技能介绍

企业级 Wi-Fi 认证的信任盲区

企业 Wi-Fi 通常采用 WPA-Enterprise (802.1X / EAP) 架构，将身份验证委托给后端的 RADIUS 服务器（通常对接 Active Directory）。与使用预共享密钥（PSK）的个人网络不同，这种架构没有静态密码可供抓取。攻击面转移到了客户端对 RADIUS 服务器证书的信任、内部 EAP 方法的加密弱点，以及证书签发与存储的生命周期。当客户端未能严格校验服务器身份时，攻击者即可建立恶意隧道，拦截企业内部认证。

攻击链路与核心步骤

该技能将复杂的 EAP 攻击标准化为一条清晰的自动化链路：

识别 EAP 方法：通过分析信标帧和初始的 EAP-Request/Identity 交换，确定网络使用的 EAP 类型（如 PEAP、EAP-TLS、EAP-TTLS）。
恶意 RADIUS 接入：针对基于 MSCHAPv2 的内层方法（如 PEAP 和 TTLS），部署 Evil-Twin 和 rogue RADIUS 服务器。由于客户端不验证 CA 链或 CN/SAN，自签名证书会被盲目接受。
捕获与离线破解：在攻击者控制的 TLS 隧道内截获 MSCHAPv2 的挑战-响应（等同于 NetNTLMv1），并将其提交至 rainbow-table 服务（如 crack.sh）进行离线破解，直接还原 AD 域账号和密码。
证书窃取与横向移动：对于使用客户端证书的 EAP-TLS，技能指导如何从 Windows DPAPI、macOS Keychain 或移动设备本地存储中提取私钥，并利用 SCEP/AD CS 配置错误直接签发合法证书，最终借由破解的凭据或证书向 Active Directory 内部渗透。

适用边界与检测规避

此技能专注于协议层面的逻辑缺陷与配置错误，而非底层射频干扰。在实际红队行动中，需注意 defenders 的检测机制：

信号暴露：WIPS 可通过 BSSID 偏移检测恶意 AP，RADIUS 日志会记录异常的认证失败峰值，Windows 终端也会在事件查看器中留下证书不匹配的记录（如 Wi-Fi 11005）。
规避策略：为了降低暴露风险，操作时应严格伪装合法 AP 的 BSSID 和 MAC 地址，尽量获取并使用模仿真实 RADIUS CN 的合法 CA 签名证书，并选择午休或上班高峰期等网络重连密集的时间窗口执行攻击。