Annusare la rete LAN wireless utilizzando tcpdump

Se ho compreso correttamente le basi del funzionamento wireless, dovrei essere in grado di annusare il traffico di altri computer sulla LAN wireless. Quindi ho collegato un secondo computer alla mia LAN wireless e ho provato a vedere se ero in grado di annusare il suo httptraffico attraverso la rete, usando tcpdumpcon un comando come questo:

sudo tcpdump -v -i wlan0 dst 10.0.0.7

mentre 10.0.0.7è l'ip del computer che voglio annusare sulla LAN. Ma sfortunatamente, non ottengo nulla come output (tranne le richieste di eco ICMP se io ping 10.0.0.7, quindi tcpdumpfunziona bene :)).

Cosa mi sto perdendo?

Dovrai impostare l'interfaccia di rete in modalità monitor per essere in grado di annusare tutto il traffico sulla rete wireless. Quindi, prima di avviare tcpdump, procedi come segue:

sudo ifconfig wlan0 down
sudo iwconfig wlan0 mode Monitor
sudo ifconfig wlan0 up

Ciò disattiverà semplicemente la tua interfaccia, abiliterà la modalità monitor e la riaccenderà. Si noti che non tutte le schede di interfaccia di rete supportano la modalità monitor.

Per ripristinare la normale scheda di rete, emettere gli stessi comandi, ma con mode Managed.

In una nota a margine, molto probabilmente il traffico sul tuo sniffer non avrà l'aspetto che ti aspetti, a causa di eventuali schemi di crittografia utilizzati dal tuo router. Considerando che stai annusando la tua rete, nella maggior parte dei casi sarai in grado di decrittografare il traffico. Ecco una breve panoramica su come farlo Wireshark, un'alternativa a tcpdumpquella presenta anche un'interfaccia utente grafica. Se preferisci conservare tcpdumpper l'acquisizione, puoi anche utilizzare la sua -wopzione per scaricare il traffico su un .pcapfile e successivamente aprirlo in Wireshark (o in qualsiasi altro analizzatore di pacchetti).

Nota che se la tua rete utilizza la crittografia WPA o WPA2, dovrai catturare i rispettivi handshake tra il router e ogni dispositivo che desideri monitorare. L'articolo della wiki di Wireshark che ho collegato spiega come farlo:

WPA e WPA2 utilizzano chiavi derivate da una stretta di mano EAPOL, che si verifica quando una macchina si unisce a una rete Wi-Fi, per crittografare il traffico. A meno che non siano presenti tutti e quattro i pacchetti di handshake per la sessione che si sta tentando di decrittografare, Wireshark non sarà in grado di decrittografare il traffico. È possibile utilizzare il filtro di visualizzazione eapol per individuare i pacchetti EAPOL nell'acquisizione.

Per acquisire l'handshake di una macchina, è necessario forzare la macchina a (ri) unirsi alla rete mentre è in corso l'acquisizione.

Prima di tutto, non hai specificato se si trattava di una rete aperta o protetta da WPA. Questo fa la differenza. Presumo sia WPA perché stai riscontrando problemi.

Non sei l'uomo nel mezzo. I pacchetti da 10.0.0.7 vanno da quel computer direttamente al gateway (cioè 10.0.0.1) e vanno su Internet, bypassandoti. Devi effettuare lo spoofing e inserirti tra il gateway e l'utente (10.0.0.7). Ci sono molti strumenti per farlo. In genere si imposta prima l'inoltro ip nel kernel, quindi si esegue un comando similearpspoof <victim ip> <gateway ip>