diff --git a/ch6.md b/ch6.md
index 6c4e16f..a4bc102 100644
--- a/ch6.md
+++ b/ch6.md
@@ -183,3 +183,115 @@ Caffe Latte 攻击由 Vivek 发明，它是这本书的作者之一，并且在
 ### 试一试 -- 客户端上的解除关联攻击
 
 在上一个练习中，我们使用了解除验证攻击来破解连接。尝试使用解除关联访问来破坏客户端和接入点之间的连接。
+
+## 6.4 Hirte 攻击
+
+我们已经看到了如何实施 Caffe Latte 攻击。Hirte 攻击扩展自 Caffe Latte 攻击，使用脆片机制并允许几乎任何封包的使用。
+
+Hirte 攻击的更多信息请见 Aircrack-ng 的官网：`http:// www.aircrack-ng.org/doku.php?id=hirte`。
+
+我们现在使用` aircrack-ng `来在相同客户端上实施 Hirte 攻击。
+
+### 实战时间 -- 使用 Hirte 攻击破解 WEP
+
+遵循这些指南来开始：
+
+1.  使用`airbase-ng `工具创建 WEP 接入点，和上一个练习完全一样。唯一的附加选项就是`-N`选项而不是`-L`选项来加载 Hirte 攻击。
+
+    ![](img/6-4-1.jpg)
+    
+2.  在单独的窗口开启`airodump-ng `来捕获`Wireless  Lab`蜜罐的封包。
+
+    ![](img/6-4-2.jpg)
+    
+3.  现在`airodump-ng `会开始监控网络，并在`Hirte-01.cap `文件中储存封包。
+
+    ![](img/6-4-3.jpg)
+    
+4.  一旦漫游客户端连接到了我们的蜜罐 AP，Hirte 攻击就会由`airbase-ng`自动加载。
+
+    ![](img/6-4-4.jpg)
+    
+5.  我们像上一个练习那样启动` aircrack-ng`，最后密钥会破解出来。
+
+### 刚刚发生了什么？
+
+我们对 WEP 客户端实施了 Hirte 攻击，客户端是隔离的，并远离授权网络。我们使用和 Caffe Latte 攻击相同的方式来破解密钥。
+
+### 试一试 -- 坚持整，整就牛
+
+我们推荐你在客户端上设置不同的 WEP 密钥并多次尝试这个练习来获得自信。你可能会注意你需要多次重新连接客户端来使其生效。
+
+## 6.5 无 AP 情况下的 WPA 破解
+
+在第四章中，我们看到了如何使用`airecrack-ng`来破解 WPA/WPA2 PSK，基本原理是捕获四次 WPA 握手，之后加载字典攻击。
+
+关键问题是：可不可以仅仅使用客户端来破解 WPA，在没有接入点的情况下？
+
+让我们再看一看 WPA 破解练习：
+
+![](img/6-5-1.jpg)
+
+为了破解 WPA，我们需要来自四次握手的四个参数 -- 验证方的 Nounce，请求方的 Nounce，验证方的 MAC，请求方的 MAC。现在有趣的是，我们不需要握手中的全部四个封包来提取这些信息。我们可以只从封包 1 和 2，或 2 和 3 中提取。
+
+为了破解 WPA-PSK，我们需要启动 WPA-PSK 蜜罐，并且当客户端连接时，只有消息 1 和 2 会发送。由于我们并不知道口令，我们就不能发送消息 3。但是，消息 1 和 2 包含所有密钥破解所需的信息：
+
+![](img/6-5-2.jpg)
+
+### 实战时间 -- 无 AP 情况下的 WPA 破解
+
+1.  我们首先启动 WPA-PSK 蜜罐，ESSID 为`Wireless Lab`。`-z 2`选项使用 TKIP 创建 WPA-PSK 接入点。
+
+    ![](img/6-5-3.jpg)
+    
+2.  让我们启动`airodump-ng `来从这个网络上捕获封包：
+
+    ![](img/6-5-4.jpg)
+    
+3.  现在当我们的漫游客户端连接到这个接入点时，它会开始握手，但是在消息 2 之后失败，就像我们之前讨论的那样。但是，破解握手所需的数据已经捕获了。
+
+4.  我们使用`airodump-ng `所捕获的文件和相同的字典文件运行`aircrack-ng `。最后，我们会破解出口令。
+
+### 刚刚发生了什么？
+
+我们能够只通过客户端破解 WPA。这是因为，即使只拥有前两个封包，我们也能获得针对握手的字典攻击的全部所需信息。
+
+### 试一试 -- 无 AP 情况下的 WPA 破解
+
+我们推荐你在客户端设置不同的 WPA 密钥，并且多次尝试这个练习来蝴蝶自信。你会注意到你需要多次重新连接客户端来使其生效。
+
+## 小测验 -- 攻击客户端
+
+Q1 Caffe Latte 攻击涉及到哪种加密？
+
+1.  无
+2.  WEP
+3.  WPA
+4.  WPA2
+
+Q2 蜜罐接入点通常使用哪种加密？
+
+1.  没有加密，开放验证。
+2.  没有加密，共享验证。
+3.  WEP 加密，开放验证。
+4.  以上都不是。
+
+Q3 下列哪个攻击是 DoS 攻击？
+
+1.  错误关联攻击
+2.  解除验证攻击
+3.  解除关联攻击
+4.  2 和 3
+
+Q4 Caffe Latte 攻击需要什么？
+
+1.  无线客户端位于接入点的广播范围内。
+2.  客户端含有缓存或缓存的 WEP 密钥。
+3.  WEP 加密至少是 128 位加密。
+4.  1 和 3。
+
+## 总结
+
+这一章中，我们了解了甚至是无线客户端也容易受到攻击。这包括蜜罐和其它错误关联攻击。Caffe Latte 攻击用于从无线客户端获得密钥；解除验证和解除关联攻击导致拒绝服务；Hirte 攻击是从漫游客户端获得 WEP 密钥的替代方案；最后，我们仅仅使用客户端破解了 WPA 个人口令。
+
+下一章中，我们会使用目前为止学到的东西，在客户端和设施端实施多种高级无线攻击。所以，赶紧翻过这一页，进入下一章吧！