在家庭和小型办公网络的日常维护中，我们经常面临这样一个挑战：如何让非技术背景的用户（比如家人或同事）快速、安全地将设备连接到 Wi-Fi 网络？标准的连接流程通常要求用户手动选择网络名称 (SSID) 并输入一长串复杂的 WPA2 密码。这对普通用户来说既繁琐又容易出错。
为了解决这一痛点，行业推出了 Wi-Fi Protected Setup (WPS)。在本文中，我们将深入探讨 WPS 的工作原理、不同的连接模式（按钮、PIN、NFC 等），以及为什么尽管它简化了流程，作为开发者和系统管理员，我们仍需对其安全性保持警惕。
WPS 是什么？
Wi-Fi Protected Setup (WPS)，最初由 Wi-Fi 联盟推出，旨在简化无线网络安全设置的过程。它的核心目标是让用户无需记住复杂的 SSID 或 WPA2-PSK 密钥，就能建立起受保护的无线连接。
WPS 仅适用于使用 WPA Personal 或 WPA2 Personal 安全协议的网络。值得注意的是，由于“有线等效隐私”（WEP）协议极其脆弱，极易被基础黑客工具破解，WPS 标准并不支持在 WEP 网络上运行。
为什么我们需要 WPS？
想象一下，当我们试图连接一台没有键盘的设备（如无线打印机或中继器）到网络时，手动输入密码几乎是不可能的任务。WPS 通过标准化的交互流程，解决了以下问题：
- 用户体验优化：用户无需输入长达 64 位十六进制的 PSK 密钥。
- 设备兼容性：为受限输入设备（如打印机）提供了连接方案。
- 自动化配置：自动广播网络名称 (SSID) 并配置随机生成的加密密钥。
WPS 的四种主要连接模式
WPS 提供了多种连接方式，以适应不同的设备和场景需求。让我们逐一探索这些技术。
1. 按钮模式
这是最直观、最推荐的连接方式。操作过程如下：
- 发现阶段：首先，我们在路由器上按下 WPS 按钮（通常物理位于路由器背面，或在管理软件中触发虚拟按钮）。这将开启路由器的“注册模式”，通常持续 2 分钟左右。
- 连接阶段：接着，我们在客户端设备（如笔记本电脑或手机）上选择目标网络，或按下其 WPS 按钮。
- 认证阶段：设备会自动交换必要的握手信息，路由器将网络凭据发送给设备，无需用户手动输入密码。
实战场景：这种模式最适合连接打印机或范围扩展器。你只需按一下路由器上的 WPS，再按一下扩展器上的 WPS，两者即可完成“握手”。
2. PIN 码模式
这是所有 WPS 认证路由器必须支持的默认模式，但也是我们最为担忧的安全隐患来源。
- 路由器 PIN：每个路由器出厂时都有一个默认的 8 位 PIN 码（通常贴在路由器标签上）。用户可以在设备的 WPS 设置界面输入此 PIN 来完成连接。
- 客户端 PIN：某些设备（如 Android 手机早期版本）会生成一个客户端 PIN，用户需将其输入到路由器的管理面板中。
技术深度解析：虽然输入 PIN 码看起来比输入密码长，但在 WPS 的握手协议中，PIN 码是被分两半（前 4 位和后 4 位）进行验证的。这一设计缺陷使得攻击者可以通过暴力枚举 PIN 码（仅约 11,000 种组合）来获取网络密码，这也是我们在后文中要重点讨论的安全问题。
3. 近场通信 (NFC)
这是一种“即触即连”的高级体验。利用 NFC 标签或设备，只需将客户端设备靠近路由器，即可通过带外通道传输网络配置信息。虽然这是一种极快的方式，但支持该功能的路由器和设备在市场上并不普及。
4. USB 闪存盘模式
这是一种已被弃用的方法。其原理是将 WPS 的配置数据保存在 U 盘中，插入路由器进行配置，再插入客户端设备读取。虽然曾是创新的解决方案，但随着移动设备的普及，这种方式已逐渐退出历史舞台。
技术核心：WPS 注册协议
作为技术人员，了解 WPS 背后的消息交换流程非常重要。WPS 使用 EAP（可扩展身份验证协议）通过 UDP 端口进行通信。
以下是 WPS 注册阶段的核心消息流概览：
- M1: 客户端发送 EAP-Request/Identity 开始会话，发起 WPS 交换。
- M2: 路由器响应 M2 消息，包含其 UUID、公钥哈希以及加密配置。这是路由器在说：“我准备好配置你了，这是我的公钥。”
- M3: 客户端发送 M3 消息，包含其公钥和身份验证信息。
- M4: 路由器验证客户端身份并发送 M4，包含用于加密后续消息的随机数。
- M5 至 M8: 完成密钥确认，并最终传输网络 SSID 和密码。
在这个过程中，如果使用 PIN 码模式，还需要额外传输 PIN 码的验证消息（M5.1/M5.2 等）。整个握手过程建立在公钥加密体系（PKI）之上，但在 PIN 码校验环节的逻辑漏洞导致了其脆弱性。
代码与实现示例
为了更好地理解 WPS 的运行机制，让我们来看看在开发环境中如何检测和测试 WPS。我们可以使用 Python 的 scapy 库来探测无线网络中的 WPS 信息。
环境准备
首先，你需要安装 scapy 库和无线网卡监听模式支持。
# 安装必要的库
pip install scapy
示例 1：使用 Scapy 探测 WPS 支持情况
以下 Python 脚本展示了如何扫描周围的无线网络，并检查哪些设备正在广播 WPS 支持。这利用了 802.11 管理帧中的 Vendor Specific Information Element (IE)。
from scapy.all import *
# 定义 WPS 元素的类型 ID
WPS_OUI = "00:50:F2"
WPS_TYPE = 0x04
def pkt_callback(pkt):
if pkt.haslayer(Dot11Beacon):
# 提取 BSSID (路由器 MAC 地址)
bssid = pkt[Dot11].addr2
# 提取 SSID
ssid = pkt.sprintf("%Dot11Beacon.info%")
# 检查是否存在 Vendor Specific Tag
if pkt.haslayer(Dot11Elt):
# 遍历所有信息元素
vendor_tags = [elt for elt in pkt.getlayer(Dot11Elt) if elt.ID == 221] # ID 221 是 Vendor Specific
for tag in vendor_tags:
# 检查 OUI 是否匹配 Wi-Fi 联盟
if tag.info.startswith(WPS_OUI) and len(tag.info) > 3:
# 获取 WPS 类型的第4个字节
wps_type = tag.info[3]
print(f"[+] 发现 WPS 设备")
print(f" SSID: {ssid}")
print(f" BSSID: {bssid}")
print(f" WPS Type ID: {wps_type}")
print("-" * 40)
# 设置网卡监听模式
# 注意：实际运行时需确保网卡处于 monitor 模式且名为 wlan0mon
conf.iface = "wlan0mon"
print("正在扫描周围的 WPS 网络...")
sniff(prn=pkt_callback, store=0)
#### 代码工作原理解析
- 嗅探机制：脚本将网卡置于混杂模式，监听空气中传输的数据包。
- Beacon 帧过滤：我们只处理
Dot11Beacon帧，这是路由器定期广播自己存在的信号。 - 协议解析：WPS 信息通常包含在
Vendor Specific(ID 221) 的信息元素中。特定的 OUI (00:50:F2) 代表 Wi-Fi 联盟的厂商代码。 - 实用性：这是一个基础的网络发现工具，但在实际渗透测试或审计中，它是验证 WPS 是否开启的第一步。
示例 2：使用 Bash 脚本简化 wpa_supplicant 配置
如果你是一名嵌入式开发者，你可能需要通过代码配置设备连接 WPS 网络。Linux 系统下的 wpa_supplicant 是处理无线连接的标准工具。
我们可以创建一个辅助脚本，来自动化使用 PIN 码连接的过程。
#!/bin/bash
# 假设我们要连接到名为 "Office_Network" 的设备
# 且该设备的 WPS PIN 为 12345678 (注意：生产环境中应动态获取)
INTERFACE="wlan0"
WPS_PIN="12345678"
# 终止现有的 wpa_supplicant 进程以避免冲突
sudo killall wpa_supplicant
# 启动 wpa_supplicant 并在后台运行
# -B 后台运行
# -i 指定接口
# -c 指定配置文件（这里我们先不指定，让它运行在交互模式）
# 实际上，我们可以使用 wpa_cli 通过命令行触发 WPS
echo "[INFO] 正在启动 wpa_supplicant..."
sudo wpa_supplicant -B -i $INTERFACE -D wext
echo "[INFO] 等待驱动初始化..."
sleep 2
echo "[INFO] 发起 WPS PIN 注册..."
# 使用 wpa_cli 命令发送 WPS 指令
# wps_pin
# 这里的 ssid 需要替换为你要连接的 BSSID 或 SSID
# 为了演示，我们假设已经关联到 BSSID
# 首先扫描网络并尝试匹配 BSSID 会更稳健，但这里简化流程直接调用命令
sudo wpa_cli -i $INTERFACE wps_pin any $WPS_PIN
echo "[INFO] WPS 握手正在进行，请稍候..."
# wpa_cli 会返回状态，如果是 OK 则表示 PIN 已接受
# 注意：如果使用 PBC（按钮模式），命令为：
# sudo wpa_cli -i $INTERFACE wps_pbc
#### 代码深度解析与错误处理
- wpasupplicant 交互：INLINECODE9829f7cf 是 Linux 无线网络的核心守护进程。通过
wpa_cli与其通信（通过 Unix socket 或 UDP）是标准的控制方式。 - INLINECODE43a74952：这里的 INLINECODE17ec87df 是一个通配符，意味着让设备尝试与最近发现的 WPS 注册机进行握手。在更严格的脚本中，我们应该先扫描获取准确的 BSSID，以防止连接到错误的恶意路由器。
- 异步特性：WPS 握手不是瞬间完成的。脚本中加入了
sleep命令来等待状态稳定。在 Python 或 C++ 开发中，这通常通过事件监听器来实现。 - 最佳实践：实际开发中，你应该监听
CTRL-EVENT-CONNECTED事件来确认连接成功，而不是仅仅发送命令就结束。
WPS 的优势总结
尽管存在安全隐患，但在受控的物理环境下，WPS 依然具有显著优势：
- 自动配置网络名称 (SSID)：在标准 WPS 流程中，接入点 (AP) 会自动将配置好的 SSID 发送给客户端。对于打印机等没有屏幕的设备，这是至关重要的。
- 自动生成 WPA 密钥：WPS 确保了强随机密钥的使用，避免了用户设置弱密码（如 "12345678"）的情况。这种密钥管理方式通常比用户手动设置的更安全。
- 即插即用体验：对于 IoT 设备，WPS 允许设备在开箱后极短时间内入网，大大降低了设备安装的技术门槛。
安全隐患与最佳实践
作为专业的技术人员，我们必须指出 WPS 的最大痛点：WPS PIN 码暴力破解。
常见错误：暴力破解攻击
如前所述，WPS 协议设计之初对 PIN 码的校验机制存在严重缺陷。著名的攻击工具（如 Reaver）可以在 10 小时内暴力破解绝大多数路由器的 PIN 码。一旦 PIN 码被破解，攻击者就可以直接获取 WPA/WPA2 的明文密码，从而完全接管网络。
解决方案与优化建议
- 禁用 WPS：如果你的网络环境对安全性要求较高，或者使用的是旧版路由器，最直接的方法是在路由器管理后台彻底关闭 WPS 功能。
- 启用 WPS 锁定功能：许多现代路由器具有“WPS 锁定”或“速率限制”功能。当检测到多次连续的 PIN 码尝试失败后，路由器会自动锁定 WPS 功能或增加尝试延迟，这大大增加了暴力破解的难度（从几小时延长到几年）。
- 仅使用 PBC（按钮模式）：如果你必须使用 WPS，请务必确保你的设备支持并仅开启“按钮模式”。PBC 模式不存在 PIN 码那样的可被暴力破解的数学缺陷，其安全性依赖于物理接触或至少是极短的时间窗口。
- 固件更新：确保路由器运行最新的固件。厂商针对 WPS 漏洞发布了许多补丁，改进了认证流程。
结语
WPS (Wi-Fi Protected Setup) 是一把双刃剑。它在极大地改善了用户体验、使得万物互联成为可能的同时，也因为早期的协议设计缺陷引入了安全风险。
作为一名开发者，在编写连接 Wi-Fi 的代码时，我们应当优先考虑 WPS PBC 或标准的手动 WPA2-PSK 输入。在处理旧设备时，必须意识到 PIN 码模式的风险。通过理解其背后的消息流和代码实现，我们可以更安全、更有效地利用这一标准。
下一步，你可以尝试编写一个简单的 Android 或 iOS 应用，利用系统提供的 Wi-Fi API 来触发 WPS 连接，看看在实际移动设备开发中，系统是如何封装这些底层细节的。
祝你编码愉快！