在无线网络渗透测试和安全评估的学习过程中，理解Wi-Fi认证机制是基础。本文将以技术原理学习和实验验证为目的，探讨如何利用BW16这类低成本Wi-Fi模组，构建一个能够捕获Wi-Fi四次握手包的硬件工具，并为其开发一个简易的网页UI进行交互。整个过程将严格遵循合法授权原则，所有操作均应在自己完全掌控的私有实验网络中进行。

本文适合的读者：

• 对无线网络安全原理感兴趣的开发者或学生。
• 希望学习单片机与Wi-Fi模组（如BW16）交互的嵌入式爱好者。
• 想了解如何为硬件设备构建一个轻量级Web管理界面的开发者。

你将学到：

1. Wi-Fi WPA/WPA2-PSK认证中四次握手包的核心原理与作用。
2. 如何配置和使用BW16模组进入监听模式并捕获特定数据包。
3. 如何设计一个基于单片机的硬件抓包工具。
4. 如何为硬件设备开发一个简单的网页UI，实现参数配置与状态监控。
5. 整个系统的搭建流程、代码实现以及常见问题排查。

1. 背景与核心概念：从握手包到硬件实现

在开始动手之前，我们必须清晰地理解几个核心概念，这决定了我们项目的目标和实现路径。

1.1 什么是四次握手包？

四次握手是Wi-Fi网络中使用WPA或WPA2-Personal（即PSK，预共享密钥）安全协议时，客户端（如手机、电脑）与接入点（AP，即路由器）之间进行身份认证和密钥协商的过程。这个过程通过交换四个特定的管理帧（EAPOL-Key帧）来完成，因此得名“四次握手”。

它的核心目的有两个：

1. 相互身份认证：证明客户端知道预共享密钥（Wi-Fi密码）。
2. 生成临时会话密钥：为后续的数据通信加密生成一组动态的、唯一的密钥（PTK/GTK），确保每次连接的加密密钥都不同，提升安全性。

为什么“抓取”握手包是安全研究中的关键步骤？在离线密码分析中，攻击者并不直接尝试破解Wi-Fi密码，而是尝试破解用于生成PTK的PMK（成对主密钥）。PMK是由Wi-Fi密码和网络SSID通过PBKDF2算法计算得出的。四次握手包中包含了生成PTK所需的必要元素（如ANonce， SNonce）以及用于验证的MIC（消息完整性校验码）。安全研究人员捕获到完整的四次握手包后，可以将其导入密码破解工具（如Hashcat），通过离线字典攻击或暴力破解的方式，尝试不同的密码候选来计算PMK，并验证MIC是否正确，从而反推出原始密码。这完全是一个离线计算过程，与在线攻击有本质区别。

1.2 单片机与BW16模组的角色

我们通常所说的“单片机”（如STM32、ESP32）是一个微控制器单元，负责逻辑控制、数据处理和外设管理。而BW16是一款集成了Wi-Fi和蓝牙功能的SoC模组。

• BW16模组：在本项目中，它是核心的“无线电收发器”。我们需要将其驱动至“监听模式”或“混杂模式”，使其能捕获空中所有符合IEEE 802.11协议的无线帧，而不仅仅是发送给它的数据。然后，我们需要通过串口等接口，将捕获到的原始数据帧实时传输给主控单片机。
• 主控单片机：负责与BW16模组通信（发送AT指令配置它，接收它传回的数据），对接收到的原始数据进行初步过滤（例如，只保留目标SSID的握手包），以及运行Web服务器提供UI界面。STM32、ESP32等都可以胜任。

为什么选择BW16？BW16是一款基于RTL8720DN芯片的模组，性价比高，功耗较低，且其SDK或AT固件通常支持监听模式配置，适合用于低成本的安全研究硬件原型开发。

1.3 网页UI版的意义

为一个硬件设备开发网页UI，意味着我们可以通过浏览器来配置和管理它，无需额外的专用客户端软件，极大提升了易用性和可访问性。用户可以通过手机或电脑的浏览器，连接到该硬件设备创建的热点或通过局域网访问其IP，即可进行如下操作：

• 扫描周围的Wi-Fi网络。
• 选择目标网络（SSID）。
• 启动/停止抓包过程。
• 查看已捕获的握手包状态。
• 下载捕获到的握手包文件（通常是.cap或.pcap格式）。

2. 环境准备与版本说明

本项目的实现涉及硬件和软件两部分，环境搭建是成功的第一步。

2.1 硬件准备

1. 主控开发板：一块支持Arduino或类似生态的开发板，例如：
   • ESP32-DevKitC：自带Wi-Fi，功能强大，可直接编程实现监听和Web UI，是更简单的一体化方案。但本文为演示主控+外接模组架构，暂不首选。
   • STM32F103C8T6核心板：性价比高，需额外连接BW16模组。
2. BW16模组：确保模组引脚引出，便于连接。
3. 连接线：杜邦线，用于连接主控板与BW16模组。
4. USB转TTL串口模块：用于烧录程序及调试串口通信。
5. 电源：为开发板和模组提供稳定的3.3V电源。

硬件连接示意图（以STM32为例）：

STM32F103C8T6 <--> BW16 PA9 (USART1_TX) -> RX PA10 (USART1_RX) <- TX 3.3V -> VCC GND -> GND

注意：具体引脚需根据所选主控的串口和BW16的引脚定义调整。

2.2 软件与工具准备

1. 集成开发环境：
   • Arduino IDE：如果使用ESP32或支持Arduino的STM32库，这是最快捷的方式。
   • Keil uVision / STM32CubeIDE：如果进行纯STM32开发。
   • PlatformIO：跨平台的嵌入式开发平台，支持Arduino和STM32Cube框架，推荐使用。
2. BW16的AT指令固件及驱动：需要为BW16烧录支持监听模式的AT指令固件。通常需要从模组供应商或社区获取特定的固件文件（.bin）和烧录工具（如AmebaD或RTL8720DN专用的烧录工具）。
3. 网络封包分析工具：用于验证抓取的握手包文件。
   • Wireshark：功能强大的网络协议分析器，必备。
4. 文本编辑器/代码编辑器：如VS Code。
5. 串口调试助手：如Putty、SecureCRT或Arduino IDE自带的串口监视器，用于手动测试BW16的AT指令。

2.3 版本说明

• 主控库版本：本文示例代码基于Arduino框架，因其跨平台性和易用性。具体库版本（如ESP32 Arduino core）请以实际开发时最新稳定版为准。
• BW16固件版本：由于BW16固件更新较快，且不同供应商的固件功能可能有差异，本文重点讲解原理和通用AT指令流程。你需要根据自己手中的BW16模组，查找其对应的AT指令手册，特别是关于WIFI PROMISCUOUS（混杂模式）或类似功能的指令。
• 网络协议：聚焦于IEEE 802.11及WPA2-PSK认证流程。

3. 核心原理与系统架构拆解

在动手编码前，我们需要将整个系统的工作流程分解为清晰的几个阶段。

3.1 系统工作流程

1. 初始化：
   • 主控单片机启动，初始化串口与BW16通信。
   • 单片机连接BW16，发送AT指令测试连接，并配置BW16的基本参数（如波特率）。
2. Web服务器启动：
   • 单片机启动一个轻量级Web服务器（例如使用ESP32的WebServer库或STM32的LwIP+HTTPD）。
   • 服务器提供几个简单的API端点，例如/scan、/start_capture、/status、/download。
3. 用户交互（通过网页）：
   • 用户用设备连接单片机创建的Wi-Fi热点（或通过局域网访问其IP）。
   • 在浏览器中打开管理页面（如192.168.4.1）。
   • 点击“扫描”，网页通过AJAX调用/scan接口，单片机控制BW16扫描网络并返回列表。
4. 抓包控制：
   • 用户在网页选择目标SSID和信道。
   • 点击“开始抓包”，网页调用/start_capture。
   • 单片机向BW16发送一系列AT指令： a. 设置工作模式为Station。 b. 设置信道到目标信道。 c.启用混杂模式。 d. 开始接收空中的所有802.11帧。
5. 数据过滤与存储：
   • BW16将捕获到的原始802.11帧通过串口实时发送给单片机。
   • 单片机程序解析这些数据，过滤出EAPOL-Key帧（握手包），并根据SSID和BSSID进行二次过滤。
   • 将过滤出的有效握手包以标准的.pcap文件格式存储在单片机的文件系统（如SPIFFS、LittleFS）或内存缓冲区中。
6. 结果获取：
   • 用户点击“停止抓包”和“下载”。
   • 网页调用/download接口，单片机将存储的.pcap文件通过HTTP响应发送给浏览器，用户即可保存到电脑。

3.2 关键代码模块分析

• AT指令通信模块：负责封装与BW16的串口通信，实现发送指令、等待响应、解析响应等功能。
• 802.11帧解析模块：这是核心难点。需要理解802.11帧结构（帧控制、地址、序列控制、帧体），并能从二进制数据中识别出管理帧（Type=0）、子类型为认证帧（EAPOL-Key）。通常需要参考linux/drivers/net/wireless源码或tcpdump的解析逻辑。
• PCAP文件生成模块：PCAP是一种通用的抓包文件格式。需要在文件头部写入全局头，每个捕获到的帧前写入帧头（时间戳、捕获长度、原始长度），然后写入帧数据。
• Web服务器模块：处理HTTP请求，提供RESTful API，并服务前端的HTML/JS/CSS静态文件。

4. 完整实战案例：基于ESP32的一体化实现

为了简化硬件连接和代码复杂度，我们采用ESP32作为主控，因为它内置Wi-Fi，可以直接编程进入监听模式，无需外接BW16模组。这是一个更直接、更流行的方案。我们将使用Arduino框架。

4.1 创建项目与安装库

在PlatformIO或Arduino IDE中创建一个新项目。

所需库：

• WebServer(通常包含在ESP32 Arduino Core中)
• ESPAsyncWebServer(更优选择，支持异步处理)
• SPIFFS或LittleFS(用于存储网页文件和抓包数据)

在PlatformIO的platformio.ini中添加依赖：

[env:esp32dev] platform = espressif32 board = esp32dev framework = arduino monitor_speed = 115200 lib_deps = ESP Async WebServer AsyncTCP LittleFS

4.2 核心代码实现

4.2.1 主程序框架 (main.cpp)

#include <WiFi.h> #include <AsyncTCP.h> #include <ESPAsyncWebServer.h> #include <LittleFS.h> // 全局变量 AsyncWebServer server(80); bool captureActive = false; String targetBSSID = ""; int targetChannel = 1; File pcapFile; // PCAP全局头结构 (Little Endian) const uint8_t pcapGlobalHeader[] = { 0xd4, 0xc3, 0xb2, 0xa1, // magic number 0x02, 0x00, // major version 0x04, 0x00, // minor version 0x00, 0x00, 0x00, 0x00, // timezone 0x00, 0x00, 0x00, 0x00, // sigfigs 0x00, 0x00, 0x00, 0x7f, // snaplen (127) 0x01, 0x00, 0x00, 0x00 // LINKTYPE_IEEE802_11 (105) }; void setup() { Serial.begin(115200); // 初始化文件系统 if (!LittleFS.begin(true)) { Serial.println("LittleFS Mount Failed"); return; } // 设置ESP32为AP模式，提供配置界面 WiFi.softAP("ESP32-Capturer", "capture123"); Serial.print("AP IP address: "); Serial.println(WiFi.softAPIP()); // 初始化Web服务器路由 setupWebServer(); // 设置Wi-Fi为监听模式 wifi_init_config_t cfg = WIFI_INIT_CONFIG_DEFAULT(); esp_wifi_init(&cfg); esp_wifi_set_storage(WIFI_STORAGE_RAM); esp_wifi_set_mode(WIFI_MODE_NULL); esp_wifi_start(); // 注册接收回调函数 esp_wifi_set_promiscuous_rx_cb(&wifiSnifferCallback); server.begin(); } void loop() { // 异步服务器，无需在loop中处理请求 delay(1); } // Wi-Fi混杂模式回调函数 - 核心抓包逻辑 void wifiSnifferCallback(void* buf, wifi_promiscuous_pkt_type_t type) { if (!captureActive) return; wifi_promiscuous_pkt_t* pkt = (wifi_promiscuous_pkt_t*)buf; wifi_pkt_rx_ctrl_t ctrl = (wifi_pkt_rx_ctrl_t)pkt->rx_ctrl; // 检查信道 if (targetChannel != 0 && ctrl.channel != targetChannel) return; // 解析802.11帧头部 const uint8_t* frame = pkt->payload; uint8_t frameType = (frame[0] & 0x0C) >> 2; // 帧类型 uint8_t frameSubtype = (frame[0] & 0xF0) >> 4; // 子类型 // 检查是否为EAPOL-Key帧 (管理帧，子类型8) if (frameType == 0x08 && frameSubtype == 0x08) { // 提取BSSID (AP的MAC地址) uint8_t bssid[6]; memcpy(bssid, &frame[16], 6); // 如果设置了目标BSSID，则进行过滤 if (targetBSSID.length() == 0 || memcmp(bssid, parseMac(targetBSSID), 6) == 0) { // 写入PCAP记录 writePcapPacket(pkt->payload, ctrl.sig_len, ctrl.timestamp); Serial.println("[+] Captured an EAPOL-Key frame!"); } } } // 将MAC地址字符串转换为字节数组 uint8_t* parseMac(String macStr) { static uint8_t mac[6]; sscanf(macStr.c_str(), "%hhx:%hhx:%hhx:%hhx:%hhx:%hhx", &mac[0], &mac[1], &mac[2], &mac[3], &mac[4], &mac[5]); return mac; } // 写入PCAP包记录 void writePcapPacket(const uint8_t* data, uint32_t length, uint32_t timestamp) { if (!pcapFile) return; // PCAP包记录头 uint32_t ts_sec = timestamp / 1000000; uint32_t ts_usec = timestamp % 1000000; uint32_t incl_len = length > 127 ? 127 : length; // 限制捕获长度 uint32_t orig_len = length; pcapFile.write((uint8_t*)&ts_sec, 4); pcapFile.write((uint8_t*)&ts_usec, 4); pcapFile.write((uint8_t*)&incl_len, 4); pcapFile.write((uint8_t*)&orig_len, 4); // 写入帧数据 pcapFile.write(data, incl_len); }

4.2.2 Web服务器设置与API

void setupWebServer() { // 服务静态文件（HTML, CSS, JS） server.serveStatic("/", LittleFS, "/").setDefaultFile("index.html"); // API: 扫描网络 server.on("/api/scan", HTTP_GET, [](AsyncWebServerRequest *request){ String json = "["; int n = WiFi.scanNetworks(false, true); // 扫描隐藏网络 for (int i = 0; i < n; ++i) { if(i) json += ","; json += "{"; json += "\"ssid\":\"" + WiFi.SSID(i) + "\","; json += "\"bssid\":\"" + WiFi.BSSIDstr(i) + "\","; json += "\"channel\":" + String(WiFi.channel(i)) + ","; json += "\"rssi\":" + String(WiFi.RSSI(i)); json += "}"; } json += "]"; WiFi.scanDelete(); request->send(200, "application/json", json); }); // API: 开始抓包 server.on("/api/start", HTTP_POST, [](AsyncWebServerRequest *request){ if (request->hasParam("bssid", true) && request->hasParam("channel", true)) { targetBSSID = request->getParam("bssid", true)->value(); targetChannel = request->getParam("channel", true)->value().toInt(); // 创建PCAP文件 String filename = "/capture_" + String(millis()) + ".pcap"; pcapFile = LittleFS.open(filename, "w"); if (!pcapFile) { request->send(500, "text/plain", "Failed to create file"); return; } // 写入PCAP全局头 pcapFile.write(pcapGlobalHeader, sizeof(pcapGlobalHeader)); // 设置Wi-Fi信道并开启混杂模式 esp_wifi_set_channel(targetChannel, WIFI_SECOND_CHAN_NONE); esp_wifi_set_promiscuous(true); captureActive = true; request->send(200, "text/plain", "Capture started for " + targetBSSID); } else { request->send(400, "text/plain", "Missing parameters"); } }); // API: 停止抓包 server.on("/api/stop", HTTP_POST, [](AsyncWebServerRequest *request){ captureActive = false; esp_wifi_set_promiscuous(false); if (pcapFile) { pcapFile.close(); } request->send(200, "text/plain", "Capture stopped"); }); // API: 下载抓包文件 server.on("/api/download", HTTP_GET, [](AsyncWebServerRequest *request){ if (LittleFS.exists("/capture.pcap")) { request->send(LittleFS, "/capture.pcap", "application/octet-stream"); } else { request->send(404, "text/plain", "File not found"); } }); }

4.2.3 网页前端界面 (index.html)

将以下HTML文件保存到data目录下，然后通过Arduino IDE的“ESP32 Sketch Data Upload”工具或PlatformIO的pio run -t uploadfs命令上传到LittleFS文件系统。

<!DOCTYPE html> <html> <head> <title>ESP32 Wi-Fi Handshake Capturer</title> <meta charset="UTF-8"> <meta name="viewport" content="width=device-width, initial-scale=1"> <style> body { font-family: Arial, sans-serif; margin: 20px; } .container { max-width: 800px; margin: 0 auto; } .section { margin-bottom: 30px; padding: 20px; border: 1px solid #ddd; border-radius: 5px; } button { padding: 10px 15px; margin: 5px; cursor: pointer; } table { width: 100%; border-collapse: collapse; margin-top: 10px; } th, td { border: 1px solid #ddd; padding: 8px; text-align: left; } th { background-color: #f2f2f2; } .status { padding: 10px; margin: 10px 0; border-radius: 5px; } .status.active { background-color: #d4edda; color: #155724; } .status.inactive { background-color: #f8d7da; color: #721c24; } </style> </head> <body> <div class="container"> <h1>Wi-Fi Handshake Capture Tool</h1> <div class="section"> <h2>1. Network Scan</h2> <button onclick="scanNetworks()">Scan Networks</button> <div id="scanResult"></div> </div> <div class="section"> <h2>2. Target Selection</h2> <label>BSSID (MAC): </label><input type="text" id="targetBssid" placeholder="AA:BB:CC:DD:EE:FF"><br><br> <label>Channel: </label><input type="number" id="targetChannel" min="1" max="14" value="1"><br><br> <button onclick="startCapture()">Start Capture</button> <button onclick="stopCapture()">Stop Capture</button> <div id="captureStatus" class="status inactive">Capture Inactive</div> </div> <div class="section"> <h2>3. Results</h2> <button onclick="downloadCapture()">Download PCAP File</button> <div id="resultInfo"></div> </div> </div> <script> function scanNetworks() { fetch('/api/scan') .then(response => response.json()) .then(data => { let table = '<table><tr><th>SSID</th><th>BSSID</th><th>Channel</th><th>RSSI</th><th>Select</th></tr>'; data.forEach(network => { table += `<tr> <td>${network.ssid || '[Hidden]'}</td> <td>${network.bssid}</td> <td>${network.channel}</td> <td>${network.rssi} dBm</td> <td><button onclick="selectNetwork('${network.bssid}', ${network.channel})">Select</button></td> </tr>`; }); table += '</table>'; document.getElementById('scanResult').innerHTML = table; }); } function selectNetwork(bssid, channel) { document.getElementById('targetBssid').value = bssid; document.getElementById('targetChannel').value = channel; } function startCapture() { const bssid = document.getElementById('targetBssid').value; const channel = document.getElementById('targetChannel').value; if (!bssid || !channel) { alert('Please select a network first!'); return; } const formData = new FormData(); formData.append('bssid', bssid); formData.append('channel', channel); fetch('/api/start', { method: 'POST', body: formData }) .then(response => response.text()) .then(data => { document.getElementById('captureStatus').className = 'status active'; document.getElementById('captureStatus').innerHTML = 'Capture Active - ' + data; console.log('Capture started:', data); }); } function stopCapture() { fetch('/api/stop', { method: 'POST' }) .then(response => response.text()) .then(data => { document.getElementById('captureStatus').className = 'status inactive'; document.getElementById('captureStatus').innerHTML = 'Capture Inactive'; console.log('Capture stopped:', data); }); } function downloadCapture() { window.open('/api/download', '_blank'); } </script> </body> </html>

4.3 编译、上传与运行

1. 准备文件系统：在项目目录下创建data文件夹，将上面的index.html放入其中。使用工具将data目录上传到ESP32的Flash文件系统。
2. 编译上传：使用PlatformIO或Arduino IDE编译并上传代码到ESP32开发板。
3. 运行：
   • 打开串口监视器，波特率设置为115200。
   • ESP32启动后，会创建一个名为“ESP32-Capturer”的Wi-Fi热点，密码是“capture123”。
   • 用你的手机或电脑连接这个热点。
   • 在浏览器中打开http://192.168.4.1（具体IP看串口输出）。
   • 按照网页界面操作：扫描网络 -> 选择目标 -> 开始抓包。

4.4 验证抓包结果

1. 在网页上点击“停止抓包”后，点击“下载PCAP文件”。
2. 将下载的.pcap文件用Wireshark打开。
3. 在Wireshark过滤器中输入eapol，如果能看到EAPOL-Key帧，并且包含完整的四次握手（Message 1, 2, 3, 4），说明抓取成功。

5. 常见问题与排查思路

在实现过程中，你可能会遇到以下问题：

6. 最佳实践与工程建议

将学习原型转化为更稳定、可用的工具，需要考虑以下工程化细节：

1. 合法性与授权：这是最重要的前提。仅在你拥有完全所有权和控制权的网络设备上进行测试，例如你自己家的路由器和你自己的测试客户端。未经授权对他人的网络进行抓包和分析是非法且不道德的行为。

2. 目标过滤优化：在wifiSnifferCallback中，除了过滤EAPOL帧，还应精确过滤目标BSSID（AP的MAC）和客户端MAC，避免捕获无关数据，节省内存和处理时间。

3. 内存与存储管理：

   • 循环缓冲区：对于长时间抓包，不要无限制存储。实现一个循环缓冲区，当存储空间满时，覆盖最旧的数据。
   • SPIFFS/LittleFS寿命：Flash有擦写次数限制。避免频繁写入小文件。可以考虑先将数据暂存在RAM缓冲区，攒够一定大小（如32KB）再一次性写入文件。
   • 使用SD卡：如果需要捕获大量数据，建议外接SD卡模块，将数据直接存储到SD卡中。

4. 错误处理与日志：

   • 为所有可能失败的操作（如文件打开、Wi-Fi模式设置）添加健壮的错误检查和日志输出。
   • 通过Web界面或串口提供详细的运行状态和错误信息。

5. Web UI 增强：

   • 实时状态反馈：使用WebSocket或Server-Sent Events (SSE) 在网页上实时显示已捕获的握手包数量、信号强度等信息。
   • 参数配置：允许用户配置抓包超时时间、信号强度过滤阈值等。
   • 文件管理：提供已保存的抓包文件列表，支持查看和删除。

6. 性能考量：

   • 混杂模式回调函数执行速度必须极快。避免在回调内进行字符串操作、复杂计算或文件写入。仅进行简单的内存拷贝和标志位设置。
   • 考虑使用双缓冲区或队列机制，将回调函数接收到的数据包描述符放入队列，由另一个低优先级任务（如loop中的函数）负责实际的解析和存储。

7. 安全性：

   • Web管理界面应设置强密码，避免被他人随意访问。
   • 考虑使用HTTPS（虽然对嵌入式设备有挑战），或仅在可信的本地网络中使用。

8. 扩展到BW16+主控方案：如果坚持使用BW16+独立主控（如STM32），你需要：

   • 仔细研究BW16的AT指令手册，找到启用混杂模式（可能是AT+WIFI_PROMISCUOUS=1）和接收原始数据的指令。
   • 主控程序需要解析BW16通过串口返回的原始数据流，这部分数据格式通常由模组厂商定义，可能需要解析特定的数据头。
   • 将上述ESP32代码中的Wi-Fi底层操作（esp_wifi_set_promiscuous等）替换为向BW16发送相应AT指令的逻辑。

通过这个项目，你不仅能够深入理解Wi-Fi安全协议和底层数据帧的交互过程，还能实践嵌入式系统开发、网络编程和Web前后端交互的全栈技能。记住，技术的价值在于建设和保护，请务必在法律和道德的框架内运用这些知识。