c - 使用 pcap(lorcon2) 在 wifi 网络上设置过滤器

Question

我正在通过 wifi 网络编写嗅探器，但遇到了一些问题对于过滤器，我在代码中使用 lorcon2(pcap)

实际上我有以下字符串

“wlan 协议(protocol)\ip 和 ip 协议(protocol)\tcp”

“wlan proto\arp和arp dst 255.255.255.255”

“wlan 协议(protocol)\arp”

“wlan proto\ip和ip主机192.168.1.2”

“wlan 协议(protocol)\ip”

使用 lorcon_set_filter() 函数设置时

我无法从我的应用程序获取任何数据包(我使用 lorcon_dispatch 与 pcap_dispatch 相同)当然我处于“非阻塞”模式，但我没有收到数据包

但是使用“”字符串过滤器它可以完美地工作

谢谢

Answer 1

如果您的嗅探器在监控模式下捕获，并且您的 Wi-Fi 网络受到“保护”，即使用 WEP 或 WPA/WPA2，则您捕获的数据包中 802.11 header 后面的所有内容都将被加密，并且过滤器会查看任何超过 802.11 header 的内容 - 例如 wlan proto\ip - 将不起作用。

看来 lorcon2 使用(或至少期望)监视模式，因此您将无法过滤 protected 网络上的流量。 (如果您不使用监控模式，您将只能看到进出您计算机的流量。)

此外，当在 protected 网络上以监视模式捕获时，除非解密，否则捕获的流量将没有用处，而解密并不容易；您需要代码来解密它，并且需要为该代码提供网络密码，对于 WPA/WPA2 网络(最 protected 网络)，您还必须捕获每个网络的 EAPOL 握手您想要解密其流量的站，这意味着您必须在嗅探时强制这些站重新与网络关联。 (请记住，WEP 和 WPA/WPA2 的全部目的是保护网络上的流量，即使网络嗅探变得更加困难!)

此限制并非您的程序所独有；它适用于所有 Wi-Fi 嗅探器，包括 tcpdump、Wireshark 和各种商业嗅探器程序。 Wireshark支持解密，但代码有点复杂，启用过程也比较复杂；请参阅the Wireshark Wiki article on it 。然而，解密是在已经捕获的流量上完成的；过滤不在 802.11 header 中的任何“ protected ”流量是行不通的，因此，虽然您可以测试数据帧或特定 MAC 地址，但无法测试该流量是 IP 还是 ARP 或该层的任何流量(正如 802.2 header 中所示，它是有效负载的一部分，因此已加密)，无法测试特定 IP 地址等。