wifit3 WPS PBC按钮监听：物理按键按下瞬间提取明文PSK的完整流程-平芜编程栈

wifit3 WPS PBC按钮监听：物理按键按下瞬间提取明文PSK的完整流程

【免费下载链接】wifit3Wifite but USB-only & cross-platform.项目地址: https://gitcode.com/GitHub_Trending/wi/wifit3

wifit3 是一款跨平台、仅靠 USB 无线网卡即可工作的 Wi-Fi 审计工具，它的 WPS PBC 按钮监听功能，能在有人按下路由器 WPS 物理按键的约 120 秒窗口内，自动以入网者身份完成 WSC 握手，从 M8 报文中直接提取明文 PSK（Wi-Fi 密码）并保存。本文完整拆解这条"按键按下 → 密码到手"的链路，帮你看懂每个环节在做什么。

一、为什么按一次 WPS 按钮就能拿到密码？

传统观念里，WPS 按键是"安全地让设备连网"的捷径，但它的底层协议 WSC 有个关键特点：

角色对调：按下按钮后，路由器变成 Registrar（登记者，持有凭证），任何在窗口内完成握手的设备都是 Enrollee（入网者）；
没有密码门槛：PBC 模式的"设备密码"是公开常量00000000，双方都能推导出相同的密钥，因此安全性完全依赖 Diffie-Hellman 密钥交换的私密性；
必须主动参与：M8 中的凭证用 KeyWrapKey 加密，被动窃听者没有 DH 私钥、解不开它。所以 wifit3 的策略不是"旁听"，而是抢在合法设备之前完成握手。

这意味着：只要你恰好"在场"，谁按了 WPS 按钮，谁就等于把密码递给了完成握手最快的那个 Enrollee。

⚠️ 请仅在你拥有或已获授权的网络环境中使用，未授权的密码提取在多数地区属于违法行为。

二、被动监听：如何知道按钮被按下了？

wifit3 的检测是常驻且被动的——它不发送任何主动探测，只解析路由器广播的 Beacon / Probe Response 帧中的 WPS 厂商 IE：

信号	含义
`Device Password ID = 0x0004`	设备声明支持 Push-Button 模式
`Selected Registrar = 1`	按钮已被按下，登记窗口开启

两者同时成立时，模型层属性AccessPoint.wps_pbc_active翻转为True（定义见 access_point.py）。这是边沿触发的信号：从 False 跳到 True 的那一刻，就是"有人刚按下按钮"的瞬间。

在 Scanner 界面底部你能看到WPS PushButton auto-invade is enabled (press w to toggle)——w键就是全局监听开关，状态分"关闭 / 选中目标 / 全局"三档（快捷键绑定见 screen.py）。

有个已知盲区：部分路由器只在长按按键期间才广播该信号，少数甚至从不广播。对这种情况，项目提供了主动探测脚本 pbc_probe.py（用--now立即探测）。

三、自动入侵：从窗口检测到发起握手的 3 秒

检测到窗口开启后，Focus 屏幕的每次刷新（tick）都会调用一次"自动入侵判定" _should_auto_invade_pbc，它依次检查：

目标wps_pbc_active为真，且全局 PBC 开关打开；
该路由器没有被用户静默、不是隐藏 SSID；
密码库里还没有它的 PSK（拿到过的就不重复打）；
没有处于重试冷却期（3 秒，见_PBC_RETRY_COOLDOWN_S），也没有其它攻击正在占用无线网卡。

全部通过，_start_pbc_capture 启动WpsPbcCapture编排器（pbc.py），它做的事很干脆：

租约（lease）：把网卡切到目标信道，打开 active-monitor、注册伪造 MAC、打开 ACK 计数；
伪装关联：以随机客户端 MAC 向目标完成 802.11 认证/关联，关联帧尾部带上WPS_REQ_ENROLLEE意图的 WPS IE；
移交状态机：把收发通道交给WpsEnrollee，总超时 40 秒，单帧等待 ACK、最多重发 4 次——弱信号下的丢帧是 PBC 失败的头号原因；
礼貌退场：无论成败，结束前发送 deauth 通知 AP 丢弃自己的 EAP 会话，释放网卡。

界面因此没有"开始 PBC"按钮——只有窗口开启时短暂出现的Stop PBC按钮（PBC 是自动入侵型攻击）。

四、M1→M8 握手：明文 PSK 诞生的完整报文流

WpsEnrollee（enrollee.py）是 PIN 暴力破解流程的"镜像角色"：PIN 攻击里我们当 Registrar、路由器当 Enrollee；PBC 里方向完全反过来——

TX EAPOL-Start ← 敲门 RX WSC_Start / Identity-Req TX M1 (我们的 nonce + DH 公钥 PKe) RX M2 (路由器 nonce N2 + 公钥 PKr) → 双方此刻算出 DHKey = SHA256(g^ab mod p)， 再派生 AuthKey / KeyWrapKey，并用 PBC 常量推出 PSK1/PSK2 TX M3 (E-Hash 承诺，路由器校验我们的身份) RX M4 → TX M5 (交出 E-S1) RX M6 → TX M7 (交出 E-S2) RX M8 ★ 内含 AES-128-CBC 加密的完整凭证 TX WSC_DONE → 用 KeyWrapKey 解开 M8，得到 SSID + network_key（明文密码）

关键就在最后两行：M8 的ENC{S}属性解开后是一个完整的 WSC 凭证结构，wifit3 从中取出ssid与network_key两个字段——network_key就是明文 PSK 本身（enrollee.py）。

期间还有两个工程细节值得注意：

乱序/重传保护：维护highest_mt序号，收到比自己已处理阶段更早的 WSC 消息直接丢弃，防止 AP 重传旧帧把状态机带偏；
重叠会话不认输：若 AP 因检测到多个 PBC 会话而 NACK（config error 12），wifit3 不主动放弃——真实设备才是"重叠方"，抢跑完成握手的一方获胜。

上图是完整成功的样子：日志从WPS PushButton: Window Open — auto-capturing PSK一路推进到M8 → SUCCESS: credential decrypted，顶部亮起✓ WPS PSK recovered，明文密码同时写入captures/<SSID>__wps_pbc.txt。

五、结果落地：密码库、重试与保存

成功后WpsPbcCapture的结局被 Focus 屏幕的 _finish_pbc 收割：

动作	说明
写入密码库	`app.vault.save_wps_pbc(ap, psk)`，之后该路由器不会再被重复攻击
回写模型	`AccessPoint.wps_pbc_psk`记录已恢复的密码（与 PIN 破解结果`wps_pin_psk`分开存放）
失败重试	窗口仍在、且失败源于网络抖动时，3 秒后自动再试一轮
用户终止	Stop PBC 按钮置位`_pbc_user_stopped`，本窗口内不再自动入侵

六、新手上手清单

硬件：需要一张支持注入/监听的 USB 网卡（固件式芯片基本全能跑 WPS；最老的 RTL8187L、RT2500USB 等硬 MAC 芯片在长链路的 WPS 握手上较脆弱）。完整清单见 SUPPORTED-HARDWARE.md；
启动：装好后进入 Scanner，确认底部auto-invade is enabled（必要时按w切换）；
触发：让目标路由器的 WPS 按钮被按下（真实环境即有人连网、装新设备、或执行 WPS 配对的瞬间）；
收割：Focus 视图会自动完成握手并在 LOG 区显示Password for <SSID>: "..."。