Estou tentando usar o wireshark para aprender um pouco sobre rede e captura de pacotes. No entanto, pelo que entendi, a combinação de vários chips wifi do Windows 7 + não permite que a placa de rede opere no "modo promíscuo". Alguém já teve alguma experiência em fazer isso funcionar?
8
Respostas:
Cuidado com as dificuldades terminológicas aqui.
O modo promíscuo é um conceito originado na Ethernet com fio, na qual sua placa mostra todo o tráfego que seu hub está repetindo na porta, mesmo que não seja endereçado a você. Muitos cartões Wi-Fi (mas não todos) oferecem suporte ao modo promíscuo, de maneira que se parece muito com o modo promíscuo Ethernet; mostra apenas os quadros de "dados", apenas na sua rede atual (o mesmo BSSID) e mostra-os após serem traduzidos em pacotes de estilo Ethernet com fio (enquadramento Ethernet-II ou 802.3). A idéia é fazer com que pareça o mesmo tráfego que você veria em uma interface Ethernet com fio no modo promíscuo, para o bem dos engenheiros de rede que desejam ver as coisas nesse nível.
O modo de monitor 802.11 é um modo super promíscuo para cartões 802.11. No modo monitor completo, a placa é sintonizada em um canal e mostra todos os pacotes que pode receber nesse canal, não importa o quê. Se houver outras redes Wi-Fi ao alcance nesse canal, também serão mostrados os quadros dessas outras redes. Ele mostra não apenas os quadros de dados que você veria na Ethernet com fio, mas também o "Gerenciamento" específico do 802.11 (Beacon, Probe, Auth, Assoc, Action, etc.) e o "Controle" (Ack, RTS, CTS, PS quadros, etc.) também. E mostra a eles sem tradução, com seus cabeçalhos completos no estilo 802.11.
O suporte total ao modo de monitor 802.11 é mais difícil de encontrar nos cartões Wi-Fi dos consumidores e, onde existe, costuma ser de buggy.
Muitos profissionais de 802.11 acabam optando por comprar uma placa sem fio USB "AirPcap" da CACE Technologies (patrocinadora corporativa da Wireshark), pois eles são projetados desde o início para serem ótimas placas de modo de monitor 802.11 para uso com o Wireshark.
Atualização:
Também é importante observar que existem realmente apenas alguns fornecedores de chipsets Wi-Fi por aí, e todos os fabricantes de cartões usam chips desses poucos fornecedores. Os maiores fornecedores são Broadcom, Atheros, Marvell e Intel, e existem vários fornecedores menores e menos conhecidos, como Ralink. Desses, a Atheros é há muito o melhor fornecedor de chipset para suporte ao modo monitor e suporte a código aberto. Você pode verificar a comunidade de drivers Wi-Fi do Linux para descobrir quais placas usam os chips Atheros e oferecer suporte adequado ao driver "Madwifi" e escolher uma delas; é mais provável que eles tenham um driver do Windows compatível com o modo de monitor.
fonte