Wireshark 802.11报文过滤实战：从帧类型到无线排障

1. 先把802.11报文的结构摸透过滤才有依据1.1 三类帧的分工管理帧、控制帧与数据帧干无线排障第一步永远是分帧。802.11 报文在 MAC 层分成三大类这个分类直接决定了你后面打的所有过滤条件是否有效。很多人走到 Wireshark 里就凭感觉乱输关键词结果过滤结果乱七八糟根源就是没弄明白这三类帧的分工。管理帧Managementtype 0负责建立和维护连接像 Beacon 广播、Probe Request/Response、Authentication、Association、Deauthentication 全在这一类里。你平时判断一个 AP 存不存在、终端在不在扫描靠的就是管理帧。控制帧Controltype 1负责协调空口访问包括 RTS、CTS、ACK、Block ACK 等等它们短小密集、量大却基本不携带业务信息属于空口里的“调度系统”。数据帧Datatype 2承载真正要传的内容也就是我们熟悉的 TCP/IP 报文但前提是它没被加密或者你已经配好了解密密钥否则看到的只是带加密头的一堆字段。这三类帧在过滤时对应 Wireshark 里的wlan.type字段分别用 0、1、2 表示。比如只想看业务流量就先输入wlan.type 2把管理帧和控制帧全丢掉反过来想监控终端关联过程就把wlan.type 0单独拎出来。1.2 每个大类下面还有子类型Beacon、Deauth、Probe Request光按大类分还不够很多排障场景需要精确到某个子类型。管理帧内部就分成了十多种 subtype这里列几个最常见的先混个脸熟Beaconsubtype 8AP 周期性发送的广播宣告自己的 SSID、信道、速率集、能力信息。Probe Requestsubtype 4终端主动发出的扫描请求相当于“你在这儿吗说句话”。Probe Responsesubtype 5AP 回应终端扫描。Authenticationsubtype 11Open System 或 Shared Key 认证流程。Association Requestsubtype 0/ Responsesubtype 1终端申请接入、AP 回应接入结果。Deauthenticationsubtype 12强制断开这个帧在无线攻击检测里尤其重要。Disassociationsubtype 10解除关联优雅程度比 Deauth 高一些。Wireshark 里常见把 type 和 subtype 合并成一个字段显示过滤时用的是wlan.fc.type_subtype取值是十进制加十六进制混合的助记形式。例如 Beacon 可以写成wlan.fc.type_subtype 0x08Deauth 写成wlan.fc.type_subtype 0x0c。记住这个规律比死记硬背强得多管理帧 subtype 一共 14 种0 到 13Wireshark 显示面板里你会看到类似“Type/Subtype: Beacon (8)”的文字括号里的数字是十进制而过滤时用十六进制加前缀 0x 即可。1.3 无线排障与报文的特殊关系为什么过滤是刚需有线网络里抓包相对简单交换机端口镜像一下报文就是整段的以太网帧过滤时看得清清楚楚。无线则完全是另一套逻辑空口是半双工共享介质一个信道范围内所有设备的报文都会“飞”到你的网卡上。我一开监听可能同时抓到十几个 AP 的 Beacon、几十个终端的 Probe、数不清的 ACK 重传第一感觉就是信息过载。这种场景下过滤的作用就凸显出来了。它并不是简单地把包藏起来而是让你从“空口全景”里快速收敛到目标回答几个关键问题这个 AP 的 Beacon 是否正常某个终端能不能跟 AP 完成认证关联空口里有没有大量异常 Deauth某个区域的信号强度分布如何这些问题的答案全都藏在不同类型帧的组合里没有过滤就等于大海捞针。另外无线还有一个独特因素抓包时带上 radiotap 头部里面记录信道、速率、信号强度RSSI等射频信息。过滤条件不仅能看 802.11 MAC 头部还能顺手把 radiotap 里的信号强度拿出来筛。这一点在弱覆盖排查里特别实用后面我会专门讲。2. 抓包前的前置条件监听模式与工具准备2.1 硬件与驱动不是所有网卡都能监听先泼一盆冷水802.11 报文过滤再熟练网卡不支持监听模式也无从谈起。普通网卡默认工作在站点模式Managed只会接收发给自己的帧根本看不到空口里的 Beacon 和别人的协商过程。想丢掉网卡的“自私心”得让无线网卡进入监听模式Monitor Mode。判断网卡支不支持监听Linux 下可以执行iw list | grep -A 20 Supported interface modes输出里如果看到monitor就说明硬件和驱动都支持。用 aircrack-ng 套件的话sudo airmon-ng也能列出各接口状态。Windows 上就简单粗暴一些Wireshark 的捕获选项中勾上“Monitor Mode”试试能不能抓到抓不到管理帧就得考虑网卡驱动的问题。我这些年踩过的坑里十个里有八个是 USB 网卡虚标标称支持监听实际驱动一开就掉线最后换了芯片方案才稳定。2.2 开启监听模式的标准操作在 Linux 上最省事的方式是借助 aircrack-ng 里的 airmon-ngsudo airmon-ng check kill sudo airmon-ng start wlan0第一条命令会停掉可能干扰监听模式的进程尤其 NetworkManager 这类会不断切换信道的服务。第二条把 wlan0 转入监听模式成功后会生成一个叫 wlan0mon 的虚拟接口。也可以用更轻量的 iw 直接改接口类型sudo ip link set wlan0 down sudo iw dev wlan0 set type monitor sudo ip link set wlan0 up sudo iw dev wlan0 set channel 6注意最后一条set channel很关键监听模式下网卡只在一个固定信道上收包。如果你不锁信道让它自己漫游跳频那抓到的报文会支离破碎过滤得再精准也白搭。Wireshark 里开启捕获后界面上有信道选择工具可以把当前监听接口切换到指定信道。如果用的是自带无线管理功能的系统切记先关掉系统的自动跳频机制否则你会看到报文数量忽多忽少统计结果毫无规律。2.3 工具分工Wireshark、TShark 与 tcpdump 怎么选过滤这个动作本身哪个工具都能做但不同场景效率差很多。我一般这样分工Wireshark图形界面适合做深度的交互式分析输入过滤条件时还能自动提示、实时看到匹配数量。排障初期不知道问题在哪时先在 Wireshark 里全局看一遍再用过滤逐步收敛。TSharkWireshark 的无头版本适合脚本化和批量处理。抓了几小时的 pcap 文件写一条tshark -r capture.pcapng -Y wlan.fc.type_subtype 0x0c就能把 Deauth 全导出来统计。tcpdump轻量级适合远端设备或嵌入式环境直接抓包也支持一些 802.11 捕获过滤器语法只是分析功能弱一些。关键提示无线报文过滤建议“先抓后筛”。捕获过滤器确实能在源头减少落盘的报文量但条件写死了以后想查被丢弃的帧就没有任何办法。我自己的习惯是采集时只按接口和信道维度控制文件大一点没关系等数据落盘后再用显示过滤器精细处理灵活度高出很多。3. 两种过滤语法要分清捕获过滤器与显示过滤器3.1 捕获过滤器在内核就拦截减少磁盘占用捕获过滤器用的是 BPFBerkeley Packet Filter语法Wireshark 捕获选项里的“Capture Filter”就是它。它的优势是报文还在内核时就被筛掉落盘的只有你感兴趣的部分适合长时间监听或嵌入式环境里抓包避免几十 GB 的日志把磁盘撑爆。针对 802.11 报文常见写法有这么几类wlan type mgt wlan type data wlan type mgt subtype beacon wlan type data subtype qos-data这套语法能按type和subtype过滤但缺点是相对死板支持复杂条件拼接的能力有限。无线抓包时还有个大坑控制帧本身可能由网卡驱动直接处理根本不会上报给抓包程序这时即使你写了wlan type ctl也可能收不到预期的 ACK。所以我平时很少依赖无线捕获过滤器除非是在资源受限的设备上做长时间盲采。3.2 显示过滤器最常用的精细筛选体系显示过滤器是 Wireshark 的灵魂。刚才tshark示例里用的-Y参数就是显示过滤器。它是在报文已经落地后、在内存里做筛选完全不丢帧。先看最基本的四条按帧类型wlan.fc.type 0管理帧、wlan.fc.type 1控制帧、wlan.fc.type 2数据帧按精确子类型wlan.fc.type_subtype 0x08按地址wlan.sa xx:xx:xx:xx:xx:xx源地址、wlan.da ...目的地址、wlan.bssid ...BSSID按无线局域网名称wlan.ssid your_wifi_name组合条件用逻辑运算符Wireshark 支持、||、!也支持英文单词and or not。一个常见误区是拿以太网的过滤思路套无线。比如有线里你习惯写ip.src x.x.x.x但在加密无线环境里数据帧的 IP 层完全不可见过滤条件必然落空。除非你已经在 Wireshark 的解密配置里填入了成对的 PMK 和无线局域网密码并开启解密否则只能过滤 MAC 层信息这是无线过滤与有线过滤最本质的区别。3.3 高频过滤表达式速查表我把自己常用的表达式整理成一张表贴在工位上新手可以先抄着用需求显示过滤器表达式只看 Beaconwlan.fc.type_subtype 0x08只看 Probe Requestwlan.fc.type_subtype 0x04只看 Deauthenticationwlan.fc.type_subtype 0x0c看认证与关联全过程wlan.fc.type_subtype 0x0b || wlan.fc.type_subtype 0x0c || wlan.fc.type_subtype 0x00 || wlan.fc.type_subtype 0x01过滤某个 AP 的所有帧wlan.bssid a4:5e:60:xx:xx:xx过滤某个终端的非空口帧wlan.addr 20:aa:bb:cc:dd:ee只看重传帧wlan.fc.retry 1剔除重传帧后统计wlan.fc.type 2 wlan.fc.retry 0按信号强度筛弱帧radiotap.dbm_antsignal -75排除某个 BSSID!wlan.bssid a4:5e:60:xx:xx:xxwlan.addr这个字段会同时匹配地址字段里的 BSSID、源地址、目的地址、接收地址、发射地址写起来很省事。想更严谨就拆开写wlan.sa ... \|\| wlan.da ... \|\| wlan.ra ... \|\| wlan.ta ...。另外 Wireshark 支持把常用的过滤条件保存成带名字的过滤按钮或做成显示过滤宏。我在一开始就把上表里的高频表达式存成了过滤按钮点一下就能直接应用不用每次敲长串条件。4. 实战场景从过滤到定位问题的完整路径4.1 场景一单独观察某个 AP 的全量交互部署了新的 AP总是担心它工作不正常这时候目标是观察这个 AP 在所有信道上的空口行为。第一步先锁到 AP 所在信道5GHz 和 2.4GHz 不要弄混然后应用一条过滤wlan.bssid a4:5e:60:12:34:56这条条件下你能看到该 BSSID 发出的 Beacon也能看到终端发给它的 Probe Request、Authentication、Association以及它回给终端的各种响应。Wireshark 统计菜单里的“Conversations”会被限定到该 BSSID 的流量通过 IO Graph 还能按时间分布看 Beacon 间隔稳不稳定。这里要留神一个细节AP 的 2.4GHz 和 5GHz 频段通常对应不同的 BSSID哪怕 SSID 相同。只过滤 BSSID会把另一个频段的流量排除在外这是“少看了半边天”的典型来源。要对比双频就得把两个 BSSID 都用上wlan.bssid a4:5e:60:12:34:56 || wlan.bssid a4:5e:60:78:9a:bc。4.2 场景二终端连接很慢过滤出完整的关联过程用户报障连 WiFi 要转十几秒。这种问题光看平台日志很难确认是认证慢还是 DHCP 慢最直接的办法就是抓包看关联过程。先过滤出该终端地址相关的管理帧把 Probe、Auth、Assoc 全部拉出来wlan.addr 20:aa:bb:cc:dd:ee wlan.fc.type 0再配上时间列逐步观察时间戳Probe 发出后多久收到 Probe ResponseAuth 请求之后 AP 有没有立刻回 Auth 响应Associate Request 发出后AP 是秒回还是卡了几秒这些间隔一摆出来问题发生在终端侧还是 AP 侧基本就一目了然。如果过滤之后发现只有 Authentication 帧却没有后续的 Association Request那怀疑点就该转移到 AP 的接入容量或认证服务器上。要是连 Probe Response 都收不到大概率是信号覆盖或者 AP 根本没在工作。整个过程完全不需要看上层协议几个管理帧的过滤就给出了方向。4.3 场景三空口异常与 Deauth 风暴的识别无线环境里最让人头疼的干扰之一就是大量 Deauthentication 帧。有些是 AP 主动下发的正常断开但短时间内密密麻麻出现 Deauth就很可疑常见于恶意干扰或设备老化误报。过滤表达式极其简单wlan.fc.type_subtype 0x0c然后打开统计里的 IO Graph把时间粒度调到毫秒级看是否有瞬间井喷的尖峰。正常网络里 Deauth 应该是零星的如果看到每秒几百甚至上千的 Deauth条件直接指向空口异常。此时再叠加地址过滤比如wlan.fc.type_subtype 0x0c wlan.sa aa:bb:cc:dd:ee:ff就能找到发出异常 Deauth 的“罪魁祸首”。另一种情况发现多个 AP 都在广播同一个 SSID但 BSSID 对不上。用这条过滤可以把未知发射源揪出来wlan.fc.type_subtype 0x08 wlan.ssid corp-wifi !wlan.bssid 00:11:22:33:44:55排除掉自己的合法 BSSID剩下的就是未经登记的邻居或伪造热点。4.4 场景四弱覆盖排查时用 RSSI 过滤覆盖优化时我常用的一个套路是把客户端附近抓到的所有 Beacon 按信号强度筛一遍。radiotap 头里带有dbm_antsignal字段Wireshark 里可以直接拿它做条件wlan.fc.type_subtype 0x08 radiotap.dbm_antsignal -75数值低于 -75 dBm 时可以认为是弱信号覆盖区域配合过滤结果里出现的 BSSID 和信道能快速判断现场是哪个 AP 覆盖不足。不过这里要提醒一句不同网卡驱动的 radiotap 字段名略有差异有的叫radiotap.dbm_antsignal有的使用radiotap.signal_dbm。我第一次跨设备抓包时就因为字段名没对上过滤结果一个包都不显示所以换设备后第一件事是展开 radiotap 头部确认字段名。5. 常见错误与排查实录过滤器不生效时到底查什么5.1 过滤器怎么敲都没结果先排查这四件事这是新手最容易崩溃的时刻表达式明明照着教程抄的却没有一条帧显示出来。按照我的经验按顺序查这四件事字段名拼写与大小写。Wireshark 字段是大小写敏感的Wlan.Fc.Type不是wlan.fc.type。字段名打错时过滤栏会变红提示语法错误如果没报错但结果为空大概率不是字段名的问题。字面值进制。subtype 的十六进制写法必须带0x前缀例如wlan.fc.type_subtype 0x08。写成了不带前缀的8也合法但容易跟十进制混淆建议统一用0x。当前接口或信道对不对。监听接口在 6 信道AP 却工作在 1 信道再怎么过滤也是空。这几乎是“过滤器不生效”里最常见的物理层原因。网卡是否真的处于监听模式。有些驱动在 Wireshark 勾选了监听但拉起接口时失败后台悄悄回退到普通模式这时抓到的只有发给网卡自己的帧。5.2 加密环境下数据帧筛不出上层信息怎么办5GHz 频段上跑 WPA2/WPA3 的无线局域网数据帧的 IP 层、TCP 层都是密文。这时候你用ip.addr 192.168.1.10过滤结果等于零非常正常的现象。遇到这种情况先冷静下来明确你的目标。如果想确认一个具体终端的上行下行流量统计那就老老实实基于 MAC 层过滤wlan.addr看帧的数量、大小、号和时间间隔就够用了。如果想看到 IP 层内容就得在 Wireshark 的偏好设置里给 IEEE 802.11 协议配置解密密钥并确保抓到了对应的四次握手报文。注意用的无线局域网密码只是 PMK抓包文件里还得有 EAPOL 四次握手解密条件才成立。5.3 重传与聚合报文统计数字千万别当真802.11 本身就带重传机制空口上一帧丢了你会在抓包里看到 Retry 标志。如果你过滤wlan.fc.type 2后直接数帧数重传的帧会被重复纳入统计结果会虚高。实际排查性能问题时我会顺手加一条wlan.fc.retry 0把重传排干净再分析。另一个干扰来自 A-MPDU 聚合。WiFi 5/6 接下数据帧会被聚合Wireshark 默认会解聚把子帧展开为一堆独立的 802.11 数据帧。这种情况下看起来报文总数暴增过滤逻辑本身没问题但如果你想统计“原始空口传输次数”就得去识别聚合边界普通过滤是数不出来的。所以遇到统计数据和实际吞吐量对不上的情况优先怀疑重传与聚合而不是过滤器写错了。5.4 终端 MAC 随机化导致地址过滤失效现在不少手机系统对 Probe Request 做 MAC 随机化同一台手机你看到的源 MAC 可能是不断变化的。表现在过滤器上就是你盯着一台终端抓包里却出现一堆不认识的新 MAC 占据窗口。这是现代移动设备的默认行为不算故障。想跟踪这类终端不能只靠静态地址过滤可以用“高级”一点的方式先通过最强的同现特征比如同时段、同位置、同型号识别设备再配合 Wireshark 的“Follow”能力和 IO Graph 观察行为模式。对于需要管理终端漫游或防伪设备的场景重点是看关联成功后的帧——关联后正常会使用真实 MACProbe 阶段的随机化其实影响不大。6. 最后分享一点使用习惯上的心得做了这么多年无线分析我越来越觉得“过滤”不是敲命令的一下子动作而是一套工作方法。我习惯先全局看一眼不急着过滤在统计里观察整体帧构成比如管理帧比例突然异常升高往往还没过滤就能闻到异味。然后再用过滤逐层收敛先按 channel 收紧再按 BSSID再按 subtype最后叠加 radiotap 信号条件每一步都保留一个过滤快照方便回头对比。另外一个习惯是把常用过滤整理成 Wireshark 配置文件里的过滤按钮或者写成显示过滤宏。像“只看某个 AP 的 Deauth”“排除重传的数据帧”这类条件我每天要用几十次全部提前存好鼠标点一下就能完成效率提升非常明显。如果你刚入门无线抓包建议先从最简单的一条过滤开始练手打开 Wireshark随便抓一分钟 Beacon输入wlan.fc.type_subtype 0x08观察每个 AP 的 Beacon 间隔和个数。这一条练熟了你对 802.11 帧结构、监听模式和过滤语法的理解都会上一个台阶之后再去啃 Deauth、关联过程这些复杂场景就顺理成章了。