一块支持监听模式的无线无线网卡，加上Kali Linux，攻击就能让周围的无线Wi-Fi流量在你眼皮底下裸奔。这不是攻击电影桥段。我在一次内部安全培训里，无线用一块不到两百块的攻击RT3070网卡，十分钟内抓到了隔壁会议室某位同事登录公司OA的无线Cookie。他用的攻击还是WPA2-PSK加密的网络——加密只保护空中接口那段，一旦拿到握手包或者伪造出热点，无线后面的攻击故事跟加密就没多大关系了。
Kali里做无线攻击，无线第一步永远是攻击让网卡进入监听模式。`airmon-ng start wlan0`这条命令打下去，无线网卡名字通常会变成wlan0mon。攻击这时候它不再连接任何网络，无线只负责把空中所有802.11帧往你硬盘里灌。很多人卡在这一步：笔记本自带的Intel网卡根本不支持监听，VirtualBox里的USB网卡直通又经常抽风。我的建议是买一块带外置天线的 atheros 芯片网卡，别用Realtek那些便宜货，驱动折腾起来能让你怀疑人生。
抓WPA握手包是最基础的活。`airodump-ng wlan0mon`先扫一圈，找到目标BSSID和信道，然后锁死信道抓包。等某个设备重连的时候，四步握手就会从空中飘过。但现实往往很骨感——你蹲了半小时，一个客户端都不掉线。这时候就得用`aireplay-ng --deauth`发几个解除认证帧，把客户端踢下线逼它重连。这招在802.11w（管理帧保护）普及之后越来越不好使，很多新路由器直接忽略伪造的deauth帧。我试过在咖啡厅对着一台华硕AX86U狂发deauth，客户端纹丝不动，最后只能放弃。
拿到握手包之后，跑字典是体力活。`aircrack-ng -w rockyou.txt capture.cap`，八位纯数字密码在普通显卡上几小时就能出结果，但要是对方密码是`Xk9#mP2$`这种，字典跑穿也白搭。所以有人转向PMKID攻击——不需要等客户端，直接向AP要一个PMKID哈希，拿回家慢慢算。这招对很多家用路由器有效，因为厂商压根没实现PMKID的防重放机制。
比抓包更阴的是伪造热点。`airbase-ng`或者`hostapd-wpe`起一个同名SSID，再配合`dnsmasq`做DHCP和DNS，客户端一连上来，你就能给它推一个假的 captive portal 页面。用户以为连的是星巴克Wi-Fi，输入邮箱和密码，你这边`tcpdump`直接抓到明文。我见过最离谱的案例：某连锁酒店的房间号就是Wi-Fi密码，攻击者伪造一个同名热点放在走廊，一晚上钓到四十多个房客的账号。
WPA3出来之后，这些老套路死了一大半。SAE握手（蜻蜓协议）抗离线字典攻击，管理帧保护默认开启，deauth帧也踢不动了。但WPA3的过渡模式（WPA2/WPA3混合）反而制造了新漏洞——攻击者可以降级诱导客户端走WPA2握手，然后照抓不误。Kali里的`wpa_supplicant`和`hostapd`早就跟进了这些攻击变种，工具永远比标准跑得快半步。
说句实在话，无线攻击的门槛低到离谱，但真正能打穿目标网络的案例少之又少。大部分时候你抓到的只是隔壁老王家路由器的握手包，跑出密码一看是`12345678`。真正有价值的目标——企业级AP、802.1X认证、证书绑定——靠一块网卡和aircrack根本啃不动。那些在Kali论坛上晒“成功破解”截图的，十个里有九个打的是自己搭的测试环境。别被工具列表骗了，无线攻击的核心从来不是Kali，是你对802.11协议栈的理解深度。