前言无线网络分析是移动互联网安全中的一项基础技能。借助支持监听模式的无线网卡和 Kali Linux 下的工具链可以捕获空口流量、解密 WPA/WPA2-PSK 通信并进一步分析设备行为。本文记录一次完整的无线流量分析过程涵盖网卡信息采集、airodump-ng 嗅探、Wireshark 解密以及 802.11 帧与 SSID 解析。测试环境宿主机Windows 11虚拟机VirtualBox 7.0 Kali Linux 2025.4无线网卡Ralink Technology RT2870/RT3070 Wireless AdapterUSB 2.0主要工具asciinema、airodump-ng、tshark、Wireshark一、USB 无线网卡信息采集1. 网卡实物2. 查看 USB 设备列表lsusb输出中可以看到Bus 001 Device 005: ID 148f:3070 Ralink Technology, Corp. RT2870/RT3070 Wireless Adapter设备 ID 为148f:3070连接在 USB 2.0 总线上。3. 查看驱动加载情况lsusb-t关键输出Port 002: Dev 005, If 0, ClassVendor Specific Class, Driverrt2800usb, 480M网卡使用rt2800usb驱动工作在 USB 2.0 HighSpeed480Mbps模式下。该驱动是 Linux 内核原生支持的 Ralink 系列无线网卡驱动支持监听模式等高级功能。4. 查看设备详细描述符lsusb-v关键信息包括厂商Ralink Technology, Corp.产品RT2870/RT3070 Wireless Adapter接口类Vendor Specific Class端点数量7最大功耗450mA5. 查看无线接口信息iw dev输出显示逻辑接口wlan0物理层设备phy#2当前模式managedMAC 地址f6:0c:e3:a9:41:c9发射功率20 dBm6. 查看网卡硬件能力iw list关键能力支持monitor模式支持 802.11n频率范围2412.0 MHz [1] 至 2484.0 MHz [14]支持多种帧类型与扩展特性这些能力为后续监听模式抓包提供了基础。二、使用 asciinema 录制 airodump-ng 嗅探1. 开启监听模式sudoairmon-ng start wlan0开启后通常会生成wlan0mon监听接口。2. 录制并抓包使用 asciinema 记录操作过程asciinema rec airodump-demo.cast在录制会话中执行# channel hopping 模式抓包约 10 秒sudoairodump-ng wlan0mon# 指定信道抓包约 10 秒并保存到文件sudoairodump-ng--channel6--writesaved-01 wlan0mon# 结束录制exit录制完成后可获得一个 private 分享链接https://asciinema.org/a/gHakOoy94fgyYS9c三、Wireshark 解密 WPA-PSK 抓包使用示例文件wpa-Induction.pcap其 SSID 为Coherer密码为Induction。1. 配置解密在 Wireshark 中依次进入编辑 - 首选项 - Protocols - IEEE 802.11勾选Enable decryption然后点击Edit添加解密密钥Key typewpa-pwdKeyInduction:Coherer2. 查看 HTTP 明文通信解密成功后过滤http即可看到完整的 HTTP 请求与响应过程。这直观展示了 WPA-PSK 密码泄露后加密流量如何被还原为明文。四、802.11 帧与 SSID 分析1. 统计独立 SSID提取所有 Beacon 帧中的 SSIDtshark-rsaved-01.cap-Ywlan.fc.type_subtype 0x08-Tfields-ewlan.ssidssid_list.txt统计去重后的 SSID 及出现次数sortssid_list.txt|uniq-c输出结果119 HUAWEI-Mobile 8 HUAWEI507 112 Office-48 111 TP-LINK_9041结论信号覆盖范围内共有 4 个独立 SSID未发现隐藏 SSID。2. SSID 出现在哪些帧类型中查询命令tshark-rsaved-01.cap-Ywlan.ssid !\\-Tfields-ewlan.fc.type_subtype-ewlan.ssid|sort|uniq-c分析结果type_subtype帧类型说明0x0004Probe Request客户端主动扫描0x0005Probe ResponseAP 响应扫描0x0008BeaconAP 定期广播结论SSID 主要出现在 Beacon、Probe Response 和 Probe Request 三种管理帧中。五、总结无线网卡驱动支持是基础。Ralink RT2870/RT3070 在 Linux 下使用rt2800usb驱动可进入监听模式。airodump-ng可用于 channel hopping 和指定信道抓包配合asciinema可完整录制操作过程。WPA-PSK 解密依赖正确的 SSID 和密码。一旦密码泄露加密流量中的 HTTP 明文通信会完全暴露。tshark适合批量分析 802.11 帧。SSID 出现在 Beacon、Probe Response 和 Probe Request 中。隐藏 SSID 并不是有效的安全措施Probe Request 仍可能泄露设备历史连接过的网络。 
长河君 · 2026/10/28 1:49:16 · 阅读 1.2k 无线流量分析实战：监听模式、WPA-PSK 解密与 802.11 帧解析
前言无线网络分析是移动互联网安全中的一项基础技能。借助支持监听模式的无线网卡和 Kali Linux 下的工具链可以捕获空口流量、解密 WPA/WPA2-PSK 通信并进一步分析设备行为。本文记录一次完整的无线流量分析过程涵盖网卡信息采集、airodump-ng 嗅探、Wireshark 解密以及 802.11 帧与 SSID 解析。测试环境宿主机Windows 11虚拟机VirtualBox 7.0 Kali Linux 2025.4无线网卡Ralink Technology RT2870/RT3070 Wireless AdapterUSB 2.0主要工具asciinema、airodump-ng、tshark、Wireshark一、USB 无线网卡信息采集1. 网卡实物2. 查看 USB 设备列表lsusb输出中可以看到Bus 001 Device 005: ID 148f:3070 Ralink Technology, Corp. RT2870/RT3070 Wireless Adapter设备 ID 为148f:3070连接在 USB 2.0 总线上。3. 查看驱动加载情况lsusb-t关键输出Port 002: Dev 005, If 0, ClassVendor Specific Class, Driverrt2800usb, 480M网卡使用rt2800usb驱动工作在 USB 2.0 HighSpeed480Mbps模式下。该驱动是 Linux 内核原生支持的 Ralink 系列无线网卡驱动支持监听模式等高级功能。4. 查看设备详细描述符lsusb-v关键信息包括厂商Ralink Technology, Corp.产品RT2870/RT3070 Wireless Adapter接口类Vendor Specific Class端点数量7最大功耗450mA5. 查看无线接口信息iw dev输出显示逻辑接口wlan0物理层设备phy#2当前模式managedMAC 地址f6:0c:e3:a9:41:c9发射功率20 dBm6. 查看网卡硬件能力iw list关键能力支持monitor模式支持 802.11n频率范围2412.0 MHz [1] 至 2484.0 MHz [14]支持多种帧类型与扩展特性这些能力为后续监听模式抓包提供了基础。二、使用 asciinema 录制 airodump-ng 嗅探1. 开启监听模式sudoairmon-ng start wlan0开启后通常会生成wlan0mon监听接口。2. 录制并抓包使用 asciinema 记录操作过程asciinema rec airodump-demo.cast在录制会话中执行# channel hopping 模式抓包约 10 秒sudoairodump-ng wlan0mon# 指定信道抓包约 10 秒并保存到文件sudoairodump-ng--channel6--writesaved-01 wlan0mon# 结束录制exit录制完成后可获得一个 private 分享链接https://asciinema.org/a/gHakOoy94fgyYS9c三、Wireshark 解密 WPA-PSK 抓包使用示例文件wpa-Induction.pcap其 SSID 为Coherer密码为Induction。1. 配置解密在 Wireshark 中依次进入编辑 - 首选项 - Protocols - IEEE 802.11勾选Enable decryption然后点击Edit添加解密密钥Key typewpa-pwdKeyInduction:Coherer2. 查看 HTTP 明文通信解密成功后过滤http即可看到完整的 HTTP 请求与响应过程。这直观展示了 WPA-PSK 密码泄露后加密流量如何被还原为明文。四、802.11 帧与 SSID 分析1. 统计独立 SSID提取所有 Beacon 帧中的 SSIDtshark-rsaved-01.cap-Ywlan.fc.type_subtype 0x08-Tfields-ewlan.ssidssid_list.txt统计去重后的 SSID 及出现次数sortssid_list.txt|uniq-c输出结果119 HUAWEI-Mobile 8 HUAWEI507 112 Office-48 111 TP-LINK_9041结论信号覆盖范围内共有 4 个独立 SSID未发现隐藏 SSID。2. SSID 出现在哪些帧类型中查询命令tshark-rsaved-01.cap-Ywlan.ssid !\\-Tfields-ewlan.fc.type_subtype-ewlan.ssid|sort|uniq-c分析结果type_subtype帧类型说明0x0004Probe Request客户端主动扫描0x0005Probe ResponseAP 响应扫描0x0008BeaconAP 定期广播结论SSID 主要出现在 Beacon、Probe Response 和 Probe Request 三种管理帧中。五、总结无线网卡驱动支持是基础。Ralink RT2870/RT3070 在 Linux 下使用rt2800usb驱动可进入监听模式。airodump-ng可用于 channel hopping 和指定信道抓包配合asciinema可完整录制操作过程。WPA-PSK 解密依赖正确的 SSID 和密码。一旦密码泄露加密流量中的 HTTP 明文通信会完全暴露。tshark适合批量分析 802.11 帧。SSID 出现在 Beacon、Probe Response 和 Probe Request 中。隐藏 SSID 并不是有效的安全措施Probe Request 仍可能泄露设备历史连接过的网络。