简介：一份围绕无线网络安全测试的图文教程PDF，面向网络安全初学者、渗透测试爱好者及网络管理员，系统讲解“奶瓶”（FeedingBottle）无线安全测试工具的完整使用流程。该工具基于Tiny Core Linux构建，相比BT3、BT4更简便易学，已是无线安全测试领域的主流系统之一。读者可按图操作，掌握从制作启动U盘、BIOS引导设置、启动系统、扫描周边无线信号，到抓取握手包并结合EWSA暴力破解工具完成WPA/WPA2密码安全检测的完整链路，适合无线渗透测试入门，也可用于排查自己网络被蹭网的安全隐患。资源为单份PDF文档，共7.44MB，配有逐步截图与操作说明，覆盖环境准备、UltraISO镜像写入、引导文件加载、网卡选择、抓包分析等关键环节，结构清晰，便于边看边练。目前已有134人学习下载，对希望快速上手无线安全测试的读者具有较高参考价值。
1. 无线网络破解工具-奶瓶系统：这套图文教程到底值不值得看
你可能会搜到一本流传多年的《无线网络破解工具-奶瓶系统图文教程知识.pdf》，里面讲的“奶瓶系统”，本质是一个基于 Linux 的图形化无线安全审计工具。它当年流行的原因很简单：把无线网卡切成监听模式、扫描周围无线网络、抓取握手包，全程不用背一长串命令，鼠标点几下就能完成。很多人的无线安全启蒙就是从它开始的。
但先要泼一盆冷水：如果你以为它能像小说里那样“一键破解”所有 Wi-Fi，那是误解。WEP 时代确实能秒破，WPA2/WPA3 完全不是同一个量级。我默认你读这篇内容，是想做正事——评估自家路由器的安全性、给公司授权的无线网络做一次渗透测试、或者在实验环境里搞清楚 802.11 抓包的底层逻辑。不是让你去蹭邻居的网。
适合读的人有三类：无线网络管理员、安全测试方向的新人、以及手头正好有一张老旧 USB 无线网卡、想弄明白“无线抓包到底怎么玩”的折腾党。
2. 奶瓶系统的运行环境与启动盘制作：先把手里的镜像变成能开机的东西
2.1 奶瓶系统、Kali 与 Wifislax：为什么经典老镜像依然是入门首选
奶瓶系统，圈里通常直接叫“奶瓶”，英文对应 Beini 或后续的 FeedingBottle，是一套专为无线网络审计定制的微型 Linux 发行版。它内核里集成了 aircrack-ng 套件的图形化封装，启动后直接进入桌面，打开图形工具就能看到“扫描”“抓包”“破解”几个大按钮。跟 Kali Linux 相比，它的优势是“少而专”：不需要配置环境、不需要装驱动，开机即用，界面路径非常短。
很多新手一上来就用 Kali，结果卡在第一步：无线网卡驱动装不上。Kali 的新内核里很可能已经删掉了老网卡的驱动源码，比如经典芯片 RTL8187L，在老内核里随插随用，在 Kali 里反而识别不到。这算得上无线安全折腾里的一个玄学——越新的系统，对老设备越不友好。Wifislax 是另一个类似选择，集成的工具更多，但界面杂、菜单深，反而容易把人绕晕。
所以我的常见做法是：新手入门用奶瓶系统，等搞懂了 802.11 抓包和握手包的原理，再换 Kali 做进阶测试。它不是最强的工具，但它是让人最快理解“无线安全评估”流程的垫脚石。选型之前，先确认自己手上的 USB 无线网卡芯片，这一步决定了整个方案能不能落地。
2.2 把 ISO 写进 U 盘：Rufus 分区类型与 BIOS/UEFI 双启动避让
奶瓶系统是一个 ISO 镜像，需要在启动时加载进内存，不需要安装到硬盘。所以第一步是把它做成可启动 U 盘。最常见的做法是用 Rufus 在 Windows 下制作，操作总共三步：插入 U 盘、打开 Rufus、选择镜像。
打开 Rufus 后，设备选择你的 U 盘，引导类型选择“光盘镜像文件”，然后点击“开始”。注意这里有一个非常容易翻车的选项：“分区类型”。老版本的奶瓶镜像大多只支持 BIOS 引导，分区类型要选“MBR”，目标系统选“BIOS 或 UEFI”。如果你选了“UEFI 非 CSM”，有些机器会直接提示找不到启动设备，黑屏在那里一动不动。
# 如果你在 Linux 环境下，也可以直接用 dd 写入 # 但请先确认 /dev/sdX 是你的 U 盘，写错设备会毁掉你的硬盘 dd if=beini.iso of=/dev/sdb bs=4M status=progress这段命令解释一下：if=beini.iso指定镜像输入文件，of=/dev/sdb指定输出设备，bs=4M把单次读写块大小设为 4MB，status=progress显示写入进度。dd 是底层按字节写入，不做任何格式检查，所以设备号写错就是不可逆的数据悲剧。我更推荐 Rufus，因为它在写入前会弹窗确认分区表，图形界面对新手友好得多。
启动盘做好以后，重启进 BIOS，把启动顺序改成从 U 盘启动。这里还有一个隐藏坑：老镜像没有 Secure Boot 签名，必须在 BIOS 里关闭 Secure Boot，否则会被直接拦在引导阶段。进入启动菜单的方式通常是按 F12 或 Esc，具体看主板，建议先查一下自己机器的启动快捷键，省得一直停在黑屏界面。
2.3 让 USB 网卡被识别：8187L/3070 芯片与驱动加载检查
奶瓶系统启动后，插上 USB 无线网卡，第一件事是确认系统认出了它。打开终端，输入lsusb，看输出里有没有网卡的 Vendor ID 和 Product ID。如果你用的是经典的 RTL8187L 芯片，通常会显示Realtek Semiconductor Corp. RTL8187这样的字样；如果是 Ralink 3070，则显示Ralink Technology, Corp. RT3070。
再输入iwconfig，查看无线网卡的接口名称。如果出现wlan0或ra0，说明无线网卡已经加载了驱动。如果只有lo和eth0，说明驱动没加载成功。这时可以检查系统模块：
# 查看内核是否加载了 8187 驱动模块 lsmod | grep rtl8187 # 手动加载驱动模块 modprobe rtl8187这几条命令的逻辑是：lsmod列出当前内核加载的模块，grep rtl8187过滤出和驱动相关的模块；modprobe是手动加载驱动。如果modprobe报错，大概率是镜像里根本没有对应模块。这是选型问题的暴露时刻——你的网卡芯片不被这个老内核支持，再怎么折腾都是白费劲。
我把常见芯片和支持情况整理在下面这张表里：
| 芯片 | 常见网卡型号 | 驱动模块 | 监听模式 | 注入能力 |
|---|---|---|---|---|
| RTL8187L | 卡王、FW150US | rtl8187 | 支持 | 支持 |
| Ralink RT3070 | EDUP、磊科 | rt2800usb | 支持 | 支持 |
| Atheros AR9271 | TP-LINK TL-WN722N v1 | ath9k_htc | 支持 | 支持 |
| Intel AX200 | 笔记本内置 | iwlwifi | 支持 | 部分受限 |
这张表能帮你避开一个大坑：不要买最新款网卡配老系统，驱动根本不存在。我的建议是，专门准备一张 8187L 或 3070 芯片的 USB 网卡，几十块钱就能买到，作为无线安全评估的“御用工具”。另外，如果你的操作环境是虚拟机，请直接放弃——虚拟机对 USB 无线网卡的透传支持非常差，很多时候能识别但抓不到包，后面我会专门展开讲。
3. 用奶瓶抓取 WPA 握手包：从扫描到监听的完整操作
3.1 开启监听模式：把普通网卡变成无线信号的黑匣子
无线网卡有两种基本工作模式：管理模式和监听模式。管理模式就是我们日常连接 Wi-Fi 时用的模式，它只会接收与自己关联的 AP 发出的数据。监听模式则把网卡变成一个“黑匣子”，它能收到空中所有同信道的 802.11 帧，不管这些帧是不是发给你的。
要进入监听模式，奶瓶的图形界面里有一个按钮可以直接切，但命令行操作能让你更清楚地看到状态变化，我一般习惯在终端里先跑一遍：
# 启动无线接口的监听模式 airmon-ng start wlan0执行成功后，系统会创建一个新的监听接口，名字通常是mon0，原来的wlan0会被切换掉。可以运行iwconfig确认，看到Mode:Monitor就说明成功了。此时网卡已经不再参与正常的无线连接，它只听不说，所有帧都会被原样接收下来。
这里有一个观念要建立：监听模式不等于攻击。它是一个被动的接收动作，就像把一个收音机调到某个频段，你只是在听，并没有干扰任何人。后面会用到主动干扰的 deauth 操作，那就需要授权边界了。
3.2 扫描周围 AP 并锁定目标：选择信道与目标 BSSID
进入监听模式后，下一步是扫描周围的无线网络。奶瓶图形界面里的扫描按钮，底层调用的就是airodump-ng。命令行下，启动扫描只需要一行：
# 扫描周围所有无线网络 airodump-ng mon0输出会分成上下两个区域：上面是 AP 列表，下面是当前已连接这些 AP 的客户端设备。你要关注的字段有 BSSID（AP 的 MAC 地址）、CH（信道）、PWR（信号强度）、ENC（加密协议）、CIPHER（加密套件）、AUTH（认证方式）。
要抓取某个特定网络的握手包，需要先锁定目标，用信道和 BSSID 过滤，减少抓包文件的体积，否则会把所有信道的无关帧全记下来，文件迅速膨胀，分析起来也痛苦。
# 锁定目标 AP，只抓取 6 信道上的数据帧和握手包 airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w /root/capture mon0-c 6指定监听信道，--bssid指定目标 AP 的 MAC，-w /root/capture是把抓包结果保存到/root/capture-01.cap文件。这样过滤后，终端会显示单一 AP 的信息，而且右下角会多出一个小区域，专门显示握手包的状态。当捕获到 WPA 握手包时，这里会显示WPA handshake: AA:BB:CC:DD:EE:FF的提示。
3.3 抓取完整的 WPA 握手包：为什么必须有客户端在线
WPA/WPA2 的握手包，全称是 EAPOL 四次握手过程。当一台设备连接 AP 时，双方会在几个毫秒内交换四次握手帧，这四帧里包含了验证密码所需的全部关键信息。如果 AP 下面没有任何客户端在线，就没有握手发生，你蹲在边上等多久都等不到。
所以抓取握手包的前提是：目标 AP 下至少有一个正在连接的客户端。先看airodump-ng的下半部分，确认有没有在线客户端。如果没有，或者抓了一阵子还是没看到WPA handshake提示，常见的做法是向客户端发送 deauth 攻击，强制它断开重连，让握手过程重新发生一次。注意，这里必须限定在“你拥有或书面授权的网络”上执行。
# 对指定客户端发送 3 个 deauth 包，迫使它掉线重连 aireplay-ng -0 3 -a AA:BB:CC:DD:EE:FF -c 11:22:33:44:55:66 mon0-0表示发送 deauth 包，3是发送数量，-a是目标 AP 的 MAC，-c是目标客户端的 MAC。发送完 3 个包后，马上回到airodump-ng的界面等待，正常几秒内就会看到WPA handshake的提示。看到提示后，按Ctrl+C停止抓包，/root/capture-01.cap文件里就已经保存了完整的握手数据。
如果你想验证抓包是否真的成功，用aircrack-ng读取一下这个文件：
# 读取 cap 文件，确认是否包含握手包 aircrack-ng /root/capture-01.cap注意这里我只会用它来“读取确认”，输出里如果有一行1 handshake，就说明包抓到了。我不会在这里展开跑字典爆破，因为那一步的真正瓶颈已经不是工具，而是密码强度。后面我会解释为什么这反而说明防御端应该做什么。
3.4 保存 pcap 文件的边界与陷阱：文件编号、切割与清理
airodump-ng的-w参数指定的是文件前缀，它会在同一目录下生成多个文件：capture-01.cap、capture-02.cap……当文件超过一定体积，它会自动滚动切割。我第一次用的时候只复制了-01文件，结果分析半天发现缺了后半部分，握手包在-02文件里，白忙一场。
另外，文件默认格式是 cap，后续用奶瓶图形界面导入时，它只认.cap扩展名，改名时别改成 pcap，虽然两种内容一样，但工具不认识就会报“文件格式错误”。抓完包以后，建议立刻把文件复制到 U 盘或另一台机器上，因为奶瓶系统是内存文件系统，一旦重启，所有数据全部蒸发，没有后悔药。
4. 破解环节的致命陷阱与法律边界：奶瓶系统常见问题避坑指南
4.1 现象：扫描不到 AP，或者信号全是 0
刚进入监听模式时，airodump-ng跑起来满屏都是 0，一个 AP 都看不见，或者只能看到自己家路由器，其他全失踪。这不是工具坏了，而是网卡没有真正进入射频监听状态。
原因有三层：第一，网卡模式切换失败，airmon-ng start wlan0执行了，但物理网卡没有被正确重置，常见于驱动加载不到位的网卡；第二，USB 供电不足，老笔记本的 USB 口输出电流偏低，网卡射频部分没完全工作；第三，信道扫描不完整，如果网卡被某个进程占用，切换后跳不出正常管理状态。
解决路径是：先运行airmon-ng check kill杀掉可能与无线管理冲突的 NetworkManager 进程，然后airmon-ng start wlan0重新切一次；把 USB 网卡换到电脑背面主板的 USB 口，使用短一点的 USB 延长线。信号强度显示为 0 还有一个原因是距离，但更多时候是射频部分没工作，用iwconfig看看Mode:Monitor后面有没有Tx-Power参数，没有说明控制链路没起来。
4.2 现象：deauth 包发了一大堆，客户端就是不掉线
这是我最常被问到的问题之一。aireplay-ng发送 deauth 包后，客户端稳如泰山，连接纹丝不动。
第一个原因是目标网络启用了 802.11w（PMF）保护。PMF 是管理帧保护协议，用来防止伪造管理帧攻击。如果 AP 强制开启 PMF，deauth 这种伪造管理帧会被客户端直接丢弃。这时候你会发现不仅不掉线，甚至客户端列表都消失。第二个原因是信道没对上，airodump-ng已经锁定了 6 信道，但aireplay-ng的命令里没有指定-D参数，它默认在当前信道发，两者不一致，包根本没到目标设备那里。第三个原因是网卡驱动不支持注入，有些网卡能监听但不能发包，表现为发送计数在涨，但实际空口没有射频信号。
解决方法是：使用表 2.3 里列出的支持注入的芯片；确认 PMF 状态后不要硬刚，换一个没开 PMF 的目标；在aireplay-ng命令后加-D跳过主信道检测。如果是在自己的实验室里，直接把 AP 的 PMF 功能关掉再测试，省时间。
4.3 现象：抓到了握手包，但密码怎么都跑不出来
很多教程会给你一种错觉：抓到握手包就万事大吉，插上字典就能跑出密码。现实是，WPA2 的握手包验证过程是将密码与 AP 的 SSID、固定随机数做 PBKDF2 运算，每跑一个密码，都要完整计算一次哈希，速度只有每秒几百到几千次。任何密码，只要不是纯数字短密码，字典跑包都是看天吃饭。
我见过有人用网上流传的几 GB 字典跑了一个月，最后也没跑出来，因为目标密码里带了大小写、数字和符号，组合空间大到没有字典能覆盖。这不是奶瓶系统的局限，而是 WPA2 设计上的抗离线破解特性。反过来说，如果随便就能跑出来，说明这个密码本身设置得太弱。这一条是全篇最重要的防御论据：真正能保护你的不是工具，而是密码强度。
我在实际操作中，抓到握手包后只做验证，确认“这台路由器没有用 WEP、没有开 WPS、没有用默认密码”，然后就把测试结果写进报告。攻击面测试已经完成了，再用超算去跑密码，在工程上是没有意义的。破解这个概念，在网络安全评估里从来都不是目的，它只是用来验证弱密码是否存在的探针。
4.4 现象：在 VMware 虚拟机里能识别网卡，但一直抓不到握手包
这是新手最容易走进的死胡同。很多人在 Windows 里装 VMware，再把奶瓶 ISO 加载成虚拟机，想着“这样不就能边用 Windows 边测试了吗”。实际一跑，网卡能被lsusb看到，但airodump-ng扫不出任何 AP，或者抓包文件里全是空无线帧。
原因很简单：VMware 对 USB 无线网卡的透传，是把 USB 设备整体交给虚拟机驱动，但无线网卡的射频管理和实时传输要求极低延迟，虚拟机的中断调度和 USB 轮询机制满足不了，导致大量射频帧丢失。更关键的是，虚拟机里的网卡无法可靠地切换到监听模式，驱动层对 Monitor 模式的支持在虚拟化环境下极不稳定。
解决方法是：放弃虚拟机，直接插 U 盘物理机启动到奶瓶系统。没有第二个好办法。物理机启动后，无线网卡直接和硬件对话，抓包质量才有保障。如果你只有一台电脑但不想离开当前环境，那就用双系统或者另一台旧电脑，而不是在虚拟机里耗时间。
4.5 现象：图形界面按钮点了没反应，命令却能正常执行
奶瓶图形界面本质是对底层命令的二次封装，但它封装得并不完整。有些按钮在特定内核版本下会崩溃，比如扫描按钮点了没反应，或者抓包界面卡死。
原因可能是界面进程和底层进程的状态不同步，图形按钮调用的命令已经被后台执行了，但界面没有刷新；也可能是界面依赖的外部库文件缺失，老系统里很正常。遇到这种情况，我的习惯是直接切到终端用命令行操作，因为图形界面再友好，出了问题你也不知道它内部干了什么。命令行是唯一能看清状态的地方。如果你有心深入，建议所有操作都先在命令行里跑通一遍，再回到图形界面验证结果。这和修车一个道理，自动诊断仪再方便，最后还是得打开机盖看链条。
5. 用奶瓶反向加固你的无线网络：验证自己家的路由抗不抗打
5.1 从握手包看安全基线：加密算法比密码长度更要紧
抓到自己家路由器的握手包以后，回到airodump-ng的输出里看两栏：ENC 和 CIPHER。如果显示WPA2和CCMP，说明加密方式是及格线；如果显示WEP或者WPA+TKIP，那么密码再长也没用，算法已经过时。WEP 的密钥可以在几秒内被推算出来，TKIP 也被证明存在严重弱点，这个信息比密码本身更能说明问题。另一个要检查的是 WPS 功能，如果路由器支持 WPS PIN 码，且状态是开启，这就是比握手包更大的风险入口——PIN 码只有 8 位且最后一位是校验位，穷举规模小到可怕。
5.2 给自家路由做 3 分钟体检：一条命令看清无线安全等级
进入监听模式、扫描、看自家 AP 的加密参数，用到的命令就是前面章节那一套。我把完整流程压缩成 3 分钟版本：
airmon-ng start wlan0 airodump-ng mon0跑起来后在 AP 列表里找到自己的 SSID，看 ENC 是不是 WPA2，看 AUTH 是不是 PSK，再看路由器后台里 WPS 是否关闭。确认这三项，家里的无线网络就完成了基本体检。测试结束后，记得用airmon-ng stop mon0把网卡切回管理模式，再清理抓包文件，避免敏感数据留在磁盘里。
5.3 给折腾之路一个交代
我自己第一次做无线安全测试时，抓的是我前公司的内部 Wi-Fi，没有提前打招呼。当时只想验证一下 AP 是否开放了 WPS，结果被网络管理员当场抓到，被拉去谈话。那之后我做任何测试都先写好授权申请，或者只对着自己家路由器动手。技术上再熟练，边界感才是这行最重要的习惯。这篇内容如果能让你的无线网络少一个弱密码漏洞，或者让你对 802.11 抓包多一分理解，那就值了。希望帮到你。
本文还有配套的精品资源，点击获取
