从手动命令到自动化：WEF无线安全测试框架完全实战指南

WiFi测试这行，很多人一开始都栽在“工具接力”上。你airodump-ng扫完信道，要切换aireplay-ng去踢客户端，然后还得回来抓包，中间的终端窗口切换、参数记忆、cap包格式转换，能把人绕晕。整套流程我跑了上百次之后，第一次拿到WEF（WiFi Exploitation Framework）这个开源框架时，第一反应是——终于有人把这堆活儿打包成菜单了。它相当于一个把aircrack-ng、reaver、beef、fluxion这类分散工具统一编排的自动化框架，定位非常明确：让你在授权测试场景下少敲无效命令，把精力放在结果分析上。今天这篇就把它从部署到实战、从原理到排错，完完整整拆开讲一遍，适合刚接触无线安全测试的初学者，也适合已经在用命令行工具但想提升效率的进阶玩家。

1. 先搞清楚WEF到底是什么

1.1 手动测试流程里的那些“隐形时间成本”

先说一个很现实的问题：为什么需要WEF这类框架？我见过很多新人，学无线测试时第一件事就是背命令。airmon-ng start wlan0、airodump-ng wlan0mon、aireplay-ng -0 10 -a AP_MAC，这些命令本身不难，难的是整个流程的“衔接”。一次完整的WiFi测试，至少包含扫描、抓包、Deauth、破解、钓鱼这几个环节，每个环节涉及的工具都不同，参数格式也不一样。

更麻烦的是，工具之间的输出结果是割裂的。airodump-ng抓到握手包之后，你要拿cap文件去跑hashcat，但hashcat不认老格式，得先用工具转成22000格式。中间任何一步出错，都要回头排查。我早期做测试时，光是在“确认网卡真的处于监听模式”“确认deauth确实让客户端掉线”这两个问题上就反复折腾过很多次。WEF这类框架解决的，正是这种“流程编排”的痛点：把每个阶段需要的工具封装成模块，用交互式菜单串联起来，让你不用在多个终端窗口之间来回切换。

1.2 WEF的架构思路是“编排”而不是“重写”

很多新手会误解框架的意思，以为WEF重新发明了一套攻击引擎。实际上它并没有。WEF的核心逻辑是任务编排，它像一位现场指挥，把aircrack-ng、reaver、beef、fluxion等底层工具调度起来。你通过菜单选择要执行的动作，WEF自动调用对应工具、自动设置参数、自动处理中间产物，最后把结果汇总反馈给你。

这种设计的好处很明显。第一，底层工具都是社区反复验证过的成熟项目，稳定性有保障；第二，你不用修改任何攻击逻辑，WEF只是负责“什么时候调用谁、怎么传参、怎么处理输出”；第三，整个框架是Python写的，跨平台性好，想要定制的人也可以直接改脚本，扩展成本低。用个生活化的比喻：手动测试像是自己买菜、切菜、颠勺，每一步都必须亲力亲为；WEF更像是一份自动烹饪程序，食材和锅具还是那套，只是流程帮你编排好了，你只需要盯着火候。

1.3 WEF都能干些什么

WEF的功能覆盖范围比很多同类框架要广，它不止做WiFi攻击，还整合了蓝牙探测和信息收集。我整理了当前版本里比较核心的功能模块，供你对照参考：

不过要提醒一句，功能覆盖广不代表每个模块的深度都优于专业单点工具。WEF的价值在于把常用操作“标准化”，而不是在每一项上都做到极致。如果你要做的测试比较特殊，比如需要高度定制的攻击脚本，那还是直接用底层工具更灵活。

2. 环境准备：从一枚网卡到完整部署

2.1 无线网卡选型是成败的第一道坎

用WEF之前，先掂量一下手头的无线网卡。这不是随便拿个内置网卡就能玩的事。WEF的攻击模块，尤其是监听模式（monitor mode）和数据包注入（packet injection），对网卡芯片有硬性要求。普通笔记本自带的Intel无线网卡，很多型号虽然能扫描，但注入功能残缺，甚至根本无法进入监听模式。

我这几年用下来，最省心的芯片是Atheros AR9271和Ralink RT3070，这两个算是老牌“神卡”，虽然速率只有150Mbps左右，但监听和注入的支持非常完整，驱动在Kali里也是开箱即用。Realtek RTL8812AU系列是另一个常见选择，支持5GHz频段和更高的吞吐，但驱动有时候需要手动编译。Intel AX210这类新芯片，日常上网体验好，但在监听模式下容易因为驱动层面的限制丢包，我一般不建议拿来做主力测试卡。

选卡的时候还要看一眼天线接口。带外置天线的网卡，信号接收能力会强不少，尤其在抓远距离握手包时，差一个天线可能就是“抓得到”和“抓不到”的区别。另外，USB网卡对供电很敏感，插在USB 3.0接口上通常没问题，但接在延长线或者USB Hub上就可能出现断流。我的习惯是给测试网卡配一个独立供电的USB Hub，能省掉很多莫名的故障排查时间。

2.2 基础系统与依赖安装

WEF对操作系统的要求不算苛刻，但我还是建议直接用Kali或者Parrot这类预装安全工具的发行版，能省去大半折腾的时间。如果你用Ubuntu或Debian，需要手动补齐工具链。在动手装WEF之前，先把基础依赖装好：

sudo apt update sudo apt install aircrack-ng hashcat reaver fluxion beef-xss hcxtools hcxdumptool -y

这里有几个细节值得说一下。aircrack-ng是核心，抓包和Deauth全靠它；hashcat用于离线破解，如果你想用WEF一键调起破解流程，必须提前装好；hcxtools和hcxdumptool是PMKID抓取的关键；beef-xss服务于钓鱼接管模块。Python环境方面，WEF要求Python 3.8以上，Kali自带的版本通常都没问题。

装好后建议先跑一遍airmon-ng验证网卡能被识别。插入USB网卡，执行iwconfig，看到类似wlan0的接口名就算识别成功。然后执行sudo airmon-ng start wlan0，如果接口名变成wlan0mon，说明监听模式切换成功。这一步如果报错或者不出现mon后缀，先别急着装WEF，先把驱动和网卡问题解决掉，否则后面每一步都会卡壳。

2.3 WEF的安装与更新

WEF安装本身不复杂，核心就是把项目克隆到本地，然后跑一个依赖检测脚本：

git clone https://github.com/D3Ext/WEF.git cd WEF sudo chmod +x install.sh sudo ./install.sh

安装脚本会自动检测你系统里缺失的工具，并尝试补装。我在干净系统上跑过一次，脚本会花几分钟装依赖，看到“安装完成”之类的提示就说明成功了。启动方式是：

sudo python3 wef.py

注意这里必须用sudo，因为大部分攻击操作需要root权限。如果启动时报ModuleNotFoundError，多半是Python依赖不完整，执行pip install -r requirements.txt补一下就行。另外WEF自带更新命令，在菜单里可以找到升级入口，或者直接git pull拉取最新代码。我个人建议每次正式测试前都更新一次，因为底层工具接口偶尔会有变动，旧版WEF可能调不动新版本的aircrack-ng。

2.4 首次启动：理解WEF的菜单逻辑

WEF启动后会进入一个交互式界面，看起来和很多老式渗透工具一样，用数字编号选择功能。首次启动时，它会让你选择要操作的无线网卡接口，输入监听模式下的接口名（比如wlan0mon）即可。主菜单大概长这样：

[0] - Exit [1] - Start WEF (start the framework in background) [2] - WiFi Attacks [3] - Bluetooth Attacks [4] - Information Gathering [5] - Update WEF

“Start WEF”这个选项很关键，它是把框架的监控功能跑起来，让WEF实时分析网络状态。“WiFi Attacks”是核心菜单，里面又分了Handshake、PMKID、Evil Twin、WPS等子选项。“Information Gathering”可以看作侦察辅助，用来收集目标环境的基础信息。需要说明的是，不同版本菜单细节可能会有出入，但整体逻辑是一致的。第一次上手，我建议你先把每个子菜单都点开看一眼，不用急着执行攻击，先弄清楚每个选项对应的是哪个底层工具，这样后续自己调试时心里有数。

3. 核心攻击模块的实战拆解

3.1 目标侦查：扫描结果怎么看、怎么选

任何测试都从侦察开始，WEF的扫描模块本质上是调用了airodump-ng，但把输出整理得更友好。执行扫描后，你会看到类似这样的关键信息：BSSID（AP的MAC地址）、ESSID（网络名称）、信道（Channel）、加密方式（WPA2/WPA3等）、信号强度，以及当前连接的客户端列表。

看扫描结果时，我一般先关注三件事。第一，加密方式是什么——WPA2-PSK还是WPA3，这直接决定了后续用握手包还是PMKID路线；第二，信号强度——信号太弱的AP，即使抓到了握手包，解码成功率也会受限于抓包质量；第三，客户端数量——如果某个AP下面挂了多个客户端，说明这是一个活跃的目标，Deauth之后重新抓握手包的成功率会更高。对隐藏SSID的网络，扫描结果里ESSID可能显示为空或乱码，但BSSID是固定的，你可以先锁定BSSID，再通过抓取客户端主动发起的Probe请求来还原网络名。WEF的扫描模块有被动观察模式，让它多监听一段时间，隐藏SSID通常会慢慢暴露出来。

3.2 四次握手捕获：WEF如何把“手动挡”变成“自动挡”

握手包捕获是整个WPA2测试里最核心的一环。先简单说一下原理：当客户端连接AP时，双方会进行四次握手（4-way handshake），在这个过程中，AP和客户端基于预共享密钥（PSK）派生出一个成对主密钥（PMK），再通过双方交换随机数生成加密用的成对临时密钥（PTK）。四次握手的报文中带着认证参数和消息完整性校验码（MIC），你如果能抓到这四步报文，就能离线用字典去猜PSK。

问题是，握手包不会凭空出现。如果目标网络里当前正好有客户端正在连接，你可以被动监听抓到；但更多时候，客户端已经连上了AP，不会主动执行四次握手。这时候就需要Deauth攻击，伪造客户端掉线，逼它重新连接，从而产生新的握手包。手动流程是先开airodump-ng监听，再开另一个终端跑aireplay-ng发送Deauth，还要控制发送轮次，确保在客户端重连的瞬间抓包。WEF把这个过程压缩成了一个选项。

在WEF的子菜单里选择Handshake捕获，它会依次让你确认目标AP和客户端，然后自动完成开监听、发Deauth、持续抓包这三个动作。你只需要盯着屏幕看是否出现“WPA handshake”提示。这里有个经验之谈：Deauth别连续狂轰，控制好节奏更重要。长时间持续发送会让客户端反复掉线重连，可能最终选择不连这个AP了，或者干脆等风暴结束再连。我建议短促几轮、隔几秒再来一轮，逼重连的同时给客户端留出重试窗口。另外，WEF默认的Deauth轮次可能偏保守，如果你抓了几分钟都没拿到握手，可以在设置里把Deauth轮次调高一点，但别超过15次。

3.3 PMKID攻击：没有客户端在线时的新思路

如果你的目标AP旁边一个客户端都没有，传统握手包路线就直接废了。这时候PMKID是更优雅的方案。PMKID全称是Pairwise Master Key Identifier，是AP在收到客户端发起的连接请求后，回复给客户端的一个字段。它的计算公式是基于PMK、AP的MAC和客户端的MAC，经过HMAC-SHA1派生出来的。一个还不错的消息是，PMKID报文是AP主动发出的，不依赖客户端在线，也就是说，你只要靠近目标AP，并主动发起一次连接请求，就有机会捕获到包含PMKID的报文。

WEF的PMKID模块，底层跑的是hcxdumptool和hcxpcapngtool。它的流程大致是：把无线网卡切到监听模式，发送一个探测请求，监听AP回复的PMKID消息，并把抓到的报文保存成pcapng格式。拿到PMKID后，再把它转换成hashcat可用的格式，离线跑字典。

用生活化的类比来说，握手包相当于“你亲眼看到两个人在对暗号，你把这个暗号过程录音了，之后回家慢慢破译”；而PMKID攻击更像是“你直接问对方要了一块拼图碎片，不需要完整拼图，只要这块碎片就能回去试所有的拼图块”。这个优势在自动化渗透测试里非常明显：不需要长时间蹲守客户端，抓取时间大幅缩短。当然，PMKID攻击也不是万能的，个别老AP或配置了某些安全策略的路由器不会发送PMKID字段，遇到这种目标，还是得回去老老实实抓握手包。

3.4 Evil Twin钓鱼：从破解到诱导的“降维打击”

有些场景下，攻击者并不一定要破解密码，诱导目标主动“交出”密码可能更高效。Evil Twin攻击的思路是：复制一个和目标AP同名（ESSID）、同MAC（BSSID）的“邪恶双生子”AP，然后用Deauth把目标客户端从真实AP上踢下来。客户端掉线后，会自动尝试重新连接信号最强的同名网络，一旦连上你伪造的AP，流量就全部经过你的设备了。

WEF集成了Evil Twin功能，底层调用的是fluxion和mana-toolkit这类框架。它会自动完成克隆AP配置、设置DHCP服务、构造钓鱼页面这几个步骤。比较常见的钓鱼手段是伪造一个路由器登录页或认证页面，提示用户“固件升级，请重新输入WiFi密码”。只要目标用户在页面上输入了密码，密码就直接出现在你的屏幕上。

这个模块操作起来虽然“一键化”，但有几个细节直接影响效果。第一，信道要和目标AP保持一致，否则客户端会因为信道不对而拒绝连接；第二，伪造AP的信号强度最好高于真实AP，这样客户端重连时会优先选择你的热点；第三，如果目标环境里有多台同型号AP，你克隆的BSSID最好和真实设备完全一致，否则有些客户端会识别出“虚无线”。另外，苹果和安卓新版系统对“同名同MAC但加密方式不匹配”的AP会有提示，这属于Evil Twin的天然限制，要接受它做不到100%成功。

3.5 浏览器接管：BeEF与钓鱼页面的联动

Evil Twin拿到了密码只是第一步，更深的测试还会把钓鱼页面变成“浏览器木马”的投递点。BeEF（Browser Exploitation Framework）是一个专门针对浏览器的攻击框架。它的核心能力是在页面上嵌入一段JavaScript“钩子”代码，目标用户只要用浏览器打开了这个页面，他的浏览器就会被这个钩子控制住。

WEF对BeEF做了整合。在Evil Twin攻击的配置阶段，你可以指定要注入的BeEF Hook脚本。目标用户在假认证页输入密码后，无论是否跳转到一个“成功”页面，钩子都已经在后台加载。之后你打开BeEF的控制面板，就能看到目标的浏览器在线，可以对它发起各种模块化攻击——比如获取浏览器版本、读取Cookie、截取表单数据、发起钓鱼弹窗等。

要注意的是，BeEF本身的启动比较吃资源，而且默认绑定在本地端口。WEF调用BeEF时，如果端口被占用或者BeEF服务没起来，界面会报错。我遇到过几次这种情况，解决方案很直接：手动先把BeEF服务启动起来，确认Web面板正常访问后，再回到WEF菜单里配置Hook注入。另外，BeEF的很多浏览器漏洞利用模块对现代浏览器已经失效，现在更多是把它当作“控制跳板”来追踪目标浏览行为，或者配合社会工程学进一步诱导。

3.6 WPS爆破：老路由器的“后门”

WPS（WiFi Protected Setup）的本意是为了简化设备接入流程，用户按一下路由器上的按钮，或者输入一个8位PIN码就能连接设备。问题出在这个8位PIN码的设计上：前4位是一段，后3位是一段，最后一位是校验位，而且路由器对PIN校验没有严格限制尝试次数，这就意味着攻击者最多只需要尝试11000种组合就能破解。更糟的是，即使路由器开启了WPA2密码，WPS PIN依然单独有效，只要PIN被破，直接就能拿到网络密码。

WEF的WPS模块底层调用reaver。使用流程也不复杂：先开启wash扫描，探测附近有哪些AP开放了WPS；然后选定目标，启动PIN爆破。一个PIN尝试大概需要几秒到十几秒，取决于AP响应速度和队列策略，最坏情况可能要跑十几个小时。实际测试中，大部分路由器会在连续失败若干次后开启锁死机制，所以WPS爆破讲究的是“耐得住性子”，WEF也会自动处理一部分重试和等待逻辑，但你不要指望20分钟就出结果。由于WPS漏洞在近几年新出的路由上已经基本被封堵，这个模块更多是用于验证存量设备的安全性。

4. 离线破解的效率调优

4.1 把抓到的握手包变成hashcat能吃的格式

抓到了握手包，离拿到密码还差一步——离线破解。这里的核心是把pcap格式的报文，转换成hashcat支持的哈希格式。WEF的Handshake模块在抓到握手包后，会生成一份cap文件。你可以直接用aircrack-ng去跑弱密码字典，但如果你想利用GPU的破解速度，我建议转成22000格式。

转换工具有两种常见选择，一个是hashcat自带的cap2hashcat工具，另一个是hcxtools套件里的hcxpcapngtool。我自己习惯用后者，因为它的兼容性更好，能同时处理传统cap和新的pcapng格式。转换命令大致是：

hcxpcapngtool -o hash.hc22000 target.cap

如果target.cap里确实包含了有效的四次握手报文，转换会成功，并且你能在输出的哈希文件里看到类似WPA*01*...格式的条目。老手都知道一个口诀：如果哈希文件里没有内容，说明抓到的不完整，别急着破解，回去补抓包更实际。另外，有一个细节要注意：世界上最强的字典也救不了垃圾抓包。如果抓包时漏了某一个握手帧，或者报文里MIC校验值有误，转出来也是无效哈希。所以，抓包阶段多花几分钟确认“WPA handshake”提示，比后续破解阶段省下的时间划算得多。

4.2 字典、规则与掩码：破解速度的“乘法器”

拿到哈希后，破解效率取决于三件事：字典质量、规则引擎、GPU算力。WEF通常会调起hashcat，并允许你指定字典路径。默认词典如rockyou.txt是一个起点，但它只是起点而已。我自己在授权测试中，通常会准备几份针对性更强的字典：一份是目标环境相关的个人信息衍生字典，比如公司名称、门牌号、电话号段加常见后缀；一份是常用弱密码的经过动态规则扩展的版本；再一份是长密码字典，专门对付那种“password123”式组合。

hashcat规则是提速的核心。同样的字典，不加规则和加规则，破解效率能相差一个数量级。比如best64.rule这套规则，会在每个基础词上附加大小写变换、前后缀添加、常见数字替换等64种变体。启动破解的命令格式类似：

hashcat -m 22000 hash.hc22000 rockyou.txt -r best64.rule

GPU的选择也很关键。拿NVIDIA的消费级显卡举例，一张中高端显卡跑WPA2的算力可以达到几百万次每秒的哈希计算。但这不是线性递增的，因为WPA2的哈希过程涉及多次PBKDF2-HMAC-SHA1迭代，本身就是有意设计成“算得慢”的。所以实际测试时，如果目标密码强度较高，我建议先跑一遍快速的小字典，确认不是弱密码，再挂上大字典和规则，让它慢慢跑。

4.3 破解失败时，与其挂机不如回去看现场

有一类情况很常见：跑了几个小时字典，一个都没中。这时候别急着加更大字典，先倒回去想想密码是否在字典覆盖范围内。WPA2密码至少要8位，很多家庭路由器的密码是纯数字8位，理论上掩码攻击可以覆盖，但组合空间巨大，纯靠GPU也不现实。我碰到这种情况，会优先考虑两条路。第一，继续扩大Recon范围——回到目标现场，看看有没有其他泄露渠道，比如路由器背面贴纸（测试设备）、管理员默认密码、或者目标组织惯用的密码构造规则；第二，考虑社会工程学路径，比如直接观察目标办公室或家里的便签纸（当然这在授权测试中要格外谨慎，不能越界）。

还有一个小经验：如果你的GPU在破解时温度过高，功率不稳，速度会急剧下降。我遇到过一张显卡，刚开始跑每秒三百万次哈希，跑了十分钟降到一百多万次，检查发现是供电不足。给显卡固定的功耗上限，反而能维持稳定输出。这种情况下，慢而稳比快而抽风更有效率。

5. 常见问题与实战排错

5.1 故障速查表

WEF使用过程中遇到的问题，七成集中在网卡、抓包、依赖这三类。我把高频问题整理成一张速查表，你可以直接对照排查：

5.2 三个容易劝退新手的隐蔽深坑

第一个坑是射频管制域（regulatory domain）问题。不同国家和地区的无线电管理法规不一样，无线网卡会根据系统区域码限制可用信道和发射功率。如果你把区域码设成了信道受限的区域，那你扫描时可能只看到1到11信道，但目标AP工作在13信道，你就直接“瞎”了。排查方式很简单，执行iw reg get查看当前区域，可以把区域临时改到信道全开的国家，比如iw reg set BO（这是测试环境常规操作，但注意要符合你所在地区的法规）。

第二个坑是USB供电和虚拟机的网卡转发。你在一台实体机上把网卡插好后，WEF扫得飞快，一旦放到虚拟机里，就频繁掉线、抓包断流。这往往不是软件问题，而是虚拟机没有把USB设备直通给Guest系统，或者USB控制器带宽不够。如果一定要在虚拟机里做测试，务必确认USB控制器直通设置，并把网卡接在独立USB控制器上，不要和鼠标键盘抢带宽。

第三个坑是WPA3网络的握手抓取。WPA3的握手流程与WPA2有本质区别，它采用的是SAE（Simultaneous Authentication of Equals）协议，没有传统意义上的四次握手，很多老工具直接傻掉。WEF的部分模块虽然标注支持WPA3探测，但实际效果有限。遇到WPA3目标，别在抓包步骤上死磕，要么换Evil Twin路线诱导降级，要么把它标成“低可测性目标”记录在案。

5.3 抓不到握手包时的完整排查流程

我第一次用WEF时，最常遇到的就是“Deauth发了半天，它就是不出握手”。后来总结出一套排查流程：第一步，确认网卡确实处于监听模式，接口名是wlan0mon而不是wlan0；第二步，确认扫描到的AP信道和当前监听信道一致，很多网卡默认只监听信道1，目标在信道6时必然抓不到；第三步，确认Deauth的目标MAC正确，如果目标AP开启了客户端隔离，Deauth可能只会踢掉一个客户端，但其他客户端不受影响；第四步，确认抓包进程一直在运行，不要因为界面卡顿就以为它在工作；第五步，换一个客户端目标，或者在同一信道下换一个AP试试。

这套流程走完，百分之八十的问题都能定位。如果所有环节都正常但依然抓不到，那就需要考虑是不是目标AP对Deauth做了防护，例如802.11w管理帧保护。这种情况下，你可以尝试“被动等待法”——关掉Deauth，把监听时间拉长到半小时以上，等待某个客户端自然掉线重连的时机。虽然慢，但往往才是最可靠的方式。

6. 我建议的WEF使用节奏与几条经验

WEF这类框架最大的意义不是教你攻击，而是帮你把标准化测试流程沉淀下来。我自己的使用节奏是：拿到一个授权测试项目后，先用WEF的信息收集模块做一轮快速侦察，把目标环境的AP分布、加密方式、客户端活跃时段摸清楚；然后根据目标特征选择Handshake还是PMKID路线；抓包成功后再用hashcat做离线破解。整个过程，WEF承担了“快速搭建流程”的角色，但关键决策——比如选定哪个目标、采用哪条攻击路径、如何评估破解结果——仍然需要人来判断。

在多次实践中我养成了几个习惯，供你参考。第一，WEF的自动Deauth轮次我会手动调低，宁可多等几分钟，也不要把目标环境折腾得过于异常，这既是测试礼仪，也是为了避免触发目标的入侵检测机制。第二，每次测试前给网卡重新插拔一次，避免USB口因为系统唤醒导致驱动状态异常。第三，WEF会的底层工具我都会手动跑一遍，因为框架隐藏了细节，但如果出了问题，我依然得回到命令行去诊断，对底层命令的熟悉程度决定了你排错的速度。

最后再分享一个小技巧：用WEF抓包时，尽量同时开两个监听端，一个锁定在目标AP所在信道持续抓包，另一个用WEF的自动扫描模式做全信道巡游。这样即使目标AP动态切换信道，你也不会漏掉握手时机。这个技巧在WEF的菜单里没有直接对应的选项，但无线测试的本质就是这样——工具帮你缩短路径，但真正决定成败的，始终是你对网络协议的理解和对现场环境的判断。测试设备是自己买的、网络环境是授权的，怎么折腾都行；别人的网络，务必先拿到书面授权。这既是对这个行业规则的尊重，也是保护你自己的底线。