Windows WiFi连接脚本进阶：如何安全地处理密码，避免在bat和xml里‘裸奔’

在自动化运维和批量设备管理的场景中，使用脚本连接WiFi是常见需求。然而，直接将密码明文存储在XML和批处理文件中，无异于将家门钥匙挂在门把手上。本文将深入探讨几种更安全的密码处理方案，帮助开发者和系统管理员在实现自动化连接的同时，有效保护敏感凭证。

1. 为什么明文存储密码是个糟糕的主意

想象一下，你的脚本文件被无意中分享给了第三方，或者某台设备落入了他人之手。如果密码以明文形式存在，任何人都可以轻松获取这些信息。这不仅威胁到当前网络的安全，如果密码在其他地方重复使用，还会引发连锁反应的安全风险。

常见的风险场景包括：

• 脚本文件被意外上传到代码仓库（如GitHub），导致密码公开暴露
• 日志记录可能无意中捕获敏感信息
• 临时文件残留在系统上，可能被恢复工具读取
• 多用户系统中，其他用户可能查看脚本内容

提示：即使是内部使用的脚本，也应遵循最小权限原则和安全编码实践。

2. 使用Windows凭据管理器存储密码

Windows自带的凭据管理器（Credential Manager）提供了一种相对安全的密码存储方式。我们可以通过cmdkey命令将WiFi密码存储在系统凭据库中，然后在脚本中引用。

2.1 存储凭据

batch复制@echo off
:: 将WiFi密码存储到Windows凭据管理器
cmdkey /add:WiFi_Credential /user:YourWiFiName /pass:YourWiFiPassword

2.2 从凭据管理器获取密码

在PowerShell中，我们可以这样检索存储的凭据：

powershell复制$cred = cmdkey /list | Where-Object { $_ -match "WiFi_Credential" }
if ($cred) {
    $networkName = "YourWiFiName"
    $password = (cmdkey /list | Select-String "WiFi_Credential" -Context 0,5 | 
                Select-String "Password" -Context 0,1).ToString().Split(":")[1].Trim()
    
    # 构建XML配置文件
    $xmlContent = @"
<?xml version="1.0"?>
<WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1">
    <name>$networkName</name>
    <SSIDConfig>
        <SSID>
            <hex>$(ConvertTo-Hex $networkName)</hex>
            <name>$networkName</name>
        </SSID>
    </SSIDConfig>
    <connectionType>ESS</connectionType>
    <connectionMode>auto</connectionMode>
    <MSM>
        <security>
            <authEncryption>
                <authentication>WPA2PSK</authentication>
                <encryption>AES</encryption>
                <useOneX>false</useOneX>
            </authEncryption>
            <sharedKey>
                <keyType>passPhrase</keyType>
                <protected>false</protected>
                <keyMaterial>$password</keyMaterial>
            </sharedKey>
        </security>
    </MSM>
</WLANProfile>
"@
    $xmlContent | Out-File -FilePath "wifi-profile.xml" -Encoding UTF8
    
    # 导入配置文件并连接
    netsh wlan add profile filename="wifi-profile.xml" user=all
    netsh wlan connect name=$networkName
    
    # 清理临时文件
    Remove-Item "wifi-profile.xml" -Force
}

这种方法的主要优点：

• 密码不直接存储在脚本文件中
• 凭据管理器提供了一定程度的保护
• 可以集中管理多个网络凭据

3. 使用PowerShell加密技术

PowerShell提供了更强大的加密能力，我们可以利用SecureString和ConvertFrom-SecureString来安全地处理密码。

3.1 创建加密密码文件

首先，将密码加密存储到文件中：

powershell复制$securePassword = Read-Host "Enter WiFi password" -AsSecureString
$encryptedPassword = ConvertFrom-SecureString $securePassword
$encryptedPassword | Out-File "wifi_pwd.txt"

3.2 在脚本中使用加密密码

powershell复制# 读取加密密码
$encryptedPassword = Get-Content "wifi_pwd.txt"
$securePassword = ConvertTo-SecureString $encryptedPassword

# 获取明文密码（仅在内存中使用）
$credential = New-Object System.Management.Automation.PSCredential("dummy", $securePassword)
$password = $credential.GetNetworkCredential().Password

# 构建XML配置文件
$xmlTemplate = @"
<?xml version="1.0"?>
<WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1">
    <name>{0}</name>
    <SSIDConfig>
        <SSID>
            <hex>{1}</hex>
            <name>{0}</name>
        </SSID>
    </SSIDConfig>
    <connectionType>ESS</connectionType>
    <connectionMode>auto</connectionMode>
    <MSM>
        <security>
            <authEncryption>
                <authentication>WPA2PSK</authentication>
                <encryption>AES</encryption>
                <useOneX>false</useOneX>
            </authEncryption>
            <sharedKey>
                <keyType>passPhrase</keyType>
                <protected>false</protected>
                <keyMaterial>{2}</keyMaterial>
            </sharedKey>
        </security>
    </MSM>
</WLANProfile>
"@

$ssid = "YourWiFiName"
$hexSsid = [System.BitConverter]::ToString([System.Text.Encoding]::UTF8.GetBytes($ssid)).Replace("-","")
$xmlContent = $xmlTemplate -f $ssid, $hexSsid, $password

# 保存临时XML文件
$tempFile = [System.IO.Path]::GetTempFileName()
$xmlContent | Out-File $tempFile -Encoding UTF8

# 导入配置文件并连接
netsh wlan add profile filename="$tempFile" user=all
netsh wlan connect name=$ssid

# 清理临时文件
Remove-Item $tempFile -Force

这种方法的关键优势：

• 密码以加密形式存储
• 解密密钥与用户账户绑定
• 可以设置文件系统权限限制访问

4. 使用临时内存处理避免文件存储

最安全的方法是根本不将密码写入任何文件，完全在内存中处理。我们可以通过PowerShell直接从命令行参数获取密码：

powershell复制param(
    [Parameter(Mandatory=$true)]
    [string]$Ssid,
    
    [Parameter(Mandatory=$true)]
    [SecureString]$Password
)

# 获取明文密码（仅在内存中使用）
$credential = New-Object System.Management.Automation.PSCredential("dummy", $Password)
$plainPassword = $credential.GetNetworkCredential().Password

# 构建XML内容
$xmlContent = @"
<?xml version="1.0"?>
<WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1">
    <name>$Ssid</name>
    <SSIDConfig>
        <SSID>
            <hex>$([System.BitConverter]::ToString([System.Text.Encoding]::UTF8.GetBytes($Ssid)).Replace("-",""))</hex>
            <name>$Ssid</name>
        </SSID>
    </SSIDConfig>
    <connectionType>ESS</connectionType>
    <connectionMode>auto</connectionMode>
    <MSM>
        <security>
            <authEncryption>
                <authentication>WPA2PSK</authentication>
                <encryption>AES</encryption>
                <useOneX>false</useOneX>
            </authEncryption>
            <sharedKey>
                <keyType>passPhrase</keyType>
                <protected>false</protected>
                <keyMaterial>$plainPassword</keyMaterial>
            </sharedKey>
        </security>
    </MSM>
</WLANProfile>
"@

# 创建临时文件
$tempFile = [System.IO.Path]::GetTempFileName()
$xmlContent | Out-File $tempFile -Encoding UTF8

# 导入并连接
netsh wlan add profile filename="$tempFile" user=all
netsh wlan connect name=$Ssid

# 立即清理
Remove-Item $tempFile -Force

使用方式：

powershell复制.\Connect-WiFi.ps1 -Ssid "YourWiFiName" -Password (Read-Host "Enter password" -AsSecureString)

5. 安全最佳实践总结

无论选择哪种方法，都应遵循以下安全准则：

• 最小权限原则：脚本只需必要的权限
• 临时文件处理：使用后立即删除
• 日志审查：确保密码不会出现在日志中
• 代码审查：检查是否有意外暴露凭据的风险
• 更新机制：定期更换密码和凭据

安全方法对比表：

在实际项目中，我通常会根据安全需求和环境限制选择合适的方法。对于大多数企业环境，结合PowerShell加密和临时文件处理已经能提供足够的安全性。