尧图网页设计 
简介这份PDF围绕无线网络安全测试系统“奶瓶”的典型应用展开面向对WiFi安全与渗透测试感兴趣的入门读者以图文步骤说明如何从制作启动U盘到完成握手包抓取与密码校验的完整过程也适用于普通用户排查自家网络是否容易被蹭。资源共1个文件为PDF格式文档体积仅7.44MB方便在手机、平板或电脑上随时查阅。已有134人学习。内容按实操顺序逐步呈现依次讲解基于Tiny Core Linux的奶瓶系统特性、UltraISO写入镜像、BIOS引导设置、网卡扫描与Deauth攻击、导出cap握手包以及调用EWSA加载字典进行暴力破解等环节其中既包含启动盘制作失败的引导文件手工加载技巧也讨论了无客户端时如何守候抓包并穿插整理常见防蹭网建议。读者按图索骥即可完成环境搭建与攻击复现同时也能借此理解WEP/WPA/WPA2加密的弱点与提升自家路由器安全性的加固思路。1. 无线网络破解工具“奶瓶”一本把WPA2拉下神坛的实战手册搞无线安全测试的同行对“奶瓶”——基于Tiny Core Linux的FeedingBottle系统——应该都不陌生。当年BT3、BT4还停留在命令行时代这款只有40MB左右的小系统凭一个图形化界面就把抓握手包、跑字典的完整链路给串了起来。老教程图多、步骤碎纯小白照着点鼠标也能把信号扫出来但里面埋了不少坑比如U盘引导失败、抓包网卡选错、字典挂不上碰到一个就得卡半天。这篇笔记把我实操踩过的关键节点全捋一遍从启动盘制作、网卡监听、Client MAC选择到EWSA批量跑包最后再聊怎么把结果转化成自己路由器的加固清单。想搞清楚自家网络哪几个点上存在漏洞、密码是死在字典词条里还是彻底随机照着这段流程走一遍比看十篇科普都值。2. 启动U盘制作与系统引导别让40MB的小镜像卡在引导上2.1 为什么选Tiny Core内核的“奶瓶”而不是BT3/BT4老牌BT3、BT4是“光盘或硬盘引导”思维镜像动辄几百MB加载速度让人着急。奶瓶走的是Tiny Core这种微型Linux路线系统本体解压后全部载入内存运行U盘介质本身不需要太高的读写性能128MB的老U盘就能跑得动。它把Aircrack-ng套件、无线网卡驱动、图形化扫描界面打包成一个.iso文件体量小就带来一个直接优势写入U盘速度快一分钟之内就能完成引导镜像的铺设。从实测角度看小镜像的另一个好处是U盘兼容性上限更高。老机器USB接口供电弱时一个动辄写入几个GB镜像的U盘很容易在启动阶段出现“读盘卡死”而40MB级别的镜像即便在USB 1.1接口上也有机会完整载入。这也解释了为什么当时很多人在老上网本上用奶瓶出活儿——不是因为它功能比BT系列强而是它“低配跑得动”的属性让场合选择更自由。如果你还想在U盘里塞点别的工具Tiny Core支持直接从目录引导加载扩展模块但我建议不要折腾这一点。测试用的U盘保持单一镜像才是稳定之道毕竟引导阶段哪怕多一个配置文件干扰都可能直接导致找不到引导文件。2.2 UltraISO写入与手动加载引导文件的操作步骤工具选UltraISO是效率考虑。Windows下软碟通写镜像最稳定其他同类工具容易把引导扇区写坏。步骤如下打开UltraISO后把下载好的奶瓶.iso拖入工具窗格点“启动”菜单选“写入硬盘镜像”。写入方式默认USB-HDD这个模式兼容性在近十年的主板上都是最稳的。镜像写入完成后不要急着重启先拔插一次U盘让Windows重新识别再到“计算机”右键U盘盘符查看文件列表里是否有isolinux.bin、boot.cat这类引导文件。有一类情况非常常见镜像写入后磁盘里文件看起来都在但引导时直接黑屏一闪、光标停留在左上角或者直接跳出“找不到操作系统”。这八成是引导扇区没有正确落位。解决方法是不用重新写入整个镜像只做手动加载引导文件# 解压奶瓶.iso到临时目录 # 例如放在 D:\feedingbottle\ 下 # 用UltraISO打开镜像提取isolinux\boot.cat 与 isolinux.bin # 把这两个文件复制到U盘根目录保持文件名一致如果U盘根目录原本有isolinux文件夹直接在里面操作没有就先建文件夹再放文件。完成后再次在UltraISO里执行启动——写入引导文件到U盘把引导文件指向isolinux.bin路径。这一步我会重复两遍因为有些主板对第一扇区写入的代码敏感写两遍能提高成功率。提示U盘格式化务必选FAT/FAT32而不是NTFS。Tiny Core内核引导阶段无法读取NTFS分区上加载的引导文件这个问题在那个年代几乎每天都能遇到。2.3 BIOS启动项设置的实测顺序重启按DEL进BIOS后多数人习惯直接改“First Boot Device”为USB设备但有些主板支持列表里显示的是USB-HDD、USB-ZIP、USB-CDROM选错了照样起不来。我们用的还是USB-HDD这一项。如果BIOS里有“Removable Devices”或“USB Key”分类优先选那个类别再在里面指定具体U盘型号。改完保存重启后正常情况下能看到syslinux的启动菜单默认回车就能进入桌面。如果你启动后卡在屏幕上一行小字不动或长时间停在“Loading modules”阶段先插回Windows用软碟通重新写一遍引导区然后换一个U口插——推荐插主板后置I/O面板不要用机箱前面板接口。那个年代很多前面板USB口供电不足进入桌面后无线网卡瞬间掉线的问题也有部分原因出在供电上。3. 无线信号扫描与抓包准备网卡选错等于白忙3.1 进入奶瓶桌面后第一步优先确认网卡被识别奶瓶启动完毕后桌面上最底端Dock栏里有一个奶瓶图标点击它后会先弹出一个界面。这时候不需要急着点YES先确认系统是否认出了你的无线网卡。操作方式打开终端执行ifconfig -a重点看列表里有没有wlan0或ath0这样的无线接口。# 查看系统识别到的所有网络接口 ifconfig -a # 查看无线网卡芯片型号 # 如果有lspci命令可用 lspci | grep -i wireless如果无线接口没出现先检查USB网卡是否被宿主机的虚拟机软件占用或U盘引导的Linux缺少对应驱动。当时市面上兼容性最好的是Atheros芯片方案基于ath9k驱动的网卡在奶瓶里基本即插即用部分Realtek早期芯片需要手动加载驱动模块这里可以直接拔插USB网卡触发系统重新枚举设备。提示点击YES启动扫描后如果提示“No wireless card found”基本可判定网卡没被识别。在Windows下看到网卡能用不代表Linux内核里也有对应驱动。3.2 加密方式筛选为什么WEP信号几乎绝迹但仍然要勾选进入扫描界面后系统会把周围所有Wi-Fi信号列出来标注信号强度、频道、加密类型和客户端。Encryption下拉选项里有WEP、WPA/WPA2等过滤条件。就我观察当年大部分城区信号已经是WPA2-AES了WEP信号基本绝迹。但扫描时不要过滤掉WEP理由有两点一是部分老旧路由器在恢复出厂设置后默认回到WEP加密这类网络反而适合做效果演示二是抓包界面里客户端列表的信息密度会比扫描列表高出几个量级WEP信号可以作为验证网卡监听是否正常的低成本测试对象。实操时我会优先选信号强度在-60dBm以内、并且能看到活跃客户端的WPA2网络。信号越强Deauth攻击成功率和握手包抓取速度就越高。如果你所在环境周围信号全是-85dBm以下那不管字典多好、显卡多强都先把天线位置换到窗边再继续。3.3 扫描列表里Client MAC的意义不是每个信号都能直接下手扫描列表上半屏是AP热点下半屏是关联的客户端列表。破WPA/WPA2的完整逻辑需要“客户端与AP之间的四次握手包”而握手包的产生前提是有一个活跃客户端正连着这个AP。所以如果某个热点在列表中显示为“No Clients”意味着当前没有设备在线直接抓包的话监听界面里不会有任何数据包。正确的操作逻辑是锁定某个有活跃客户端的信号源记住AP的BSSID和信道号也同步记一下客户端MAC地址。后面进入抓包界面时这些信息会被用来定位攻击对象。那个年代经常有人犯一个错误在扫描列表里看到一堆热点随便点一个没有客户端的就开始抓包结果监听数小时一无所获。# 命令行下查看当前无线网卡工作模式是否处于监听态 # 如果网卡驱动支持 iwconfig wlan0正常情况下抓包前会显示Mode:Monitor。如果看到Mode:Managed就说明网卡还没进入监听模式这时你需要返回主界面重新选择网卡因为奶瓶图形界面在某些机型上并不会自动把网卡切到monitor模式。4. 握手包捕获与字典暴力破解Deauth只是第一步瓶颈在字典4.1 点击Deauth攻击客户端背后的协议原理抓包界面显示附近AP和关联客户端后点击Start开始监听系统在后台会自动记录所有经过网卡的数据包。此时发现右上角Client MAC列表里你选定的目标客户端并没有出现数据流量波动就可以视图右侧的Deauth按钮发起强制断开。Deauth的全称是Deauthentication攻击它利用的是802.11管理帧不加密的特性伪造一个来自AP的断开连接帧发给客户端客户端收到后就会主动断开与AP的关联。只要客户端重新连接链路层就会重新生成四次握手包而这正是监听工具想要截获的内容。这个过程在奶瓶界面中只需点一个按钮但在底层它需要网卡支持数据包注入常见做法是Aircrack-ng aircrack-ng suite里的aireplay-ng在后台执行。# 手动抓握手包的等价命令 # 先把网卡设为监听模式 sudo airmon-ng start wlan0 # 对指定AP的指定客户端发起Deauth攻击 sudo aireplay-ng -0 5 -a 目标AP_MAC -c 目标客户端MAC wlan0mon命令中-0参数代表发送的Deauth包数量5次一般足够触发一次完整的重连过程。如果发完5次没抓到就加次数再试但不要无脑发几百次容易把AP打宕机。在实际操作时重点看抓包界面右上方的数据包计数是否在增长如果增长速度非常慢拿客户端开着网页刷新几下流量立刻增加。4.2 抓包成功判定看到WPA handshake才算数监听抓到完整数据包后奶瓶图形界面上会显示一个握手的标志或文字提示。这里我强烈建议不论图形界面上有没有提示都把抓到的.cap文件在终端里跑一遍检查# 检查cap文件里是否包含WPA握手包 aircrack-ng /tmp/feedingbottle/target/xxxx.cap输出里如果出现“1 handshake”字样说明握手包已经齐全如果没有那说明Deauth还没奏效或者抓包阶段错过了重连过程。那这是这几种情况里最常见的卡点——很多人看到软件提示抓取成功就直接导出结果换到Windows下跑EWSA时报“找不到握手包”。文件中包含的握手包数量对后续暴力破解影响极大所以养成点击Start后先观察几轮确认Client MAC附近出现了握手提示再导出文件。避免抓到的只是一个“空壳”cap文件。4.3 EWSA导入与GPU加速配置12种变量规则的边界抓包成功后进入Windows阶段主角换成了EWSA。软件界面中文支持做得不错导入cap文件和字典都很直观。初始配置时要留意“高级设置”里的计算方式这里会列出CPU线程数和GPU设备并行计算模式。A卡和N卡都支持但驱动的门槛不同# 查看NVIDIA显卡是否被EWSA正确识别 # Windows设备管理器里查看显卡型号 # 确认驱动版本已更新到支持OpenCL的版本跑包之前设置一个合理的“键盘布局”和“变量规则集”这直接决定破解效率和成功率。EWSA的括号里提供了前缀、后缀、大小写变换等12种模式例如把“Password1”这种基础词给变化成“Password001”“pAssword2”。问题是如果字典词条本身不包含核心词根再多变化规则也是空转。我一般会先用系统自带的小字典快速跑一遍确认GPU利用率上来之后再用大字典做长跑。4.4 字典选择的血泪经验默认字典只是演示不能当正经武器奶瓶自带的字典文件配合接入点的密码设置成功率简直惨不忍睹。那个年代很多人的细节就从“弱密码”里来路由器后台的密码是adminWi-Fi密码是手机号或8个8。这类密码分分钟被跑出来但只要你用了“大小写字母数字符号”随机生成字典暴力破解就基本没戏。实操时有用的字典路径一般归为三类常用弱口令字典几十MB的常见密码集合、电话号段字典按区号和号段生成排列组合、以及几十GB的彩虹表变种占硬盘空间极大但能跑出纯数字密码。我更推荐针对性的做法——确认目标路由器品牌后先跑该品牌弱密码和默认密码字典这类目标八成能快速破出省时省力。# 生成指定区号开头的八位数字号段字典示例python3 start 1380013 for i in range(1000): print(start str(i).zfill(4))这段代码只是示意真正用的时候我会先确认目标路径再从字典工具库里调用规则。核心思路是号码段比全量数字空间小几个数量级跑包速度会显著加快。5. 奶瓶常用避坑指南五条典型翻车记录5.1 U盘无法引导启动现象BIOS已经选择USB启动但开机直接黑屏或提示“Boot error”。原因UltraISO写入时没有成功把引导代码写进U盘的引导区或者是U盘之前做过PE引导盘引导记录已经被其他程序占用。解决使用“写入硬盘镜像”后再执行一次“写入引导文件”指向镜像内的isolinux.bin。如果依然失败换一个U盘重做一遍FAT格式化后再走全部流程。5.2 点击奶瓶图标启动扫描但提示找不到网卡现象扫描界面弹出“No wireless card found”。原因网卡驱动没加载或者USB网卡没有被系统识别。解决先拔插一次USB网卡再在终端执行ifconfig -a确认有没有wlan0或者ath0。必须使用Linux下支持良好的芯片Atheros芯片组优先。Realtek早期芯片建议在Windows下先确认芯片型号再决定是否继续用奶瓶。5.3 Deauth攻击后抓不到握手包现象点击Deauth好半天监听数据始终没有握手提示。原因客户端可能在攻击发生时已经主动断开了关联并且没有自动重连或者Deauth包注入失败。解决先确认目标客户端在列表中持续在线然后在Deauth次数上做控制发5包到10包足够如果不行换一个客户端目标再试。信号强度太弱也会导致握手包抓不全要移动天线或网卡位置。5.4 握手包已抓取但EWSA报错无法破解现象EWSA导入cap文件后提示未找到握手数据包。原因抓包文件里WPA握手数据不完整或者包里同时混合了多个AP的数据软件识别不到目标AP。解决导出cap文件前先在奶瓶终端敲aircrack-ng xxxx.cap确认输出信息中有“1 handshake”如果包含多个网络建议回到奶瓶重新抓取一个更干净的单目标文件。5.5 跑字典耗时极长且不见成效现象GPU利用率很高但已跑完几百万条字典仍无结果。原因密码本身已超出字典覆盖范围比如高强度随机字符或者是密码长度过长。解决改用掩码攻击限定长度和字符集例如“8位数字小写字母1个特殊符号”的掩码组合这比跑通用字典命中率高很多。如果确认目标密码是手机号且11位数字开头可以直接使用号段生成器定向生成。6. 从攻击转向防御把自己家路由器的抗破解能力拉到合格线6.1 用这套流程反推自查路由器固件与加密配置前面的步骤走完以后把这套流程反过来对着自家路由器跑一遍相当于是免费给自己的网络做了一次安全巡检。启动扫描看自家AP的加密方式是否还有WEP残留确认是WPA2-PSK或者WPA3之后再查看握手包是否能轻松抓取——如果自家信号强度高、客户端活跃那说明邻居用同样的工具和字典也能做到同样的事。抓出来的自家握手包如果字典能跑出密码这就说明你当前的密码已经暴露在常见字典攻击面下了。6.2 密码设置和SSID广播的参数建议密码强度上直接把密码长度拉到14位以上字符集覆盖大小写、数字、符号全档位并且在密码串中刻意加空格或连续特殊符号确保字典和掩码攻击都足够难匹配。关闭Wi-Fi保护设置功能把加密协议固定为WPA2-AES而不是WPA-TKIP混合模式后者会暴露更多协议层面的解析信息。SSID尽量不做隐藏处理因为隐藏SSID后客户端会执行主动探测定向搜索反而留下更多链路层可观测特征。# 假设你要生成一个随机密码python3 import secrets import string pool string.ascii_letters string.digits string.punctuation password .join(secrets.choice(pool) for _ in range(16)) print(password)这个生成逻辑虽然不是唯一方案但至少能从源头杜绝了生日、手机号、姓名拼音撞进字典词条的风险。即使你的路由管理后台还有初始密码只要Wi-Fi密码是随机串实战中EVSA类的软件在没有定向字典的前提下几乎无从下手。6.3 日常巡检习惯与最终建议从那以后我每过两个月就会把奶瓶启动盘插上花半小时扫一遍自家周围信号专门看两个指标自家AP是否挂在扫描列表的最前段且信号毫无衰减以及自家热点是否出现在任何抓包工具的日志里。这习惯看起来很笨但确实帮我在早期排查出一次路由器固件被改的异常——后台端口开着曾试图改密码。无线网络安全的起点不是去研究那些炫技的破解手法而是明白自己家的这道门在哪个环节最容易被人用最小的成本推开。希望这篇记录能帮你在搭建自己的测试环境时少走几步弯路真正的安全永远是先知道自己哪里薄弱再动手去焊死它。本文还有配套的精品资源点击获取 奶瓶工具实战：从无线抓包到WPA2破解与加固防护
简介这份PDF围绕无线网络安全测试系统“奶瓶”的典型应用展开面向对WiFi安全与渗透测试感兴趣的入门读者以图文步骤说明如何从制作启动U盘到完成握手包抓取与密码校验的完整过程也适用于普通用户排查自家网络是否容易被蹭。资源共1个文件为PDF格式文档体积仅7.44MB方便在手机、平板或电脑上随时查阅。已有134人学习。内容按实操顺序逐步呈现依次讲解基于Tiny Core Linux的奶瓶系统特性、UltraISO写入镜像、BIOS引导设置、网卡扫描与Deauth攻击、导出cap握手包以及调用EWSA加载字典进行暴力破解等环节其中既包含启动盘制作失败的引导文件手工加载技巧也讨论了无客户端时如何守候抓包并穿插整理常见防蹭网建议。读者按图索骥即可完成环境搭建与攻击复现同时也能借此理解WEP/WPA/WPA2加密的弱点与提升自家路由器安全性的加固思路。1. 无线网络破解工具“奶瓶”一本把WPA2拉下神坛的实战手册搞无线安全测试的同行对“奶瓶”——基于Tiny Core Linux的FeedingBottle系统——应该都不陌生。当年BT3、BT4还停留在命令行时代这款只有40MB左右的小系统凭一个图形化界面就把抓握手包、跑字典的完整链路给串了起来。老教程图多、步骤碎纯小白照着点鼠标也能把信号扫出来但里面埋了不少坑比如U盘引导失败、抓包网卡选错、字典挂不上碰到一个就得卡半天。这篇笔记把我实操踩过的关键节点全捋一遍从启动盘制作、网卡监听、Client MAC选择到EWSA批量跑包最后再聊怎么把结果转化成自己路由器的加固清单。想搞清楚自家网络哪几个点上存在漏洞、密码是死在字典词条里还是彻底随机照着这段流程走一遍比看十篇科普都值。2. 启动U盘制作与系统引导别让40MB的小镜像卡在引导上2.1 为什么选Tiny Core内核的“奶瓶”而不是BT3/BT4老牌BT3、BT4是“光盘或硬盘引导”思维镜像动辄几百MB加载速度让人着急。奶瓶走的是Tiny Core这种微型Linux路线系统本体解压后全部载入内存运行U盘介质本身不需要太高的读写性能128MB的老U盘就能跑得动。它把Aircrack-ng套件、无线网卡驱动、图形化扫描界面打包成一个.iso文件体量小就带来一个直接优势写入U盘速度快一分钟之内就能完成引导镜像的铺设。从实测角度看小镜像的另一个好处是U盘兼容性上限更高。老机器USB接口供电弱时一个动辄写入几个GB镜像的U盘很容易在启动阶段出现“读盘卡死”而40MB级别的镜像即便在USB 1.1接口上也有机会完整载入。这也解释了为什么当时很多人在老上网本上用奶瓶出活儿——不是因为它功能比BT系列强而是它“低配跑得动”的属性让场合选择更自由。如果你还想在U盘里塞点别的工具Tiny Core支持直接从目录引导加载扩展模块但我建议不要折腾这一点。测试用的U盘保持单一镜像才是稳定之道毕竟引导阶段哪怕多一个配置文件干扰都可能直接导致找不到引导文件。2.2 UltraISO写入与手动加载引导文件的操作步骤工具选UltraISO是效率考虑。Windows下软碟通写镜像最稳定其他同类工具容易把引导扇区写坏。步骤如下打开UltraISO后把下载好的奶瓶.iso拖入工具窗格点“启动”菜单选“写入硬盘镜像”。写入方式默认USB-HDD这个模式兼容性在近十年的主板上都是最稳的。镜像写入完成后不要急着重启先拔插一次U盘让Windows重新识别再到“计算机”右键U盘盘符查看文件列表里是否有isolinux.bin、boot.cat这类引导文件。有一类情况非常常见镜像写入后磁盘里文件看起来都在但引导时直接黑屏一闪、光标停留在左上角或者直接跳出“找不到操作系统”。这八成是引导扇区没有正确落位。解决方法是不用重新写入整个镜像只做手动加载引导文件# 解压奶瓶.iso到临时目录 # 例如放在 D:\feedingbottle\ 下 # 用UltraISO打开镜像提取isolinux\boot.cat 与 isolinux.bin # 把这两个文件复制到U盘根目录保持文件名一致如果U盘根目录原本有isolinux文件夹直接在里面操作没有就先建文件夹再放文件。完成后再次在UltraISO里执行启动——写入引导文件到U盘把引导文件指向isolinux.bin路径。这一步我会重复两遍因为有些主板对第一扇区写入的代码敏感写两遍能提高成功率。提示U盘格式化务必选FAT/FAT32而不是NTFS。Tiny Core内核引导阶段无法读取NTFS分区上加载的引导文件这个问题在那个年代几乎每天都能遇到。2.3 BIOS启动项设置的实测顺序重启按DEL进BIOS后多数人习惯直接改“First Boot Device”为USB设备但有些主板支持列表里显示的是USB-HDD、USB-ZIP、USB-CDROM选错了照样起不来。我们用的还是USB-HDD这一项。如果BIOS里有“Removable Devices”或“USB Key”分类优先选那个类别再在里面指定具体U盘型号。改完保存重启后正常情况下能看到syslinux的启动菜单默认回车就能进入桌面。如果你启动后卡在屏幕上一行小字不动或长时间停在“Loading modules”阶段先插回Windows用软碟通重新写一遍引导区然后换一个U口插——推荐插主板后置I/O面板不要用机箱前面板接口。那个年代很多前面板USB口供电不足进入桌面后无线网卡瞬间掉线的问题也有部分原因出在供电上。3. 无线信号扫描与抓包准备网卡选错等于白忙3.1 进入奶瓶桌面后第一步优先确认网卡被识别奶瓶启动完毕后桌面上最底端Dock栏里有一个奶瓶图标点击它后会先弹出一个界面。这时候不需要急着点YES先确认系统是否认出了你的无线网卡。操作方式打开终端执行ifconfig -a重点看列表里有没有wlan0或ath0这样的无线接口。# 查看系统识别到的所有网络接口 ifconfig -a # 查看无线网卡芯片型号 # 如果有lspci命令可用 lspci | grep -i wireless如果无线接口没出现先检查USB网卡是否被宿主机的虚拟机软件占用或U盘引导的Linux缺少对应驱动。当时市面上兼容性最好的是Atheros芯片方案基于ath9k驱动的网卡在奶瓶里基本即插即用部分Realtek早期芯片需要手动加载驱动模块这里可以直接拔插USB网卡触发系统重新枚举设备。提示点击YES启动扫描后如果提示“No wireless card found”基本可判定网卡没被识别。在Windows下看到网卡能用不代表Linux内核里也有对应驱动。3.2 加密方式筛选为什么WEP信号几乎绝迹但仍然要勾选进入扫描界面后系统会把周围所有Wi-Fi信号列出来标注信号强度、频道、加密类型和客户端。Encryption下拉选项里有WEP、WPA/WPA2等过滤条件。就我观察当年大部分城区信号已经是WPA2-AES了WEP信号基本绝迹。但扫描时不要过滤掉WEP理由有两点一是部分老旧路由器在恢复出厂设置后默认回到WEP加密这类网络反而适合做效果演示二是抓包界面里客户端列表的信息密度会比扫描列表高出几个量级WEP信号可以作为验证网卡监听是否正常的低成本测试对象。实操时我会优先选信号强度在-60dBm以内、并且能看到活跃客户端的WPA2网络。信号越强Deauth攻击成功率和握手包抓取速度就越高。如果你所在环境周围信号全是-85dBm以下那不管字典多好、显卡多强都先把天线位置换到窗边再继续。3.3 扫描列表里Client MAC的意义不是每个信号都能直接下手扫描列表上半屏是AP热点下半屏是关联的客户端列表。破WPA/WPA2的完整逻辑需要“客户端与AP之间的四次握手包”而握手包的产生前提是有一个活跃客户端正连着这个AP。所以如果某个热点在列表中显示为“No Clients”意味着当前没有设备在线直接抓包的话监听界面里不会有任何数据包。正确的操作逻辑是锁定某个有活跃客户端的信号源记住AP的BSSID和信道号也同步记一下客户端MAC地址。后面进入抓包界面时这些信息会被用来定位攻击对象。那个年代经常有人犯一个错误在扫描列表里看到一堆热点随便点一个没有客户端的就开始抓包结果监听数小时一无所获。# 命令行下查看当前无线网卡工作模式是否处于监听态 # 如果网卡驱动支持 iwconfig wlan0正常情况下抓包前会显示Mode:Monitor。如果看到Mode:Managed就说明网卡还没进入监听模式这时你需要返回主界面重新选择网卡因为奶瓶图形界面在某些机型上并不会自动把网卡切到monitor模式。4. 握手包捕获与字典暴力破解Deauth只是第一步瓶颈在字典4.1 点击Deauth攻击客户端背后的协议原理抓包界面显示附近AP和关联客户端后点击Start开始监听系统在后台会自动记录所有经过网卡的数据包。此时发现右上角Client MAC列表里你选定的目标客户端并没有出现数据流量波动就可以视图右侧的Deauth按钮发起强制断开。Deauth的全称是Deauthentication攻击它利用的是802.11管理帧不加密的特性伪造一个来自AP的断开连接帧发给客户端客户端收到后就会主动断开与AP的关联。只要客户端重新连接链路层就会重新生成四次握手包而这正是监听工具想要截获的内容。这个过程在奶瓶界面中只需点一个按钮但在底层它需要网卡支持数据包注入常见做法是Aircrack-ng aircrack-ng suite里的aireplay-ng在后台执行。# 手动抓握手包的等价命令 # 先把网卡设为监听模式 sudo airmon-ng start wlan0 # 对指定AP的指定客户端发起Deauth攻击 sudo aireplay-ng -0 5 -a 目标AP_MAC -c 目标客户端MAC wlan0mon命令中-0参数代表发送的Deauth包数量5次一般足够触发一次完整的重连过程。如果发完5次没抓到就加次数再试但不要无脑发几百次容易把AP打宕机。在实际操作时重点看抓包界面右上方的数据包计数是否在增长如果增长速度非常慢拿客户端开着网页刷新几下流量立刻增加。4.2 抓包成功判定看到WPA handshake才算数监听抓到完整数据包后奶瓶图形界面上会显示一个握手的标志或文字提示。这里我强烈建议不论图形界面上有没有提示都把抓到的.cap文件在终端里跑一遍检查# 检查cap文件里是否包含WPA握手包 aircrack-ng /tmp/feedingbottle/target/xxxx.cap输出里如果出现“1 handshake”字样说明握手包已经齐全如果没有那说明Deauth还没奏效或者抓包阶段错过了重连过程。那这是这几种情况里最常见的卡点——很多人看到软件提示抓取成功就直接导出结果换到Windows下跑EWSA时报“找不到握手包”。文件中包含的握手包数量对后续暴力破解影响极大所以养成点击Start后先观察几轮确认Client MAC附近出现了握手提示再导出文件。避免抓到的只是一个“空壳”cap文件。4.3 EWSA导入与GPU加速配置12种变量规则的边界抓包成功后进入Windows阶段主角换成了EWSA。软件界面中文支持做得不错导入cap文件和字典都很直观。初始配置时要留意“高级设置”里的计算方式这里会列出CPU线程数和GPU设备并行计算模式。A卡和N卡都支持但驱动的门槛不同# 查看NVIDIA显卡是否被EWSA正确识别 # Windows设备管理器里查看显卡型号 # 确认驱动版本已更新到支持OpenCL的版本跑包之前设置一个合理的“键盘布局”和“变量规则集”这直接决定破解效率和成功率。EWSA的括号里提供了前缀、后缀、大小写变换等12种模式例如把“Password1”这种基础词给变化成“Password001”“pAssword2”。问题是如果字典词条本身不包含核心词根再多变化规则也是空转。我一般会先用系统自带的小字典快速跑一遍确认GPU利用率上来之后再用大字典做长跑。4.4 字典选择的血泪经验默认字典只是演示不能当正经武器奶瓶自带的字典文件配合接入点的密码设置成功率简直惨不忍睹。那个年代很多人的细节就从“弱密码”里来路由器后台的密码是adminWi-Fi密码是手机号或8个8。这类密码分分钟被跑出来但只要你用了“大小写字母数字符号”随机生成字典暴力破解就基本没戏。实操时有用的字典路径一般归为三类常用弱口令字典几十MB的常见密码集合、电话号段字典按区号和号段生成排列组合、以及几十GB的彩虹表变种占硬盘空间极大但能跑出纯数字密码。我更推荐针对性的做法——确认目标路由器品牌后先跑该品牌弱密码和默认密码字典这类目标八成能快速破出省时省力。# 生成指定区号开头的八位数字号段字典示例python3 start 1380013 for i in range(1000): print(start str(i).zfill(4))这段代码只是示意真正用的时候我会先确认目标路径再从字典工具库里调用规则。核心思路是号码段比全量数字空间小几个数量级跑包速度会显著加快。5. 奶瓶常用避坑指南五条典型翻车记录5.1 U盘无法引导启动现象BIOS已经选择USB启动但开机直接黑屏或提示“Boot error”。原因UltraISO写入时没有成功把引导代码写进U盘的引导区或者是U盘之前做过PE引导盘引导记录已经被其他程序占用。解决使用“写入硬盘镜像”后再执行一次“写入引导文件”指向镜像内的isolinux.bin。如果依然失败换一个U盘重做一遍FAT格式化后再走全部流程。5.2 点击奶瓶图标启动扫描但提示找不到网卡现象扫描界面弹出“No wireless card found”。原因网卡驱动没加载或者USB网卡没有被系统识别。解决先拔插一次USB网卡再在终端执行ifconfig -a确认有没有wlan0或者ath0。必须使用Linux下支持良好的芯片Atheros芯片组优先。Realtek早期芯片建议在Windows下先确认芯片型号再决定是否继续用奶瓶。5.3 Deauth攻击后抓不到握手包现象点击Deauth好半天监听数据始终没有握手提示。原因客户端可能在攻击发生时已经主动断开了关联并且没有自动重连或者Deauth包注入失败。解决先确认目标客户端在列表中持续在线然后在Deauth次数上做控制发5包到10包足够如果不行换一个客户端目标再试。信号强度太弱也会导致握手包抓不全要移动天线或网卡位置。5.4 握手包已抓取但EWSA报错无法破解现象EWSA导入cap文件后提示未找到握手数据包。原因抓包文件里WPA握手数据不完整或者包里同时混合了多个AP的数据软件识别不到目标AP。解决导出cap文件前先在奶瓶终端敲aircrack-ng xxxx.cap确认输出信息中有“1 handshake”如果包含多个网络建议回到奶瓶重新抓取一个更干净的单目标文件。5.5 跑字典耗时极长且不见成效现象GPU利用率很高但已跑完几百万条字典仍无结果。原因密码本身已超出字典覆盖范围比如高强度随机字符或者是密码长度过长。解决改用掩码攻击限定长度和字符集例如“8位数字小写字母1个特殊符号”的掩码组合这比跑通用字典命中率高很多。如果确认目标密码是手机号且11位数字开头可以直接使用号段生成器定向生成。6. 从攻击转向防御把自己家路由器的抗破解能力拉到合格线6.1 用这套流程反推自查路由器固件与加密配置前面的步骤走完以后把这套流程反过来对着自家路由器跑一遍相当于是免费给自己的网络做了一次安全巡检。启动扫描看自家AP的加密方式是否还有WEP残留确认是WPA2-PSK或者WPA3之后再查看握手包是否能轻松抓取——如果自家信号强度高、客户端活跃那说明邻居用同样的工具和字典也能做到同样的事。抓出来的自家握手包如果字典能跑出密码这就说明你当前的密码已经暴露在常见字典攻击面下了。6.2 密码设置和SSID广播的参数建议密码强度上直接把密码长度拉到14位以上字符集覆盖大小写、数字、符号全档位并且在密码串中刻意加空格或连续特殊符号确保字典和掩码攻击都足够难匹配。关闭Wi-Fi保护设置功能把加密协议固定为WPA2-AES而不是WPA-TKIP混合模式后者会暴露更多协议层面的解析信息。SSID尽量不做隐藏处理因为隐藏SSID后客户端会执行主动探测定向搜索反而留下更多链路层可观测特征。# 假设你要生成一个随机密码python3 import secrets import string pool string.ascii_letters string.digits string.punctuation password .join(secrets.choice(pool) for _ in range(16)) print(password)这个生成逻辑虽然不是唯一方案但至少能从源头杜绝了生日、手机号、姓名拼音撞进字典词条的风险。即使你的路由管理后台还有初始密码只要Wi-Fi密码是随机串实战中EVSA类的软件在没有定向字典的前提下几乎无从下手。6.3 日常巡检习惯与最终建议从那以后我每过两个月就会把奶瓶启动盘插上花半小时扫一遍自家周围信号专门看两个指标自家AP是否挂在扫描列表的最前段且信号毫无衰减以及自家热点是否出现在任何抓包工具的日志里。这习惯看起来很笨但确实帮我在早期排查出一次路由器固件被改的异常——后台端口开着曾试图改密码。无线网络安全的起点不是去研究那些炫技的破解手法而是明白自己家的这道门在哪个环节最容易被人用最小的成本推开。希望这篇记录能帮你在搭建自己的测试环境时少走几步弯路真正的安全永远是先知道自己哪里薄弱再动手去焊死它。本文还有配套的精品资源点击获取