技能介绍

问题：多数无线攻击失败在第一步

很多渗透测试把注意力放在 deauth、evil-twin 和握手包破解上，却忽略了真正的前提：你是否掌握这片空域的完整图景。如果不知道目标 BSSID 挂在哪个信道、用的是 WPA2-PSK 还是 WPA3-SAE、PMF 是否启用、周围有多少合法客户端，后续每一次主动操作都可能打错对象、丢帧，或者直接把目标踢进自己的告警里。

这个技能做什么

它把 Wi-Fi 侦察拆成一套可重复执行的流程，原则是先被动、再主动、最后入库记录。

适配器与注入验证：按目标频段和 PHY 选卡。2.4 GHz 单频可用 Atheros AR9271，双频注入选 Realtek RTL8812AU，Wi-Fi 6/6E 需要 MT7921AU 或 AXM 并配合补丁驱动。更关键的是先用邻近 AP 做注入测试，30/30 的 ack 率才算合格，分数偏低说明驱动、天线或位置有问题，先修再打。

监管域设置：正确设置 regdomain 才能解锁合法信道和发射功率，比如美国 2.4 GHz 只有 1–11，5 GHz 为 36–165，日本额外开放 12–13 和 184+ DFS。资料明确强调：只能在授权范围内使用对应的监管域。

多频段被动扫频：抓包落盘后再分析；一旦聚焦某个 BSSID，必须钉在它的信道上，跳频会丢帧。

目标画像：逐项记录 BSSID、ESSID、信道与带宽、频段、加密类型、PMF、RSSI、beacon interval/TIM、OUI 厂商、客户端 MAC 列表和 WPS 状态。这些字段直接决定下一步动作：PMF 决定 deauth 是否有效，WPS 状态判断能否尝试 Pixie Dust，OUI 推断默认口令与已知 CVE，beacon interval 和 TIM 可用于发现 evil-twin 防御的异常。

辅助工具：Kismet 可接 GPS 做 war-driving、按 IE 顺序做指纹、从 OUI 前缀识别 IoT 厂商并标记已知漏洞型号；长期抓包建议用 --no-ncurses 挂在 tmux 下跑。Wigle 提交前需确认任务规则是否允许。

边界与注意点

隐藏 SSID 并不会真正藏住名字，客户端的 probe request 或 association request 都会泄漏，但只有明确授权时才做 deauth，资料中把它指向了独立的 offensive-deauth-disassoc 技能。
纯被动侦察对大多数 WIDS 不可见，但一旦你的网卡发出 probe，新设备进入空域就会被发现；跳频模式和 KARMA 式泛响应同样会暴露自己。保持被动，直到真正进入主动阶段。
所有操作都必须在书面授权范围内，监管域、deauth 和 Wigle 提交都属于这一层。