WiFi 渗透：能破的，从来都是弱密码

先说个可能让你不想往下看的事实：WiFi 渗透能成功的场景，几乎都是密码本身太弱。

WPA2 的加密没被攻破过。所有”破解 WiFi”的方法，本质都是在猜密码——抓到握手包，拿字典去对，对上了就是对的，对不上就永远打不开。没有捷径，也没有”一键破解”这种东西。

我见过太多人拿着网卡问我：”这个能破吧？” 能，前提是对方密码在字典里。

这篇讲的是完整流程，以及每一步现实的成功率。先划一条线：只能在自己家、自己的网络，或者拿到书面授权的目标上做。连邻居的网，不管成不成功，性质都不一样。

零、先确认网卡能用

手机自带 WiFi 芯片基本都不支持监听（少数能刷 Nexmon 的机型除外）。要玩这个，得有一块支持 monitor mode 和注入的外置网卡，通常走 OTG 接手机，或者直接插在电脑上。

AR9271 是最省心的选择，驱动内置，插上就能用，只支持 2.4G。要覆盖 5G 就得上 RTL8812AU 或 MT7612U，驱动麻烦一点。这块我之前写过一篇选型，不再重复：《NetHunter 外置无线网卡选型指南》

验证能不能用，一条命令：

airmon-ng start wlan1
aireplay-ng --test wlan1mon

看到 Injection is working! 才继续。只能监听不能注入的网卡，做侦察可以，做后面的事不行。

一、侦察：你其实只需要看四个字段

airodump-ng wlan1mon

屏幕上滚动的信息很多，真正有用的只有四列：

BSSID —— AP 的 MAC，后面所有命令都要用它。

CH —— 信道。锁定目标后必须加 -c，不然网卡会在信道间跳，抓不到完整的握手。

ENC / CIPHER / AUTH —— 加密方式。WPA2 + CCMP + PSK 是最好搞的；看到 WPA3 或 MGT（企业级），基本可以收工了，后面会解释。

STATION —— 连着的客户端。有客户端才能抓握手，没有客户端就得等，或者换 PMKID 那条路。

隐藏 SSID 这事经常被当成安全措施，其实一点用没有。airodump 里它会显示成 <length: 9>，等有客户端连上去，抓一个探测请求或者关联帧，SSID 就出来了。带外传的 --essid-regex 也能读到。

二、两条路：等握手，还是拿 PMKID

PMKID 是 2018 年公开的方法，好处是完全不需要客户端，也不用把谁踢下线。原理是路由器在第一次 EAPOL 消息里可能会带上一个 PMKID 字段，这个值是用 AP 的密钥和 SSID 算出来的，可以直接拿去离线验证密码。

hcxdumptool -i wlan1mon -w dump.pcapng --enable_status=1
hcxpcapngtool -o hash.22000 dump.pcapng
hashcat -m 22000 hash.22000 wordlist.txt

能不能拿到，取决于路由器厂商。三年前的家用路由器成功率不错，近两年的固件很多不再带这个字段了。所以实际操作里，我一般先跑两分钟 PMKID，拿不到再走握手包。

三、抓握手：deauth 是把双刃剑

# 锁定目标，等握手
airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w cap wlan1mon

# 另一个终端，踢一个客户端下线
aireplay-ng -0 5 -a AA:BB:CC:DD:EE:FF -c 11:22:33:44:55:66 wlan1mon

-0 5 是发 5 个取消认证帧。客户端被踢下线后会自动重连，重连过程里就有握手包。

副作用要提前想清楚：那个客户端会真的断网几秒。如果是别人家的网，或者是有人的办公室，这事儿性质就变了。自己家测没关系，别人的网络，这一下就不是”测试”了。

另一个现实问题：开了 802.11w（管理帧保护，PMF）的网络，取消认证帧是被加密的，aireplay-ng 打不动。WPA3 强制开 PMF，WPA2 也可以选开。看到 aireplay-ng 发了没反应，先怀疑这个。

抓到之后确认一下：

aircrack-ng cap-01.cap

输出里出现 WPA (1 handshake) 才算成。写着 (0 handshake) 就是没抓全，得重来。

四、爆破：这一步没有任何技巧

hashcat -m 22000 hash.22000 rockyou.txt
# 或者用 CPU 慢慢跑
aircrack-ng -w rockyou.txt cap-01.cap

剩下的就是算力和字典的比拼。

八位纯数字，普通消费级显卡几分钟到几小时，看你卡。12345678、手机号、生日这种，秒出。带大小写字母加符号的十二位密码，字典里没有的话，就不是”跑久一点”的问题了——那是天文数字。

所以真实场景里，”能不能破”这个问题，答案永远取决于对方怎么设密码，而不取决于你工具多好。

字典的选择比算法重要。国内场景里，rockyou 命中率其实一般，真正有效的是本地化的弱口令表：手机号段、姓名拼音 + 生日、常见拼音组合（woaini1314 这类）。这些自己生成比下载现成的管用。

五、几个听起来很厉害、实际没什么用的

WPS PIN。reaver 那套东西现在基本跑不动了。现代路由器要么默认关闭 WPS，要么加了失败锁定，跑几小时最后返回一个锁定错误。真要试，先 wash -i wlan1mon 看看有没有 WPS 开着，没有就别浪费时间。

WPA3 破解。SAE 握手设计上就抵抗离线字典攻击——你抓到的包没法拿去离线比对。Dragonblood 那些漏洞是侧信道，学术价值大于实用价值，而且需要特定条件。看到 WPA3，直接放弃，比研究怎么打它划算。

WPA2 企业级。这个确实有方法：搭一个同名 AP + 假 RADIUS，诱客户端连上来，抓 MSCHAPv2 挑战响应，再离线爆破。技术上成立，但成功率取决于员工会不会连一个证书不对的 WiFi，本质是社工不是技术。

Evil Twin。技术上更简单，起个同名热点加钓鱼页面就行。但这是纯钓鱼，法律风险比技术难度高得多，我不建议在任何非授权场景碰。

六、防御这边，哪些有用哪些没用

没用的：MAC 地址过滤（抓个包就能看到合法 MAC，改一下就行）、隐藏 SSID（上面说了）、关 DHCP（手动配 IP 一样连）。

有用的，按性价比排：

一、WPA3 或 WPA2 + 强密码。密码足够强，前面所有流程都白做。这是唯一真正有效的措施。

二、关 WPS。一条设置的事，能挡掉一整类攻击。

三、开 PMF（802.11w）。能防取消认证攻击，代价是极老的设备可能连不上。

四、访客网络隔离。把 IoT 设备、客人放独立 SSID，开客户端隔离。就算某台设备被拿下，也横不到内网。

顺便说一句企业场景：别用 PSK 给员工上网。一个密码全公司共享，离职的人带走了你也不知道。802.1X + 每人独立账号，才是能审计的做法。

七、最后

这套流程走一遍，你会得到两个结论：

一是工具其实很简单，命令就那么几条，一下午能学会。

二是它能做的事比你想的少得多。绝大多数情况下，你抓完包、跑完字典，得到的是”密码不在字典里”。

所以如果你是想学无线安全，我建议把时间花在看懂 802.11 的帧结构上，而不是背命令。前者能让你在遇到新情况时知道该抓什么，后者只能让你重复别人的操作。

本文所有操作仅限自有网络或已获书面授权的目标。未经授权接入他人网络，可能触犯《网络安全法》与《治安管理处罚法》，与技术水平无关，只看你有没有得到许可。