保姆级教程：用Wireshark抓包，一步步拆解你手机连Wi-Fi时到底在‘聊’什么
咖啡厅里的无线密语：用Wireshark解码手机与路由器的四次握手
坐在咖啡厅角落，你掏出手机点击那个熟悉的Wi-Fi名称，输入密码后瞬间连上网络——这个每天重复的动作背后，其实隐藏着一场精密的无线协议芭蕾。本文将带你用Wireshark这把"数字听诊器"，亲耳聆听802.11协议栈中那些看不见的对话帧。
1. 初识无线侦察兵：Beacon与Probe的广播艺术
当手机Wi-Fi模块启动时，它首先会像侦察兵一样执行信道扫描。在2.4GHz频段，这个过程就像调收音机频道，逐个检查1-13信道是否有活跃的接入点（AP）。Wireshark中可以通过以下过滤器捕获这些侦察行为：
wlan.fc.type_subtype == 0x08 # Beacon帧 wlan.fc.type_subtype == 0x04 # Probe Request wlan.fc.type_subtype == 0x05 # Probe Response被动扫描模式下，AP会定期广播Beacon帧（默认间隔约100ms），这些帧包含关键信息：
| 字段 | 作用 | 示例值 |
|---|---|---|
| SSID | 网络名称 | "CoffeeShop_Guest" |
| BSSID | AP的MAC地址 | be:76:07:c2:34:a4 |
| Channel | 工作信道 | 6 |
| RSSI | 信号强度 | -67dBm |
而主动扫描时，手机会主动发送Probe Request帧。有趣的是，当连接隐藏SSID网络时，你会看到Probe Request中明确携带目标SSID，而普通扫描则发送空SSID的广播请求。在Wireshark中对比这两种帧的差异：
# 隐藏SSID的探测请求 Frame 123: SSID parameter set: "SecretNetwork" # 普通探测请求 Frame 124: SSID parameter set: [empty]提示：在拥挤的公共场所，Beacon帧可能占无线流量的20%以上。使用
wlan.fc.type_subtype == 0x08 && wlan.ssid == "YourAP"可精准过滤特定AP的信标。
2. 身份验证的密码学剧场：从Open System到WPA3
认证阶段就像夜店门口的保安检查ID。传统Open System认证实际上不做任何验证，仅通过MAC地址确认设备存在。在Wireshark中可以看到简单的两步交互：
- Authentication Request (Seq#1)
- Authentication Response (Seq#2, Status: Success)
而现代Wi-Fi使用的WPA2-PSK则上演着更精彩的密码学戏剧。虽然认证类型仍显示为Open System（这是协议设计使然），但真正的安全校验发生在随后的四次握手中。关键区别在于：
- WEP时代：使用共享密钥认证，存在严重安全漏洞
- WPA进化：引入临时密钥和随机数，每次连接生成独特加密参数
- WPA3升级：采用SAE（Simultaneous Authentication of Equals）协议，彻底杜绝离线字典攻击
观察认证帧时要注意：
# 过滤认证过程 wlan.fc.type_subtype == 0x0b # Authentication3. 资源谈判的智慧：Association Request中的隐藏条款
关联阶段好比租房签约，手机（STA）会向AP发送包含特殊条款的Association Request。其中最关键的两个参数是：
- Listen Interval：省电模式下的唤醒周期（单位是Beacon间隔）
- Supported Rates：设备支持的传输速率列表
Wireshark解码示例：
Association Request Listen Interval: 3 Supported Rates: [ 1(b), 2(b), 5.5(b), 11(b), 6, 9, 12, 18 ]AP会根据自身资源情况决定是否接受这些条款。如果当前连接的设备过多，可能返回Association Response with status code 17 (AP unable to handle additional STAs)。这种情况在展会等密集场景很常见。
注意：现代设备通常使用Reassociation而非Association，这是802.11的优化机制，保留之前的连接上下文。
4. 四次握手的密钥之舞：PTK与GTK的诞生记
四次握手是WPA2最精妙的部分，它将你输入的密码转化为实际加密数据的密钥。整个过程就像密码学家之间的秘密仪式：
第一次握手：AP发送ANonce（随机数）
- 关键字段：
EAPOL-Key (ANonce)
- 关键字段：
第二次握手：STA回复SNonce并计算PTK
PTK = PBKDF2(PMK, ANonce + SNonce + AP_MAC + STA_MAC)第三次握手：AP发送加密的GTK
- 此时开始使用PTK加密后续通信
第四次握手：STA确认密钥安装完成
Wireshark过滤技巧：
eapol && wlan.addr == your_device_mac密钥层次关系：
输入密码 → PBKDF2生成PMK → 四次握手生成PTK/GTK → 实际加密数据5. 实战演练：咖啡厅连接全流程抓包指南
准备好你的装备：
- 支持监听模式的无线网卡（如AWUS036ACH）
- Wireshark 4.0+
- 约500MB磁盘空间（1小时抓包约300MB）
操作流程：
启动监听模式：
sudo airmon-ng start wlan0开始抓包：
sudo wireshark -k -i wlan0mon连接目标Wi-Fi，观察关键事件序列：
[Probe] → [Auth] → [Assoc] → [4-Way Handshake] → [DHCP]
常见问题排查：
- 抓不到握手包？检查是否在5GHz频段（需支持HT40）
- 看不到数据内容？正常现象，WPA2加密后数据不可读
- 时间戳混乱？建议使用
tshark -t ad调整时间显示格式
6. 超越基础：802.11协议栈的进阶观察
掌握基础流程后，可以深入探索：
- 802.11k/v/r：现代设备支持的快速漫游协议
- 802.11w：管理帧保护（防止强制下线攻击）
- 802.11ax：Wi-Fi 6引入的OFDMA调度机制
例如，观察Wi-Fi 6设备的TWT（Target Wake Time）协商：
TWT Setup Frame Wake Duration: 20ms Wake Interval: 100ms TWT Channel: Primary这些协议细节在Wireshark中都有对应的过滤器和解码器。建议保存抓包文件时使用.pcapng格式，可以保留更多的无线元数据。