学习笔记 on wackymaker

aircrack-ng套件

Sat, 30 Aug 2025 23:19:01 +0800

aircrack-ng套件介绍

只要学习无线安全，Aircrack-ng套件就是需要接触的内容，其包含20多种专门用于审核wifi网络的攻击，并且都是命令行，我今天只会简要记录几个常用工具

Airmon-ng(快捷监控)

这个工具能快速将网卡调整至监听状态，并且和iw一样可以选择信道

在此基础上它还存在参数check能检查当前环境是否存在干扰进程，我们在工作的时候可以利用它将这些进程暂时击溃防止干扰

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng start wlan0                                                                                                                     

Found 2 processes that could cause trouble.
Kill them using 'airmon-ng check kill' before putting
the card in monitor mode, they will interfere by changing channels
and sometimes putting the interface back in managed mode

    PID Name
    860 NetworkManager
   2855 wpa_supplicant

PHY	Interface	Driver		Chipset

phy1	wlan0		mt7921u		MediaTek Inc. Wireless_Device
        (mac80211 monitor mode vif enabled for [phy1]wlan0 on [phy1]wlan0mon)
        (mac80211 station mode vif disabled for [phy1]wlan0)

                                                                                                                                                     
┌──(root㉿kali)-[/home/wackymaker/test]
└─# iwconfig             
lo        no wireless extensions.

eth0      no wireless extensions.

wlan0mon  IEEE 802.11  Mode:Monitor  Frequency:2.457 GHz  
          Retry short limit:7   RTS thr:off   Fragment thr:off
          Power Management:on

可以看到由airmon启动的监听模式还会给我们换一个名字，这是正常的airmon防止我们识别失误，会启动虚拟网卡，并且这里可以看到有两个进程会干扰我们的工作

也可以使用check来详细输出

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng check      

Found 2 processes that could cause trouble.
Kill them using 'airmon-ng check kill' before putting
the card in monitor mode, they will interfere by changing channels
and sometimes putting the interface back in managed mode

    PID Name
    860 NetworkManager
   2855 wpa_supplicant

可以快捷的kill掉干扰进程

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng check kill

Killing these processes:

    PID Name
   2855 wpa_supplicant

取消监听

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng stop wlan0mon    


PHY	Interface	Driver		Chipset

phy1	wlan0mon	mt7921u		MediaTek Inc. Wireless_Device
        (mac80211 station mode vif enabled on [phy1]wlan0)
        (mac80211 monitor mode vif disabled for [phy1]wlan0mon)

指定监听信道，直接给数字就行了，非常迅速

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng start wlan0 11 


PHY	Interface	Driver		Chipset

phy1	wlan0		mt7921u		MediaTek Inc. Wireless_Device
        (mac80211 monitor mode vif enabled for [phy1]wlan0 on [phy1]wlan0mon)
        (mac80211 station mode vif disabled for [phy1]wlan0)

                                                                                                                                                     
┌──(root㉿kali)-[/home/wackymaker/test]

Airodump-ng(数据包捕获)

Airodump-ng专门用于数据包捕获，并且也是之后破解wpa1和wpa2wifi密码的重要依据

其正常显示参数如下

Field	Description
BSSID	Shows the MAC address of the access points. (显示接入点的 MAC 地址)
PWR	Shows the “power” of the network. The higher the number, the better the signal strength. (显示网络的“力量”。数字越高，信号强度越好。)
Beacons	Shows the number of announcement packets sent by the network. (显示网络发送的公告数据包数。)
#Data	Shows the number of captured data packets. (显示捕获的数据包数。)
#/s	Shows the number of data packets captured in the past ten seconds. (显示过去十秒内捕获的数据包数。)
CH	Shows the “Channel” the network runs on. (显示网络运行的“通道”。)
MB	Shows the maximum speed supported by the network. (显示网络支持的最大速度。)
ENC	Shows the encryption method used by the network. (显示网络使用的加密方法。)
CIPHER	Shows the cipher used by the network. (显示网络使用的密码。)
AUTH	Shows the authentication used by the network. (显示网络使用的身份验证。)
ESSID	Shows the name of the network. (显示网络的名称。)
STATION	Shows the MAC address of the client connected to the network. (显示连接到网络的客户端的 MAC 地址。)
RATE	Shows the data transfer rate between the client and the access point. (显示客户端和接入点之间的数据传输速率。)
LOST	Shows the number of data packets lost. (显示丢失的数据包数。)
Packets	Shows the number of data packets sent by the client. (显示客户端发送的数据包数。)
Notes	Shows additional information about the client, such as captured EAPOL or PMKID. (显示有关客户端的其他信息，例如捕获的 EAPOL 或 PMKID。)
PROBES	Shows the list of networks the client is probing for. (显示客户端正在探测的网络列表。)

由于隐私问题不好处理，我建议看我博客的兄弟们接下里使用自己的网卡测试，之后我将只输出命令

输出截获所有数据情况

sudo airodump-ng wlan0mon

可选过滤参数

--bssid 34:29:12:A6:BA:48 #由mac地址筛选ap
--channel 或者 -c $number #由信道筛选ap
--essid "wifi名称" #由wifi名称筛选ap

一般都是要过滤的，要不然看不清输出

默认情况下，airodump-ng 配置为专门扫描在 2.4 GHz 频段上运行的网络。不过，如果无线适配器与 5 GHz 频段兼容，我们可以指示 airodump-ng 利用 –band 选项在其扫描中包含此频率范围。我们可以在此处找到可用于 Wi-Fi 的所有 WLAN 信道和频段的列表。

sudo airodump-ng wlan0mon --band a

a代表5g，b代表11兆限速的2.4g，g代表54兆限速的2.4g

所以想筛选全也可以

sudo airodump-ng wlan0mon --band abg

如果需要导出文件的话

airodump-ng wlan0mon --write wackymaker

会在当前目录生成
wackymaker-01.cap  
wackymaker-01.csv
wackymaker.kismet.csv
wackymaker.kismet.netxml
wackymaker.log.csv

Airgraph-ng(无线拓扑图)

当我们用Airodump-ng抓下来csv后就可以利用Airgraph-ng生成拓扑图，不好用，但是聊胜于无吧，简单记下命令

生成客户端与ap关系图CAPR,生成的图片会可视化当前的ap和客户端连接情况

sudo airgraph-ng -i wacky-01.csv -g CAPR -o CAPR.png

类似如下效果

还可以生成通用探针图CPG生成的图片会可视化当前ap和所有客户端的联系，包括并没有接入或者准备接入网络的客户端

sudo airgraph-ng -i wacky-01.csv -g CPG -o CAPR.png

Aireplay-ng（数据包注入）

我会在后续的学习中具体的讲述它的使用，它是比较重要的一个攻击模块，用于发送数据包攻击

只记两条命令

测试当前网卡是否允许注入

sudo aireplay-ng --test wlan0mon

看到回显
Injection is working!
即可

洪水攻击(取消身份验证攻击)

sudo aireplay-ng -0 5 -a 00:14:6C:7A:41:81 -c 00:0F:B5:32:31:31 wlan0mon

-0 表示取消身份验证
5 是要发送的 deauth 次数（如果您愿意，可以发送多个）;0 表示连续发送它们
-a 00：14：6C：7A：41：81 是接入点的 MAC 地址
-c 00：0F：B5：32：31：31 是要取消身份验证的客户端的 MAC 地址;如果省略，则连接的所有客户端都会被攻击

Airdecap-ng（解密无线流量）

当我们抓取wifi流量包后会发现抓取协议都是802.11

如果想要解密的话，我们需要拥有wifi密钥

未加密数据包可以直接解密

sudo airdecap-ng -b 00:14:6C:7A:41:81 opencapture.cap

Total number of stations seen            0
Total number of packets read           251
Total number of WEP data packets         0
Total number of WPA data packets         0
Number of plaintext data packets         0
Number of decrypted WEP  packets         0
Number of corrupted WEP  packets         0
Number of decrypted WPA  packets         0
Number of bad TKIP (WPA) packets         0
Number of bad CCMP (WPA) packets         0

wep加密需要wep密钥

sudo airdecap-ng -w 1234567890ABCDEF wack-01.cap

Total number of stations seen            6
Total number of packets read           356
Total number of WEP data packets       235
Total number of WPA data packets       121
Number of plaintext data packets         0
Number of decrypted WEP  packets         0
Number of corrupted WEP  packets         0
Number of decrypted WPA  packets       235
Number of bad TKIP (WPA) packets         0
Number of bad CCMP (WPA) packets         0

wpa加密需要wifi密码和wifi的essid

sudo airdecap-ng -p 'abdefg' wack-01.cap -e "Wireless"

Total number of stations seen            6
Total number of packets read           356
Total number of WEP data packets       235
Total number of WPA data packets       121
Number of plaintext data packets         0
Number of decrypted WEP  packets         0
Number of corrupted WEP  packets         0
Number of decrypted WPA  packets       121
Number of bad TKIP (WPA) packets         0
Number of bad CCMP (WPA) packets         0

解密后流量就是正常的

总结

还有一个用于破解密钥的，但是暂不记录，后续破解wifi密码模块会详细说明

wifi网卡简记

Thu, 28 Aug 2025 22:51:00 +0800

wifi接口

无线接口是进行 Wi-Fi 渗透测试的关键。毕竟我们的设备就是通过它们来发送和接收数据的。在选购合适的无线接口时，有很多方面需要考虑。如果选了性能太弱的接口，在渗透测试时可能抓不到任何数据。这一部分就是简单研究一下我买的这个小接口

可以使用iw list查看网卡详细信息，如果我们的目标是wpa3但是网卡不支持就没有意义

┌──(root㉿kali)-[~]
└─# iw list   
Wiphy phy1
        wiphy index: 1
        max # scan SSIDs: 4
        max scan IEs length: 482 bytes
        max # sched scan SSIDs: 10
        max # match sets: 16
        Retry short limit: 7
        Retry long limit: 4
        Coverage class: 0 (up to 0m)
        Device supports AP-side u-APSD.
        Device supports T-DLS.
        Supported Ciphers:
                * WEP40 (00-0f-ac:1)
                * WEP104 (00-0f-ac:5)
                * TKIP (00-0f-ac:2)
                * CCMP-128 (00-0f-ac:4)
                * CCMP-256 (00-0f-ac:10)
                * GCMP-128 (00-0f-ac:8)
                * GCMP-256 (00-0f-ac:9)
                * CMAC (00-0f-ac:6)
                * CMAC-256 (00-0f-ac:13)
                * GMAC-128 (00-0f-ac:11)
                * GMAC-256 (00-0f-ac:12)
        Available Antennas: TX 0x3 RX 0x3
        Configured Antennas: TX 0x3 RX 0x3
        Supported interface modes:
                 * managed
                 * AP
                 * AP/VLAN
                 * monitor
                 * P2P-client
                 * P2P-GO
        Band 1:
                Capabilities: 0x9ff
                        RX LDPC
                        HT20/HT40
                        SM Power Save disabled
                        RX Greenfield
                        RX HT20 SGI
                        RX HT40 SGI
                        TX STBC
                        RX STBC 1-stream
                        Max AMSDU length: 7935 bytes
                        No DSSS/CCK HT40

我省略了一部分，但是上面的信息也差不多了，其支持wpa3协议以及监听模式等

接口强度

大部分的wifi渗透都属于近源渗透，所以如果一张卡的输出太低就会导致我们的攻击范围缩小，所以一张卡的强度决定了我们可以再更远更大的范围运行

可以利用iwconfig直接查看我们网卡的信息

                                                                                                         
┌──(root㉿kali)-[~]
└─# iwconfig
lo        no wireless extensions.

eth0      no wireless extensions.

wlan0     IEEE 802.11  ESSID:off/any  
          Mode:Managed  Access Point: Not-Associated   Tx-Power=3 dBm   
          Retry short limit:7   RTS thr:off   Fragment thr:off
          Encryption key:off
          Power Management:on

可以看到我这张卡的输出是3dBm，这是一个非常小的数字，如果一般家用网卡像是“手电筒”，可以照亮一个房间或整栋楼，我这个 3 dBm 的网卡就像一支“蜡烛”，只能照亮你脚下的几米范围。只够自己测试使用

当然，如果你的卡超过20dbm但是还是只显示20dbm的话，就是因为地区锁频率了,修改一下即可

sudo ifconfig wlan0 down
sudo iwconfig wlan0 txpower 30
sudo ifconfig wlan0 up

改变接口的频道和频率

我们可以利用以下命令查看当前可达通道

┌──(root㉿kali)-[~]
└─# iwlist wlan0 channel
wlan0     32 channels in total; available frequencies :
          Channel 01 : 2.412 GHz
          Channel 02 : 2.417 GHz
          Channel 03 : 2.422 GHz
          Channel 04 : 2.427 GHz
          Channel 05 : 2.432 GHz
          Channel 06 : 2.437 GHz
          Channel 07 : 2.442 GHz
          Channel 08 : 2.447 GHz
          Channel 09 : 2.452 GHz
          Channel 10 : 2.457 GHz
          Channel 11 : 2.462 GHz
          Channel 12 : 2.467 GHz
          Channel 13 : 2.472 GHz
          Channel 14 : 2.484 GHz
          Channel 36 : 5.18 GHz
          Channel 40 : 5.2 GHz
          Channel 44 : 5.22 GHz
          Channel 48 : 5.24 GHz
          Channel 52 : 5.26 GHz
          Channel 56 : 5.28 GHz
          Channel 60 : 5.3 GHz
          Channel 64 : 5.32 GHz
          Channel 100 : 5.5 GHz
          Channel 104 : 5.52 GHz
          Channel 108 : 5.54 GHz
          Channel 112 : 5.56 GHz
          Channel 116 : 5.58 GHz
          Channel 120 : 5.6 GHz
          Channel 124 : 5.62 GHz
          Channel 128 : 5.64 GHz
          Channel 132 : 5.66 GHz

可以看到我的卡虽然强度不高，但是频段支持的比较多，频道（Channel）和频率（Frequency）在 Wi-Fi 中是紧密相关的

频率是无线电波的物理属性，表示wifi信号在某个频率振荡，而信道是wifi协定中的逻辑编号，用来管理频率，其实也没必要区分，它们俩就是绑定的关系

人们更喜欢记编号而不是小数点的赫兹

我们可以通过以下命令调整wifi应用的信道或者频率，这样能使我们的目标缩减大部分

sudo ifconfig wlan0 down
sudo iwconfig wlan0 channel 64 #调整信道到64
#或者在这一步调整频率，效果都是一样的
sudo iwconfig wlan0 freq "5.52G" #调整频率为5.52G
sudo ifconfig wlan0 up

当调整完毕后，我们用如下命令查看

┌──(root㉿kali)-[~]
└─# sudo ifconfig wlan0 down 
                                                                                                         
┌──(root㉿kali)-[~]
└─# sudo iwconfig wlan0 channel 64  
                                                                                                         
┌──(root㉿kali)-[~]
└─# sudo ifconfig wlan0 up         
                                                                                                         
┌──(root㉿kali)-[~]
└─# iwlist wlan0 frequency | grep Current       
          Current Frequency:5.32 GHz (Channel 64)

想要取消锁定只需要调会自动即可

sudo iwconfig wlan0 channel auto

接口模式

网卡接口允许不同的模式，以便进行不同的工作方式

托管模式(Managed)

最常见的形态，允许我们连接ap点进行无线连接

sudo ifconfig wlan0 down
sudo iwconfig wlan0 mode managed
sudo ifconfig wlan0 up

临时模式（Ad-hoc）

一般用于去中心化的连接，也就是点对点的连接，用于住宅内部自设系统

大部分情况下这是两个桥接在一起的接口，所以需要指定桥接对象

sudo iwconfig wlan0 mode ad-hoc
sudo iwconfig wlan0 essid wackymaker

中心模式（master）

这种模式，我们会成为一个ap点，所以不能简单的利用iwconfig进行设置，需要配置所谓的管理守护模式

wackymaker@kali[/kali]$ nano open.conf

interface=wlan0
driver=nl80211
ssid=Hello-World
channel=2
hw_mode=g

这段配置的意思是用 wlan0 网卡，通过 nl80211 驱动，在 2.4GHz 第 2 信道上，开一个名为 Hello-World 的 Wi-Fi AP，工作模式是 802.11g（即 2.4G，速率可达 54Mbps）。

可以利用如下命令启动

sudo hostapd open.conf

节点模式（mesh）

节点模式是个有意思的模式，类似于临时模式是一种点对点的模式，但是不一样的是，当一个节点连入另一个节点后会自动的连接此节点连接的其他节点，如果节点 A 和节点 C 之间距离太远，但 A 和 B、B 和 C 能连上，那么数据就会 A → B → C 自动转发。这样 Mesh 网络可以覆盖非常大的区域。

设置节点模式

sudo iw dev wlan0 set type mesh

监听模式（Monitor）

我们wifi渗透测试最常用的节点，用于监听整个无线环境的连接，也能用来抓取连接包

sudo ifconfig wlan0 down
sudo iw wlan0 set monitor control
sudo ifconfig wlan0 up

今天就学到这里

802.11帧介绍

Wed, 27 Aug 2025 20:57:07 +0800

802.11帧简介

有线网络传输以太网帧而wifi无线网传输802.11帧，802.11帧数是ieee（电气和电子工程协会）定义的wifi标准系列，当我们的设备通过无线接入点（AP）通信的时候，双方并不是直接发送流量包，而是先通过802.11MAC层帧在空中交换信息，这些帧包括控制，管理和数据，共同构成wifi的整个连接和通信过程

802.11 mac帧介绍

这里需要注意mac帧的意思是 **MAC（Media Access Control）**帧翻译过来是介质访问控制，是专用于在介质（网线，光纤，无线电波）中用于控制访问的一种机制，并不是mac地址或者是mac电脑的意思

所有的802.11帧都使用mac帧，此框架适用于客户端和接入点甚至自组织网络中执行工作的通信基础，mac数据帧由9个字段组成

Frame Control（帧控制）

Duration / ID（持续时间/ID）

Address 1（接收地址/RA）

Address 2（发送地址/TA）

Address 3（BSSID 或目标地址）

Sequence Control（序列控制）

Address 4（仅在 WDS 桥接等场景中使用）

Frame Body（数据/管理信息）

FCS（Frame Check Sequence，CRC）

IEEE 802.11帧类型

ieee框架可根据题目的作用和参与的工作分为不同的类别，一般来说会由有以下几种

Management(00) ：用于管理和控制，并允许介入点和客户端控制活动链接
Control(01) ：控制帧用来管理员wifi网络内数据帧的传输和接受
Data(10) ：数据帧用于传输数据

管理帧子类型

对于wifi渗透测试，我们专注于管理管理框架。比较这些帧用于控制连接

如果在wireshark中过滤他们，我们应该指定类型00（指定管理帧）和子类型，如下所示

Beacon Frames 信标框架（1000）

信标帧主要用于接入点用于将其存在传输工作站用的帧，其中包括支持的密码，身份验证类型，ssid以及支持的数据速率等信息

Probe Requests and Responses 探测请求与响应（0100与0101）

探测请求与响应过程的存在是为了允许客户端发现附近的接入点。简单来说，不管一个网络是隐藏的还是不隐藏的，客户端都会发一个“探测请求”，里面写着它要找的 Wi-Fi 名字（SSID）。接入点收到之后，就会回一个“探测响应”，告诉客户端关于自己的信息。

Authentication Request and Response 身份验证请求和响应（1011）

在客户端发出认证请求并完成认证流程之后，它会再给接入点（AP）发一个“关联请求”。AP收到后会回一个“关联响应”，告诉客户端它能不能正式连上自己。

Disassociation/Deauthentication Frames（取消关联/取消身份验证帧）（1010，1100）

关联和认证帧，它们的作用是用来中断接入点（AP）和客户端之间的连接。这类帧里还带有一个叫做“原因码（reason code）”的东西，用来说明为什么客户端会被断开。在 Wi-Fi 渗透测试中，我们经常会伪造这类帧，用来抓取握手包，或者发起拒绝服务攻击（DoS）。

连接周期

当我们理解前面管理帧子帧的时候，我们就可以对其排序来对应wifi连接过程中的典型连接过程（这里介绍的是wpa2身份验证，尽管此过程wifi不同的标准并不会完全一致，但是一般的连接周期遵循这个顺序

Beacon Frames
Probe Request and Response
Authentication Request and Response
Association Request and Response
Some form of handshake or other security mechanism
Disassociation/Deauthentication

接下来我们利用实体wifi环境进行抓包测试

抓包实操

linux连接wifi

接下来的操作我想通过kali操作，所以还需要介绍一下linux中通过命令行进行wifi连接的过程，（需要搞定一张无线网卡，最好具有监听功能，后续学习会运用到

┌──(root㉿kali)-[~]
└─# iwconfig
lo        no wireless extensions.

eth0      no wireless extensions.

wlan0     IEEE 802.11  ESSID:off/any  
          Mode:Managed  Access Point: Not-Associated   Tx-Power=3 dBm   
          Retry short limit:7   RTS thr:off   Fragment thr:off
          Encryption key:off
          Power Management:on

当我们利用iwconfig列出无线网卡的时候，有网卡回显则是网卡连接成功

接下来我们需要利用nmxli来进行wifi连接的操作，它是linux下网络管理的命令行工具，几乎所有主流发行版都自带，作用主要是用于管理网络接口，wifi连接vpn等

使用方法

nmcli [OPTIONS] OBJECT { COMMAND | help }


常用对象（OBJECT）：
dev → 设备（device）
con → 连接配置（connection）
wifi → Wi-Fi 网络相关

比如我们可以在网卡正常使用的时候利用如下命令查看附近ap接入点

nmcli dev wifi list

当列出wifi的ssid后我们就可以进行连接

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0

查看当前连接

nmcli con show --active

断开连接并删除记录

nmcli con down id "SSID"

nmcli con delete id "SSID"

注意，如果我们不删除记录，可能在再次连接wifi的时候出现无法找到加密报错

Error: 802-11-wireless-security.key-mgmt: property is missing.

出现这种报错直接删除此wifi记录，或者手动指定加密方式(我给出的示例是wpa2)

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0 wifi-sec.key-mgmt wpa-psk

wireshark包分析

我们如果自身连接的话，是不允许抓取管理帧内容的，所以我们需要将网卡调整至监听模式，相关命令如下

sudo ip link set wlan0 down #关闭网卡
sudo iw dev wlan0 set type monitor #将网卡设置为监听模式
or
sudo iw dev wlan0 set type managed #将网卡设置为普通模式
sudo ip link set wlan0 up #启动网卡
iwconfig wlan0 #查看当前网卡模式

当我们将网卡切换监听模式后，wireshark会抓到大量数据包

我们可以通过wireshark中的语法以及以上我们学习的帧类型进行查找

查找来自ap的接入帧：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 8)

查找来自ap的探测请求帧：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 4)

查找来自ap的探测响应帧：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 5)

这里我抓包的时候并未请求响应所以显示的包为，所以找了htb文章的图片

可以用以下过滤器查找客户端和接入点之间的身份验证过程：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 11)

请求结束后，可以抓取到关联请求：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 0)

查看关联响应：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 1)

如果网络使用wpa2，可以使用EAPOL查看握手帧

连接完成后，可以通过如下过滤器查看取消关联帧或者身份验证帧:(wlan.fc.type == 0) && (wlan.fc.type_subtype == 12) or (wlan.fc.type_subtype == 10)