一、无线抓包概述

各位好，我是老周。干无线网络这行十几年了，今天咱们聊聊无线抓包。

说白了，无线抓包就是把空气中飘着的无线信号给「截」下来，然后分析里面的内容。你可能会问：这跟有线抓包有啥区别？嗯，区别大了去了。有线网络的数据在网线里跑，你插个端口镜像就能抓到。无线呢？信号在空气里传播，谁都能收，但想收得全、收得准，这里头门道不少。

我记得刚入行那会儿，有个客户说他们办公室的Wi-Fi一到下午就卡。我拎着笔记本过去，打开Wireshark一抓——好家伙，同一个信道上挤了十几个AP，互相干扰得厉害。这就是无线抓包的典型场景。

核心概念：无线抓包 = 将无线网卡置于监听模式（Monitor Mode）+ 捕获802.11帧 + 协议解析。

我这些年用无线抓包解决的问题，大致分三类：

故障排查——Wi-Fi连不上、频繁掉线、网速慢。抓包一看，可能是重传率过高、DHCP交互失败、或者AP信号覆盖有盲区。我曾经帮一家酒店排查过，客房里的智能电视总是断连，抓包发现是AP的Beacon帧间隔设置有问题，调整后问题解决。
安全审计——检测是否有非法AP、Deauth攻击、Evil Twin钓鱼热点。有一次在客户现场，我随手抓了五分钟包，就发现三个伪造的公司SSID。你想想看，员工连上这种热点，账号密码等于白送。
性能优化——分析信道利用率、干扰源、客户端漫游行为。比如某个办公区明明部署了AP，但用户体验还是差。抓包后发现，隔壁公司的AP占用了同一信道，而且功率开得很大。调整信道后，延迟从200ms降到了30ms。

工欲善其事，必先利其器。无线抓包的工具不少，但我常用的就三个：Wireshark、tcpdump、Aircrack-ng。它们各有各的脾气。

这个大家应该不陌生。图形界面，协议解析能力极强，支持802.11帧的深度解码。我个人习惯先用Wireshark做初步分析，因为它直观——你能看到每个帧的详细信息，还能用过滤器快速定位问题。

举个例子，你想看某个客户端是否在频繁重传数据：

wlan.fc.retry == 1

输入这个过滤条件，所有重传帧就列出来了。如果比例超过10%，基本可以断定无线环境有问题。

我的经验：Wireshark虽然强大，但抓大流量包时内存消耗很猛。我一般先用tcpdump抓包保存成pcap文件，再用Wireshark离线分析。这样既保证了抓包效率，又能利用Wireshark的分析能力。

命令行工具，轻量、高效。适合在服务器或嵌入式设备上使用。我曾经在树莓派上部署过tcpdump，连续抓了一周的无线流量，一点问题没有。

基本用法：

tcpdump -i wlan0 -w capture.pcap

这条命令把wlan0接口上的流量保存到capture.pcap文件。加上-e参数还能显示MAC层信息，对无线分析很有用。

注意：tcpdump默认不开启Monitor Mode。你需要先用iwconfig或airmon-ng把网卡切换到监听模式，否则抓到的只是本机收发数据，不是完整的无线帧。

这个工具套件在安全圈里名气很大。它包含抓包（airodump-ng）、破解（aircrack-ng）、注入（aireplay-ng）等功能。我主要用它来做安全审计和渗透测试。

启动监听：

airmon-ng start wlan0
airodump-ng wlan0mon

第一条命令把wlan0切换到监听模式，第二条命令开始扫描周围的AP和客户端。你会看到SSID、BSSID、信道、加密方式等信息实时刷新。

下面这张图是我自己整理的无线抓包知识体系。你可以把它当作整个课程的地图——每个模块后面都会展开讲。

这张图把无线抓包分成三大块：基础原理、工具部署、实战分析。后面每一章都会对应到图中的某个节点。你跟着这个脉络走，学完就能独立完成无线抓包任务。

给新手的建议：别急着上手抓包。先把Monitor Mode的原理搞清楚，否则你抓到的数据可能不全。我见过太多人拿着Wireshark抓了半天，结果发现网卡没开监听模式——白忙活。

好了，这一章就到这里。记住三个关键词：监听模式、802.11帧、工具选型。后面我们会一步步深入，从环境搭建开始，带你真正掌握无线抓包这门手艺。