无线抓包需要什么条件
抓无线帧与抓有线流量不同，普通网卡在正常模式下只能收到与自己通信的帧，看不到周围的管理帧与空口事件。要看到完整的交互过程，需要支持监视模式的网卡，并在抓包时锁定目标信道与带宽。锁定信道这一步很关键：如果网卡在信道间跳转，只能抓到零散的帧，无法还原一次完整的接入过程。因此专业排查通常使用专用适配器，而不是笔记本内置网卡。
基本信息
| 硬件要求 | 网卡与驱动需支持监视模式，常使用专用适配器 |
|---|---|
| 关键设置 | 锁定目标信道与带宽，否则抓不全目标网络的帧 |
| 解密能力 | WPA2 个人版可在抓包工具中填入口令解密单播数据 |
| 分析入口 | 先看管理帧判断行为，再看密钥握手，最后看数据帧 |
| 常见限制 | 部分内置网卡与驱动不支持监视模式，或被厂商驱动限制 |
常用过滤表达式
常用过滤表达式
wlan.fc.type_subtype == 8 # Beacon，查看 SSID 与能力信息
wlan.fc.type_subtype == 0 # Association Request
wlan.fc.type_subtype == 1 # Association Response，看状态码
eapol # 四次握手与密钥协商
wlan.fc.type_subtype == 12 # Deauth，排查异常断开常看的帧类型
| 帧类型 | 用途 |
|---|---|
| Beacon 与探测帧 | 确认 SSID、频段、支持速率与安全能力 |
| 认证与关联帧 | 判断关联阶段是否被拒绝以及原因 |
| 密钥握手帧 | 定位四次握手停在哪一步 |
| 断开与去认证帧 | 区分终端主动断开与网络侧踢除 |
典型使用场景
- 排查终端接入失败的阶段
- 分析四次握手失败的环节
- 确认是否存在伪造管理帧干扰
- 验证漫游过程中的切换行为
- 定位个别终端的兼容性问题
解密与注意事项
在个人版网络里，只要知道口令与网络名，就可以在抓包工具的无线协议设置中填入密钥来解密单播数据帧，从而看到应用层交互；企业版网络因为每个会话密钥独立，通常只能分析到密钥握手阶段，无法直接解密数据。另外要注意合规与隐私：无线抓包会捕获他人流量，必须在授权范围内进行，抓包文件也应妥善保管。分析顺序建议固定为管理帧、密钥握手、数据帧，逐层确认后再下结论。
分析顺序建议：管理帧定行为、密钥握手看协商、数据帧看上行业务。
无线抓包会捕获周围设备的流量，测试前取得授权并限定范围，抓包文件按敏感数据管理。