Wireshark mostrando apenas meus próprios pacotes em modo promíscuo, mesmo em Wi-Fi aberto

Question

Estou fazendo alguns testes para o meu projeto e estou conectado ao meu ponto de acesso (que está aberto; sem segurança) sem fio.

Teoricamente, quando inicio uma captura em modo promíscuo, o Wireshark deve exibir todos os pacotes da rede à qual estou conectado, especialmente porque essa rede não está criptografada. Mas o que acontece é que o Wireshark mostra apenas os pacotes para os quais eu sou a fonte ou o destino; nunca mostra pacotes de outros clientes (a menos que sejam pacotes de transmissão).

Então, qual é o problema? Eu tenho enfrentado esse problema por um longo tempo, e isso está me impedindo de continuar meu projeto. Primeiro, eu estava tentando fazer algumas sniffing em redes sem fio criptografadas com WPA2, mas não funcionou, então agora estou apenas tentando farejar uma rede aberta para entender o problema, mas estou enfrentando o mesmo problema com redes abertas.

Aqui estão algumas notas sobre minha configuração:

• Estou usando o Ubuntu 15.10 (com a versão Linux > 4);
• Estou usando a placa wireless Atheros AR9462;
• Meu ponto de acesso está usando o padrão 802.11g (eu o configurei na interface de configuração AP).
• Estou a 2 metros do AP e os outros clientes que estão conectados ao mesmo AP estão no mesmo intervalo que eu (2 metros)

Por favor, não me fale sobre o modo monitor, porque eu já posso cheirar com sucesso nesse modo. Meu projeto é sobre cheirar em modo promíscuo, então é isso que estou tentando fazer (e estou falhando como um idiota).

EDIT: Eu tentei apenas com o driver do chipset Realtek 8187L placa sem fio em uma rede 802.11b aberta, e não está funcionando nem. Eu realmente não entendi o que está errado aqui.

    

Answer 1

Algumas possíveis causas que você precisará eliminar como possibilidades:

• Talvez não haja outros quadros dados de unicast na sua rede (sem tráfego unicast para / de outros dispositivos sem fio).
• O seu farejador está fora do alcance do rádio para receber com sucesso os outros quadros de dados unicast na rede. Talvez os outros clientes sem fio estejam tão perto do ponto de acesso que possam usar os mais complexos esquemas de modulação e codificação (taxas de dados mais altas), mas seu sniffer está longe o suficiente, ou tão perto de uma fonte de ruído local. não tem relação sinal-ruído boa o suficiente para desmodular esses pacotes com sucesso.
• O seu farejador não suporta os mesmos esquemas de modulação que os outros clientes estão usando. Por exemplo, se o seu AP e cliente que você está tentando espiar ambos têm 3 transmissões e 3 recebem cadeias de rádio e suporta 3 fluxos espaciais (3x3: 3), mas seu sniffer é apenas 2x2: 2, então o AP e o cliente pode estar usando 3 fluxos espaciais, que o rádio do seu farejador é incapaz de receber. Ou talvez seu AP e cliente sejam 802.11ac, mas seu sniffer é apenas 802.11n.
• É claro que pode ser apenas um bug no seu chipset ou driver sem fio.

Answer 2

Theoretically, when I start a capture in promiscuous mode, Wireshark should display all the packets from the network to which I am connected, especially since that network is not encrypted.

Praticamente, no entanto, talvez não; isso depende de como o adaptador e o driver implementam o modo promíscuo.

Se você estiver em uma rede protegida, o adaptador poderá mostrar pacotes "de terceiros" se estiver protegido com WEP, mas terá que fazer o mesmo tipo de descriptografia que o Wireshark faz para mostre-lhe pacotes "de terceiros" para WPA / WPA2, e talvez eles simplesmente não se incomodem. (E "show you" significa que, se for mostrar cabeçalhos "fake Ethernet", ele terá que gerar o cabeçalho "fake Ethernet", o que significa que ele precisa examinar o cabeçalho 802.2 e o cabeçalho SNAP se estiver presente , em pacotes de dados, e isso significa que ele precisa descriptografar esses cabeçalhos.)

Dado que, eles podem não ter se preocupado em implementar o modo promíscuo, mesmo para redes abertas.