{"position":0,"title":"引言","layout":"doc-fullscreen","text":"## 引言nn欢迎来到本次关于加速 WEP IV 捕获的实验。本教程将帮助你理解如何通过主动注入流量的方式，更高效地收集破解 WEP 所需的初始化向量。WEP（Wired Equivalent Privacy）是一种已经过时且安全性较弱的 Wi‑Fi 加密协议，它最主要的漏洞之一就在于初始化向量（Initialization Vectors, IVs）的使用机制。要破解 WEP 密钥，攻击者通常需要捕获大量无线数据包，而每个数据包中都包含一个唯一的 IV。nn如果仅靠被动等待目标无线网络自然产生足够流量，往往需要数小时甚至数天，才能收集到数万个 IV。为了提升 WEP 抓包效率，我们可以使用一种常见的主动攻击技术——ARP 重放攻击（ARP Replay Attack）。这种方法的核心是先捕获网络中的 ARP 数据包，再将其重新注入（即“重放”）到网络中。这样可以诱导接入点（Access Point, AP）持续生成大量新的加密数据包，而每个新数据包都会携带新的 IV，从而让我们在几分钟内快速完成 WEP IV 收集。nn在本次实验中，你将使用 Aircrack-ng 套件中的 `aireplay-ng` 工具执行 ARP 重放攻击。我们默认你已经将无线网卡切换到监听模式（monitor mode），因此可以直接进入后续操作步骤。n","need_verify":false,"has_solution":false},{"position":1,"title":"使用 aireplay-ng 执行伪认证 -1","layout":"doc-workbench-split","text":"## 使用 aireplay-ng 执行伪认证 -1nn在此步骤中，你将与目标接入点（AP）执行“伪认证”（fake authentication）。在向无线网络注入任何数据包之前，你的设备必须先与 AP 建立关联。伪认证的作用，就是让目标接入点认为我们是一个合法客户端，从而允许后续的数据包注入操作顺利进行。nn在本实验中，我们将使用以下模拟目标信息：nn- **接口 (Interface):** `wlan0mon`n- **ESSID (网络名称):** `labex-wep`n- **BSSID (AP MAC 地址):** `00:11:22:33:44:55`n- **我们的 MAC 地址：** `00:C0:CA:A1:B2:C3`nn现在，在你的终端中执行以下命令来完成伪认证。`-1` 表示执行伪认证攻击，`0` 表示将重关联时间设置为自动，`-e` 用于指定 ESSID，`-a` 用于指定目标 BSSID，`-h` 用于指定我们的源 MAC 地址。nn```bashnsudo aireplay-ng -1 0 -e labex-wep -a 00:11:22:33:44:55 -h 00:C0:CA:A1:B2:C3 wlan0monn```nn在真实无线渗透测试环境中，你通常会看到显示认证进度的输出信息。若操作成功，终端一般会出现类似 “Authentication successful” 和 “Association successful” 的提示。由于实验环境存在一定限制，该命令可能无法完整呈现真实场景中的所有反馈，但执行这一步依然是后续开展 WEP ARP 重放攻击的关键前提。nn```plaintextn12:34:56 Waiting for beacon frame (BSSID: 00:11:22:33:44:55) on channel 6n12:34:56 Sending Authentication Request (Open System) [ACK]n12:34:57 Authentication successfuln12:34:57 Sending Association Request [ACK]n12:34:57 Association successful :-) (AID: 1)n```nn在建立关联后，我们就可以继续进行下一步，也就是发起 ARP 重放攻击。`aireplay-ng` 中的 `-3` 参数对应的正是这种攻击模式：它会先监听目标网络中的 ARP 数据包，一旦成功捕获到一个，就会立刻开始持续重放，以便快速制造大量新的 IV。n\n这里有一个很重要的操作建议：由于这项攻击会持续运行，最好将它放在单独的终端窗口中执行。也就是说，你需要新开一个终端。可以直接点击终端标签栏里的 `+` 图标完成。n\n在新终端中，执行下面这条命令。这里，`-3` 用来启动 ARP 重放攻击，`-b` 用来指定目标 BSSID，也就是接入点 AP，`-h` 则指定我们的源 MAC 地址，也就是之前用于伪认证的那个地址。n\nsudo aireplay-ng -3 -b 00:11:22:33:44:55 -h 00:C0:CA:A1:B2:C3 wlan0monn\n命令运行后，`aireplay-ng` 会先进入监听状态。刚开始时，终端输出通常会提示它正在等待 ARP 数据包。n\nSa ving ARP requests in replay_arp-1234-567890.cap\nYou should also start airodump-ng to capture replies.\nRead 0 packets (got 0 ARP requests, 0 ACKs), sent 0 packets...(0 pps)n\n这说明工具当前仍处于被动监听阶段。只有当它至少捕获到一个 ARP 数据包之后，才会真正进入重放流程并开始持续注入流量。在下一步中，我们将启动监控工具来观察 IV 捕获数量的变化。请保持此终端持续运行。n","need_verify":true,"has_solution":false},{"position":3,"title":"使用 airodump-ng 监控 IV 捕获","layout":"doc-workbench-split","text":"## 使用 airodump-ng 监控 IV 捕获nn在此步骤中，你将使用 `airodump-ng` 对目标无线网络进行监控，更重要的是，用它来观察 ARP 重放攻击带来的实际效果。`airodump-ng` 会捕获攻击过程中产生的所有相关数据包，并将结果保存到文件中。对于 WEP 破解来说，成功与否的核心指标之一，就是捕获到的 IV 数量。nn此命令同样需要在独立终端中持续运行。请再次点击 `+` 图标，打开**第三个终端**窗口。nn在这个新终端中，运行以下 `airodump-ng` 命令。nn- `--bssid`: 将抓包范围精确锁定到我们的目标 AP。n- `-c 6`: 将无线信道设置为 6（这里假设目标接入点工作在该信道上）。n- `--write wep_capture`: 告诉 `airodump-ng` 将捕获到的数据包保存为以 `wep_capture` 为前缀的文件。n- `wlan0mon`: 指定要使用的监听模式无线接口。nn```bashnsudo airodump-ng --bssid 00:11:22:33:44:55 -c 6 --write wep_capture wlan0monn```nn运行命令后，你会看到 `airodump-ng` 的监控界面。请重点关注目标 BSSID 对应的 `#Data` 列，这个数值代表当前已捕获到的 IV 数量。nn```plaintextn CH 6 ][ Elapsed: 0 s ][ 2023-10-27 10:10nn BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSIDnn 00:11:22:33:44:55 -30 10 0 0 6 54 WEP WEP labex-wepnn BSSID STATION PWR Rate Lost Frames Proben```nn在开始阶段，`#Data` 计数通常为 0，或者只会缓慢增加。一旦前一步中的 `aireplay-ng` 成功捕获到 ARP 数据包并开始重放注入，你就会看到这个数字快速增长。请保持此终端运行，并继续下一步以进一步理解整个过程。n","need_verify":true,"has_solution":false},{"position":4,"title":"理解 ARP 重放如何生成可注入流量","layout":"doc-workbench-split","text":"## 理解 ARP 重放如何生成可注入流量nn此步骤主要用于理解原理，因此你无需执行任何新命令。目标是弄清楚当前三个终端窗口分别在做什么，以及 ARP 重放攻击为什么能显著提升 WEP IV 收集效率。nn在真实场景中，此时你通常会等待网络中的合法客户端发送 ARP 请求，例如当设备刚加入无线网络，或者尝试与其他主机通信时。nn1. **捕获 (Capture):** 你的 `aireplay-ng -3` 进程（运行在第二个终端中）会持续等待这样的时机。一旦它捕获到一个 ARP 数据包，终端输出就会发生变化，提示已经读取到可用的 ARP 请求并将其保存下来。nn ```plaintextn Read 147 packets (got 1 ARP request), sent 0 packets...(0 pps)n ```nn2. **重放 (Replay):** 成功捕获到 ARP 数据包后，`aireplay-ng` 会立即开始对其进行重复注入，也就是不断重放到目标网络中。此时你会看到输出中的 “sent” 计数器快速上升。nn ```plaintextn Read 250 packets (got 1 ARP request), sent 86 packets...(102 pps)n ```nn3. **生成 (Generate):** 接入点 AP 收到这些被重放的 ARP 数据包后，会对每一个请求作出响应或广播回复。每一个回复都会经过 WEP 加密，并携带一个新的、唯一的 IV。nn4. **监控 (Monitor):** 与此同时，第三个终端中的 `airodump-ng` 会持续捕获 AP 发送出的这些回复数据包。因此，你会看到目标网络对应的 `#Data` 列迅速攀升，通常可以达到每秒增加数百个 IV。nn这个反馈循环正是 ARP 重放攻击的核心机制。我们利用一个已经捕获到的 ARP 数据包，诱导 AP 为我们生成成千上万个新的加密数据包，从而大幅提升 WEP 抓包速度，并显著缩短收集足够 IV 的时间。n","need_verify":true,"has_solution":false},{"position":5,"title":"收集超过 20000 个 IVs 后停止攻击","layout":"doc-workbench-split","text":"## 收集超过 20000 个 IVs 后停止攻击nn在最后这一步中，当你收集到足够数量的 IV 后，就可以停止攻击过程。对于 WEP 密钥破解来说，常见经验值通常是先收集 20,000 到 40,000 个 IV，当然在某些情况下，如果密钥复杂度更高，可能还需要更多。nn在本次实验中，我们以捕获数量超过 20,000 个 IV 为停止标准。nn请在你的 `airodump-ng` 终端（也就是第三个终端）中持续观察 `#Data` 列。一旦该数值大于 20,000，就可以停止抓包与注入操作。nn要停止进程，请回到两个仍在运行的终端，将这两个进程——`airodump-ng` 和 `aireplay-ng`——依次结束，直接按 `Ctrl+C` 即可。通常建议先停止 `airodump-ng`，这样更稳妥，也更有利于确保已捕获的数据包被完整写入到文件中。n\n进程结束后，`airodump-ng` 会在你的 `~/project` 目录下生成若干输出文件。其中最关键的是后缀为 `.cap` 的抓包文件。你可以先列出当前目录内容，确认该文件已经成功生成。n\n```bash\nls -l\n```n\n正常情况下，你会看到类似下面的输出，其中包含 `wep_capture-01.cap`：n\n```plaintext\n-rw-r--r-- 1 root root 2450000 Oct 27 10:15 wep_capture-01.cap\n-rw-r--r-- 1 root root 78123 Oct 27 10:15 wep_capture-01.csv\n...\n```n\n这个 `.cap` 文件中保存了你收集到的全部 IV 数据。接下来，你就可以将它交给 `aircrack-ng`，用于后续的 WEP 密钥破解分析。n","need_verify":true,"has_solution":false},{"position":6,"title":"总结","layout":"doc-fullscreen","text":"## 总结\n\n在这次实验中，你已经系统了解了针对 WEP 无线网络进行高效 IV 收集的一种典型方法。\n\n首先，你通过 `aireplay-ng -1` 完成了伪认证，使本机设备成功与目标接入点（Access Point，AP）建立关联。随后，你进入了本实验的核心环节——ARP 重放攻击。这里使用的是 `aireplay-ng -3`，它负责监听并重放网络中的 ARP 数据包。同时，`airodump-ng` 持续运行，用来监控无线流量并捕获攻击过程中产生的 WEP 数据包。\n\n这种攻击方式之所以高效，关键在于它能够形成一个持续反馈循环，诱导 AP 在短时间内不断生成大量携带新 IV 的数据包。最终，当你收集到足够数量的 IV 后，便可以停止攻击，并获得一个可用于后续分析的 `.cap` 抓包文件。相比被动等待目标网络自然产生流量，这种主动注入与重放技术能显著提高 WEP 破解前的数据采集效率。下一步虽然不在本实验范围内，但通常就是使用 `aircrack-ng` 对 `wep_capture-01.cap` 文件进行处理，以尝试恢复 WEP 密钥。n","need_verify":false,"has_solution":false}