搜索

[11856] 2017-10-04_无线网络嗅探中的Radiotap

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-10-04_无线网络嗅探中的Radiotap 无 线 网 络 嗅 探 中 的 R a d i o t a p a d d a d d   F r e e B u f   2 0 1 7 - 1 0 - 0 4 引 言 引 言 在 在 W L A N 无 线 网 络 抓 包 的 时 候 不 管 是 用 无 线 网 络 抓 包 的 时 候 不 管 是 用 w i r e s h a r k 、 、 t c p d u m p 还 是 还 是 s c a p y 都 会 出 现 都 会 出 现 R a d i o t a p 、 、 L L C 、 、 S N A P 协 议 协 议 层 。 层 。 如 图 所 示 ： L L C 逻 辑 逻 辑 链 路 控 制 子 层 ( 包 括 S N A P ) 和 M A C 介 质 访 问 控 制 子 层 共 同 组 成 了 数 据 链 路 层 。 L L C 主 要 负 责 向 上 层 协 议 服 务 M A C 层 主 要 负 责 局 域 网 寻 址 以 及 避 免 竞 争 向 下 服 务 想 更 深 入 了 解 可 以 搜 一 下 。 下 面 主 要 解 释 R a d i o t a p 的 结 构 和 蕴 含 的 信 息 。 R a d i o t a p 简 介 简 介 R a d i o t a p   i s   a   f a c t o   s t a n d a r d   f o r   8 0 2 . 1 1   f r a m e   i n j e c t i o n   a n d   r e c e p t i o n . 这 句 话 摘 自 r a d i o t a p 的 官 方 文 档 R a d i o t a p 是 8 0 2 . 1 1 帧 注 入 和 接 收 的 事 实 上 的 标 准 ( 来 自 谷 歌 翻 译 ） 。 很 多 种 操 作 系 统 支 持 R a d i o t a p 包 括 l i n u x 、 w i n d o w s … R a d i o t a p 一 般 在 网 卡 接 收 到 无 线 帧 时 添 加 如 果 内 核 允 许 d r i v e r   t o   u s e r s p a c e   和   u s e r s p a c e   t o   d r i v e r   都 是 可 以 的 。 这 也 是 为 什 么 我 们 在 m o n i t o r 模 式 ( 内 核 允 许 ) 抓 包 时 会 看 到 s u m m a r y 中 最 前 面 的 R a d i o t a p 协 议 层 。 它 提 供 了 无 线 协 议 帧 相 关 的 信 息 比 如 信 号 强 度 、 噪 声 强 度 、 信 道 、 时 间 戳 等 。 最 后 r a d i o t a p 中 添 加 的 信 息 是 与 网 卡 有 关 的 比 如 W N 7 2 2 N 网 卡 添 加 的 p r e s e n t 字 段 第 3 2 比 特 都 是 1 山 寨 8 1 8 7 网 卡 就 都 是 0 … 下 面 详 细 解 释 ： 协 议 头 部 结 构 协 议 头 部 结 构 一 般 情 况 整 个 头 部 共 8 b y t e   3 2 b i t 8 ( v e r s i o n t )   +   8 ( p a d )   +   1 6 ( l e n )   =   3 2 ( p r e s e n t )
1 .   当 前 版 本 v e r s i o n 字 段 始 终 为 0 2 .   p a d 字 段 是 为 了 补 齐 四 个 字 节 而 置 0 的 字 段 因 此 r a d i o t a p 开 头 均 为 x 0 0 x 0 0 3 .   l e n 为 整 个 r a d i o t a p 数 据 层 的 长 度 不 需 要 解 析 时 方 便 直 接 跳 过 4 .   p r e s e n t 为 r a d i o t a p 协 议 数 据 的 位 掩 码 某 位 为 1 时 表 示 这 个 位 代 表 的 数 据 存 在 存 放 在 头 部 后 面 。 比 如 b i t 5 ( 下 标 ) 表 示 后 面 存 在 信 号 强 度 数 据 b i t 3 1 表 示 还 有 另 一 个 p r e s e n t 字 段 存 在 。 因 为 位 掩 码 的 存 在 r a d i t a p 协 议 的 数 据 是 不 定 长 的 也 让 r a d i o t a p 变 得 很 灵 活 当 出 现 新 的 字 段 时 不 会 破 坏 现 有 的 解 析 器 。 当 出 现 了 不 能 理 解 的 r a d i o t a p 数 据 可 以 通 过 l e n 直 接 跳 过 继 续 解 析 上 层 数 据 。 5 .   因 为 p r e s e n t 字 段 可 能 存 在 多 个 所 以 说 上 面 的 头 部 长 可 能 会 变 长 但 要 注 意 8 b y t e 对 齐 以 0 补 位 比 如 W N 7 2 2 N 抓 到 的 协 议 数 据 内 容 协 议 数 据 内 容 协 议 中 有 已 定 义 ( d e f i n e d ) 、 讨 论 中 ( s u g g e s t e d ) 、 被 抛 弃 的 ( r e j e c t e d ) 的 字 段 。 大 多 数 时 候 我 们 关 心 的 是 已 定 义 的 几 个 有 丰 富 信 息 的 字 段 详 情 需 参 考 官 网 介 绍 。 名 称 名 称 位 数 位 数 长 度 长 度 单 位 单 位 介 绍 介 绍 T S F T 0 u 6 4 微 秒 数 据 帧 第 一 b i t 抵 达 的 时 间 R a t e 2 u 8 5 0 0 K b p s 发 送 或 接 收 的 速 度 C h a n n e l 3 u 1 6   f r e q u e n c y , + u 1 6   f l a g s M H z   +   b i t m a p 信 道 的 频 率 和 f l a g s A n t e n n a   s i g n a l 5 s 8 d b m 接 收 时 信 号 在 天 线 的 强 度 A n t e n n a   n o i s e 6 s 8 d b m 接 收 时 噪 声 在 天 线 的 强 度 d B m   T X   p o w e r 1 0 s 8 d b m 发 射 功 率 ( 有 符 号 ) 由 于 R a d i o t a p 协 议 很 灵 活 很 多 时 候 其 中 会 有 厂 商 自 定 义 的 字 段 。 注 意 取 出 信 号 强 度 的 时 候 数 据 为 有 符 号 整 数 且 强 度 均 为 负 数 需 要 先 减 1 再 取 反 得 到 正 确 的 绝 对 值 详 情 参 考 负 数 补 码 表 示 。 另 外 想 取 得 上 面 的 字 段 还 要 看 你 的 网 卡 资 不 资 词 当 然 希 望 它 是 资 词 的 。 此 外 每 个 字 段 的 名 称 在 w i r e s h a r k 中 也 略 有 差 异 如 图 为 w i r e s h a r k 中 包 含 两 个 p r e s e n t 时 的 字 段 名 称 。
如 何 过 滤 如 何 过 滤 P r o t o   i s   o n e   o f   e t h e r ,   f d d i ,   t r ,   w l a n ,   p p p ,   s l i p ,   l i n k ,   i p ,   a r p ,   r a r p ,   t c p ,   u d p ,   i c m p ,   i p 6   o r   r a d i o ,   a n d i n d i c a t e s   t h e   p r o t o c o l   l a y e r   f o r   t h e   i n d e x   o p e r a t i o n .   ( e t h e r ,   f d d i ,   w l a n ,   t r ,   p p p ,   s l i p   a n d   l i n k   a l l   r e f e r   t o   t h e l i n k   l a y e r .   r a d i o   r e f e r s   t o   t h e   “ r a d i o   h e a d e r ”   a d d e d   t o   s o m e   8 0 2 . 1 1   c a p t u r e s . ) 截 自 B P F 文 档 B P F 语 法 提 供 了 对 R a d i o T a p 协 议 的 过 滤 支 持 即 为 ’ r a d i o ‘ 。 可 以 在 s c a p y   的 s n i f f 函 数   的 f i l t e r 参 数 或 者 在 t c p d u m p   等 等 使 用 b p f 语 法 过 滤 的 过 滤 器 中 使 用 。 比 如 想 过 滤 p r e s e n t 字 段 为 0 x 0 0 2 4 的 数 据 包 时 f i l t e r = ’ r a d i o [ 2 : 2 ] = = 0 x 2 4 0 0 ’   ( s c a p y ) 。 另 外 想 过 滤 某 些 位 均 可 以 通 过 ‘ 与 ’ 操 作 ( & ) 获 得 f i l t e r = ’ r a d i o [ 2 ] & 7 = = 7 ’ 。 此 外 需 要 特 别 注 意 的 是 r a d i o t a p 协 议 中 字 节 序 为 小 端 序 也 就 是 某 个 字 段 有 多 个 字 节 时 低 位 的 字 节 被 先 发 送 。 例 如   p r e s e n t 字 段 的 0 x 1 2   2 3   3 4   4 5 在 无 线 网 络 中 按 接 收 的 先 后 顺 序 为 0 x 4 5   3 4   2 3   1 2 这 点 在 s c a p y 中 使 用 s t r ( p a c k e t )   和 w i r e s h a r k 中 的 p a c k e t   b y t e s 栏 中 都 可 以 观 察 的 到 。 所 以 在 使 用 过 滤 语 法 时 一 定 要 考 虑 字 节 序 的 问 题 低 位 在 前 。 低 位 在 前 。 如 何 解 析 如 何 解 析 使 用 使 用 s c a p y s u m m a r y :
s h o w : 可 以 看 到 s c a p y 解 析 除 了 v e r s i o n 、 、 p a d 、 、 l e n 和 第 一 个 第 一 个 p r e s e n t 但 p r e s e n t 中 的 E x t 代 表 着 还 有 另 外 的 p r e s e n t 字 段 存 在 。 所 以 s c a p y 对 r a d i o t a p 的 支 持 不 是 很 好 余 下 未 解 析 的 数 据 都 放 在 n o t d e c o d e 中 ( 小 端 字 节 序 ) s c a p y 通 过 l e n 字 段 直 接 跳 过 r a d i o t a p 解 析 了 上 层 数 据 。 使 用 使 用 r a d i o t a p - l i b r a r y 这 个 库 在 官 网 中 也 有 介 绍 另 外 这 篇 文 章 中 也 有 这 个 库 的 简 单 使 用 方 法 是 c 语 言 的 库 在 l i n u x 内 核 中 有 应 用 。 因 为 喜 欢 在 p y t h o n 中 编 程 所 以 曾 经 想 自 己 改 一 下 函 数 生 成 一 个 动 态 链 接 库 由 p y t h o n 调 用 但 我 后 来 偶 然 发 现 了 下 面 的 库 。 使 用 使 用 i t a m a e 当 p i p   s e a r c h   r a d i o t a p 时 会 发 现 另 外 一 个 库 i t a m a e   ( 0 . 1 . 1 )   -   P y t h o n   8 0 2 . 1 1   M P D U   a n d   R a d i o t a p   p a r s i n g 安 装 后 i t a m a e 的 r a d i o t a p 子 模 块 的 介 绍 中 写 道 p r o v i d e s   r a d i o t a p   p a r s i n g   ( r a d i o t a p . o r g   d e f i n e d   f i e l d s )   o n l y . N O T E : o   W i l l   n o t   p a r s e   c o r r e c t l y   i f   e x t e n d e d   f i e l d s   a r e   p r e s e n t   p r i o r   t o   d e f i n e d f i e l d s . o   I t   i s   r e c o m m e n d e d   n o t   t o   i m p o r t   *   a s   i t   m a y   c a u s e   c o n f l i c t s   w i t h   o t h e r   m o d u l e s 表 明 了 对 支 持 r a d i o t a p 协 议 的 解 析 同 时 需 要 注 意 它 只 会 成 功 解 析 含 有 一 个 它 只 会 成 功 解 析 含 有 一 个 p r e s e n t 的 数 据 包 的 数 据 包 。 使 用 时 只 需 要 把 数 据 包 的 字 符 串 传 进 去 就 可 以 了 返 回 解 析 好 的 字 典 。
有 什 么 好 玩 的 用 途 有 什 么 好 玩 的 用 途 既 然 我 们 有 了 接 收 信 号 的 强 度 测 一 测 自 己 网 卡 的 信 号 衰 弱 和 距 离 的 关 系 多 次 移 动 后 就 可 以 粗 略 的 对 信 号 源 有 一 个 定 位 了 。 网 上 有 很 多 很 多 R S S I ( R e c e i v e d   S i g n a l   S t r e n g t h   I n d i c a t i o n ) 室 内 定 位 的 算 法 可 以 参 考 一 下 。 想 象 一 下 你 在 咖 啡 厅 嗅 探 外 面 商 场 的 开 放 w i f i 突 然 看 到 了 一 个 镁 铝 的 自 拍 定 个 方 向 再 去 找 是 不 是 方 便 很 多 。 再 或 者 企 业 是 不 是 也 可 以 通 过 大 致 的 定 位 方 便 找 出 无 线 环 境 中 多 出 的 n 多 d e a u t h   d o s 攻 击 数 据 包 的 源 头 。 * 本 文 作 者 ： 本 文 作 者 ： a d d a d d ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理