linux - 监控模式界面上的 tcpdump - 没有捕获任何内容

Question

我一直在使用 tcpdump(版本 4.1.1)尝试从 monitor mode 中捕获无线帧airmon-ng设置的界面.我说“尝试”是因为到目前为止什么都没有发生。这很奇怪:

tcpdump -i mon0

上面的命令工作正常。我看到所有的信标和探测请求以及所有其他可以想象的帧都显示在我的屏幕上。但是，当我尝试使用

将输出写入捕获文件时

tcpdump -i mon0 -w captures.cap

绝对没有被捕获，包括包含实际数据的第 3 层数据包。当我杀死 tcpdump 时，它给了我

13507 packets captured<br/>
13507 packets received by filter<br/>
0 packets dropped by kernel

(在本例中 13507 是任意数字)和一个完全空的捕获文件。

但是，当我在同一界面上使用 tshark 或 wireshark 执行捕获时，帧被捕获到文件没有任何问题。

我更愿意使用 tcpdump 而不是 wireshark，因为它没有 GUI 的开销，而且它有“-z”选项，允许我获取捕获文件并将其传递给复制它的 shell 脚本到我网络上的另一台计算机。 tshark 或 wireshark 没有类似的功能，我非常想避免编写程序来检查捕获文件是否存在。

我是否对 tcpdump 的工作方式有根本性的误解，或者这里肯定发生了一些奇怪的事情？是否有更好的方法来完成我正在做的事情，或者我是否必须编写自己的基于 libpcap 的捕获程序？

Answer 1

您是否尝试过 airodump-ng？

不确定它是否使用 libpcap 作为捕获库，但使用 pcap 文件格式并且有许多 channel 选择、bssid 过滤等选项。