wireshark - 解释 802.11 Wireshark 跟踪中的帧控制字节

Question

我有一个正在分析的 Wi-Fi 捕获 (.pcap)，并且遇到了在我看来 802.11 规范与 Wireshark 对数据的解释之间的不一致之处。具体来说，我想要拆分的是 2 字节的 802.11 帧控制字段。

取自 http://www4.ncsu.edu/~aliu3/802.bmp , Frame Control 字段的子字段格式如下:



下面是让我感到困惑的数据包的 Wireshark 屏幕截图:



因此，根据 Wireshark 屏幕截图，帧控制字段的标志部分(最后 8 位)是 0x22，这很好。版本/类型/子类型如何0x08与 Wireshark 对框架的描述相匹配，这让我感到困惑。
0x08 = 0000 1000b ，我认为这会转化为 Version = 00 , 类型 = 00 (我认为这意味着管理而不是数据框)和子类型 = 1000 (我认为这将是一个信标框架)。所以我希望这个帧是一个管理帧，更具体地说，是一个信标帧。然而，Wireshark 将其报告为数据框。让我感到困惑的第二件事是 Wireshark 甚至在拉 0x20来自在线 Type/Subtype: Data (0x20) .

谁能澄清我对 802.11 规范/Wireshark 捕获的解释以及为什么两者不一致？

Answer 1

由于帧控制 (FC) 的该字节的布局，示例中的数据帧为 0x08。 0x08 = 00001000
- 前 4 位 (0000) 是子类型。 0000 是这个框架的子类型
- 接下来的 2 位 (10) 是类型，它是 2 位十进制数，因此是一个数据类型帧
- 最后 2 位 (00) 是版本，即 0

下表为几种帧类型转换了 FC 的 subtype-type-version 字节的十六进制值。将 QoS 数据与正常数据帧进行比较可能真的有助于解决这个问题。请注意，该表可能有一两个错误，因为我刚刚对其进行了修改。

你是对的 1000 是一个信标帧，你只是在看错误的位。



您有一个 radiotap header ，您可以从 pcap API 中获得类似这样的类型的 dec 表示:

int type = pkt_data[20] >> 2;