1. 无线抓包基础：无线网络工作原理、802.11协议族概述、抓包的本质与意义
各位同学，欢迎来到《无线抓包入门到精通》的第一章。我是你们这门课的老讲师，干无线安全这行十几年了。今天咱们不聊虚的，直接切入正题——想学会抓包，你得先搞懂无线网络到底是怎么“说话”的。
很多人一上来就装工具、开监听，结果抓了一堆数据包，完全看不懂。为什么？因为你不懂背后的协议。这就像你拿到一本全是密码的书，没有解码本，白搭。所以，第一章我们先把地基打牢。
1.1 无线网络工作原理：看不见的“空气”里发生了什么？
有线网络靠网线传数据，无线网络靠什么？电磁波。说白了，就是无线电信号在空气中传播。你想想看，你的手机、笔记本，都在不停地往空气里“喊话”。
无线网络的核心工作模式，我习惯叫它“半双工+共享介质”。什么意思？
- 半双工：同一时刻，一个设备要么在发，要么在收，不能同时干两件事。就像对讲机，你按着说话的时候听不到别人说。
- 共享介质：所有设备共用同一片“空气频道”。如果有人同时喊话，信号就会撞在一起，谁也听不清。
为了解决这个“撞车”问题，802.11协议用了一套机制叫 CSMA/CA（载波侦听多点接入/冲突避免）。嗯，这里要注意，它和有线以太网的CSMA/CD不一样。有线网是“撞了再说”，无线网是“先听再发，尽量别撞”。
核心流程：
- 侦听：设备在发数据前，先听一下信道里有没有人在说话。
- 等待：如果信道空闲，它不会立刻发，而是随机等一小段时间（DIFS）。
- 退避：如果信道忙，它就退避，等下次机会。
- 确认：数据发完后，接收方必须回复一个ACK包。如果没收到ACK，发送方就认为数据丢了，重传。
我记得有一次在客户现场做无线优化，有个AP（接入点）下的终端老是掉线。抓包一看，发现信道里全是重传帧，CSMA/CA机制几乎失效了。最后查出来是附近有个非法AP在同一个信道上疯狂发包。这就是典型的“隐藏节点”问题，后面章节我们会细讲。
1.2 802.11协议族概述：Wi-Fi的“官方语言”
我们平时说的Wi-Fi，其实背后是一套IEEE 802.11标准。这个标准家族很庞大，从a/b/g/n/ac/ax到现在的be（Wi-Fi 7）。但不管怎么变，它们的帧结构、管理机制，核心逻辑是相通的。
我个人习惯把802.11帧分成三大类，你记牢了，后面抓包分析就轻松一半：
| 帧类型 | 作用 | 常见子类型 | 抓包时你看到的 |
|---|---|---|---|
| 管理帧 | 建立和维护连接 | Beacon、Probe Request/Response、Auth、Assoc | 你的手机在“扫描”和“握手” |
| 控制帧 | 辅助数据传输，协调信道 | RTS、CTS、ACK | “我要发了”、“你发吧”、“收到了” |
| 数据帧 | 承载真正的上层数据 | QoS Data、Null Data | 你浏览网页、看视频的数据包 |
这里有个避坑指南：抓包时，如果你只看到数据帧，看不到管理帧和控制帧，那说明你的网卡没开启“监控模式”。我曾经有个学生，折腾了一下午，抓到的全是加密的数据帧，连个Beacon帧的影子都没有。后来发现他网卡还在“托管模式”下，只收发给自己的包。嗯，这个坑我当年也踩过。
另外，802.11帧的头部结构，我建议你至少记住这几个字段：
- Frame Control：告诉你这是啥类型的帧。
- Duration：预约信道占用时间，NAV（网络分配向量）就是靠这个算的。
- Address 1/2/3：接收方、发送方、BSSID（基本服务集标识符）。
- Sequence Control：用于去重和排序。
小技巧： 抓包时，你可以在Wireshark里直接过滤 wlan.fc.type 来快速分类。比如 wlan.fc.type == 0 只看管理帧，wlan.fc.type == 2 只看数据帧。这个我后面会专门讲。
1.3 抓包的本质与意义：你到底在“抓”什么？
很多人觉得抓包就是“把空气里的数据包截下来”。这话对，但不全对。抓包的本质，其实是 “监听并记录无线信道上的802.11帧”。
你想想看，你的网卡在监控模式下，就像一台收音机，调到一个频率（信道），然后把这个频率上所有能听到的“声音”（无线电信号）都录下来。但这些“声音”不是原始音频，而是经过调制的数字信号，网卡会把它解调成802.11帧，然后交给抓包软件（比如Wireshark）去解析。
所以，抓包的意义在于：
- 故障排查：为什么连不上？为什么慢？抓包一看，是不是重传太多？是不是有干扰？
- 安全审计：有没有人用Deauth攻击踢你下线？有没有人伪装成你的AP钓鱼？
- 协议分析：想搞懂802.11的握手过程？抓个包，一步步看，比看书直观一百倍。
- 性能优化：信道利用率高不高？是不是有低速率设备拖慢了整个网络？
重要提醒： 抓包是一把双刃剑。未经授权抓取他人网络的数据包，在法律上可能构成“非法侵入计算机信息系统”或“侵犯公民个人信息”。我建议你只在以下场景抓包：
- 你自己的网络
- 你获得明确授权的网络
- 实验室或测试环境
我曾经见过有人因为好奇，在公司抓了隔壁部门的Wi-Fi包，结果被开除+吃官司。别干傻事。
1.4 本章知识体系：一张图看懂
下面这张SVG图，是我自己画的，把本章的核心逻辑串起来了。你仔细看一遍，后面学起来会顺很多。
这张图你看懂了吗？从上到下，从左到右，其实就是一条线：先搞懂无线怎么工作，再认识802.11的帧结构，最后明白抓包到底能干什么。这三块是后面所有章节的基石。