必须启用Npcap的“Support raw 802.11 traffic (and monitor mode)”选项并验证网卡支持Monitor Mode，否则Wireshark只能捕获IP层以上流量，无法获取Beacon、Probe Request等完整802.11帧。
要在Windows上用Npcap替代WinPcap捕获无线网卡数据，必须解决两个核心问题：一是让Npcap正确识别并接管无线网卡的原始帧收发能力，二是绕过Windows对无线驱动的默认限制——系统通常只向应用层提供已解包的802.11数据（即去除了MAC头的LLC帧），而Wireshark分析协议栈需要完整的802.11帧结构（含管理帧、控制帧、带FCS的完整数据帧）。
启用无线原始监控模式
安装Npcap时勾选“Support raw 802.11 traffic (and monitor mode)”是硬性前提。这一步会加载npf.sys驱动的扩展模块，使Npcap能绕过NDIS中间层，直接从Miniport驱动获取未解析的802.11帧。不勾选此项，Wireshark中无线网卡将仅显示“WLAN”接口，且只能捕获到IP层及以上的流量，无法看到Beacon、Probe Request等关键管理帧。
安装过程中若弹出“Install Npcap in WinPcap API-compatible Mode”，必须勾选——否则旧版Wireshark或自研pcap程序调用pcap_open_live时会返回NULL，报错“Error opening adapter: The system cannot find the file specified.”
安装完成后重启电脑，确保npf服务已启动：按Win+R输入services.msc→找到“Npcap Packet Driver (NPCAP)”→状态为“正在运行”。
验证无线网卡是否支持Monitor Mode
并非所有无线网卡都支持原始监控模式。在命令行执行：
netsh wlan show drivers → 查看“支持的无线电类型”和“支持的接收模式”两栏。
只有同时满足以下两项才可继续：
① “支持的无线电类型”包含802.11a/b/g/n/ac/ax其中之一；
② “支持的接收模式”明确列出“Monitor mode”。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
【常见坑】Intel AX200/AX210系列网卡在Windows 11 22H2+驱动版本≥22.120.0后才正式支持Monitor Mode，旧驱动即使勾选选项也无效。
若不支持，Wireshark中该无线网卡名称会显示为“Wi-Fi”而非“Wi-Fi (Monitor Mode)”，且右键属性里看不到“Enable monitor mode”开关。
在Wireshark中启用Monitor Mode并开始抓包
第一步：启动Wireshark → 点击顶部菜单栏“Capture” → “Options” → 在接口列表中找到你的无线网卡（名称含“(Monitor Mode)”字样）→ 勾选其左侧复选框。
第二步：点击该接口右侧的“Edit interface settings…” → 切换到“Wireless Settings”选项卡 → 勾选“Enable monitor mode” → 点击“OK”。
第三步：回到Capture Options窗口 → 确保“Promiscuous mode”也已勾选（虽家用路由器环境下效果有限，但开启后可捕获同一信道内其他设备的广播/多播帧）→ 点击“Start”。
此时Wireshark状态栏应显示“Capturing on ‘Wi-Fi (Monitor Mode)’”，数据包列表中开始出现Type/Subtype为0x00/0x08（Beacon）、0x00/0x04（Probe Request）等802.11管理帧。若仍为空，请检查当前WiFi信道是否与网卡物理支持频段匹配（例如2.4GHz网卡无法监听5GHz Beacon）。
