1、课程导论与硬件准备：什么是无线抓包？为什么需要它？

各位同学，欢迎来到《物联网无线抓包全攻略》的第一章。

我是你们的讲师，一个在无线通信和物联网安全领域摸爬滚打了十几年的老工程师。说实话，我刚开始接触这行的时候，抓包工具远没有现在这么丰富。那时候调试一个 Zigbee 设备，得靠串口打日志，猜来猜去，效率极低。后来我学会了用抓包器，才真正“看见”了空中的数据——那种感觉，就像近视的人第一次戴上眼镜。

好，我们正式开始。

无线抓包，说白了就是监听空中传输的无线电信号，并把它们解析成我们能看懂的数据包。

你想想看，物联网设备之间通信，靠的是 Wi-Fi、蓝牙、Zigbee 这些无线协议。这些信号在空气中传播，我们肉眼看不见，但用专门的硬件和软件，就能把它们“捕获”下来，逐字节分析。

我个人习惯把抓包比作“空中的 Wireshark”。只不过，Wireshark 抓的是网线上的数据，而无线抓包抓的是天线里的数据。

核心概念：无线抓包 = 射频监听 + 协议解析。它不主动发送数据，只“听”不说话。

这个问题，我几乎每次上课都会被问到。我的回答很简单：没有抓包，你就是在盲调。

具体来说，抓包能帮你解决三类问题：

调试与开发：设备连不上网？数据发丢了？抓包一看，是重传超时还是地址配错，一目了然。我在项目中遇到过好几次，客户说“设备死机了”，结果抓包发现是广播风暴把协议栈撑爆了。
安全审计：你的智能门锁真的安全吗？抓包看看有没有明文传输密码，有没有重放攻击漏洞。我曾经帮一家厂商做渗透测试，抓包五分钟就拿到了他们“加密”的开门指令——其实就是简单的 XOR 混淆。
协议分析：想研究 Thread 的 Mesh 组网原理？想看看 Matter 的交互流程？抓包是最直观的学习方式。纸上谈兵不如看一次真实的数据交换。

我的经验：如果你只打算学一个物联网调试技能，那就学抓包。它能帮你节省至少 50% 的排查时间。

物联网世界里的无线协议五花八门，但主流的基本就下面这几种。我按使用场景和频率给你捋一捋。

嗯，这里要注意一点：Matter 本身不是一种新的无线技术，它是一个应用层标准。它跑在 Wi-Fi、Thread 或 BLE 之上。所以抓 Matter 的包，本质上还是抓它底层的协议。

工欲善其事，必先利其器。抓包硬件选不对，后面全是坑。我按入门到进阶的顺序给你列一份清单。

这是基础中的基础。Windows、macOS、Linux 都行。我个人推荐用 Linux（Ubuntu 或 Kali），因为很多抓包工具在 Linux 下支持最好。如果你用 Windows，记得装好驱动和虚拟网卡。

树莓派是个好东西。它体积小、功耗低、能跑 Linux，非常适合做便携式抓包平台。我经常在项目现场用树莓派接上抓包器，挂在角落里跑一整天，回来再慢慢分析。

小建议：树莓派 4 或 5 都行，内存至少 4GB。别忘了配一张 32GB 以上的 TF 卡。

这是核心装备。不同的协议需要不同的抓包器。下面是我用过且觉得靠谱的几款。

Nordic nRF52840 DK： 抓 BLE 和 Thread 的神器。支持 BLE 5.x，还能配合 Wireshark 直接解析。我手头常备两块，一块做抓包，一块做被测设备。
TI CC2531： 抓 Zigbee 的经典选择。便宜、稳定，但只支持 2.4 GHz。记得要刷 Z-Stack 抓包固件。
Ubiquiti Wi-Fi 网卡： 抓 Wi-Fi 用的。普通网卡只能抓自己的数据，Ubiquiti 的网卡支持监听模式（Monitor Mode），能抓到整个信道的包。我推荐 UAP-AC 系列或专门的 Wi-Fi 抓包网卡。

避坑指南：我曾经买过一款便宜的 USB 蓝牙适配器想抓 BLE，结果发现它不支持监听模式，只能连设备，不能抓包。白花了钱还耽误时间。记住：抓包器必须支持监听模式（Monitor Mode）或嗅探模式（Sniffer Mode）。

为了让你对本章内容有个整体印象，我画了一张图。它展示了无线抓包的核心要素和它们之间的关系。

这张图把本章的核心逻辑串起来了。你从中间开始看：无线抓包要解决三个问题——为什么抓、抓什么、用什么抓。后面的课程，我们会逐一深入每个分支。

好了，第一章的内容就到这里。硬件准备是基础中的基础，别嫌啰嗦。我见过太多人拿着不支持的硬件折腾半天，最后发现是工具的问题。