Como posso monitorar pacotes enviados entre dois dispositivos na LAN?

Question

Estou tentando determinar a causa de um problema de comunicação entre dois dispositivos na minha rede Wi-Fi. Eu NÃO POSSO instalar programas neles para determinar isso.

Como posso monitorar o tráfego entre esses dois dispositivos?

    

Answer 1

Primeiro de tudo, devemos saber para que tipo de pacotes nós temos que farejar. A explicação a seguir supõe que você esteja interessado em farejar camada de transporte e acima . Além disso, eu também suponho que você tenha a típica estrutura de rede na qual você tem um AP, que está no meio da comunicação dos dois dispositivos.

Se você tem outra máquina com sistema operacional Linux disponível na qual você pode instalar programas, isso seria possível. Supondo que você já esteja dentro da rede com esta 3ª máquina (Sniffer), você deve instalar arpspoofing e wireshark :

sudo apt-get install arpspoof

sudo apt-get install wireshark

Agora, você deve permitir que o tráfego seja transmitido pelo seu dispositivo sniffing com:

echo 1 > /proc/sys/net/ipv4/ip_forward

Depois disso, começaríamos a falsificar o dispositivo de AP e uma de nossas duas máquinas (chamaremos de dispositivo de destino). Vamos abrir 2 terminais e vamos escrever um destes comandos em cada janela do terminal:

arpspoof -i XXX -t YYY ZZZ

arpspoof -i XXX -t ZZZ YYY

Onde XXX será o nome da interface da nossa máquina sniffing onde receberemos os pacotes. Por outro lado, no YYY nós escreveremos o target IP e no ZZZ o gateway IP . Quando terminarmos, teremos que abrir o wireshark e começar a farejar a interface que escrevemos na linha de comando. Então, devemos começar a ver os pacotes do dispositivo de destino para o dispositivo de gateway.

Se você quiser mais informações sobre isso, talvez encontre google para "Men in the middle attack". O que eu expliquei aqui é um Men in the Middle com ARP spoofing. Existem outras maneiras de fazer isso.

Finalmente, se você quiser farejar link layer e abaixo você pode instalar o airbase-ng e iniciar trazendo a interface principal ifconfig wlan0 para cima e iniciando um modo de monitor interface no canal do canal da sua rede.

airmon-ng start wlan0 CHANNEL

Onde CHANNEL seria um número. Depois disso

airbase-ng -c CHANNEL -e mon0

Se escrevermos iwconfig , veremos a nova interface mon0. Agora instale wireshark se você não tiver já instalado e iniciando wireshark & amp; e farejando a interface mon e, em seguida, devemos ver todos os pacotes ou quadros entrando e saindo dessa placa.

Espero que ajude.

    

Answer 2

Use o Wireshark.

Vá para "Mostrar as opções de captura".

EncontreseuadaptadorWi-Fiecliqueduasvezesnele.

A janela de configuração será exibida. Marque Capture packets in monitor mode . Com essa opção ativada, seu adaptador capturará todo o tráfego Wi-Fi que ele pode ouvir, não apenas o tráfego destinado a você.

Depoisdisso,cliqueemOKparasalvarasalteraçõesecliqueemStartnajanelaOpçõesdecaptura.VocêverátodootráfegodeWi-Fiquechegaatévocê.Ajusteocanal(Frequência)paracorresponderaumqueseusdispositivosusam.

Rede criptografada

Se você depurar a rede Wi-Fi criptografada, poderá informar ao Wireshark o SSID e a senha da rede desejada e ele descriptografará os pacotes para que você possa inspecioná-los.

Wireshark wiki descreve este procedimento.

Wireshark can decrypt WEP and WPA/WPA2 in pre-shared (or personal) mode. WPA/WPA2 enterprise mode decryption is not yet supported.

Resumindo:

1. Vá para Editar- > Preferências- > Protocolos- > IEEE 802.11.
2. Adicione o SSID e a senha na forma de wpa-pwd:MyPassword:MySSID

WPA and WPA2 use keys derived from an EAPOL handshake, which occurs when a machine joins a Wi-Fi network, to encrypt traffic. Unless all four handshake packets are present for the session you're trying to decrypt, Wireshark won't be able to decrypt the traffic. You can use the display filter eapol to locate EAPOL packets in your capture.

Certifique-se de entender isso:

The WPA passphrase and SSID preferences let you encode non-printable or otherwise troublesome characters using URI-style percent escapes, e.g. %20 for a space. As a result you have to escape the percent characters themselves using %25.

Com isso, você deve monitorar o tráfego de Wi-Fi.