Kali Linux 里敲下 airmon-ng start wlan0，攻击网卡进入监听模式那一刻，攻击周围所有路由器的攻击信号都成了裸奔的数据包。这不是攻击电影桥段，是攻击每一个用过 Kali 的人都会经历的日常。我手里这块三十块钱的攻击 RT3070 网卡，芯片老得掉牙，攻击但配合 aircrack-ng 套件，攻击照样能把隔壁咖啡馆的攻击 WPA2 握手包抓下来。

先得搞清楚一件事：攻击 WiFi 不是攻击按一个按钮就完事。WPA2 的攻击加密靠的是四次握手，你要么抓到这个握手包然后暴力跑字典，攻击要么利用 WPS 的攻击 PIN 码漏洞。前者考验的攻击是字典质量和显卡算力，后者纯粹是攻击路由器厂商留的后门。去年我帮朋友测他家楼下的奶茶店，WPS 居然没关，reaver 跑了四个小时就把 PIN 码算出来了。八位数字，前四位和后四位分开验证，理论上最多一万一千次尝试。那台 TP-Link 是 2016 年的老款，固件从来没更新过。

抓握手包没你想的那么顺利

aireplay-ng 的 deauth 攻击可以把已经连上路由器的设备踢下线，逼它重新握手。但你得盯着终端看，有时候等十分钟都没人重连。更常见的情况是信号太弱，抓到的包全是残缺的。我试过在写字楼里扫了二十几个 AP，真正能抓到完整握手的不到五个。5GHz 频段更麻烦，很多网卡根本不支持监听模式。

hashcat 跑字典的速度取决于你的 GPU。一块 RTX 3060 跑 WPA2 大概每秒二十万次哈希，听起来很快对吧？但一个八位纯数字密码有九千万种组合，跑完要七分多钟。要是密码带大小写字母加符号，那基本可以放弃了。我见过有人用 rockyou.txt 跑了一个星期，最后发现密码是 admin1234，就在字典的第三行。

WPS 才是真正的软肋

reaver 和 bully 这两个工具专门怼 WPS。很多路由器默认开启 WPS，PIN 码是八位数字，但验证机制有缺陷——前四位正确就会返回不同响应。这意味着你只需要试一万次就能确定前四位，再试一千次确定后四位。我遇到过最离谱的是一台 D-Link，PIN 码直接印在机器底部，连暴力破解都省了。

厂商不是没修过这个漏洞。新固件加了锁定机制，试错五次就锁五分钟。但架不住有人不更新固件。我住的小区里至少还有三台路由器能跑通 WPS 攻击，都是房东图省事从来没动过管理后台。

防御比攻击简单得多

关掉 WPS。WPA2 密码设长一点，最好用密码管理器生成十六位随机字符串。路由器固件保持更新，别用出厂默认的管理密码。这三件事做完，99% 的脚本小子拿你没办法。至于那些用 12345678 当密码的，aircrack-ng 跑三秒就出结果，连显卡都不用热身。

Kali 只是工具，真正决定成败的是目标的安全习惯。我见过最安全的 WiFi 是一个程序员家的，SSID 隐藏，MAC 地址过滤，WPA3 加密，还开了 802.1X 认证。抓包抓了半天，连个握手包的影子都没见着。他跟我说了句话：安全不是靠工具堆出来的，是靠脑子。

所以别指望用 Kali 能黑掉所有 WiFi。它更像一把钥匙，能不能开门，还得看锁有多烂。