简介一份针对802.11协议的无线局域网抓包实验报告专为网络工程、无线通信方向的学生及初学者设计用于理解无线局域网中的帧格式与抓包分析方法。实验基于Ubuntu 10.04与Wireshark工具从环境搭建到抓包实操均有详细记录报告按照实验目的、环境配置、步骤、结果分析和总结的结构展开重点解析了数据帧0x0a08表示帧控制、RTS控制帧0x00b4和Beacon管理帧0x0080的逐位含义涵盖版本、类型、子类型、To DS/From DS、地址、校验码等关键字段并提醒了大端模式下的字节序读取问题。资源为PDF格式压缩包内含1个文件共537KB轻量便于下载。目前已有400人学习适合作为无线网络实验课程报告或自学802.11协议的辅助材料可直接参考其分析思路与帧解读方法。1. 无线局域网抓包的第一步是切换监听模式不是单看数据如果你只听说过有线网卡插上就能抓包第一次做无线局域网抓包实验时多半会闷住打开 Wireshark选好无线网卡点开始捕获列表里只有自己浏览网页产生的报文。这不是工具问题而是网卡驱动处于默认接收模式只把目标地址是本机的帧送给协议栈其余站点发在同个信道里的帧在驱动层就被丢掉了。无线局域网抓包的前提是把空口上所有帧都收进来这一步通常叫打开监听模式软件实现要么走 airmon-ng要么直接用 iw 把接口类型改成 monitor。硬件层面还要额外处理驱动、信道和监管域三个变量任何一个不对抓包文件里就只剩自己的杂散报文。下面按实验顺序把网卡选型、airmon-ng 参数、Wireshark 分析命令逐一拆开并解释哪些所谓的“抓不到包”其实是射频参数设错了。2. 无线局域网抓包必须理解 802.11 帧监听模式和三种帧类型普通以太网抓包时包结构和地址语义比较固定抓包工具拿到帧头就能解析 IP。无线局域网不一样802.11 帧头部设计要考虑射频介质、漫游和认证因此比以太网头多出不少字段。做无线局域网抓包实验之前最好先分清连接模式与监听模式下的帧接收路径再认识空口中三种帧类型这样后面看到“大量乱码帧”才不会误判。2.1 无线局域网抓包与有线抓包的两个本质差异第一个差异在半双工射频介质。有线链路普遍是全双工交换机端口和主机之间没有共享冲突无线信道则是多站点共享的半双工介质同一时刻只能有一个终端占用信道。为了降低碰撞802.11 引入 CSMA/CA站点发送数据前先侦听信道发送后还要等待接收方回应 ACK。抓包文件里因此会出现大量控制帧和重传帧这些不是垃圾数据而是空口竞争的直接反映。同一个无线局域网抓包文件里重传比例偏高往往说明附近有其他源干扰或信号边界不定。第二个差异在地址字段。以太网帧只有源 MAC 和目的 MAC无线帧则包含接收地址RA、发送地址TA、BSSID 和可选通配地址等多个字段。也就是说帧里写着的wlan.da并不总是网卡能看到的目标驱动在上送报文时会按地址位做过滤。要看到其他终端的 Probe Request只改 Wireshark 的显示过滤器没用必须在网卡层关闭地址过滤这就是监听模式存在的根本原因。2.2 管理帧、控制帧和数据帧抓包文件里的三类帧无线局域网抓包实验里最常用的分类方式是看 802.11 帧头里的 type 字段。类型值为 0 的是管理帧用来完成发现、认证、关联类型值为 1 的是控制帧负责预约信道和确认类型值为 2 的是数据帧真正承载 IP 载荷。帧类型type 字段值常见子类型在无线局域网抓包里的作用管理帧0Beacon(8)、Probe Request(4)、Association Request(0)观察 AP 广播、终端扫描、关联过程控制帧1RTS(11)、CTS(12)、ACK(13)判断信道竞争和重传分析无线环境质量数据帧2QoS Data(8)、Null(4)承载应用层流量加密后需解密再分析管理帧最值得先看。Beacon 由 AP 周期性发送包含着 SSID、BSSID、信道和速率集Probe Request 是终端主动扫描时发出的里面带终端支持的速率和厂商信息。无线局域网抓包实验中常说的“找 AP、找隐藏 SSID”其实都是在这些管理帧里做过滤。控制帧的重点则不是容量而是重试和 CTS/RTS 的分配频率这些信息用来判断信道是否拥挤。2.3 用 iw 确认网卡是否支持监听模式不少实验卡在第一步网卡本身不支持 monitor 模式或者驱动没把该能力暴露给上层。在 Linux 环境里可以先查看物理无线设备的能力再决定要不要进入后面的 airmon-ng 流程。iw phy phy0 info | grep -A 8 Supported interface modes正常输出里应该能看到monitor这一行。如果没有说明当前驱动或固件不开放监听模式常见的处理方法是换网卡或换驱动模块后面再折腾 Wireshark 也拿不到其他终端的帧。另外可以顺手执行iw dev记下当前无线接口名比如 wlan0 或 wlp2s0后续切换监听模式和指定信道都会用到。3. 无线局域网抓包的监听模式配置网卡选型与 airmon-ng 常用参数明确了 802.11 帧结构之后实验进入实操阶段。这章解决三个实际问题用哪块网卡做无线局域网抓包、airmon-ng 怎么把网卡切成监听模式、以及固定信道和频宽时有哪些参数最容易设错。3.1 实验网卡怎么选先看监听模式支持再谈频段无线局域网抓包不像普通上网那样“能连上就能抓”。判断网卡是否适合实验先看芯片方案是否开放 monitor 模式再看驱动在目标内核版本上是否容易编译。笔记本内置网卡不是不行但驱动和固件限制比较多USB 外置网卡在实验环境里更可控拔到另一台机器也能复现。芯片方案驱动加载方式常见问题和适用场景Realtek RTL8812AU编译 dkms 模块支持 2.4GHz/5GHz监听模式成熟但内核升级后需要重新编译MediaTek MT7612U内核自带 mt76驱动相对省事适合长时间连续抓包Intel AX210内核自带 iwlwifi内置网卡常见支持 6GHz部分固件对管理帧上送不完整抓 Probe Request 时可能偏少表格里没有绝对推荐实践中优先选驱动改动少的芯片。Intel AX210 这类内置网卡在无线局域网抓包实验里可先用iw list确认能力抓包量大时如果发现管理帧数量偏低不要急于下结论换 USB 网卡对比一次更容易定位。3.2 airmon-ng 切换监听模式的顺序和参数airmon-ng 来自 aircrack-ng 套件它的作用不是“让网卡变得能抓包”而是把受管模式接口转换为监听模式接口并绕开系统网络管理服务的干扰。推荐顺序是先 check再 kill最后 start。# 查看当前无线接口名比如 wlan0 iw dev # 检查并停掉可能抢占无线网卡的系统服务 sudo airmon-ng check kill # 把 wlan0 切换到监听模式airmon-ng 会创建 wlan0mon sudo airmon-ng start wlan0 # 确认监听模式生效并查看当前绑定的物理层信息 sudo iw dev wlan0mon infoairmon-ng check kill后面那条命令会断掉本机正在使用的无线网络实验机如果靠远程 SSH 连接先把执行脚本退出或改用网线否则把网卡一停远程会话就断开了。执行完start后接口名通常从 wlan0 变为 wlan0mon名字不重要关键是iw dev wlan0mon info输出里的type monitor。airmon-ng 子命令参数可以单独列出一张表方便实验记录里抄写。子命令参数作用无线局域网抓包实验里的用法check列出会干扰抓包的进程抓包前快速确认check kill停止 NetworkManager 等接管程序网卡被系统自动重连时必用start wlan0把指定接口切成监听模式生成 wlan0mon 接口stop wlan0mon恢复受管模式实验结束后恢复上网如果airmon-ng start wlan0报错说接口忙还可以先用sudo ip link set wlan0 down把接口停掉再执行 start。多数场景下这个顺序比直接硬切更省事。3.3 固定信道、频宽和监管域抓包前最容易被忽略的三步监听模式打开后网卡默认可能还在一个信道上自动扫描也可能被系统设置到某个不固定的频段。要抓某个 AP必须把网卡固定在 AP 所在的信道上。常见做法是用 iw 直接指定信道和带宽# 2.4GHz 固定到 6 信道20MHz 带宽 sudo iw dev wlan0mon set channel 6 HT20 # 5GHz 固定到 36 信道中心频率 5180 MHz sudo iw dev wlan0mon set freq 5180 20参数里的 HT20 表示 20MHz 带宽。无线局域网抓包实验的初期阶段尽量用 20MHz不要为了“抓得多”直接上 40MHz 或 80MHz。带宽越宽网卡需要同时监听的中心频点越多射频前端在边界频段上的空口接收能力越差反而容易出现漏帧。想抓 5GHz 时记得先查 AP 用的主信道频率不同信道号和中心频率的换算关系容易出错最简单的方法是先用airodump-ng wlan0mon看一遍周围 AP 所在信道再固定到目标信道。监管域对信道可用性的影响也很大。某些驱动的固件会参考内核的无线监管域信息决定哪些频段允许监听。如果实验机上设置了非目标地区代码网卡可能在工作在某些频段时自动拒绝收包。可以用iw reg get查看当前监管域实验环境下合理做法是设置为符合实验所在地的代码避免在受限制的信道上白耗时间。4. 无线局域网抓包分析与 Wireshark 过滤器从落盘到 802.1X 握手监听模式配置好之后无线网卡已经能收到同信道里的各种 802.11 帧但抓包文件还不会自动变成有用信息。实际做无线局域网抓包实验时要么用 tshark 命令行落盘要么用 Wireshark 图形界面实时看。两者使用同样的抓包引擎区别主要在交互方式和过滤阶段。4.1 用 tshark 把无线局域网抓包保存成 pcapng 文件长时抓包或无人值守场景下图形界面不是最佳选择。tshark 可以指定接口、抓包时长和输出文件并在文件达到条件后自动结束适合放到后台跑。最小命令如下# 在 wlan0mon 上抓 120 秒保存为 pcapng 文件 sudo tshark -i wlan0mon -a duration:120 -w wifi_lab.pcapng-i指定监听接口-a duration:120表示自动停止条件为抓包持续 120 秒-w指定输出文件。tshark 会根据文件后缀自动选择 pcapng 格式。如果不想限制时间只想抓某个数量就停止把-a duration:120换成-c 5000代表抓到 5000 个包后结束。抓包过程中终端会滚动打印实时摘要不想看可以不接任何显示参数。文件落盘后直接关掉终端也没关系pcapng 已经写到磁盘。需要注意的是tshark 和 Wireshark 的显示过滤器语法一致但命令行里的-Y过滤发生在写入文件之后-f捕获过滤器发生在驱动抓包阶段。无线局域网抓包实验里默认先把所有帧落盘再慢慢过滤避免捕获过滤把关键帧提前滤掉。4.2 用 Wireshark 显示过滤器看 Beacon、Probe Request 和隐藏 SSID打开 pcapng 后先不要直接看 IP 层新建一个显示过滤器栏按 802.11 类型分组。下面这张表是无线局域网抓包分析里最常用的一组过滤表达式目标内容显示过滤器所有管理帧wlan.fc.type 0所有 Beacon 帧wlan.fc.type_subtype 8所有 Probe Requestwlan.fc.type_subtype 4所有 Probe Responsewlan.fc.type_subtype 5802.1X 认证相关帧eapol || eap先输入wlan.fc.type_subtype 8能看到网络的 SSID 列表。双击任一 Beacon展开帧头部里的 Tagged Parameters能看到 SSID、Supported Rates、HT Capabilities 等字段。做无线局域网抓包实验时最常验证的隐藏 SSID 判断方法也在这里隐藏 SSID 的 AP 发出的 Beacon 中SSID 字段长度为 0但 Probe Response 里通常还是会携带真实 SSID。用wlan.fc.type_subtype 5过滤出 Probe Response能直接看到 AP 在回应主动扫描时是否暴露了网络名。4.3 在无线局域网抓包文件里拆解 802.1X 认证流程企业级 WPA2/WPA3 网络的无线局域网抓包实验一般要走到 802.1X 认证流程。这个流程和家庭网络最大的区别是终端关联成功后并不会马上获得 IP而是先跑 EAPOL 报文交换。抓包时先过滤出eapol || eap按 frame.number 排序能看到认证顺序。# 从保存的文件里筛选 802.1X 帧输出帧号和 EAPOL 类型 tshark -r wifi_lab.pcapng -Y eapol || eap \ -T fields -e frame.number -e wlan.sa -e eapol.type输出里eapol.type值需要对照 802.1X 定义理解类型 0 表示 EAP-Packet携带认证方法类型 1 是 EAPOL-Start类型 3 是 EAPOL-Key用于四次握手。实验时最常见的故障是抓包文件里只有 EAPOL-Start 和 EAPOL 响应却没有后续的 EAPOL-Key这说明认证过程在 RADIUS 侧或 AP 侧中断。判断这种问题不能用普通数据帧过滤器必须回到无线局域网抓包的 eapol 过滤条件上。5. 无线局域网抓包排查与长时抓包三个先做的事到最后这个环节重点不是继续堆命令而是把常见失败现象和对应检查点讲清楚。无线局域网抓包失败的表面原因很多但 90% 的实验能通过三个动作找回正确方向。5.1 抓不到任何帧时先查信道、驱动和 NetworkManager如果监听接口已经启动周围明明有 AP但抓包文件里几乎空白先别怀疑硬件。第一步看iw dev wlan0mon info里的 channel确认网卡还停留在自动扫描状态自动扫描时网卡会在多个信道间跳动每个信道停留时间极短表现为“能抓到零散 Beacon但连着抓不到同一组报文”。第二步看驱动日志输入dmesg | tail -30如果出现固件报错或monitor mode is not supported之类的信息说明问题在驱动层面。第三步检查 NetworkManager 有没有把接口重新接管airmon-ng check kill之后如果网络服务被自动拉起网卡会被重置回受管模式。以上三个位置都没问题再回到天线位置和发射功率上找原因。5.2 管理帧多而数据帧少先看重传和终端省电无线局域网抓包实验进行到分析阶段常见困惑是“抓了一大堆 Beacon但看不到目标终端的数据流量”。这种情况下要分两步看。先过滤wlan.fc.type 2看数据帧总数量再过滤wlan.fc.retry 1看重传比例。如果重传很低而终端长时间不出现在数据帧里多半是终端处于省电模式或漫游到了其他信道。省电模式下终端会定期醒来接收 AP 缓存的数据而不是持续占用信道抓包时间不够长就容易以为没抓到。把抓包时长拉长到 5 分钟以上并在实验环境里主动制造流量比如从终端 ping 网关会让数据帧明显变多。5.3 长时抓包的循环保存与 capinfos 检查长时间连续做无线局域网抓包时单个 pcapng 文件会越来越大Wireshark 打开也会变慢。常见做法是让 tshark 自动分片保留最近几个文件即可# 单文件 50MB最多保留 10 个文件 sudo tshark -i wlan0mon -b filesize:50000 -b files:10 -w long_run.pcapng # 抓包结束后查看总包数和持续时长 capinfos long_run.pcapng 2/dev/null | grep -E Number of packets|Capture duration-b filesize:50000的单位是 KB也就是 50MB-b files:10让 tshark 在写满 10 个文件后循环覆盖最旧文件。capinfos 是 Wireshark 自带的文件信息工具用来核对抓包文件的包总数和捕获时长。无线局域网抓包实验的记录里建议把信道、频宽、包数和持续时间一起写入实验报告这样即使后来发现分析有问题也能快速还原现场条件。把上面这两条命令存成一个小脚本下次实验直接复用出错率会低很多。本文还有配套的精品资源点击获取