WPA-Enterprise（802.1X/EAP）的攻击面不是 PSK，而是终端（supplicant）对 RADIUS 服务器证书的信任、内层 EAP 方法的加密，或证书签发路径。
典型流程：先从信标与初始 EAP-Request/Identity 识别 EAP 方法；若为 MSCHAPv2 类（PEAP、TTLS），用伪造 RADIUS 抓取挑战响应；若为 EAP-TLS，则转向证书签发/存储路径；破解 MSCHAPv2 得到 AD 用户名与密码后横向进入域。
识别 EAP 方法可用 tshark 在监听模式查看 eapol/eap，或用 airodump-ng 抓包后用 Wireshark 读取 EAP-Request/Identity 的 Type 字段。常见类型：13 EAP-TLS、17 LEAP、21 EAP-TTLS、25 PEAP、43 EAP-FAST、47 EAP-PWD。
最常见路径是邪恶双胞胎 RADIUS：eaphammer --cert-wizard 生成自签证书，再用 eaphammer -i wlan0 --essid ... --bssid ... --auth wpa-eap --creds 抓取 User/Challenge/Response。离线破解可用 asleap -C <chal> -R <resp> -W wordlist，或 hashcat -m 5500。该响应等价于 NetNTLMv1，可交给彩虹表服务。攻击成立的前提是终端不校验 RADIUS 证书的 CA 链或 CN/SAN。
EAP-TLS 无口令可破，思路是窃取客户端证书（Windows DPAPI、macOS Keychain、Android KeyStore、iOS Keychain），或滥用 NDES/SCEP 与 AD CS 自动注册中过宽的 ACL。EAP-GTC 若启用则内层明文，邪恶双胞胎可直接得到密码。
破解后可先验证凭据（nxc smb dc -u ...），再做喷洒与 AD 枚举，接入 AD 攻击链。
检测信号包括：仿冒 ESSID 的 WIPS 规则、同一终端 MSCHAPv2 失败增多、证书不匹配事件（Windows Wi-Fi 11005）、用户报告异常 Wi-Fi 提示。缓解建议：通过 GPO 强制服务器证书校验，固定受信 CA 与 RADIUS 服务器 CN；BYOD 通过 SCEP/Intune 锁定终端设置。仅限授权测试使用。