2. 软件环境搭建（上）：操作系统选择与抓包工具安装
做无线抓包这件事，说白了就是三样东西：操作系统、抓包工具、驱动权限。这三样没搭好，后面再牛的硬件也白搭。我见过太多人拿着顶级抓包网卡，结果在 Windows 下一脸懵——驱动装不上，或者装上了但 Wireshark 死活认不到接口。
嗯，咱们先把地基打牢。
2.1 操作系统怎么选？
先给结论：Linux 首选，macOS 次之，Windows 能用但坑多。
我个人习惯在 Linux 下做抓包，尤其是 Ubuntu 或 Kali。为什么？因为 Linux 对底层网络接口的暴露最彻底，USB 设备权限管理最灵活，而且很多抓包工具（比如 aircrack-ng、bettercap）本身就是为 Linux 写的。
| 操作系统 | 优势 | 劣势 | 我的建议 |
|---|---|---|---|
| Linux (Ubuntu/Kali) | 原生支持 monitor mode、USB 权限灵活、工具链完整 | 桌面体验一般、部分网卡需编译驱动 | 主力推荐，尤其 Kali 预装了大量无线工具 |
| macOS | Unix 底层、终端好用、稳定性高 | 驱动支持差、monitor mode 受限、需额外安装 Xcode 工具链 | 适合轻度抓包，复杂场景不推荐 |
| Windows | 用户多、驱动安装简单、Wireshark 体验好 | monitor mode 几乎不可用、USB 驱动冲突多、权限管理混乱 | 仅适合有线抓包或 USB 协议分析 |
你想想看，如果你要抓 Wi-Fi 空口包，Windows 下很多网卡根本进不了 monitor mode。我曾经在 Windows 上折腾了一下午，最后发现是驱动签名问题——换了 Linux 五分钟搞定。
核心原则：抓包环境越接近底层，越少中间层干扰。Linux 直接操作 netlink 和 mac80211 子系统，Windows 中间隔了一层 NDIS 驱动，很多底层操作被屏蔽了。
2.2 Wireshark 安装与基础配置
Wireshark 是抓包界的瑞士军刀。不管你用什么系统，安装方式都差不多，但装完之后有几项配置必须做，否则你抓到的包可能不全，或者根本抓不到。
2.2.1 安装方式
- Linux (Debian/Ubuntu)：
sudo apt install wireshark，安装过程中会问是否允许非 root 用户抓包，选「是」。 - macOS：用 Homebrew 装
brew install --cask wireshark，或者直接去官网下 .dmg。 - Windows：下载安装包，注意勾选「Install Npcap」——这是 Windows 下抓包的核心驱动，不装它 Wireshark 就是个空壳。
⚠️ Windows 用户特别注意：安装 Npcap 时，务必勾选「WinPcap API-compatible Mode」。很多旧工具只认 WinPcap 接口，不勾的话它们会报错。我踩过这个坑，折腾了半小时才发现是这里没勾。
2.2.2 基础配置
装完别急着点「开始抓包」。先做三件事：
- 设置捕获接口：Wireshark → Capture → Options，确认你想要的网卡出现在列表里。如果看不到，说明驱动或权限有问题。
- 禁用名称解析：Edit → Preferences → Name Resolution，把「Enable MAC address resolution」「Enable network name resolution」都关掉。为什么？因为抓包时 Wireshark 会发 DNS 请求去解析 IP，这本身就会产生流量，干扰你的抓包结果。
- 配置显示过滤器：这个后面章节会细讲，但建议先把常用的过滤器存成预设，比如只抓 Wi-Fi 管理帧的
wlan.fc.type == 0。
💡 小技巧：我习惯在 Wireshark 里把时间显示格式改成「Seconds Since Beginning of Capture」。默认的「Time of Day」在分析长抓包文件时很难定位事件间隔，改成相对时间一眼就能看出包与包之间的延迟。
2.3 USB 驱动与权限设置（Linux udev 规则）
这是整个搭建过程中最容易出问题的一环。你插上 USB 抓包网卡，lsusb 能看到设备，但 Wireshark 就是认不到——大概率是权限问题。
Linux 下，USB 设备默认只允许 root 访问。你不想每次抓包都 sudo wireshark 吧？那样不仅麻烦，而且以 root 运行 GUI 程序本身就有安全风险。
2.3.1 为什么需要 udev 规则？
udev 是 Linux 的设备管理器。当 USB 设备插入时，udev 会根据规则给设备设置权限、创建符号链接。我们要做的，就是写一条规则，让特定 USB 抓包设备对普通用户可读写。
说白了，就是告诉系统：「这个 USB 设备，我普通用户也能用。」
2.3.2 实战：为抓包网卡写 udev 规则
以最常见的抓包网卡 TP-Link TL-WN722N (Atheros AR9271) 为例：
# 1. 查看 USB 设备的 VID 和 PID
lsusb
# 输出示例：Bus 001 Device 003: ID 0cf3:9271 Atheros Communications, Inc. AR9271 802.11n
# 2. 创建 udev 规则文件
sudo nano /etc/udev/rules.d/99-wireshark-usb.rules
# 3. 写入以下内容
# 允许普通用户读写 AR9271 芯片的 USB 设备
SUBSYSTEM=="usb", ATTR{idVendor}=="0cf3", ATTR{idProduct}=="9271", MODE="0666"
# 4. 重新加载 udev 规则
sudo udevadm control --reload-rules
sudo udevadm trigger
# 5. 拔插 USB 设备，然后验证
ls -l /dev/bus/usb/001/003
# 应该看到权限为 crw-rw-rw-，而不是 crw-r-----
关键点：MODE="0666" 表示所有用户可读写。如果你担心安全问题，可以改成 MODE="0660" 然后配合 GROUP="wireshark"，只让 wireshark 用户组的成员使用。我一般用 0666，因为实验室环境无所谓，生产环境建议用用户组方式。
2.3.3 常见网卡的 VID/PID 对照表
| 网卡型号 | 芯片 | VID:PID | 备注 |
|---|---|---|---|
| TP-Link TL-WN722N v1 | Atheros AR9271 | 0cf3:9271 | 经典抓包卡，已停产 |
| Alfa AWUS036ACH | Realtek RTL8812AU | 0bda:8812 | 支持 5GHz，需额外驱动 |
| Panda PAU09 | Ralink RT5370 | 148f:5370 | 小巧稳定，适合树莓派 |
| Comfast CF-912AC | Realtek RTL8811AU | 0bda:a811 | 性价比高，驱动麻烦 |
你可能会问：「我的网卡不在表里怎么办？」用 lsusb 查 VID:PID，然后去 Google 搜「芯片型号 + monitor mode Linux」，基本都能找到答案。
⚠️ 驱动陷阱：Realtek 芯片的网卡（比如 RTL8812AU）在 Linux 下需要编译第三方驱动，内核升级后驱动可能失效。我曾经在 Ubuntu 20.04 升级到 22.04 后，网卡直接变砖，折腾了一天才找到兼容的驱动版本。如果你不想折腾，优先选 Atheros 或 Ralink 芯片的网卡。
2.4 本章知识体系
下面这张图把本章的核心逻辑串起来了。你可以看到，从操作系统选择到最终能正常抓包，中间每一步都有坑。
从图上可以清楚看到：操作系统选型决定了后续的抓包能力上限，Wireshark 配置决定了你能不能高效分析，而 USB 驱动和权限则是「最后一公里」——这步没走通，前面全白搭。
我个人建议，如果你是第一次搭建抓包环境，直接上 Ubuntu 22.04 LTS + TP-Link WN722N v1。这套组合我用了五年，几乎没出过兼容性问题。等你把基础流程跑通了，再考虑换其他硬件或系统。
💡 最后一个小建议：装好环境后，先别急着抓 Wi-Fi 包。用 Wireshark 抓一下自己电脑的 loopback 接口（lo），确认能正常看到数据包。这一步能帮你快速排除「是工具没装好还是网卡不兼容」的问题。