Como capturar o tráfego tcp / ip em conexão sem fio com formato de quadro 802.11x?

Question

Estou usando o programa wireshark para farejar meu tráfego. Quando eu mudo o modo da minha placa de rede do modo gerenciado para o modo monitor, eu vejo apenas pacotes "beacon frames" e "RTS & CTS" em wireshark. Existe alguma maneira de farejar trafegos tcp / ip com formato de quadro 802.11x em vez de ethernet em wireshark ou outra coisa?

Separadamente,

Existe alguma maneira de sniff tcp / ip traffics da minha placa sem fio sem mudar para o modo monitor? Porque quando eu mudei o modo da minha placa sem fio para monitorar o modo, a conexão com a internet caiu, então eu não pode conectar nenhum site. Como resultado, não consigo farejar meu tráfego tcp / ip usando o wireshark em conexão sem fio.

Obrigado antecipadamente.

    

Answer 1

Na minha experiência, a maioria das placas de rede sem fio não é boa para manter uma conexão de rede ativa, enquanto faz simultaneamente a captura de pacotes no modo 802.11. Normalmente, quando se tenta fazer as duas coisas simultaneamente no mesmo cartão, não se vê todos os pacotes 802.11 que se esperava ver; especialmente 802.11 Acks o firmware do cartão transmitido.

Então, eu não recomendo tentar fazer o que você está fazendo.

Se você deseja capturar todo o tráfego 802.11 entre um AP e um cliente, configure um sniffer sem fio separado até o meio entre os dois dispositivos e coloque-o no modo de monitor 802.11 completo (desassociado de todas as redes, apenas sintonizado o canal em que o AP e o cliente de destino estão ligados). Certifique-se de que a placa wireless da máquina do farejador é capaz de todos os esquemas de modulação e codificação que o AP e o cliente alvo suportam. Por exemplo, se o AP e o cliente forem ambos 802.11ac de fluxo 3 suportando MCS 9x3, você precisará do seu sniffer para suportar o MCS 9x3 de 802.11ac de 3 fluxos para ver qualquer tráfego que o AP ou cliente transmita usando esse esquema. Mesmo quando você acertar o hardware, cuidado com a própria natureza dos fluxos espaciais MIMO e do beamforming que significa que qualquer sinal transmitido é feito sob medida para ser perfeito para o receptor pretendido, que não há garantia de que ele será de qualidade suficiente para qualquer interceptador / sniffer para receber em qualquer outro local.

Se você fizer a configuração do sniffer independente, sugiro que sua rede não use segurança ou, se estiver usando o WPA2-PSK, inicie o sniffer antes que o cliente-alvo se junte ao AP. Você precisa capturar o handshake da chave WPA2 e conhecer a senha WPA2-PSK para a rede, a fim de descriptografar o tráfego do cliente alvo.

Se você simplesmente não puder configurar um sniffer independente, sugiro que capture pacotes no estilo Ethernet normal se achar que seu problema está na camada IP ou acima, e capture pacotes no "modo de monitor associado" se você pensar o problema está na camada 802.11. No entanto, novamente, você provavelmente não conseguirá diagnosticar totalmente os problemas do 802.11 dessa maneira, pois provavelmente não verá os Acks que seu cliente está enviando. Portanto, haverá lacunas em seu conhecimento do que aconteceu no ar, o que dificultará o diagnóstico de problemas.