简介面向Wi-Fi安全测试与嵌入式开发者的开源固件包基于瑞昱RTL8720DNBW16芯片集成WPA3双攻击模式的Deauther功能适合用于无线网络安全验证、渗透测试技术学习及固件刷写实践。包内共62个文件以bin固件镜像、exe烧录工具、c源码和txt说明文档为主压缩包约22.43MB同时包含asm、axf、map等编译辅助文件便于分析固件结构与编译流程。固件预先定义了四个按键接口向上、向下、确定、返回并附带擦除与烧录命令使用配套工具即可快速完成硬件部署与功能验证。包内提供使用说明、命令行文档和实物接线图能够降低入门门槛同时保留可修改的源代码方便二次开发时调整按键逻辑或攻击参数。已有390人学习下载适合具备单片机或嵌入式基础、希望深入研究Wi-Fi协议安全机制与固件定制开发的爱好者。1. 开源固件BW16当 RTL8720DN 跑起WPA3双攻击测试这块基于 RTL8720DNBW16的开源固件把这个低功耗双核模组直接改造成了带菜单界面的 Wi-Fi 安全审计终端。整个包不是零散源码而是已经构建好的可烧录镜像加全套上传工具连 Windows 下的上传器、擦除工具和镜像后处理脚本都带齐了。它的核心价值在于把去认证洪泛和 WPA3 握手阶段的探测测试集成进同一套 UI也就是项目名里的“双攻击”模式。这个方向很适合做无线安全评估、固件行为分析和 RTL8720DN 低层 Wi-Fi 驱动研究的人。需要先声明一点这套东西只能在你自己具备授权的网络和设备上做测试别人家的热点不在讨论范围内。2. 固件包内文件是什么从镜像名反推 Ameba D 双核启动链拿到压缩包先不要急着连线里头的二进制命名本身就是一份架构图。RTL8720DN 的 SDK官方叫法 Ameba D和较老的 RTL8710/Ameba Z 不一样它内部是 Cortex-M0 加 Cortex-M4 的双核设计包里的 bin 文件都是围绕这个双核组织的。2.1 KM0 与 KM4谁在跑系统谁在跑应用包内一眼就能看到km0_boot_all.bin、km4_boot_all.bin、km0_image2_all.bin、km4_image2_all.bin这一组文件。KM0 通常负责低功耗管理、安全启动和链路层调度KM4 则承载主应用逻辑。启动时芯片先从 ROM 里拉起 KM0 bootloader再由它引导 KM4两个核分别加载各自的 image2 固件。烧录时必须保证两个核的镜像版本匹配否则会出现 KM4 起不来、串口只打印一行乱码就停住的现象。为了核对这包里的核心文件我按作用整理了一张表刷机之前对照着看能少踩很多坑文件类型作用km0_boot_all.bin / km4_boot_all.bin引导双核各自的一级 bootloaderkm0_image2_all.bin固件KM0 的 image2 主固件km4_image2_all.bin固件KM4 的应用固件菜单和双攻击逻辑集中在这里km0_km4_image2.bin合并把两个核的 image2 按地址拼成一个文件方便整包烧录xip_image2.bin固化支持 XIP 方式执行的只读主镜像psram_2.bin / psram_2.r.bin参数PSRAM 初始化与校准数据application.asm / application.map调试编译期汇编清单和链接符号表postbuild_img2_arduino_windows.exe工具Arduino 环境用的镜像后处理程序upload_image_tool_windows.exe / upload_image.exe工具官方擦除工具和上传工具2.2 从 application.asm 与 map 定位菜单逻辑application.asm是编译期生成的汇编清单在找不到源码的时候可以用来快速定位菜单跳转、按键扫描和 Wi-Fi 事件回调。application.map给出了每个函数的链接地址配合 bin 做静态分析时先用 map 查符号地址再回到 asm 看指令流。想在这个固件上做二次开发的人一般会先从 map 里搜deauth、wpa3、menu相关符号确定主逻辑所在的编译单元然后对照 asm 理解流程。这个包把调试产物一起放出来省掉了自己搭建编译环境还原符号的过程。2.3 为什么用 XIP 镜像而不是全部跑在 SRAMxip_image2.p.bin这种带.p后缀的文件是压缩或加密后的主固件通过 MMU 映射直接在 Flash 上执行XIP不需要在启动时把全部代码加载进 SRAM。RTL8720DN 的内部存储有限而双攻击模式涉及无线帧缓冲和状态机管理内存压力集中在 KM4 侧。把只读代码留在 XIP 区数据段放到 PSRAM是这套 SDK 在内存规划上比较合理的取舍。你看到psram_2.bin附带多份变体就是因为不同晶振/封装下 PSRAM 的校准参数不一样烧错版本会直接导致 KM4 进入 HardFault。3. 一键烧录流程擦除、上传与带宽踩坑这个包在 Windows 下刷写只有两条命令擦除旧固件和烧入新固件。但在 PowerShell 里执行之前建议先把解压路径固定成纯 ASCII不要带中文和空格。包的脚本针对 PowerShell 调优过和 cmd 的转义规则不一样路径一乱后面所有报错都会变得很难排查。3.1 先擦后烧upload_image_tool_windows.exe 的参数拆解打开 PowerShell先进到固件解压目录执行擦除命令.\upload_image_tool_windows.exe .\ COM5 Ai-Thinker_BW16 Enable Enable 1500000这条命令的作用是把整片 Flash 擦回出厂状态用于清掉旧固件或写错地址段留下的残留数据。六个位置参数分别是待处理目录当前目录、串口号 COM5、目标模组型号 Ai-Thinker_BW16、两个 Enable 是工具与目标板之间的同步控制开关最后的 1500000 是串口波特率。两个 Enable 在这个开源包中固定写死不要随意改成 Disable否则擦除过程中可能因为握手超时中断。这里要注意这个工具名字容易让人以为它只负责上传实际它带擦除模式真正烧录的是另一个upload_image.exe。两个工具都依赖目录里的cygwin1.dll所以解压时必须保持文件完整不能只拷贝 exe 到别的目录单独跑否则会直接报缺 DLL。3.2 烧入镜像upload_image.exe 与 a 目录的秘密擦除完成后在同一目录继续执行.\upload_image.exe .\a COM5这里a是一个目录不是打错字。upload_image.exe的逻辑是先读取a目录下预排好的镜像清单再把多个 bin 文件按地址合并成一次完整烧录流推给 COM5。也就是说这个包把需要烧进去的km0_boot_all.bin、km4_boot_all.bin、xip_image2.bin等文件预先归类到a目录避免每次都在命令行里手动罗列。想调整镜像内容的先打开a目录看看它实际引用了哪几个文件。烧录过程中板载 LED 会保持点亮串口端会同步回显进度百分比。整包镜像在 1.5M bps 下跑到 100% 大约一分钟左右。完成后不要立刻拔线等它复位并重新枚举一次串口再松开 BOOT 按键避免进入下载模式残留。3.3 刷写失败时先看这三个地方Get-CimInstance Win32_SerialPort | Select-Object DeviceID, Name如果命令输出里根本没有 COM5说明驱动或下载模式没生效。BW16 模组在非下载模式下不会枚举出可写串口必须按住板上的 BOOT/下载按键再插 USB才能进入下载模式。第二个常见问题是波特率老版本驱动在 1500000 下容易丢包擦除会卡在 0%。遇到这种情况把第六个参数从 1500000 降到 115200烧录时间会变长但成功率明显提升。第三个坑是 Windows 驱动对多串口设备的识别顺序不稳定插拔后 COM 号会变命令里的端口号要跟着实际值改。提示擦除命令失败日志如果是Cant open port优先检查是否有串口工具占用了 COM5比如 Arduino IDE 的串口监视器或机智云调试器关掉再执行。4. 按键映射与菜单交互PA 口 GPIO 的工程取舍固件跑起来之后交互不依赖电脑全靠板载按键完成。项目源码里直接写死了四个按键的 GPIO 映射对应关系如下按键功能GPIO建议接法BTN_DOWN / 向下PA14外部下拉电阻BTN_UP / 向上PA30外部下拉电阻BTN_OK / 确定PA12外部下拉电阻BTN_BACK / 返回PA13外部下拉电阻4.1 GPIO 选择背后的原因从 SDK 的管脚表来看PA12、PA13、PA14、PA30 这四个引脚都支持外部中断和内部上拉/下拉配置。菜单逻辑对按键响应速度要求不高四颗按键共用一组 GPIO 扫描即可不需要矩阵键盘。真正要注意的是 PA30它在部分 BW16 板型上同时连接板载 LED 或 BOOT 引脚如果按 BTN_UP 没反应先检查是不是和 BOOT 按键复用了。另外所有按键都按下拉设计意味着按键按下时读到低电平代码里扫描逻辑要按低有效处理。4.2 菜单循环与按键消抖参数固件实现上把按键做成轮询加消抖核心逻辑类似这样#define DEBOUNCE_TICKS 20 uint8_t key_state KEY_NONE; if (read_gpio(PA14) 0) { if (down_tick DEBOUNCE_TICKS) key_state KEY_DOWN; } else { down_tick 0; }DEBOUNCE_TICKS设为 20在系统 tick 为 10ms 时对应 200ms 去抖窗口。有些移植版会把这个值改小到 5响应更快但容易出现双击误触。菜单结构是确定的循环主界面下按 UP/DOWN 切换测试项按 OK 进入子页再按一次 OK 启动执行BACK 随时中断返回。长按 OK 在部分版本里会跳过确认弹窗直接执行当前测试项适合现场快速切换。4.3 配置 Wi-Fi 测试目标与凭证解压包里的使用说明.TXT留了一段被注释的 Wi-Fi 配置格式如下#WiFiYour_SSID #PasswordYour_Pass这段注释说明的是配置文件的保存格式。固件启动后按 OK 进设置页把要审计的 SSID 和口令按WiFiSSID、Password口令的格式写进配置文件即可。#开头表示注释行固件解析时会跳过。写配置时不要带多余空格固件端的解析器按整行匹配加了空格就识别不到最终表现为菜单里能看到目标 SSID但启动双攻击测试时没有任何输出。5. 烧录后如何验证双攻击模式是否生效固件烧完、菜单能进不代表 WPA3 相关功能已经按预期工作。我习惯先做三步验证先看串口日志里的启动 banner再检查菜单中出现的测试项最后用自己手里的授权 AP 做一次功能冒烟。串口日志在启动时通常输出 RTL8720DN 双核版本号接着是固件特有的模块标记。如果没有出现预期字符串先怀疑固件没跑起来用upload_image_tool_windows.exe重新擦除再烧入不要直接改配置。菜单验证比较直接在主界面上下翻页确认能看到独立的测试项进入后能看到双攻击模式相关的子项。不同版本命名可能不同但都应该有“启用”和“目标选择”两个操作。按下 OK 后串口会周期性输出状态计数计数上涨说明测试载荷正在发送。若计数不涨说明 PHY/RF 部分有问题优先检查天线是否焊接正常。最后做目标验证找一台你完全拥有权限的路由器做测试 AP。在另一台电脑上用支持监听模式的网卡观察该 AP 的信标与关联状态。WPA3 的握手在 SAE 阶段就引入了提交/确认的约束双攻击模式的设计思路是先把目标拖入重关联再在握手窗口内做探测所以你能在监听端看到目标客户端掉线重连这个过程就是双攻击模式真正起作用的证明。验证完成后记得把测试 AP 和客户端恢复原配置。还有一个我常用的检查技巧把擦除工具和烧录工具分别放在两个独立目录擦除用官方工具烧录用包内工具避免每次都被 Shell 的历史命令干扰。再就是准备一根只供电没有数据线的 USB 线专门放在调试台上。很多刷死问题看似固件损坏最后都是线材断连引起的。把这几个习惯保持住BW16 的这类固件基本不会再刷废。本文还有配套的精品资源点击获取