新接口。注意接口名不一定是wlan0可能是wlan1、wlx00c0caXXXX后面所有命令里的接口名都要按实际改这是血泪经验里出现频率最高的坑。2.2 监听模式配置的完整命令链实验报告里用的是ifconfigiwconfig的老派做法能用但更推荐用aircrack-ng套件自带的airmon-ng它会自动处理干扰进程。两种方式都给出你按环境选。先看传统方式# 关闭网卡防止配置时被系统占用 ifconfig wlan0 down # 切换为监听模式注意是monitor不是montitor实验报告里拼错了 iwconfig wlan0 mode monitor # 重新激活网卡 ifconfig wlan0 up # 验证是否成功Mode字段应显示Monitor iwconfig wlan0再看airmon-ng方式更省心# 查看无线网卡及可能干扰的进程 airmon-ng # 杀掉干扰进程NetworkManager、wpa_supplicant等 airmon-ng check kill # 启动监听模式成功后接口名通常变为wlan0mon airmon-ng start wlan0 # 确认新接口名 iwconfig逻辑说明airmon-ng check kill会干掉NetworkManager和wpa_supplicant这两个进程会周期性扫描WiFi导致监听模式不稳定甚至抓不到包。传统方式手动ifconfig down/up绕不开这个干扰所以经常出现配置显示成功但airodump-ng扫不到网络的情况。参数方面mode monitor是固定写法没有其他可选值接口名必须替换成iwconfig列出的实际名称。提示如果airmon-ng start报错device not found先确认USB网卡是否被虚拟机正确识别在VMware里检查可移动设备是否连接到了虚拟机而非宿主机。2.3 验证监听模式是否真正生效配置完别急着往下走用一条命令验证# 扫描周围AP能列出BSSID、信道、加密方式就说明监听正常 airodump-ng wlan0mon如果列表空白或报ioctl(SIOCSIWMODE) failed说明监听模式没真正生效。排查顺序先iwconfig看Mode字段再dmesg | tail看驱动有没有报错最后换USB口或换网卡。这一步不过后面全是白费。3. 握手包捕获与deauth攻击抓不到包等于白干3.1 扫描并锁定目标AP监听模式跑通后第一件事是扫描周围网络找到目标AP的BSSID和信道# 扫描所有AP和连接的客户端CtrlC终止 airodump-ng wlan0mon输出分上下两部分上半部分是AP列表关注BSSIDAP的MAC、CH信道、ENC加密方式WPA2对应WPA2、ESSID网络名下半部分是已连接客户端列表关注Station客户端MAC和BSSID它连的哪个AP。实验报告里目标AP是vivo IQOOBSSID为DC:31:D1:E0:BB:4F信道12客户端MAC为94:87:E0:16:84:51。这三个信息是后续所有操作的输入抄错一个就抓不到包。3.2 定向监听与握手包捕获锁定目标后开一个终端做定向监听# --bssid指定目标AP-c指定信道-w指定抓包文件保存路径前缀 airodump-ng --bssid DC:31:D1:E0:BB:4F -c 12 -w /usr wlan0mon参数说明--bssid后跟AP的MAC地址限定只抓这个AP的流量-c后跟信道号必须和AP实际信道一致否则抓不到-w后跟文件保存路径前缀生成的抓包文件会自动加后缀比如/usr会生成/usr-01.cap、/usr-01.csv等。实验报告里踩的坑就在这儿——作者把-w后面的路径理解成了字典文件路径导致后面找不到握手包。记住-w是抓包输出路径不是字典路径。监听界面右上角会显示WPA handshake: DC:31:D1:E0:BB:4F出现这行字才说明握手包抓到了。如果一直不出现就需要下一步的deauth攻击来逼客户端重连。3.3 deauth攻击逼出握手包WPA握手包只在客户端连接AP的瞬间产生如果目标客户端已经连着你得把它踢下线让它重连。新开一个终端# -0表示deauth攻击10是攻击次数-a是AP的MAC-c是客户端MAC aireplay-ng -0 10 -a DC:31:D1:E0:BB:4F -c 94:87:E0:16:84:51 wlan0mon参数说明-0是deauth攻击模式后面紧跟的数字是发送deauth帧的次数实验报告设的是10实际1到10都行设太多容易引起注意且没必要-a后跟AP的BSSID-c后跟要踢下线的客户端MAC。执行后客户端会断开重连重连过程中就会产生握手包被定向监听终端捕获。逻辑说明deauth帧是802.11协议里的管理帧用来通知客户端断开连接。攻击原理是伪造AP向客户端发送deauth帧客户端信以为真就断开了然后自动重连重连时的四次握手就被监听终端截获。注意如果目标AP开启了802.11w管理帧保护deauth攻击会失效这时候只能等客户端自然重连。注意deauth攻击只对已连接的客户端有效。如果扫描时发现目标AP下没有客户端先等一会儿或者换个有客户端连接的AP做实验。3.4 确认握手包文件生成抓到握手包后在监听终端按CtrlC停止然后检查文件# 查看/usr目录下生成的抓包文件 ls -l /usr/应该能看到/usr-01.cap、/usr-01.csv、/usr-01.kismet.csv等文件。.cap文件就是包含握手包的抓包文件后面破解用的就是它。如果只有.csv没有.cap说明抓包过程有问题检查-w路径是否可写、信道是否匹配。4. 字典生成与aircrack-ng爆破密码强度的照妖镜4.1 字典文件的生成策略实验报告里是事先放置字典文件dic.txt在桌面上但字典从哪来、怎么生成报告没细说。实际实验中字典质量直接决定破解成败。常见做法有三种第一种是用现成字典Kali自带/usr/share/wordlists/目录里面有rockyou.txt等经典字典但需要解压# 解压Kali自带的rockyou字典 gunzip /usr/share/wordlists/rockyou.txt.gz # 查看字典行数 wc -l /usr/share/wordlists/rockyou.txt第二种是用crunch工具按规则生成适合知道密码部分特征的情况# 生成8位纯数字字典输出到dic.txt crunch 8 8 0123456789 -o /root/dic.txt # 生成包含手机号段的字典11位前3位固定 crunch 11 11 -t 156 -o /root/dic_phone.txt参数说明crunch第一个数字是最小长度第二个是最大长度后面跟字符集-t指定模式代表数字占位符%代表小写字母^代表符号。-t 156就是生成156开头后8位任意的11位数字组合。第三种是自己写Python脚本按业务规则生成比如针对某公司员工可能用姓名拼音生日# 生成姓名拼音4位数字的字典 names [zhangsan, lisi, wangwu] with open(/root/dic_custom.txt, w) as f: for name in names: for year in range(1980, 2001): for suffix in [, 01, 123]: f.write(f{name}{year}{suffix}\n)逻辑说明这段脚本把姓名拼音和年份组合再拼上常见后缀生成针对性字典。实际使用时把names列表换成目标相关的姓名集合年份范围按目标年龄段调整。这种字典比通用字典命中率高得多但前提是你对目标有足够了解。4.2 aircrack-ng爆破命令与参数字典准备好后用aircrack-ng对抓包文件进行离线爆破# -w指定字典文件最后跟抓包文件路径 aircrack-ng -w /root/dic.txt /usr-01.cap参数说明-w后跟字典文件路径这是必填项-b可以指定只破解某个BSSID的握手包多AP抓包时有用-e指定ESSID效果类似。抓包文件路径要写完整实验报告里写的是/usr/-01.cap实际应该是/usr-01.cap中间没有斜杠。执行后aircrack-ng会显示破解进度包括已尝试的密钥数、当前速度keys/s、剩余时间估算。如果字典里有正确密码会显示KEY FOUND! [ 密码 ]。实验报告里破解出的密码是15681912782rql这个密码结构是手机号姓名缩写属于典型的弱密码模式——手机号可枚举姓名缩写可猜测组合起来在针对性字典面前撑不了多久。4.3 破解效率的影响因素破解速度主要受三个因素影响CPU性能、字典大小、密码复杂度。aircrack-ng是CPU爆破速度通常在每秒几千到几万次之间。如果密码是8位纯数字理论空间1亿种按每秒1万次算需要约2.7小时如果是8位大小写字母数字空间约218万亿种CPU爆破基本不可行。这也是为什么WPA2推荐用12位以上混合字符密码——不是不能破是爆破成本高到不划算。提示如果抓包文件里包含多个握手包aircrack-ng会逐个尝试。用-b参数指定BSSID可以只破解目标AP的握手包节省时间。5. 避坑与常见问题排查那些实验报告没写的翻车点5.1 抓不到握手包airodump-ng一直不显示handshake现象定向监听跑了十几分钟右上角始终没有WPA handshake提示deauth攻击也发了客户端也断连了就是抓不到。原因最常见的是信道不匹配。airodump-ng的-c参数必须和AP实际信道一致如果AP开了自动信道选择信道可能在你监听期间变了。其次是网卡监听模式不稳定某些廉价网卡在虚拟机里跑一会儿就掉监听。解决先用airodump-ng wlan0mon不加-c扫描确认AP当前信道后再定向监听如果信道频繁变化在路由器设置里固定信道网卡不稳定就换USB口或换网卡别在廉价网卡上浪费时间。5.2 aircrack-ng报错No valid WPA handshakes found现象抓包文件明明有几百KBaircrack-ng却提示找不到有效握手包。原因抓包文件里只有beacon帧和数据帧没有完整的四次握手。可能是deauth攻击没生效客户端没重连也可能是抓包时信道不对只抓到了部分握手帧。解决用aircrack-ng /usr-01.cap不加-w先检查握手包是否存在输出里会显示1 handshake或0 handshakes。如果是0重新抓包deauth攻击次数加到20同时确认客户端确实断开了。另外有些AP开启了802.11wdeauth无效只能等客户端自然重连。5.3 字典路径和抓包路径搞混现象破解时提示No such file or directory或者抓包时生成的文件夹是空的。原因实验报告里作者踩的坑——把-w后面的抓包输出路径理解成了字典路径。airodump-ng的-w是抓包文件保存前缀aircrack-ng的-w才是字典路径两个命令的-w含义完全不同。解决抓包时-w写/root/capture生成的文件是/root/capture-01.cap破解时-w写/root/dic.txt最后跟/root/capture-01.cap。养成习惯抓包和破解分两个目录抓包目录只放.cap文件字典目录只放字典文件。5.4 监听模式配置后接口名变了后续命令全报错现象airmon-ng start wlan0之后iwconfig里找不到wlan0了报no such device。原因airmon-ng会把接口重命名为wlan0mon这是正常行为不是错误。解决每次airmon-ng start之后都用iwconfig确认新接口名后续所有命令里的接口名都替换成新的。如果不想改名用airmon-ng start wlan0 --no-monitormode或者传统iwconfig方式配置。5.5 虚拟机里USB网卡时好时坏现象网卡一会儿能识别一会儿不能lsusb能看到但iwconfig没有。原因VMware或VirtualBox的USB直通不稳定尤其是USB 3.0口和某些芯片方案。解决把USB网卡插到USB 2.0口在虚拟机设置里把USB控制器改为USB 2.0如果还不行换VMware Workstation ProVirtualBox的USB直通在无线网卡上问题更多。6. 从实验到实战密码强度验证与防御加固的落地技巧实验做完密码也破了但这份报告真正的价值在于反向思考——你家WiFi密码扛得住同样的流程吗我一般会用一个简单的自检流程来验证先用自己的字典跑一遍自家AP的握手包看多久能出结果。如果字典里没有再换rockyou.txt跑如果rockyou也跑不出来基本说明密码强度及格了。具体操作上抓自家AP的握手包和实验流程完全一样但有个更省事的办法很多路由器管理后台支持导出已连接设备列表你可以直接看到MAC地址省去扫描步骤。抓到握手包后用aircrack-ng -w rockyou.txt capture-01.cap跑一遍记录耗时。如果rockyou跑完没出结果再试试用crunch生成针对自己生日、手机号的字典如果还是跑不出来说明密码不是常见弱口令。防御加固方面实验报告里提了几条我补充几个实操细节。第一密码长度比复杂度更重要12位纯小写字母的爆破空间是26的12次方约9.5×10^16比8位混合字符的218万亿还大而且好记。第二路由器管理密码和WiFi密码必须不同很多人图省事设成一样一旦WiFi密码被破路由器也被接管了。第三MAC白名单确实有用但MAC地址可以伪造只能防君子不防小人配合WPA3使用效果更好。第四关闭WPS功能WPS的PIN码爆破是另一个独立攻击面8位PIN码理论空间1万种几分钟就能跑完。最后说一个验证技巧改完密码后别急着觉得万事大吉用同样的抓包爆破流程再跑一遍确认新密码在rockyou和针对性字典里都跑不出来。从那以后我每次帮人调路由器都强制走一遍这个自检流程——抓包、跑字典、确认无结果才算完。希望帮到你。本文还有配套的精品资源点击获取