tcpdump本身不支持实时解密WPA2-PSK流量，因其仅捕获原始802.11帧，缺乏密钥派生、握手解析和AES-CCMP解密能力；官方无-E选项，正确流程是先用tcpdump或airodump-ng捕获含四次握手的pcap，再用Wireshark/tshark离线解密。
tcpdump 本身不支持实时解密 WPA2-PSK 流量。它只是一个底层抓包工具，负责捕获原始 802.11 帧（包括管理帧、控制帧和数据帧），但不具备密钥派生、四次握手解析或 AES-CCMP 解密能力。
为什么 tcpdump -E 不能解密 WPA2
tcpdump 没有 -E 这个选项——该参数在官方文档和所有主流版本中均不存在。你可能混淆了其他工具的参数（如 tshark -o 或 Wireshark 的 GUI 配置），或误记了 tcpdump -e（显示链路层头）或 -E 在某些旧版私有分支中的非标准用法（已废弃且不可靠）。
WPA2-PSK 解密依赖三个关键前提：
- 捕获到完整的四次握手（含 Message 1–4，尤其 Message 3 中的 Key Data 字段）
- 已知预共享密钥（PSK）及对应 SSID
- 能执行 PBKDF2-SHA1 密钥派生 + AES-CCMP 解封装（需完整协议栈支持）
而 tcpdump 只做第 1 步，且默认不保存辐射层元数据（如信号强度、频宽），对后续解密分析并不友好。
正确做法：分两步完成“捕获 + 解密”
实际可行的流程是：先用 tcpdump（或更合适的 airodump-ng）捕获带握手的原始无线帧 → 再用 Wireshark/tshark 在离线状态下配置 PSK 解密。
推荐操作步骤：
- 确保无线网卡支持 monitor 模式（如 Atheros AR9271、Realtek RTL8812AU）
- 启用监听模式：
sudo ip link set wlan0 down && sudo iw wlan0 set monitor control && sudo ip link set wlan0 up - 捕获握手包（建议持续监听并触发重连）：
sudo tcpdump -i wlan0 -s 0 -w wpa2-handshake.pcap type mgt or (type data and not wlan fc.type_subtype == 0x28) - 用 Wireshark 打开 pcap 文件 → Edit > Preferences > Protocols > IEEE 802.11 → 勾选 Enable decryption → 点击 Edit → 添加密钥，格式为：
密码:SSID（例如MyPass123:HomeWiFi）
替代方案：用 tshark 实现半自动化解密
如果你希望跳过图形界面，可用 tshark（Wireshark 命令行版）直接输出明文内容：
- 先配置解密密钥：
tshark -o "wlan.enable_decryption:TRUE" -o "uat:80211_keys:\"wpa-pwd\",\"MyPass123:HomeWiFi\"" -r wpa2-handshake.pcap -Y "http.request or dns.qry.name" -T fields -e http.host -e dns.qry.name - 注意：必须确保 pcap 中已包含有效四次握手，否则解密失败，tshark 不会报错但字段为空
- 若想验证是否捕获到握手，运行：
tshark -r wpa2-handshake.pcap -Y "wlan.fc.type_subtype == 0x08 || wlan.fc.type_subtype == 0x0a" -T fields -e wlan.sa -e wlan.da -e frame.time
常见误区提醒
以下操作无法达成目标，请避免：
- 试图用
tcpdump -E或类似参数启动实时解密（无效参数，会报错或被忽略） - 仅捕获普通数据流量却未触发或未保存四次握手（解密必然失败）
- 在未设置 monitor 模式的网卡上抓包（只能看到本机关联后的加密单播帧，无 handshake）
- 将 WPA2-PSK 密码直接传给 tcpdump（它根本不接受密钥输入）
本质上，tcpdump 是“采集者”，不是“解密器”。把抓包和解密拆开做，既符合工具设计逻辑，也最稳定可靠。
