web-dev-qa-db-ja.com

Linuxでのワイヤレスパケットスニッフィング。キャプチャされたデータはほとんどブロードキャストのみです

Environment：チャネル8で動作するホームネットワーク（私は管理者なので、すべてのパスワードがわかっていて、すべてのデバイスに物理的にアクセスできます）、 PCとそれに接続されたラップトップ（どちらもルーターから約20 cmの位置にあります）
目的：PC上のワイヤレスモジュール（VMでLinuxを実行）を使用して、ラップトップのトラフィックをスニッフィングします
問題：キャプチャされたデータが期待どおりではありません

私はRaLinkRT5370ワイヤレスモジュールを使用しています。このモジュールは、カーネルのrt2800usbドライバー部分を使用しています。 iwconfigの出力は次のとおりです。

mon0      IEEE 802.11bgn  Mode:Monitor  Tx-Power=0 dBm   
          Retry short limit:7   RTS thr:off   Fragment thr:off
          Power Management:off

そして、これがip linkの出力です。

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
3: mon0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UNKNOWN mode DEFAULT group default qlen 1000
    link/ieee802.11/radiotap 00:e1:b2:00:36:79 brd ff:ff:ff:ff:ff:ff

私はさまざまな方法でトラフィックをキャプチャしようとしましたが、tcpdumpを使用することを好みます。

tcpdump -n -w test.pcap -i mon0

PCでキャプチャを開始した後、通常はラップトップの電源を入れ、ネットワークに参加して（EAPOLハンドシェイクをキャプチャできるように）、インターネットを少し閲覧してから、キャプチャを停止します。ここから私の問題が始まります。キャプチャしたトラフィックをwiresharkにロードすると、約1分で、ラップトップがネットワークを使用していることに気付き、約600〜700パケットをキャプチャできました。それらの約98％である大多数は、ルーターからブロードキャストされるビーコンフレームです。私の最後の試みを見ると、643個のパケットがキャプチャされ、そのうち638個（99.2％）がブロードキャストで、5個がラップトップから発信されたマルチキャストでした。したがって、全体として、有用なものは何も記録されていません。 問題は何であり、ラップトップとルーターの間でユニキャストをキャプチャするにはどうすればよいですか？

オンラインのドキュメントのほとんどは、監視モードでのネットワークインターフェイスの設定と記録されたトラフィックの復号化に関係しているようですが、前者はすでに釘付けになっていると思います。後者は、私が持っている場合は役に立ちません。そもそも意味のあるトラフィックはありません。

tl; drtcpdumpはすべてのゴミをキャプチャするようですが、ユニキャストをキャプチャするにはどうすればよいですか？

注：この質問のOP（ WiresharkがICMP/IP/UDPのような高層パケットを表示しないのはなぜですか？（ブロードキャストパケットのみが表示されます） ）も同様の問題を抱えているようですが、ほぼ3年前のものです。まったく別のデバイスを使用しているため、提案された原因（ハードウェア）は私の場合には当てはまらないようです。

linuxnetworkingwireless-networkingtcpdumpnetwork-monitoring
2
goblin

Wi-Fiネットワークで、キャプチャマシンとの間で送受信されないユニキャストトラフィックをキャプチャするには、おそらくモニターモードでキャプチャする必要があります。 WLANキャプチャに関するWiresharkWikiの記事には、その詳細が記載されています。モニターモードでキャプチャする方法はOSに依存します-Windows以外のOSの新しいバージョンのlibpcapと現在のバージョンのWiresharkは、チェックボックスをオンにしてキャプチャできるようにしますが、さまざまな理由から、必ずしもそうとは限りません。 Linuxまたは* BSDで動作し、Windowsではまったく動作しません（Windowsでモニターモードでキャプチャするには、Microsoft Network Monitorなどのツールでキャプチャするか、WiresharkでAirPcapデバイスを使用する必要があります）。

現在使用しているネットワークが「保護」されている場合は、WEPまたはWPA/WPA2を使用して、それを復号化できる必要があることに注意してください。詳細については、802.11の復号化に関するWiresharkWikiの記事を参照してください。WPA/ WPA2の場合、他のホストがネットワークに関連付けられているときに表示されるトラフィックをキャプチャする必要があるため、前に携帯電話の電源を切る必要がある場合があります。トラフィックキャプチャを開始し、キャプチャの開始後に再びオンにします。キャプチャフィルタは復号化されていないパケットで機能するため、トラフィックが暗号化されている場合、IP層（IPアドレスなど）以上ではキャプチャフィルタを使用できず、MAC層（MAC）でのみフィルタリングできることにも注意してください。アドレス、フレームタイプなど）。ただし、トラフィックが復号化されると、表示フィルターを使用できます。

2
Richie086