window下WIFI抓包教程

一、教程目的

1. 最近在了解无线通信WIFI的协议和标准，于是想实操抓包分析一下，学以致用嘛。但是，我网上找了很多资料和博客，发现并无法跑通，或者说坑很多，对于业余搞机、非相关专业的同学很不友好。于是写这么一篇博客，一是让大家可以顺利完成抓包，二是规避其中的坑。
2. 本文主要是抓WIFI的包，即802.11协议的包，非Ethernet（以太网）、蓝牙。

二、准备工具

1. 电脑
   笔记本或者台式主机、服务器之类的都可以，不是重点。
2. window系统（非Linux、Mac）
   因为本人是window系统，所以其他系统的朋友可能要绕道。
3. 无线网卡（重要）
   这是第一个坑，很重要。大多都笔记本或者台式的无线网卡，都是只支持managed模式的，但是抓包需要用到monitor模式。所以没有monitor模式的无线网卡，需要外接一个带有此模式功能的无线网卡。本人外接了TP-LINK TL-WN722N。
4. 抓包工具
   4.1 wireshark
   该工具很有名，开源，功能更齐全，能抓包，但本人抓出来是空包，跟window的保护有关。所以可以用下面的MNM配合着用。
   4.2Microsoft network monitor
   微软官方wifi抓包工具，可以独立抓包，但是分析功能有限。

三、抓包流程

3.1 安装wireshark和MNM

3.1.1 wireshark

① 官网进去，直接下载window的
② 安装
网上很多都说一路next，其实不对，这里面有第二个坑。安装的时候会提示是否要同步安装Npcap-1.71，建议不安装，另外再去Npcap官网下载最新版本的Npcap-1.76（目前是1.76最新），因为我的1.71版本无法使用cmd打开monitor模式。安装Npcap的时候需要勾选下面两个选项。不然无法抓802.11包。

3.1.2 MNM

官网进去，下载安装即可。

3.2 判断无线网卡是否支持monitor模式并打开monitor模式

3.2.1 cmd

cmd可以通过以下方式查看当前网卡的模式以及支持的模式并打开为monitor。
① win+R打开cmd
② 查看GUID，输入 netsh wlan show interfaces

③ 查看当前模式，复制GUID，然后再输入WlanHelper.exe 对应的“GUID” mode
（注：WLanHelper.exe好像要安装wireshark，还是Npcap才能使用，懂的朋友评论区指点一下）

那有人会问了，如何判断自己的无线网卡是否支持monitor呢？好问题，下一步来了。
④ 支持的模式，输入WlanHelper.exe 对应的“GUID” modes

⑤ 打开monitor，输入WlanHelper.exe 对应的“GUID” mode monitor
注意第三坑，cmd需要用管理员权限打开，否则无法打开monitor，并报错。

3.2.2 wireshark

wireshark判断无线网卡是否支持monitor和打开monitor的方法如下。



WLAN正常情况下是managed，链路层会显示是Ethernet；如果支持monitor模式，后面的监控模式会有个◻️，不支持则是 - 。点上√后，链路层会变成802.11 plus radiotap header；wireshark抓包则会将无线网卡改成monitor模式，抓包停止后回复managed，这个可以在抓包过程中在cmd中使用 WlanHelper.exe 对应的“GUID” mode验证。

3.2.3 MNM

① 双击改无线网卡，或者capture setting处双击。

② 如果网卡支持monitor，则会有Scanning Options，如果不支持则没有。

③ 启动monitor模式
Scanning Options里面，对应的网卡勾上Switch to Monitor Mode，然后Apply。第四坑，此页面不要直接×，抓完包后，要点击close return to local mode，再×，不然下次无法调用无线网卡。

如误操作，需要在设备管理器处，禁用该网卡，然后再启用。

3.3 抓包

3.3.1 wireshark

① 开始
启动monitor后，主界面选中WLAN，点左上角的开始；或者设置里面选中WLAN，点击开始。

②抓包
已抓，但是无法显示包内容。正常现象。

3.3.2 MNM

① 开始
启动monitor后，选择new capture ，然后start

② 抓包

3.4 技巧

在用MNM抓包的时候，不需要打开monitor；先用wireshark打开monitor并抓包，此时wireshark是空包，然后再启用MNM抓包（注意不用MNM再次打开monitor），这样wireshark就不会是空包了。
或者，先用MNM打开monitor并抓包，然后再打开wireshark抓包，这样wireshark也不是空包。
推荐第一种方案，因为两者是同步抓包。

原创：东西的东西
转载请注明出处，谢谢