用途
本技能用于开展经授权的无线网络渗透测试，评估 WiFi 基础设施的安全性。适用场景包括：评估企业无线网络（访客、企业办公、IoT WiFi 网段）的安全状况；测试物理邻近范围内的攻击者能否攻破无线认证并访问内部网络；验证无线入侵检测/防御系统（WIDS/WIPS）对已知攻击技术的检测能力；评估 WPA3 迁移及过渡模式配置的有效性；测试无线网络被攻破后无线与有线网络之间的分段隔离情况。
严禁在未获得网络所有者书面授权的情况下使用；除非明确授权，不得对无线基础设施实施干扰或拒绝服务攻击；不得在无线中断可能影响生命安全系统的环境中使用。
前置条件
- 书面授权，明确目标 SSID、BSSID 和物理测试位置
- 支持监听模式和数据包注入的外置 WiFi 网卡（如 Alfa AWUS036ACH、TP-Link TL-WN722N v1）
- Kali Linux 或等效系统，并安装最新的无线工具（aircrack-ng 套件、hostapd、bettercap）
- 在授权测试时段内可物理进入测试地点
- 了解目标的无线架构（SSID、认证类型、RADIUS 基础设施）
主要能力与工作流程
步骤 1：无线侦察
发现并绘制目标环境中的所有无线网络。启用监听模式（airmon-ng start wlan0），捕获无线流量（airodump-ng wlan0mon -w recon --output-format csv,pcap）以发现所有 SSID、BSSID、信道、加密类型和已连接客户端。从授权范围中识别目标网络并记录其安全配置（WEP、WPA2-Personal、WPA2-Enterprise、WPA3-SAE、WPA3-Transition）。枚举已连接客户端及其信号强度，通过捕获客户端的探测请求检查隐藏 SSID，并将发现的 BSSID 与客户授权的 AP 清单比对以识别流氓接入点。
步骤 2：WPA2-Personal 握手捕获与破解
针对 WPA2-PSK 网络，捕获四次握手并尝试离线破解。定向目标 AP 捕获（airodump-ng wlan0mon -c <channel> --bssid <bssid> -w capture），对已连接客户端发送去认证帧强制重新认证（aireplay-ng -0 5 -a <bssid> -c <client_mac> wlan0mon），在 airodump-ng 中确认握手捕获成功。破解方式包括：字典攻击（aircrack-ng -w /usr/share/wordlists/rockyou.txt capture-01.cap）、GPU 加速（hashcat -m 22000 capture.hc22000 /usr/share/wordlists/rockyou.txt）、基于规则（hashcat -m 22000 capture.hc22000 wordlist.txt -r /usr/share/hashcat/rules/best64.rule）。对于 PMKID 捕获（无客户端方式）：hcxdumptool -i wlan0mon --enable_status=1 -o pmkid.pcapng --filtermode=2 --filterlist_ap=<bssid>。
步骤 3：WPA2-Enterprise 攻击
针对 802.1X/EAP 网络，通过流氓 RADIUS 尝试捕获凭据。通过捕获关联请求识别所用 EAP 类型（PEAP-MSCHAPv2、EAP-TLS、EAP-TTLS）。使用 hostapd-mana 配合流氓 RADIUS 服务器搭建模仿企业 SSID 的流氓 AP，配置其接受所有 EAP 认证尝试并捕获 RADIUS 握手。当客户端连接到流氓 AP 时，捕获 MSCHAPv2 质询-响应对，使用 asleap 破解或转换为 hashcat 格式（hashcat -m 5500 captured_ntlm.txt wordlist.txt）。若使用 EAP-TLS（基于证书），则记录凭据捕获不可行，说明组织已实施强无线认证。
步骤 4：邪恶双胞胎攻击
部署流氓接入点拦截客户端连接。创建与目标 SSID 匹配的邪恶双胞胎 AP（配置 hostapd 使用相同 SSID 和信道），使用 dnsmasq 提供 DHCP 和 DNS，并搭建展示虚假登录页的 Web 服务器作为强制门户。对合法 AP 的客户端发送去认证帧，迫使其重新连接到邪恶双胞胎，捕获通过强制门户提交的凭据。对于 WPA3-Transition 模式网络，利用降级漏洞创建仅支持 WPA2 的邪恶双胞胎，使过渡模式客户端连接。记录所有捕获的凭据及从无线接入到内部网络的攻击路径。
步骤 5：入侵后网络评估
获得无线网络访问权限后，评估网络分段情况。使用捕获的凭据连接被攻破的无线网络，扫描网段内可访问的主机和服务（nmap -sn <wireless_subnet>），测试无线客户端能否访问内部服务器、数据库或管理接口，验证 VLAN 分段是否正确隔离访客、企业和 IoT 无线网络，测试无线到有线的分段是否强制执行，并记录从无线网络可访问的所有资源以证明分段失效。
关键概念
- 邪恶双胞胎（Evil Twin）：模仿合法 SSID 的流氓接入点，诱骗客户端连接，从而实现中间人攻击和凭据捕获。
- 四次握手（4-Way Handshake）：WPA2 客户端与 AP 之间建立加密密钥的认证交换；捕获的握手可离线破解。
- WPA3-SAE：对等实体同时认证，WPA3 的密钥交换协议，可抵抗离线字典攻击并提供前向保密。
- 过渡模式（Transition Mode）：WPA3 向后兼容模式，同时支持 WPA2 和 WPA3 客户端，可能易受降级攻击。
- PMKID 攻击：无客户端攻击，从 AP 的第一个 EAPOL 帧捕获成对主密钥标识符，无需捕获完整握手即可离线破解。
- 802.1X/EAP：使用 RADIUS 和可扩展认证协议的企业无线认证，提供每用户凭据而非共享预共享密钥。
- 去认证攻击（Deauthentication Attack）：发送伪造的去认证帧断开客户端与 AP 的连接，迫使其重新连接，从而实现握手捕获或邪恶双胞胎攻击。
工具与系统
- Aircrack-ng 套件：综合无线审计工具包，包括 airodump-ng（捕获）、aireplay-ng（注入）和 aircrack-ng（破解）。
- Hostapd-mana：修改版 hostapd，用于创建具备 EAP 凭据捕获能力的流氓接入点。
- Bettercap：网络攻击框架，带 WiFi 模块，支持去认证、握手捕获和邪恶双胞胎部署。
- Hashcat：GPU 加速密码破解，支持 WPA2（模式 22000）、MSCHAPv2（模式 5500）和 PMKID 格式。
- Kismet：无线网络探测器、嗅探器和入侵检测系统，用于被动监控。
适用场景示例
某金融服务公司有 3 个 SSID：CorpWiFi（员工用 WPA2-Enterprise）、GuestWiFi（强制门户）和 IoT-Net（打印机和会议系统用 WPA2-PSK）。测试人员获授权在大堂和会议室测试全部三个网络。测试发现：IoT-Net 的 WPA2-PSK 握手在 3 分钟内被破解（密码 Company2024!）；从 IoT-Net 扫描发现该子网可访问内部服务器（打印服务器和文件共享），表明分段不足；针对 CorpWiFi 的邪恶双胞胎攻击通过 hostapd-mana 捕获 4 个员工 MSCHAPv2 哈希，其中 2 个被破解；GuestWiFi 强制门户通过伪造已认证设备的 MAC 地址被绕过。最终记录 IoT-Net 提供了绕过 WPA2-Enterprise 认证直达内部网络的路径。
限制与注意事项
- 必须在获得书面授权后使用，明确目标 SSID、BSSID 和物理测试位置。
- 除非明确授权，不得实施干扰或拒绝服务攻击。
- 不得在无线中断可能影响生命安全系统的环境中使用。
- 常见误区：未与客户协调即在营业时间实施去认证攻击，造成可见的 WiFi 中断；组织已开始 WPA3 迁移时未测试过渡模式的降级漏洞；只关注密码破解而忽略通常风险更高的网络分段问题；仅从单一位置测试而遗漏设施其他区域部署的流氓 AP。
输出格式
技能提供标准化的发现报告格式，包含 ID、严重性（CVSS）、受影响 SSID、加密方式、描述、概念验证（含具体命令）、影响和修复建议等字段。