别再只输密码了！手把手带你用Wireshark抓包，亲手‘看见’WPA2的四次握手过程（含过滤技巧）
无线网络安全实战：用Wireshark解析WPA2四次握手全流程
家里WiFi突然连不上？明明密码正确却反复提示认证失败？作为网络工程师，我遇到过太多次同事抱怨"路由器抽风"，而真相往往藏在那些看不见的数据帧里。今天我们就用Wireshark这把"手术刀"，解剖WiFi连接过程中最关键的四次握手环节，让你亲眼见证PTK密钥的诞生过程。
1. 实验环境准备：从监听模式开始
工欲善其事，必先利其器。不同于普通抓包，捕获无线帧需要特殊的监听模式（Monitor Mode）。我推荐使用性价比极高的Alfa AWUS036NHA网卡，它的Atheros AR9271芯片对Linux内核支持良好，实测在Kali 2023.3上即插即用。
必备工具清单：
- Wireshark 4.0.8（新增IEEE 802.11协议增强解析）
- 支持监听模式的无线网卡（建议芯片组：Atheros/Realtek RTL8812AU）
- 家用无线路由器（关闭WPA3以简化实验）
在Ubuntu系统下启用监听模式只需三条命令：
sudo airmon-ng check kill # 结束可能冲突的进程 sudo ip link set wlan0 down # 关闭网卡 sudo iwconfig wlan0 mode monitor # 切换模式注意：部分Intel网卡需安装专用驱动补丁，遇到"Operation not supported"错误时可尝试
git clone https://github.com/aircrack-ng/rtl8812au
2. 精准捕获握手帧：过滤策略详解
启动Wireshark后，常见的误区是直接开始抓包，结果被海量的Beacon帧淹没。我的私藏过滤公式能让你直击要害：
关键过滤表达式：
(wlan.fc.type_subtype == 0x0b) || # 认证请求 (wlan.fc.type_subtype == 0x00) || # 关联请求 (eapol) # 四次握手帧这个组合拳能捕获连接全过程的三类关键帧。特别提醒：在802.11标准中，四次握手属于EAPOL（Extensible Authentication Protocol over LAN）协议，而非普通的Data帧。
帧类型速查表：
| 十六进制值 | 类型说明 | 在握手阶段的作用 |
|---|---|---|
| 0x0b | Authentication | 设备身份初步验证 |
| 0x00 | Association Req | 协商连接参数 |
| 0x08 | EAPOL-Key (Msg1) | AP发送ANonce |
| 0x0108 | EAPOL-Key (Msg2) | STA回复SNonce和MIC |
| 0x0308 | EAPOL-Key (Msg3) | AP确认密钥安装 |
| 0x0408 | EAPOL-Key (Msg4) | STA最终确认 |
3. 四次握手深度解析：从报文到密钥
现在来到最激动人心的环节——解剖抓取到的EAPOL帧。以第一次握手为例，在Wireshark中展开802.1X Authentication标签，你会看到类似这样的结构：
Key Descriptor Version: HMAC-SHA1-128 Key Type: Pairwise Key Key Information: 0x008a (Secure, Key MIC, Install, Ack) Key Length: 16 Replay Counter: 1 WPA Key Nonce: a1b2c3d4...（32字节ANonce） Key MIC: 0000...（初始为空） Key Data Length: 0关键字段解读：
- ANonce/SNonce：AP和客户端各自生成的随机数，相当于密钥材料的"盐值"
- MIC：第二次握手开始出现，像蜡封一样确保消息未被篡改
- Key Information：比特位控制密钥协商流程，0x008a中的8a对应二进制10001010
用Python演示PTK生成过程（需安装hashlib）：
import hashlib, hmac def generate_ptk(pmk, anonce, snonce, ap_mac, sta_mac): # 拼接所有材料 material = b"".join([pmk, anonce, snonce, ap_mac, sta_mac]) # 使用PBKDF2-HMAC-SHA1迭代生成 return hashlib.pbkdf2_hmac('sha1', material, b"Pairwise key expansion", 4096, 32)4. 实战排错：典型握手失败案例
上周我遇到个经典案例：某会议室WiFi反复弹出密码错误提示，但管理员坚称密码未更改。通过抓包分析发现：
- 客户端能收到Msg1（含ANonce）
- 但Msg2中的MIC校验失败
- 比较发现AP的PMK与客户端不一致
最终定位到原因是键盘布局错误——用户在不同区域笔记本电脑上输入密码时，默认切换了键盘映射，导致实际发送的PSK与AP存储不符。
常见故障排查表：
| 现象 | 可能原因 | 验证方法 |
|---|---|---|
| 收不到Msg1 | AP配置错误 | 检查Beacon帧中的RSN信息 |
| Msg2后无响应 | MIC校验失败 | 对比两端PMK |
| 反复重传Msg3 | 组播密钥安装失败 | 检查GTK相关字段 |
| 完成握手但无法上网 | 四次握手后DHCP问题 | 捕获DHCP流程 |
建议在测试环境故意输入错误密码，观察Wireshark中的表现：你会看到AP在Msg2后直接发送Deauthentication帧（ subtype 0x0c），这是WPA2协议的安全特性——不透露具体错误原因以避免暴力破解。
5. 进阶技巧：Wireshark个性化配置
为了让分析更高效，我习惯自定义Wireshark的着色规则：
- 右键报文 →Colorize Conversation→ 选择EAPOL
- 在协议首选项中启用IEEE 802.11的"Reassemble fragmented packets"
- 创建自定义列显示Key Replay Counter
对于需要长期监测的场景，可以用Tshark命令行保存特定握手过程：
tshark -i wlan0 -Y "eapol && wlan.addr == 00:11:22:33:44:55" -w handshake.pcapng最后分享一个冷知识：在Wireshark 4.0+中，你可以右键EAPOL帧选择Decode As→IEEE 802.11，这样能直接看到加密字段的原始值，这对调试企业级Radius认证特别有用。