SEC-L07-001.1
利用口令猜测与网络窃听进行口令破解
2010年4月
实验课件摘要
技术背景：
口令破解，做为黑客常用的攻击手段之一，在攻击阶段实现了口令的暴力猜测、
信息窃取。精心构造的口令字典、口令强度较低的账户、性能强劲的运算系统，
能够快速、有效地完成口令破解。
口令破解技术主要分为3类：本地破解、在线破解、口令窃听。这些做为简单、
常用、直接的黑客攻击手段，我们很有必要了解这种技术！
实验目的：
口令破解、窃听口令、口令字典
实验平台
攻击机(客户端)：Windows2000/XP/2003、Linux
被攻击机(服务端)：Linux Server
实验工具：
Nmap
L0phtCrack、John the Ripper
Brutus、Hydra、Spcrk
流光、X-Scan、超级字典生成器.、黑客字典II
Tcpdump、Wireshark、Cain
实验要点：
●黑客字典生成技术；
●本地口令文件暴力破解；
●远程服务在线口令暴力破解；
●网络传输明文口令信息窃听；
实验步骤指导：
生成暴力字典
推荐工具：超级字典生成器
1.说明：使用字典生成工具可以快速生成复杂的单词、数字、特殊符号组成的
字典，攻击者可以根据条件生成想要的各种字典，从而提高暴力猜测的速度。
2.运行“超级字典生成器”，程序界面如下图：
3.根据个人需求，选择相关选项生成字典；
字典生成要求：
生成以a-z小写字母组成，长度为3位，3位字母不重复的账户字典，文件保存为
user.txt；
请生成4位0-9数字组成的密码字典，文件保存为pass.txt；
本地口令文件暴力破解
推荐工具：L0phtCrack、John the Ripper
说明：在某些时候，攻击者窃取了操作系统的账户信息文件，如Windows下的SAM
文件、Linux下的shadow文件。攻击者可以在本地实现暴力猜测。
Windows2000/XP/2003客户端环境
1.运行“L0phtCrack”程序；
【知识重点】
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
L0phtCrack黑客工具的一种。它专门用于破译Windows NT口令。此工具性能强
大，又很容易使用，初学者只需少量指点便能破译口令。1999年1月推出的
L0phtCrack 2.5版优化了DES密码程序，软件性能也随之提高(比旧版本快450%)。
据称，一台450 MHz Pentium II 计算机一天内就可破译所有字母数字混合的口令。
L0phtCrack 可通过多种渠道得到加密的口令档案。只要黑客运行一个包含
L0phtCrack的程序，或从window NT系统管理员的备份软盘里拷贝一个程序，就
可以得到Windows NT系统里的SAM数据库。L0phtCrack最新版的GUI可以从
网络中得到加密的Windows口令。当你登录到NT域，你的口令会被用哈希算法
送到网络上。L0phtCrack的内置嗅探器很容易找到这个加密值并破译它。
因为这个工具对IT从业人员也有极大用处，所以从L0phtCrack 2.0版以后开始收
取注册费。最新版可以有15天免费试用期，超过15日则收取100美金，并且有
多个破译程序以供选择，有些收取费用，有些可从自由软件库中得到。
L0phtCrack的防范
抵御口令破译攻击的最好方法是执行强制的口令防范政策。例如要求用户设想的
口令很难被猜到。如口令应该至少有8位，包括数字、字母及特殊字符(如！@#$%)；
口令应不包括字典字。为了进一步保障安全，一些口令自动设置工具可以帮助用
户设计复杂的口令。
此外，你应该时常用口令破译工具检查公司的口令是否安全。当然，只有安全管
理人员或是经他们授权的人员才能允许使用该种工具，而且必须得到书面的批准。
同时你也应当事先对口令不幸被破译的用户做出解决方案，选择向他发Email，还
是亲自拜访用户，向他解释你的口令政策。这些问题在进行口令评估前应考虑完全。
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
2.选择“Session”菜单中的“导入”，选择提供的sam文件或shadow文件，
如图：
3.选择“Sessions”菜单下的“Session Options”，更换字典，如下图。可根据
实际情况选择更换“暴力字典”，此处由于LC能够自动分析出账户，所以只需更换“口令字典”，可使用我们提供的pass.txt；
4.点击运行按钮，开始破解，结果如图：
注意：暴力破解需要技巧和时间，再加上点运气，请耐心等待！
Linux客户端环境
1.解压john包：tar xvf john-1.7.0.1.tar.tar；
进入john-1.7.0.1/src源码目录，编译程序，注意可以根据不同的Linux版本选择不
同的编译选项，我们这里选择的是“linux-x86-any”；
2.命令：make linux-x86-any
编译成功后，在john-1.7.0.1/run目录下生成了john程序，阅读README文件，
了解john；
3.使用-single参数，破解简单口令；使用-wordlist参数，指定密码字典进行破
解；
注意：暴力破解需要技巧和时间，再加上点运气，请耐心等待！
在线远程服务口令暴力破解
推荐工具：Nmap、Brutus、Spcrk
说明：
通过使用Nmap端口扫描工具，探测被攻击服务器的服务、端口状况，根据不同
的服务考虑使用不同的攻击方式，从而提高入侵的成功率；
通过使用如Brutus、Spcrk这类在线口令暴力破解工具实现口令自动猜测攻击；
Windows2000/XP/2003客户端环境
1.启动Nmap for windows程序；
【知识重点】
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
Nmap也许是一种最著名的端口扫描器和许多其它扫描工具进行对照的标准Nmap
是https://www.doczj.com/doc/0417103070.html,根据GPL许可证协议免费提供的，能够在现有的任何操作系统上
运行，从微软的Windows到你喜欢的Linux/Unix操作系统都可以。
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
2.在”Target”文本框中输入被攻击服务器IP地址，”Profile”类型选为” Intense
Scan”，选择”Scan”按钮，启动扫描，如下图：
3.针对扫描结果，挑选远程口令暴力破解的服务对象，这里我们选择FTP、
TELNET服务。
启动Brutus工具；
1.在”Target”文本框中输入被攻击服务器IP地址，”Type”类型选为” FTP”，选
择”Start”按钮，启动扫描，如下图：
注意：暴力破解需要技巧和时间，再加上点运气，请耐心等待！结果如下图：
Linux客户端环境
1.如果攻击者使用的为Linux，请使用spcrk (https://www.doczj.com/doc/0417103070.html,/projects/spcrk/)，spcrk
工具需要gcc和c标准库环境编译；
解压spcrk_0.0.7_i386.src.tar.gz：tar zxvf spcrk_0.0.7_i386.src.tar.gz；
Make编译spcrk源代码，生成spcrk程序；
2.命令格式“./spcrk –L指定账户字典-P 指定密码字典被攻击服务器IP 服
务”，运行命令后如下：
注意：暴力破解需要技巧和时间，再加上点运气，请耐心等待！
sniffer口令（Windows平台）
推荐工具：wireshark、Cain
说明：在网络数据传输中，不可避免的要使用账户口令，如果明文传输就给黑客
窃取成功的机会了。
Wireshark网络分析工具
1.启动wireshark程序；
【知识重点】
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
Wireshark （2006年夏天之前叫做Ethereal）是一款非常棒的Unix和Windows
上的开源网络协议分析器。它可以实时检测网络通讯数据，也可以检测其抓取的
网络通讯数据快照文件。可以通过图形界面浏览这些数据，可以查看网络通讯数
据包中每一层的详细内容。Wireshark拥有许多强大的特性：包含有强显示过滤器
语言（rich display filter language）和查看TCP会话重构流的能力；它更支持上百
种协议和媒体类型；拥有一个类似tcpdump（一个Linux下的网络协议分析工具）
的名为tethereal的的命令行版本。不得不说一句，Ethereal已经饱受许多可远程利
用的漏洞折磨，所以请经常对其进行升级，并在不安全网络或敌方网络（例如安
全会议的网络）中谨慎使用之。
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
2.选择“Capture”菜单中的“Options”选项，弹出如图对话框：
3.在“Interface”选择栏中，wireshark会自动识别计算机的网卡，请正确选择
正确的监听网卡，如图；
4.在“Capture Filter”中输入数据包捕捉条件：“tcp port 21 and tcp port 23”，
这里我们将捕捉ftp和telnet的数据包；
5.点击确定，运行捕捉；
现在，如果网络中有ftp和telnet的登陆会话，wireshark都会纪录下来；我们可以在本机上模拟验证下：
1.运行Windows下cmd命令程序
输入命令“ftp 模拟被攻击服务器IP”，输入用户名，密码：
2.然后观察wireshark界面，发现FTP相关数据已经被捕捉；在wireshark捕捉到的FTP数据包纪录上右击：
3.点击“Follow TCP Stream”，重现整个FTP会话数据流：
4.这时就可以从中看到明文传输的账户口令信息了。
Telnet的数据包捕捉过程相同。
Cain password sniffer工具
Cain是一种专业的sniffer口令工具，支持各种破解方式、服务、解码技术。
1.运行Cain程序；
【知识重点】
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
这是一个可以破解屏保、PWL密码、共享密码、缓存口令、远程共享口令、SMB 口令、支持VNC口令解码、Cisco Type-7口令解码、Base64口令解码、SQL Server 7.0/2000口令解码、Remote Desktop口令解码、Access Database口令解码、Cisco PIX Firewall口令解码、Cisco MD5解码、NTLM Session Security口令解码、IKE Aggressive Mode Pre-Shared Keys口令解码、Dialup口令解码、远程桌面口令解码等综合工具，还可以远程破解，可以挂字典以及暴力破解，其sniffer功能极其强大，几乎可以明文捕获一切帐号口令，包括FTP、HTTP、IMAP、POP3、SMB、TELNET、VNC、TDS、SMTP、MSKERB5-PREAUTH、MSN、RADIUS-KEYS、RADIUS-USERS、ICQ、IKE Aggressive Mode Pre-Shared Keys authentications等。※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
2.选择“Configure”菜单，选择正确的监听网卡，如图：
3.点击“start/stop sniffer”按钮，启动网络监听，在程序界面的“sniffer”选项
卡的“Passwords”中，可查看到捕捉到的口令，如图：
4.根据捕捉到不同服务的口令，可以尝试下登陆相关服务器，完成更深入的攻
击；
解决方案
1.对于本地口令破解的威胁，需要保护好windows系统目录下config\SAM文件
和linux下的shadow文件；
2.对于在线远程服务口令暴力破解，建议使用防火墙策略限制非法IP或者使用
PAM这类的Linux安全框架；
3.对于网络窃听，建议将明文传输转为加密方式；
手把手教你WPA2加密无线网络 【IT168专稿】随着无线技术的逐步成熟以及无线设备价格的平民化大众化，越来越多的家庭开始使用WLAN这种无线局域网的方式实现随时随地上网冲浪。不过网络安全问题也随之诞生，虽然一些有一定计算机和网络安全水平的用户开始使用WEP或WPA密钥来加密传输的数据包，但是WEP的破解相当容易，据说国外专业人士可以在2分钟内通过工具截获WEP加密过的数据包并解析出WEP密钥来。而以前一直让我们百分之百放心的WPA加密也不再安全。今天我们就来了解下如何暴力破解WPA加密密钥，让用户体会一次盾坚矛更利的感受。 一、实验环境网络拓扑简介： 本文主要采取的是暴力破解WPA加密密钥的方法，这就需要网络中存在足够多的经过WPA加密过的数据包，因此本人选择了一台计算机专门提供这种加密过的数据包，即该计算机与网络中的无线路由器通过WPA验证后不停的通讯。在此基础上再通过另外一台计算机窃取加密数据包并暴力破解。具体设备如下。 AP：D-Link DWL-2000AP+A，负责设置WPA加密信息。 无线客户端：笔记本+D-Link DWL-G122无线网卡，负责保证持续不断的WPA 数据通讯。 监听/破解机：笔记本+NetGear WAG511v2无线网卡，担任捕捉登陆‘握手’会话并破解出KEY的机器。 二、手把手教你暴力破解WPA密文： 不管是破解WPA加密数据还是WEP加密数据我们都需要找到专门的监听和分析软件，类似于有线网络中的sniffer，在无线网络中我们破解主要使用名为
WinAirCrack的强大工具。我们在以前讲解破解WEP密文时已经为各位介绍了该软件的简单使用以及软件下载地址，感兴趣的读者可以查询之前的文章。 安全危机轻松破解无线网络WEP密码上篇 安全危机轻松破解无线网络WEP密码下篇 WinAircrackPack－－下载 第一步：下载WinAirCrack程序并解压缩，然后根据之前的文章下载自己无线网卡对应的驱动，将驱动升级为基于atheros芯片的无线网卡。具体方法需要我们到https://www.doczj.com/doc/0417103070.html,/support/downloads/drivers这个地址下载适合自己无线网卡品牌的驱动。 第二步：无线网卡准备工作完毕后打开WinAirCrack程序安装主目录，运行其中的airdump.exe。
自从无线网络诞生之日起，“安全”这个词就始终如影随形的伴随在“无线”的身边。攻与防如同亲兄弟一样，无论你加密手段多么的先进，不久之后就会有各种各样的破解方式出现。前不久，我们中关村在线网络设备频道里有篇《你真的了解吗无线路由器密码设置模式》的文章，详细的介绍了目前无线网络的加密模式都有哪几种，在文章中我们曾经提到无线网络加密模式中，WEP是最容易的被破解的，但是我们发现很多用户给自己的无线网络加密的时候，依旧是使用的是WEP加密模式。我们今天就和大家一起谈谈WEP加密模式是如何被破解的，我们的出发点是如何保护好我们的网络，所谓知己知彼，百战不殆。 目前依旧使用 WEP密码加密模式的用户要么就是对无线网络只是了解甚少，要么就是还存有侥幸心理，觉得WEP 加密应该足够保护自己的网络。WEP支持64位和128位加密，对于64位加密，密钥为10个十六进制字符(0-9 和 A-F)或5个ASCII字符；对于128位加密，密钥为26个十六进制字符或13个ASCII字符。 通过无线网络发送和接收数据更容易被窃听，所以加密和认证是假设一个安全稳定无线网络两个必不可少的因素IEEE802.11标准中采用了WEP(Wired Equivalent Privacy:有线对等保密)协议来设置专门的安全机制，进行业务流的加密和节点的认证。它主要用于无线局域网中链路层信息数据的保密。WEP采用对称加密机理，数据的加密和解密采用相同的密钥和加密算法。WEP使用加密密钥(也称为 WEP 密钥)加密 802.11网络上交换的每个数据包的数据部分。 因为无线网络不需要网线的连接，所以我们只要进入无线网络就可以。我们此次对无线网络WEP加密模式进行破解，是借助软件来完成的。首先，我们先用NetStumbler这个软件来对无线网络进行侦测。 我们在上图可以看到，NetStumbler搜索到两个无线网络，我们能看到很多关于此网络的信息，这个阶段就是数据搜集。通过红色选框部分内容确定该SSID名为demonalex的AP为802.11b类型设备，Encryption属性为‘已加密’，根据802.11b所支持的算法标准，该算法确定为WEP。有一点需要注意：NetStumbler对任何有使用加密算法的STA （802.11无线站点）都会在Encryption属性上标识为WEP算法，如上图中SSID为gzpia的AP使用的加密算法实际上是WPA2-AES。 NetStumbler数据搜集 我们此次讨论的目的是通过捕捉适当的数据帧进行IV（初始化向量），以暴力破解的方法得到WEP KEY，因此需要airodump.exe（捕捉数据帧）与WinAircrack.exe（破解WEP KEY）两个程序相结合使用。
如何破解无线网络密码 随着社会的进步！WIFI上网日益普及,特别是大城市中随便在一个小区搜索一下就能找到好多热点,搜索到热点然后链接上去那么我们就可以尽情的享受免费上网服务了。 不过除了公共场所以及菜鸟用户之外几乎所有的WIFI信号都是加密的,很简单换作是你你也不愿意把自己的带宽免费拿出来给别人用,所以如果你搜索到你附近有热点想免费上网的话请仔细往下学习... 破解静态WEP KEY全过程 首先通过NetStumbler确认客户端已在某AP的覆盖区内，并通过AP信号的参数进行‘踩点’（数据搜集）。
通过上图的红色框框部分内容确定该SSID名为demonalex的AP为802.11b类型设备，Encryption属性为‘已加密’，根据802.11b所支持的算法标准，该算法确定为WEP。有一点需要注意：NetStumbler对任何有使用加密算法的STA[802.11无线站点]都会在Encryption属性上标识为WEP算法，如上图中SSID为gzpia的AP使用的加密算法是WPA2-AES。 我们本次实验的目的是通过捕捉适当的数据帧进行IV （初始化向量）暴力破解得到WEP KEY，因此只需要使用airodump.exe（捕捉数据帧用）与WinAircrack.exe（破解WEP KEY用）两个程序就可以了。 首先打开ariodump.exe程序，按照下述操作：
首先程序会提示本机目前存在的所有无线网卡接口，并要求你输入需要捕捉数据帧的无线网卡接口编号，在这里我选择使用支持通用驱动的BUFFALO WNIC---编号 ‘26’；然后程序要求你输入该WNIC的芯片类型，目前大多国际通用芯片都是使用‘HermesI/Realtek’子集的，因此选择‘o’；然后需要输入要捕捉的信号所处的频道，我们需要捕捉的AP所处的频道为‘6’；提示输入捕捉数据帧后存在的文件名及其位置，若不写绝对路径则文件默认存在在winaircrack的安装目录下，以.cap 结尾，我在上例中使用的是‘last’； 最后winaircrack提示：‘是否只写入/记录IV[初始化向量]到cap文件中去？’，我在这里选择‘否/n’；确定以上步骤后程序开始捕捉数据包。 下面的过程就是漫长的等待了，直至上表中‘Packets’列的总数为300000时即可满足实验要求。根据实验的经验所得：当该AP的通信数据流量极度频繁、数据流量极大时，‘Packets’所对应的数值增长的加速度越大。当程序运行至满足 ‘Packets’=300000的要求时按Ctrl+C结束该进程。 此时你会发现在winaircrack
关于“奶瓶”的介绍。。https://www.doczj.com/doc/0417103070.html,/bbs/index.php 既然说到蹭网，首先让我们来看看我们需要准备什么东西。首先是一个电脑一台路由器一个这类的废话我们就不多说了，现在我们需要的是一个U盘，别小于128MB就行。 将其格式化 先把它格式化了，需要注意的是，一定要选择FAT格式，这点一定要记住，否则下面就没办法继续进行了。格式化完成之后，下面就让我们向着周围的路由器们发起进攻吧。 绰号“奶瓶”的Linux系统 奶瓶这个系统，相信玩无线的朋友应该都会知道。这是一款基于 Tiny Core Linux 搭建的无线网络安全测试系统，当然由于它是用来安全测试的系统，因此在安全方面自然有着强大的功能。而且，这个系统非常简便易学，因此现在已经逐渐的取代BT3、BT4之类的工具，而逐渐成为了无线网络安全研究的主流系统。今天，我们就要应用这个系统来完成后面的事情。 制作“奶瓶”启动U盘
相比于其它的系统，“奶瓶”最大的优点除了操作简便易懂之外，还有一个优点就是制作U盘启动盘非常容易，而且成功率较高。 UltraISO软件界面 下载好的“奶瓶”系统是一个.iso文件，而大小只有40MB左右，因此我们可以轻易的使用镜像软件将其写入U盘。这里，我们使用了UltraISO这款软件，相比其它的同类型软件，这款显得要简便易懂很多。
导入镜像文件之后，选择写入方式 写入速度很快，一分钟不到 加载引导文件 但是有时候选择直接写入之后，电脑并不能成功从U盘启动“奶瓶”。因此如果制作不成功之后，我们还需要选择手工加载引导文件。
引导文件位置 我们首先需要将下载的“奶瓶”的.iso文件解压缩，然后在如上图所示的目录中找到引导文件，然后再进行加载，如此操作之后，再进行U盘的写入。 进入“奶瓶”系统 修改BIOS设置
教你如何破解无线网络wpa2密码 在动手破解WPA/WPA2前，应该先了解一下基础知识，本文适合新手阅读 首先大家要明白一种数学运算，它叫做哈希算法(hash).这是一种不可逆运算，你不能通过运算结果来求解出原来的未知数是多少，有时我们还需要不同的未知数通过该算法计算后得到的结果不能相同，即你不太可能找到两个不同的值通过哈希得到同一个结果。哈希是一类算法的统称（暂停！移动你的鼠标-猛击右图 ），通常哈希算法都是公开的，比如MD5，SHA-1等等。 我们平时说的WPA密码其实叫PSK（pre-shared key），长度一般是8-63字节，它加上ssid通过一定的算法可以得到PMK（pairwise master key）。 PMK=SHA-1(ssid,psk)，PMK的长度是定长的，都是64字节。由于计算PMK的过程开销比较大，是我们破解花费时间长的关键，所以采用以空间换时间的原则把PMK事先生成好，这个事先生成好的表就是常说的HASH表（生成PMK的算法是一种哈希），这个工作就是用airlib-ng这个工具来完成的，我们的快速破解就是这么来的。 认证的时候会生成一个PTK（pairwise temporary），这是一组密钥，具体细节不详细说了，它的生成方法也是采用的哈希，参数是连接的客户端MAC地址、AP的BSSID、A-NONCE、S-NONCE、PMK，其中A-NONCE和S-NONCE是两个随机数，确保每次连接都会生成不同的PTK。PTK的计算消耗很小。PTK加上报文数据采用一定的算法（AES 或TKIP），得到密文，同时会得到一个签名，叫做MIC（message integrality check），tkip之所以被破解和这个mic有很大关系。 四次握手包中含有以上的哪些东西呢？客户端的MAC地址，AP的BSSID，A-NONCE，S-NONE，MIC，最关键的PMK和PTK是不包含在握手包里的！ 认证的原理是在获得以上的所有参数后，客户端算出一个MIC，把原文连同MIC 一起发给AP，AP采用相同的参数与算法计算出MIC，并与客户端发过来的比较，如果一致，则认证通过，否则失败。 目前的破解方法是我们获得握手包后，用我们字典中的PSK+ssid先生成PMK（如果有HASH表则略过），然后结合握手包中的（客户端MAC，AP的BSSID，A-NONCE， S-NONCE）计算PTK，再加上原始的报文数据算出MIC并与AP发送的MIC比较，如果一致，那么该PSK就是密钥。- U# {6 B& ^; [% H3 ~ |" A9 t 目前最耗时的就是算PMK，可谓破解的瓶颈。即使搞定了运算量的问题，海量的密钥存储也是个问题（PMK都是64字节长度）！
手把手教你如何破解无线网络密码 本文只做技术交流之用，提醒各位注意无线网络安全性，请勿用于其他用途，否则后果自负。前言：面对电脑搜索到的无线网络信号，你是否怦然心动？但看到一个个“启用安全的无线网络”你是否又感到有一丝遗憾。本人作为一个心动+遗憾的代表，充分发挥主观能动性，总算学有所成，终于能成功无线密码，这份成功的喜悦不敢独享，写下该篇教程。注：1、本文针对的无线破解是指wep的破解，wpa破解现在仍是技术难题，不在本文讨论之列，如果你家无线路由需要加密，为保障安全也请采用wpa模式。如果你不知道何谓wep、wpa，请百度一下，会给你一个专业的回答。最简单的解释就是无线信号的密码，后者比前者加密程度高。2、本文力求以傻瓜式、菜鸟式的方法解决问题，适合像我一样不懂的菜鸟 下面开始我们的解密之旅：一准备篇 1、一个有可破解无线信号的环境。如我在家随便搜索出来的信号。 2、带无线网卡的电脑一台（笔记本台式机均可，只要无线网卡兼容BT3），我用的是三星NC10的上网本。 3、2G以上优盘一个（我用的是kingston 8G 的） 4、下载BT3，约900多兆。下载地址 https://www.doczj.com/doc/0417103070.html,/backtrack_download.html 注：BT3 全称BackTrack3，与我们常说的bt下载是完全不同的概念。以我理解就是集成了一些计算机安全软件的linux系统。正是由于它的出世和不断普及，使得破解可让普通用户轻易言之。 5、下载spoonwep2中文包。注：spoonwep2就是我们的破解软件，一个非常强悍的图形化破解WEP无线网络密码的工具。
第一种方法：无线网络WEP破解索引 1.先确认你的网卡是否支持BT3,BT4,如果不支持就换个卡,推荐USB的,最好可以换天线,这样信号不好的时候可以增加天线获取好的信号. BT3网卡支持列表看这里 https://www.doczj.com/doc/0417103070.html,/thread-86-1-1.html 2.下载BT3系统. BT3全称Back Track 3，这是一个linux环境的便携系统，可以放到U盘或者光盘中启动，对本身硬盘没有影响，无需在本地安装，现在已经有BT4的BETA版了，喜欢尝鲜的朋友可以试一下 是圈内非常著名的黑客攻击平台，说白了就是一个封装好的Linux操作系统，内置大量的网络安全检测工具以及黑客破解软件等。BT3因可以方便的破解无线网络而出名，其中内置的spoonwep是一个非常强悍的图形化破解WEP无线网络密码的工具。 官方网站 https://www.doczj.com/doc/0417103070.html, bt3 beta版和BT3 final版下载地址 https://www.doczj.com/doc/0417103070.html,/thread-30-1-1.html BT4 beta版下载地址 https://www.doczj.com/doc/0417103070.html,/thread-31-1-1.html 其中有ISO格式，U盘格式，还有虚拟机Vmware格式的，大家各取所需，这里我用的是U盘版. 3、下载Spoonwep2 Spoonwep2这个软件。非常方便，能够先扫描，再选择，不用再输入MAC，破解IV也是自动的，无须在命令行下输入烦琐的命令。
spoonwep2是在原来的版本基础之上的更新之作，让使用者可以更加方便的进行对无线网络的扫描、抓包或者注入抓包，破解密码。 互联网上有很多基于BT3进行WEP密码破解的教程，都是用的spoonwep2做的范例。而BT3中默认装的是spoonwep，所以赶快升级吧，免得到时候版本不对搞的自己莫名其妙。 spoonwep2下载地址： https://www.doczj.com/doc/0417103070.html,/thread-28-1-1.html 4、安装 参考最简单的硬盘启动BT3方法,不要安装GRUB. 首先我们先找到c盘根目录下的boot.ini文件，先去掉它的只读属性. 然后添加如下信息：c:\grldr="BackTrack3" 引号中的文字大家可以自定义. 把grldr文件拷到c盘根目录。 把BT镜像文件里面的文件解压缩出来，有两个文件夹boot和BT3，如果是bt3请改为大写，要不然是启动不了的，当然用BT3的USB版解压以后也是一样的用法。 5.把这两个文件夹拷贝到d盘根目录（c,d,e,f盘都可以）但是需要改动grldr 的里面的启动路径信息。启动的时候可以编辑,默认boot和BT3文件夹在d盘根目录。 解压spoonwep2.lzm，放到d:/BT3/modules/下面. 硬盘启动文件下载 https://www.doczj.com/doc/0417103070.html,/thread-29-1-1.html 5、启动 重新启动电脑,启动菜单选择BackTrack 3会出来首页面,有很多选项，选择第一个"BT3 GRAPHICS MODE KDE" 就可以了.如果无法进入,
本教程用于探索无线路由安全漏洞，禁止用于非法用途，违者法律必究（与我无关） 在动手破解WPA/WPA2前，应该先了解一下基础知识，本文适合新手阅读 首先大家要明白一种数学运算，它叫做哈希算法（hash），这是一种不可逆运算，你不能通过运算结果来求解出原来的未知数是多少，有时我们还需要不同的未知数通过该算法计算后得到的结果不能相同，即你不太可能找到两个不同的值通过哈希得到同一个结果。哈希是一类算法的统称，通常哈希算法都是公开的，比如MD5，SHA-1等等。; 我们平时说的WPA密码其实叫PSK（pre-shared key），长度一般是8-63字节，它加上ss id通过一定的算法可以得到PMK（pairwise master key）。PMK=SHA-1(ssid,psk)，PMK 的长度是定长的，都是64字节。由于计算PMK的过程开销比较大，是我们破解花费时间长的关键，所以采用以空间换时间的原则把PMK事先生成好，这个事先生成好的表就是常说的HASH表（生成PMK的算法是一种哈希），这个工作就是用airlib-ng这个工具来完成的，我们的快速破解就是这么来的。 认证的时候会生成一个PTK（pairwise temporary），这是一组密钥，具体细节不详细说了，它的生成方法也是采用的哈希，参数是连接的客户端MAC地址、AP的BSSID、A-NONCE、S-NONCE、PMK，其中A-NONCE和S-NONCE是两个随机数，确保每次连接都会生成不同的PTK。PTK的计算消耗很小。PTK加上报文数据采用一定的算法（AES或TKIP），得到密文，同时会得到一个签名，叫做MIC（message integrality check），tkip之所以被破解和这个m ic有很大关系。 四次握手包中含有以上的哪些东西呢？客户端的MAC地址，AP的BSSID，A-NONCE，S-NONE，MIC，最关键的PMK和PTK是不包含在握手包里的！ 8 A2 m6 T& }) U2 J认证的原理是在获得以上的所有参数后，客户端算出一个MIC，把原文连同MIC一起发给AP，AP采用相同的参数与算法计算出MIC，并与客户端发过来的比较，如果一致，则认证通过，否则失败。 目前的破解方法是我们获得握手包后，用我们字典中的PSK+ssid先生成PMK（如果有HASH 表则略过），然后结合握手包中的（客户端MAC，AP的BSSID，A-NONCE，S-NONCE）计算P TK，再加上原始的报文数据算出MIC并与AP发送的MIC比较，如果一致，那么该PSK就是密钥。 目前最耗时的就是算PMK，可谓破解的瓶颈。即使搞定了运算量的问题，海量的密钥存储也是个问题（PMK都是64字节长度）！ 最近出来的tkiptun-ng只是可以解开使用tkip加密了的数据包，并不是说能够快速算出P MK或PSK。如果感兴趣，可以到书店看看讲哈希的书，说不定你把这些HASH算法都破解出来了。
基本的WPA PMK Hash 制作方法及在进行WPA-PSK/WPA2-PSK 破解时的Hash 的使用方法。 1．Hash 制作篇以下涉及工具的Windows 版本操作步骤与其Linux 下版本完全一致，大家对照进行 即可。 具体步骤：在进入到Linux Shell / Windows Command 下后，先使用genpmk 这个工 具来构建预运算Hash Table，这里需要指定针对目标的ESSID，命令如下： genpmk -f dictionary -d hash -s SSID 参数解释： -f 这里跟上采用的字典 -d 生成的Table 文件名称 -s 目标AP 的ESSID -------------------------------------------------------------------------------------------------------------------------------------- 过程： 从网上下载Cowpatty-4.0-win32 内包 Genpmk 到的软件放入C：/ 下，
替换 Readme 为-- .txt 文本格式的字典（释：找一个简单的密码字典试一下手，时间就会短一点） 回到DOS/SHELL界面 运行 cd .. cd\ cd c:\Cowpatty-4.0-win32 Genpmk.exe -f 0-9.8位纯数密码.txt -d dlink-birth.hash -s dlink
回车Enter 运行 （释：随字典的大小决定Hash彩虹表制作时间的长短） 要耐心的等待哦·别放弃呀！我有一次制作的时间就5小时以上，耐心。耐心的等待。。。
用BackTrack4 破解WEP加密教程 一、需要工具 1、BT4系统，我用的是这个（已集成破解工具）： 下载地址(网盘) ： dl/6/d4d28eb/BT4(). dl/4/38cd6a9/BT4(). dl/1/939edf9/BT4().电驴下载：ed2，只要无线网卡兼容BT3）。 二、启动BT4系统 方法一、光盘启动，将下载的ISO刻盘，把BT4光盘放入光驱，重启电脑。方法二、安装到硬盘，从硬盘启动。安装方法（安装到XP）：============================================================ 1. 在D盘新建一个BT4的目录,把下载到里面.并修改名字为 请注意:BT4是大写的.文件夹区分大小写 2. 把解压到BT4目录里。 4. 把解压到C盘。 5. 并在启动菜单里加入： c:\grldr="无线网卡破解 BT4 BackTrack 4 Pre Release" ============================================================ 重启电脑后，进入这个介面：
直接按回车进入BT4 ，过会儿提示你输入用户名（root）和密码（toor）。 这个时候输入startx回车进入BT4。
已经进入BT4了。三、启动破解软件
1. 单击桌面spoonwep，弹出“spoonwep settings”设置框： NET CARD：表示选择网卡，卡王选择W LAN0；（我的USB网卡选择RAUSB0）DRIVER：表示选择驱动，卡王选择N ORMAL； MOD：表示是否有目标，一般选择U NKNOWN VICTIM， 2. 点“NEXT”，进入“VICTIMS DISCOVERY”标签：