1. 写在前面我为什么要研究WiFi密码这件事先交代一下背景。我身边有不少朋友家里的WiFi密码常年是12345678或者88888888问就是好记。直到有一次隔壁邻居蹭网蹭到我家路由器后台都进不去我才认认真真开始研究WiFi密码到底靠不靠谱这件事。你看到的这个标题——WiFi密码跑字典暴力破解——听起来很黑客但实际上它就是一个密码强度压力测试的思路。简单说跑字典就是拿一个装满了常见密码的大词典挨个去试目标WiFi的密码看能不能蒙对。这个过程本身不复杂但背后涉及的技术点相当多无线网卡的监听模式、抓握手包、密码字典的构造、GPU跑包加速每一个环节都有讲究。这篇文章我尽量用大白话来讲不堆术语但也会把该深入的原理说透。适合三种人看一是家里路由器密码常年123456的普通用户看完赶紧去改密码二是对无线网络安全感兴趣、想搞懂原理的技术爱好者三是做渗透测试的朋友可以参考一下我的实操流程和踩坑记录。先说清楚边界。这篇文章讨论的是如何验证自己的WiFi密码是否安全以及在合法授权前提下进行安全测试。未经允许去破解别人家的WiFi属于违法行为这事儿不能干。我写这篇文章的目的是让大家知道你的WiFi密码是怎么被攻破的从而知道怎么防。2. 先从原理说起WiFi密码是怎么被试出来的2.1 一切的起点握手包要理解WiFi密码破解得先搞清楚一个概念——握手包。当你的手机第一次连接一个WiFi时手机和路由器之间会进行四次握手通信目的是验证双方密码是否一致。这个过程中会生成一个包含加密信息的数据包专业上叫四次握手包或简称握手包。它本质上是一段加密的挑战-应答记录路由器给客户端出一个难题客户端用密码作为密钥来回答路由器验证回答是否正确。关键点在于这个握手包是可以被监听并被保存下来的。只要攻击者的无线网卡处于监听模式恰好收到了你连接WiFi时的握手过程他就能把这个加密后的密码验证记录存下来。为什么要存这个因为破解者不需要实时去连你的WiFi他只需要拿到这段记录然后在自己的电脑上慢慢试。就像你不需要当着保安的面试钥匙你把锁拍个照拿回家慢慢研究就行——不过这里有个区别WiFi的握手里有加密你得靠试密码来解。2.2 字典攻击别小看猜密码拿到握手包之后攻击者需要做一件事验证某个密码是不是正确的。验证方式就是猜。拿一个常见的候选密码配合握手包里的公开信息计算出这个密码对应的应答密文再和捕获到的密文对比。如果一致说明这个密码就是对的。问题来了——怎么猜一个个试呗。但世界上可能的密码组合几乎是无穷无尽的全试一遍不现实。所以就有了字典一份按概率排列的、包含大量常见密码的文本文件。跑字典就是把字典里的每个密码挨个试一遍。你可能会问那我密码设成kfjaeo%^2024这种随机字符串字典里肯定没有是不是就安全了是的纯字典攻击对这种随机强密码基本无效。但别忘了还有别的玩法——暴力枚举。字典跑不动的时候可以把字符集比如小写字母数字共36个字符里所有8位的组合都试一遍这叫纯暴力破解。8位纯数字组合有1亿种看起来很多但在GPU加速下可能几分钟就试完了。8位小写字母数字的组合有2.8万亿种那就得看硬件和运气了。2.3 WiFi安全协议WEP早就完蛋了WPA2/WPA3还在扛要理解破解的难度还得看WiFi用了什么加密协议。目前市面上常见的就三种WEP上世纪的老古董加密强度极弱用工具几分钟就能直接算出密钥不需要抓包跑字典。现在基本绝迹了如果你家路由器还在用WEP请立刻换掉。WPA/WPA2目前最主流。WPA2使用AES加密理论上很安全但密码验证环节仍然依赖密码本身够不够强。如果密码是弱密码字典攻击就能拿下。WPA3新一代标准引入了SAE同步认证机制每个连接尝试都独立协商字典攻击的可行性大幅降低。2020年以后的路由器很多都支持WPA3但实际使用中因为兼容性问题很多人还停留在WPA2。简单总结WPA2时代WiFi密码安全与否几乎完全取决于你密码的强度。这就是为什么跑字典这种笨办法至今仍然有效。3. 核心实操准备需要什么工具怎么搭环境3.1 硬件要求网卡是重中之重跑字典破解WiFi密码首先得能听到WiFi的通信。普通笔记本内置的无线网卡通常不支持监听模式或者效果很差。你需要一张外接USB无线网卡关键是芯片要支持监听模式和数据包注入。市面上常见的芯片有这几类芯片型号监听模式数据包注入兼容性价格区间Realtek RTL8812AU支持支持Linux下需装驱动80-150元Realtek RTL8811AU支持支持同上信号稍弱60-100元Atheros AR9271支持支持Linux下免驱或易驱40-80元Intel AX200不支持部分不支持笔记本内置无法用于监听—我自己的选择是RTL8812AU芯片的网卡带外置天线信号接收能力强。实测在隔一堵墙的情况下抓包成功率明显优于AR9271。不过有利有弊RTL8812AU在Kali Linux下需要手动编译驱动第一次装的时候踩了不少坑后面我会细说。3.2 软件环境Kali Linux和它的工具链做无线安全测试绕不开Kali Linux。它是基于Debian的Linux发行版预装了大量的渗透测试工具其中跟WiFi相关的有aircrack-ng套件核心工具集包含airmon-ng开启监听模式、airodump-ng扫描并抓包、aireplay-ng注入数据包、aircrack-ng跑包验证密码。hashcatGPU跑包神器支持利用NVIDIA/AMD显卡并行计算跑包速度比CPU快几十倍。crunch密码字典生成器可以根据规则生成自定义字典。john另一个密码破解工具和hashcat类似不过hashcat更适合GPU。安装方式很简单Kali官方镜像自带大部分工具如果没有可以用apt install安装sudo apt update sudo apt install aircrack-ng hashcat crunch如果你不想装双系统也可以直接用虚拟机跑Kali。但要注意虚拟机对USB网卡的透传支持是个大问题如果USB网卡识别不了监听模式就开不起来。我建议有条件的话直接用U盘做Kali启动盘或者装双系统少折腾很多。3.3 网卡驱动我踩过的最大的坑第一张RTL8812AU网卡插到Kali上满心欢喜地敲下airmon-ng结果只显示内置网卡外接网卡压根没出现。查了一圈原来是驱动问题。RTL8812AU在Kali默认内核里没有直接包含驱动模块需要自己编译。网上有一个维护得很好的开源驱动仓库叫aircrack-ng/rtl8812au安装流程如下sudo apt update sudo apt install dkms build-essential git bc git clone https://github.com/aircrack-ng/rtl8812au.git cd rtl8812au sudo make dkms_install装完之后ifconfig里应该能看到一张新的无线网卡通常是wlan1。敲airmon-ng确认一下能看到接口说明驱动识别成功。避坑提示内核版本升级后dkms驱动需要重新编译否则网卡会消失。这时候重新执行sudo make dkms_install即可。4. 跑字典破解WiFi密码的完整实操流程4.1 第一步开启监听模式WiFi网卡有两种基本模式受管模式managed普通连接WiFi用的和监听模式monitor能接收周围所有无线数据包。破解的第一步是把网卡切换到监听模式。# 查看无线网卡接口名 iwconfig # 杀掉可能干扰监听的进程 sudo airmon-ng check kill # 开启监听模式wlan1换成你的网卡接口 sudo airmon-ng start wlan1执行完之后iwconfig再查一次接口名会变成wlan1monMode显示为Monitor就说明成功了。注意airmon-ng check kill会把NetworkManager等网络管理服务停掉这时候你的电脑没法正常上网。这是正常的跑完抓包流程后重启网络服务或者直接重启系统就能恢复。4.2 第二步扫描周围WiFi信号监听模式开启后用airodump-ng扫描周围环境里的所有WiFi热点sudo airodump-ng wlan1mon这个命令会实时显示周边WiFi的列表核心信息包括BSSID路由器的MAC地址形如AA:BB:CC:DD:EE:FF唯一标识一个路由器。PWR信号强度数值越接近0信号越强比如-35比-75强。CH信道ChannelWiFi通信所在的频段。ENC加密方式OPN表示无加密WPA2表示WPA2-PSK加密。AUTH认证方式PSK是预共享密钥也就是我们说的WiFi密码。ESSIDWiFi名称就是你在手机上看到的名字。你要找的目标就是我自己的测试路由器在家做的合法测试。看清楚它的BSSID和信道记下来。4.3 第三步抓住握手包这是最关键的一步。抓包的原理是持续监听目标WiFi信道上的所有数据包从中筛选出四次握手过程中产生的那一段加密数据。先锁定目标信道和BSSIDsudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w capture wlan1mon参数说明-c 6指定监听信道6--bssid指定目标路由器MAC-w capture指定输出文件名前缀抓到的数据会存成capture-01.cap。这时候如果正好有人在连接这个WiFi比如有人从外面回家手机自动连上WiFi握手包就会被自动抓下来。屏幕右上角如果出现WPA handshake: AA:BB:CC:DD:EE:FF说明握手包抓到了。问题在于大多数时候没有新人来连接WiFi。这时候就需要制造一个握手包——对已连接的设备发送解除认证包deauth强制它断开WiFi然后它会自动重连重连过程就会产生新的握手包。发送解除认证包的命令sudo aireplay-ng -0 5 -a AA:BB:CC:DD:EE:FF wlan1mon参数说明-0表示发送deauth包5是发送次数-a指定目标路由器MAC。这条命令会让周围所有连在目标WiFi上的设备瞬间掉线但通常它们会立刻自动重连重连时握手包就被你的监听网卡捕获了。经验之谈发送deauth的时候最好数一下次数不要一直发否则会造成目标WiFi的合法用户长时间掉线。对于测试自己的网络没问题但如果用在授权测试场景也要注意别影响业务。4.4 第四步得到可用的握手包文件抓包完成后CtrlC停止airodump-ng工作目录下会生成几个文件capture-01.cap原始数据包文件里面包含了握手包。capture-01.csv扫描到的WiFi列表信息。capture-01.kismet.csv等其他格式的数据一般用不到。可以用aircrack-ng检查一下cap文件里是否有有效的握手包aircrack-ng capture-01.cap输出中如果有1 handshake相关的信息说明文件可用可以进入下一步跑包。4.5 第五步跑字典这里有两种选择用aircrack-ng跑CPU或者用hashcat跑GPU。我先介绍最直接的aircrack-ngaircrack-ng -w /path/to/password.txt -b AA:BB:CC:DD:EE:FF capture-01.cap参数说明-w指定字典文件路径-b指定目标BSSID后面跟cap文件。如果字典里有正确的密码跑完后终端会直接显示KEY FOUND! [ 密码内容 ]。跑包的速度取决于字典大小和CPU性能。普通的1GB字典大约几千万条密码在CPU上可能要跑几个小时在GPU上可能只要十几分钟。4.6 GPU加速hashcat才是效率之王如果你的电脑有NVIDIA或AMD独立显卡强烈建议用hashcat跑包。它能把任务拆分成成千上万个并行计算的小任务让显卡的几千个核心同时工作。用hashcat跑WPA握手包需要先把cap文件转换成hashcat支持的格式hashcat -m 22000 capture-01.cap -o output.txt --show实际上新版本的hashcat可以直接处理cap文件但更稳妥的做法是用hcxtools里的hcxpcapngtool转换sudo apt install hcxtools hcxpcapngtool capture-01.cap -o capture.hash然后跑hashcathashcat -m 22000 capture.hash /path/to/password.txt-m 22000是WPA-PBKDF2-PMKIDEAPOL的哈希类型编号。跑起来之后屏幕上会实时显示每秒尝试的密码数量H/s。我实测下来NVIDIA GTX 1660 Super大概能跑到80万H/s一张RTX 3090能到400万H/s以上而CPU可能只有一两万H/s差距是数量级的。破解成功后hashcat会打印密码并显示Cracked字样。5. 字典从哪里来一份好字典的重要性5.1 密码的命门人是懒惰的跑字典能否成功很大程度上取决于字典的质量而不是计算速度。因为一个真正随机的15位强密码用暴力枚举法在宇宙毁灭之前都算不完。但现实是绝大多数普通用户的WiFi密码都是在自己认知范围内怎么好记怎么来。这就给了字典攻击可乘之机。5.2 常见弱密码长什么样根据我自己测试的经验还有网上公开的最常见WiFi密码排行榜中国用户最常用的WiFi密码类型如下纯数字8位12345678、88888888、66666666、13145210等手机号后8位138****5678这类其实很多人直接用完整手机号当密码拼音数字组合wang12345、zhangsan888等生日组合19901201、900101等简单英文数字password123、admin888、qwerty123等路由器默认密码admin、123456等热词里提到的25个常见wifi密码说的就是这类高强度重复的弱密码集合。我在测试时发现用一份只有几千条密码的精编弱密码字典就能试出相当比例的测试目标当然都是在自家设备和好友授权下测试的。5.3 字典的分类与选择密码字典按照用途可以粗略分为这么几类字典类型文件大小包含内容适用场景弱密码精选几KB-几百KB最常见的几万条弱密码快速测试默认密码和懒人密码常规字典几GB上亿条互联网泄露的真实密码通用测试定向字典自定义按目标和规则生成的密码针对特定人群或特定场景组合爆破自动生成字符集的全排列或规则组合密码有规律但不在字典中5.4 自己动手做定向字典对于测试自己的WiFi你可以利用crunch工具生成定向字典。比如你要测试的目标密码可能是8位纯数字crunch 8 8 0123456789 -o digits8.txt这条命令会生成从00000000到99999999共1亿条密码的字典文件。用GPU跑可能几分钟就能跑完。如果是8位小写字母数字组合数是36的8次方约2.8万亿那就得跑很久了。还有一个小技巧是加规则。hashcat支持在字典基础上应用变形规则比如把password变成Password、Pssword、password123等。用-r参数指定规则文件可以在不增加字典文件大小的情况下大幅提升命中率hashcat -m 22000 capture.hash base.txt -r /usr/share/hashcat/rules/best64.rule5.5 现有字典资源去哪找网上有不少公开的密码字典仓库比如GitHub上常更新的各类wordlist和dictionary项目。国内也有一些安全社区维护的中文密码字典。下载的时候注意看更新时间和字典质量老字典对近期新增的密码模式覆盖不足。我不打算贴具体的下载链接因为这类资源时效性太强且来源复杂。你在搜索引擎里搜WiFi密码字典 GitHub通常就能找到不错的资源。下载后注意杀毒安全第一。6. 常见问题与排查技巧实录6.1 网卡识别不到 / 监听模式开启失败这是新手遇到最多的问题。排查思路如下先确认网卡是否被系统识别lsusb命令查看USB设备列表能看到网卡型号说明硬件被识别。检查驱动是否加载lsmod | grep 8812au查看驱动模块是否加载。没有输出说明驱动没装好。确认是否被NetworkManager干扰跑airmon-ng check会提示哪些进程可能干扰务必先kill掉。6.2 抓包半天一个握手包都见不到这种情况通常发生在目标WiFi的使用频率很低、周围没有活跃连接的场景。解决思路有两条用aireplay-ng -0发送deauth包强制设备断连重连。扩大扫描范围挪动天线位置让信号接收强度更好。补充一点如果目标WiFi使用的是5GHz频段你的网卡需要支持5GHz监听模式。很多入门USB网卡只支持2.4GHz看参数时要注意。6.3 字典跑完了没有找到密码这恰恰是个好消息——说明你的WiFi密码强度在字典攻击面前是安全的。但别高兴太早可以考虑以下几种情况密码确实足够随机且长度够长比如15位以上字典攻击无效。密码是有规律但强度高的类型比如Kj8#mQ2024x这类字典攻击同样很难命中。密码可能是某种人名生日的组合定向规则攻击有可能命中但需要精心构造规则。对于这种情况我建议的应对策略是不用管它直接换个更强的密码并开启WPA3。6.4 抓包和跑包用虚拟机行不行虚拟机可以运行Kali和工具但有两个痛点USB网卡透传需要给虚拟机添加USB设备过滤器有些网卡驱动在虚拟机里会出现兼容问题。GPU加速虚拟机里想用hashcat的GPU加速需要做PCIe直通设置对硬件和配置要求都挺高。我个人的建议是搞一个最小化的Kali U盘启动盘直接把电脑从U盘启动进入Kali网卡插上直接用省心很多。7. 实战案例我用跑字典测出了自己家WiFi有多不靠谱7.1 事情经过上学期末我邻居家的孩子来我家写作业说想连个WiFi我随口问了一句你们家密码是啥他说反正就是特别简单我爸说怕我们记不住就设了8个8。我当时就意识到了问题邻居家的WiFi密码是88888888。我自己家的头号测试目标是我很久以前为了省事设的一个密码zhang1987姓名拼音出生年份长度9位。我一直觉得这个密码够用了毕竟不是纯数字还有字母。7.2 测试过程我按上面的完整流程走了一遍用RTL8812AU网卡开启监听模式。抓到我自己的路由器放在书房的握手包。用一份网上下载的2.3GB词典大概含3000万条密码。用GTX 1660 Super跑hashcat。结果让我很意外跑了不到20分钟密码就被字典命中了。原因很简单zhang1987这个模式——拼音数字——恰好出现在了我下载的字典里。这些字典是收集了历年真实泄露的密码整理出来的而拼音年份/手机尾号是国内用户最常见的设密方式被收录的概率极高。7.3 我后来做了什么这次测试之后我做了几件事把家里路由器改成了WPA3/WPA2混合模式。密码换成了随机生成的20位混合字符串用密码管理器保存。关闭了WPS功能因为WPS存在PIN码爆破漏洞等于给WiFi开了后门。开启了路由器的MAC地址过滤虽然这个只是锦上添花但对一般邻居蹭网够用了。7.4 实战心得影响WiFi密码安全的真正因素测试做得多了我对WiFi密码安全有了一个更清晰的认识。结论可以用一句话概括决定WiFi密码安全性的不是你用了多少个字符而是你的密码不在字典里且不够规律。判断方法很简单用前面提到的hashcat规则跑一遍如果在合理时间内没被破出来那你的密码在业余攻击面前就算过关了。至于专业级的暴力破解——那就不是普通家用路由器该操心的事了。8. 普通用户怎么防护把WiFi密码设到字典跑不出来8.1 密码设置的实操标准结合跑字典的原理我给普通用户的密码建议是如下几点长度优先至少12位能上16位更好。每多一位暴力破解的难度呈指数级上升。不要有规律不要用生日、手机号、姓名拼音、键盘连续键如qwerty、asdfg、简单重复如aaaa1111。混合字符集大小写字母、数字、特殊符号如!#%混用。不要和别的密码重复WiFi密码不要和邮箱、网银、微信密码用同一个防止撞库攻击。使用密码管理器生成随机密码很多人问记忆困难怎么办答案是手机上的密码管理器App自动生成并保存随机密码需要时一键填入。一个合格的新手向密码示例vB7#xK2pL9!qT5。这种密码在任何已知字典里都不可能出现纯暴力破解也极难。8.2 路由器上的加固设置光设强密码还不够还有几个路由器设置值得做加密方式选WPA3或WPA2-AES在路由器后台的无线设置里找到加密方式选项优先选WPA3-Personal或WPA2-PSKAES。避免选择WPA-TKIP或WEP。关闭WPS功能WPSWiFi Protected Setup是一个方便连接的功能但它存在一个严重的设计缺陷——PIN码第一位和第四位分开校验导致PIN码只有1万多种组合几分钟就能被穷举出来。因此在路由器后台把WPS关掉是最基本的一步。修改路由器管理密码很多人记住了WiFi密码却忘了路由器的管理员密码还是默认的admin/admin。一旦攻击者进入路由器后台WiFi密码、DNS设置都可能被篡改。定期更换WiFi密码根据使用场景建议半年到一年换一次密码。长期不换的话即使密码没有被直接破解也可能因为你曾经连过某些不安全的公共WiFi而泄露。隐藏SSID可选关闭SSID广播别人就看不到你的WiFi名称能有效降低被扫描的概率。缺点是新增设备连接时需要手动输入WiFi名称和密码。应急用可以日常体验差点。8.3 一个值得尝试的安全小动作访客网络智能家居时代家里的智能电视、摄像头、扫地机器人、智能音箱都要联网。这些设备的安全防护普遍偏弱一旦其中一个被攻破整个内网都面临风险。现在的路由器基本都支持访客网络功能。把智能家居设备全部放在访客网络里和主力设备手机、电脑隔离这样即使某个摄像头被攻破攻击者也难以访问你的核心设备。对于家中设备多的情况这一步非常值得。8.4 检查路由器固件和安全公告最后说一点容易被忽略的路由器厂商会不定期发布固件更新修复已知的安全漏洞。每隔几个月登录路由器后台检查一下是否有新的固件版本及时升级。尤其是用了多年的老路由器如果没有厂商的固件更新支持了建议直接换新。 升级固件的操作路径通常在路由器后台的系统管理或高级设置菜单里多数品牌的现代路由器支持自动在线检测更新非常方便。9. 最后再分享几个小技巧说了这么多原理和实操最后抖几个我在实际测试中总结出来、但没什么机会系统讲的小细节。关于网卡天线角度。监听模式抓包时天线不是朝向路由器越好因为你要抓的是客户端到路由器的上行信号。手台/手机的天线功率通常比路由器弱很多所以你应该尽量靠近正在使用的客户端设备。我实测把天线挪到窗边抓包成功率能提升一倍。关于信道宽度。有些新网卡支持40MHz或80MHz的信道宽度听起来能收到更多数据但在密集环境下反而会因为信道重叠导致丢包严重。抓包时强制使用20MHz宽度目标信道的抓包成功率更稳。关于字典精包和全包的选择。热词里提到的精包是指精选过的、命中率高的短字典通常只有几万条全包是大而全的长字典动辄几个GB。我的建议是双管齐下先用精包快速跑一遍每次可能只需要几十秒到几分钟没命中再上大字典或者GPU加速。实战中大部分弱密码在第一轮精包就会被试出来效率极高。关于用手机跑字典。不少搜索热词指向手机跑字典确实有安卓平台上跑hashcat的方案但手机SoC的性能、散热和电池都撑不起长时间高负载计算跟电脑GPU相比差距太大。手机抓包工具更是受限于系统权限和驱动基本没法实现真正的监听模式。我的建议是这方向能了解但别抱太大期待正经测试还是用电脑加一张USB网卡来得踏实。搞完这一整套测试后我最大的感受是WiFi安全这件事大部分人不是做不到而是压根没意识到问题有多具体。文章里每一个环节——抓握手包、跑字典、GPU加速——对应的其实都是实实在在的攻击链条而防御链条上最关键的一环只是设一个好密码这么简单。如果你看到这里不妨现在就登录路由器后台去改一个强密码、关掉WPS。五分钟的事换来的是多年安心。