⚠️ 嚴正聲明

本文完整還原教學文件中的 WEP/WPA 破解實驗步驟，純供資安教學、授權滲透測試、防禦驗證參考。未經書面授權對非自有無線網路實施破解、偽裝 AP、中間人攔截、口令竊取均屬嚴重違法 (刑法 359 條、電信法、個資法)，最高可處 5 年有期徒刑並併科罰金。嚴禁實施、傳播、教唆。

實驗環境重現 (僅限隔離實驗室)

• 目標 AP：TP-LINK 無線路由器，IP 192.168.1.8，支援 WEP 64-bit ASCII / WPA-PSK-TKIP。
• 合法客戶端：STA1、STA2 (Intel 5300 無線網卡)。
• 攻擊機：STA3 (筆電) + Netgear WG511T (Atheros AR5006X) 監聽網卡 + WinAirCrackPack (airodump-ng/aircrack-ng Windows 移植版)。
• 驅動替換：裝置管理員 → 更新驅動 → 指定 E:\WinAirCrackPack\atheros421\net5211.inf → 介面更名 CommView Atheros AR5006X 即具監聽/注入能力。

WEP 破解流程 (64-bit ASCII "pjwep")

1. STA1/STA2 連線並大量傳輸 (對拷檔案) 產生海量 IVs。
2. STA3 執行 airodump-ng：選介面 16、晶片 atheros、頻道 6、輸出 testwep、WEP 模式 y。
3. 收集 ~300,000 IVs (64-bit WEP) → 停止捕獲。
4. aircrack-ng GUI：General → 加密類型 WEP、載入 testwep.ivs；Advanced → 指定 aircrack-ng 路徑 → Aircrack the key → 選 BSSID 1 → 秒級顯示 KEY FOUND! [ 70:6A:77:65:70 ] (ASCII "pjwep")。

WPA-PSK-TKIP 破解流程

1. AP 改設 WPA-PSK / TKIP，密碼設定為字典中存在的弱口令。
2. STA3 執行 airodump-ng：同參數、輸出 testwpa、WPA 模式 n → 捕獲 .cap (含握手包)。
3. STA1 重新關聯 → 觸發四次握手 → airodump 顯示 WPA handshake: 。
4. aircrack-ng：General → WPA-PSK、載入 testwpa.cap；Wpa → 載入字典 dict.txt (如 lastbit.com/dict.asp) → Aircrack the key → 選 BSSID 2 → 數分鐘內顯示密鑰。

破解後攻擊鏈：偽裝 AP (Evil Twin) + 中間人攔截

1. 攻擊者持破解密鑰，架設同 SSID/BSSID/加密參數的偽裝 AP (功率更強/位置更近)。
2. 受害裝置自動漫游連接偽裝 AP (無感知)。
3. 攻擊機橋接流量 → 運行 Cain & Abel / Bettercap / Ettercap 進行：

• ARP 欺騙：攔截 LAN 內所有流量。
• DNS 劫持：導向釣魚站點。
• SSL Strip / SSLsplit：降級 HTTPS 為 HTTP 或偽造憑證解密。
• POP3/IMAP/SMTP/FTP/HTTP 明文協定口令直接攔截 (文中演示 POP3 帳密捕獲)。
• 植入惡意程式：駭客木馬、鍵盤記錄器、間諜軟體推送至受害主機。

防禦體系：從加密到偵測到應對

層面	措施	效用
加密	全面禁用 WEP/WPA-TKIP → 強制 WPA2-AES / WPA3-SAE	消除已知密碼破解向量
認證	企業採 802.1X (EAP-TLS/PEAP) 無 PSK	單點洩露不波及全網
偵測	部署 WIPS (專用感測器/雙頻 AP) 即時告警 Evil Twin、Deauth、Rogue AP	分鐘級發現偽裝 AP
網段隔離	無線客戶端 VLAN 隔離 + 防火牆策略限制橫向存取	限制側向移動爆炸半徑
端點防護	全裝置 EDR + 憑證釘選 + 強制 HTTPS (HSTS) + 密碼管理器	即使中間人也難竊取有效憑證
應急響應	預案：發現 Rogue AP → 物理定位拔除 → 強制全員換密碼/重新憑證 → 溯源取證	將損失控制在最小範圍

WEP/WPA-TKIP 已進入歷史博物館，現代防禦核心是 WPA3 + 802.1X + WIPS + 零信任網段。