别再死记硬背了！用Wireshark抓包实战，5分钟搞懂802.11帧的To DS/From DS到底怎么变
每次看到802.11帧结构里那些密密麻麻的字段，特别是To DS和From DS这两个标志位，你是不是也和我当初一样头疼？书上那些表格背了又忘，考试时还是分不清Address字段里四个MAC地址的顺序。直到有一天，我偶然用Wireshark抓了个包，才发现原来动态观察数据帧的变化，比死记硬背要高效十倍。
1. 实验准备：搭建你的无线抓包环境
在开始之前，我们需要准备一个可以抓取802.11无线数据包的环境。如果你手头有支持监听模式的无线网卡，可以直接使用；如果没有，也可以使用虚拟机配合Hostapd搭建模拟环境。
必备工具清单：
- Wireshark（最新稳定版）
- 支持监听模式的无线网卡（推荐芯片组：Atheros AR9271或RTL8812AU）
- 测试用的无线客户端（手机、笔记本等）
提示：在Linux系统下，可以使用
iwconfig命令查看无线网卡是否支持Monitor模式。Windows用户建议使用AirPcap或类似专用设备。
安装好Wireshark后，我们需要配置捕获过滤器，避免被海量的管理帧淹没。在捕获选项中添加以下过滤条件：
wlan.fc.type_subtype == 0x20 || wlan.fc.type_subtype == 0x28这个过滤器会只显示数据帧（Type=10），过滤掉大部分管理帧和控制帧的干扰。
2. 理解帧控制字段：To DS和From DS的四种组合
打开Wireshark开始捕获后，你会看到大量802.11数据帧。关键是要找到Frame Control字段，其中包含我们要研究的To DS和From DS位。这两个标志位共有四种可能的组合，每种都对应不同的网络通信场景：
| To DS | From DS | 通信场景 | 典型示例 |
|---|---|---|---|
| 0 | 0 | 直接STA到STA通信 | 手机通过Wi-Fi Direct传文件 |
| 1 | 0 | STA发送数据给AP | 手机访问互联网 |
| 0 | 1 | AP发送数据给STA | AP推送通知到手机 |
| 1 | 1 | WDS或Mesh网络转发 | 无线中继设备间的通信 |
在Wireshark中，你可以直接点击Frame Control字段展开详细视图，To DS和From DS的值会以二进制形式显示。更直观的方法是添加自定义列：
- 右键点击列标题 -> 选择"Column Preferences"
- 点击"+"添加新列
- 设置列标题为"To/DS"，字段为
wlan.fc.tods - 同样方法添加"From/DS"列，字段为
wlan.fc.fromds
现在，你可以在主界面直接看到每个帧的这两个关键标志位了。
3. 实战解析：四种场景下的MAC地址排列规律
这才是最让人困惑的部分——为什么802.11帧里会有四个MAC地址字段？它们在不同场景下代表什么？让我们通过实际抓包来破解这个谜题。
3.1 To DS=0 & From DS=0：点对点通信
当两个无线客户端直接通信时（比如通过Wi-Fi Direct传输文件），你会看到这样的MAC地址排列：
Address 1: 接收方MAC (RA) Address 2: 发送方MAC (TA) Address 3: BSSID (通常是AP的MAC) Address 4: 未使用在Wireshark中抓取这类帧时，注意观察：
- Address 3通常与AP的MAC一致
- 这种模式下帧不会被AP转发到有线网络
3.2 To DS=1 & From DS=0：客户端上传数据
这是最常见的场景——你的手机或笔记本通过AP访问互联网。此时MAC地址排列为：
Address 1: BSSID (AP的MAC) Address 2: 发送方MAC (TA) Address 3: 目的MAC (DA，通常是网关或服务器) Address 4: 未使用实际操作中，你可以这样验证：
- 在手机上打开一个网页
- 在Wireshark中过滤：
wlan.fc.tods == 1 && wlan.fc.fromds == 0 - 观察Address 3，应该对应你路由器的LAN IP的MAC地址
3.3 To DS=0 & From DS=1：AP下发数据
当AP向客户端发送数据时（比如你收到微信通知），MAC地址排列正好相反：
Address 1: 接收方MAC (RA) Address 2: BSSID (AP的MAC) Address 3: 源MAC (SA，通常是服务器) Address 4: 未使用一个有趣的实验是：
- 让手机保持连接但不要主动请求数据
- 从另一台设备ping手机
- 捕获这些ICMP回应帧，观察From DS=1的帧结构
3.4 To DS=1 & From DS=1：无线中继场景
在Mesh网络或WDS桥接中，数据需要在多个无线设备间跳转，这时会用到第四个MAC地址：
Address 1: 接收方MAC (RA) Address 2: 发送方MAC (TA) Address 3: 目的MAC (DA) Address 4: 源MAC (SA)虽然家庭网络中不常见，但在企业级无线部署中这种模式很重要。你可以通过以下方式模拟：
- 配置两个AP之间的无线桥接
- 从一个客户端向另一个子网的客户端发送数据
- 在中间节点捕获这种"双DS"标志的帧
4. 高级技巧：用显示过滤器精准定位问题
掌握了基本结构后，Wireshark的强大过滤器能帮你快速定位网络问题。以下是几个实用过滤示例：
查找所有从AP发出的帧：
wlan.fc.fromds == 1 && wlan.fc.tods == 0查找特定客户端的所有通信（替换MAC）：
wlan.addr == 11:22:33:44:55:66查找重传帧（可能指示信号问题）：
wlan.fc.retry == 1查找加密异常的帧：
wlan.fc.protected == 0 && wlan.fc.type == 2对于更复杂的分析，可以结合IO Graphs功能，可视化特定类型帧的出现频率，帮助诊断网络拥塞或干扰问题。
5. 常见问题与排错指南
在实际操作中，你可能会遇到这些典型问题：
问题1：抓不到任何数据帧
- 检查网卡是否真的进入了Monitor模式
- 尝试调整捕获信道，确保与AP一致
- 关闭Wi-Fi加密临时测试（仅限实验环境）
问题2：MAC地址顺序与预期不符
- 确认To DS/From DS标志位判断正确
- 在基础设施网络中，Address 3应该是有线网络的MAC
- IBSS网络中Address 3通常是BSSID
问题3：Wireshark显示"Malformed Packet"
- 可能是驱动问题，尝试更新网卡固件
- 信号质量差导致帧不完整，靠近AP重试
- 检查是否启用了"Validate the IEEE 802.11 checksum"选项
记住，802.11帧的解析需要结合上下文。同一个MAC地址在不同场景下可能代表不同角色（比如AP在To DS=1时是接收者，在From DS=1时是发送者）。最好的学习方法就是多抓包、多比较，很快你就能一眼看出帧的流向和网络拓扑了。
