## 引言 在无线网络安全测试中，捕获 WPA/WPA2 的 4-way handshake（四次握手）是后续验证无线密码强度的重要前提。然而，在投入大量时间和计算资源进行密码破解之前，先确认捕获文件中是否包含完整且有效的 handshake 非常关键。若握手数据不完整、损坏或根本不存在，那么任何破解尝试都无法得到结果。 本实验将指导你使用 `aircrack-ng`（Aircrack-ng 套件中的常用分析工具）检查捕获文件（`.cap`），并判断其中是否存在可用的有效 handshake。 ## 在 Fluxion 目录中定位捕获的 .cap 文件 在这一步中，你将进入通常用于保存 handshake 捕获文件的目录，并查看其中的文件列表。在本实验里，我们预先准备了一个模拟 `fluxion` 工具输出结果的示例目录结构，便于你练习定位 `.cap` 文件。 首先，使用 `cd`（change directory）命令将当前工作目录切换到 `~/project/fluxion/attacks/handshakes` 下的 `handshakes` 文件夹： ```bash cd ~/project/fluxion/attacks/handshakes ``` 进入目标目录后，使用 `ls -l` 命令列出当前目录中的文件及详细信息。这样可以帮助你确认待分析的抓包文件是否存在，以及文件大小是否正常。 ```bash ls -l ``` 你应该会看到类似下面的输出，其中包含 `wpa.cap`（用于演示的有效 handshake 捕获文件）以及 `invalid_handshake.cap`（用于对比测试的空文件）。 ```plaintext total 4 -rw-r--r-- 1 labex labex 0 Jan 01 12:00 invalid_handshake.cap -rw-r--r-- 1 labex labex 3385 Jan 01 12:00 wpa.cap ``` ## 打开一个新的终端窗口 在真实的无线渗透测试或无线安全分析场景中，通常会有一个终端窗口持续运行 `airodump-ng` 用于抓取无线流量，另一个终端则用来执行验证、分析或破解等其他操作。为了让实验流程更简洁，本实验继续使用同一个终端完成后续步骤。 这一部分无需执行任何命令。只要确认当前终端提示符仍位于 `~/project/fluxion/attacks/handshakes` 目录中即可。完成后，你就可以继续使用 `aircrack-ng` 对 `.cap` 文件进行 handshake 验证。 ## 在 .cap 文件上运行 'aircrack-ng' 命令 在这一步中，你将对 `wpa.cap` 文件运行 `aircrack-ng` 命令。该命令会分析抓包文件中的内容，并显示相关信息，包括是否检测到有效的 WPA/WPA2 handshake。 请在终端中执行以下命令，让 `aircrack-ng` 对 `wpa.cap` 进行检查： ```bash aircrack-ng wpa.cap ``` 命令执行后，`aircrack-ng` 会先读取捕获文件中的基本信息，输出大致如下： ```plaintext Opening wpa.cap Read 43 packets. # BSSID ESSID Encryption 1 00:14:6C:7E:40:80 teddy WPA (1 handshake) Choosing first network as target. Opening wpa.cap Reading packets, please wait... ``` 其中最关键的信息是 `WPA (1 handshake)` 这一行。它表示 `aircrack-ng` 已在该抓包文件中识别到一个有效的 WPA 握手包，这也是后续判断 `.cap` 文件是否可用于密码破解的重要依据。 另外，当命令运行到 `Reading packets, please wait...` 时，看起来像是没有继续输出，但这通常是正常的。因为 `aircrack-ng` 正在等待你提供字典文件（wordlist），以便继续执行破解流程。因此在本实验中，你可以直接按 `Ctrl+C` 终止程序并返回终端提示符。 ## 分析输出以确认“1 handshake” 在这一步中，重点是正确理解上一条 `aircrack-ng` 命令的输出内容。从结果中可以看到，工具已经对捕获文件中的接入点（access points）进行了简要汇总。 请再次关注这条关键信息： ```plaintext 1 00:14:6C:7E:40:80 teddy WPA (1 handshake) ``` 其中的 `(1 handshake)` 就是最重要的验证标志。它明确说明 `aircrack-ng` 已经成功识别到一个完整的 WPA 四次握手，该握手对应的无线网络 BSSID 为 `00:14:6C:7E:40:80`，ESSID 为 `teddy`。 这意味着 `wpa.cap` 是一个有效的 WPA/WPA2 handshake 捕获文件，后续可以基于该文件进行密码审计或破解尝试。反过来说，如果这条提示没有出现，或者显示为 `(0 handshake)`，那么后续的破解操作通常不会成功。 为了更直观地理解为什么验证 handshake 如此重要，再来看一个不包含有效握手数据的示例文件：`invalid_handshake.cap`。该文件是一个空文件，不包含任何无线流量数据。 你可以在这个文件上运行 `aircrack-ng`： ```bash aircrack-ng invalid_handshake.cap ``` 输出结果会明显不同。由于该文件为空，没有任何抓包数据，因此 `aircrack-ng` 会直接提示未发现可分析的网络信息。 ```plaintext Opening invalid_handshake.cap Read 0 packets. No networks found, exiting. ``` 如果某个 `.cap` 文件中虽然包含数据包，但没有目标无线网络的完整 handshake，那么输出里可能仍会列出对应网络，只是状态会显示为 `(0 handshake)`。无论是哪种情况，只要没有出现 `(1 handshake)` 这样的有效确认，就说明该捕获文件不能直接用于后续破解。先做这一步检查，可以有效避免将时间、算力和精力浪费在无效文件上。 ## 总结 在本实验中，你学习了如何在无线抓包文件中验证 WPA/WPA2 handshake 是否有效。你使用 `aircrack-ng` 检查了 `.cap` 文件，识别了用于确认有效捕获的 `(1 handshake)` 提示信息，并对比了分析无效文件时的输出结果差异。 这是一项非常基础但极其重要的无线网络安全技能。通过在破解前先验证 handshake 是否完整有效，你可以确保后续的密码分析工作建立在可用数据之上，从而提升排查效率与测试成功率。