Не могу расшифровать файл захвата

Question

Я играю с airodump-ng и wireshark (я не специалист по сетевым технологиям). Я перехватил некоторые пакеты из моей сети с помощью airodump-ng и хотел открыть их в wireshark, но они кажутся бессмысленными (вместо HTTP-запросов и прочего).

Это был мой порядок действий:

1. Запустите airodump-ng --bbsid <myRouterMac> -c 1 -w <filename> <interface> --output-format pcap , сделайте несколько запросов в браузере (http, а не https) и Ctrl-C.
2. Откройте Wireshark и откройте файл.
3. Добавьте сгенерированный WPA-PSK ключ из генератора веб-сайтов Wireshark.
4. Эксперимент с вариантами

Я ожидал, что это сработает, но это не работает. В чем может быть причина? Что я должен сделать, чтобы это работало?

Answer 1

Airodump-ng захватывает кадры RAW 802.11. Вы видите протокол 802.11 здесь.

Это объясняется более подробно здесь

http://www.aircrack-ng.org/doku.php?id=airodump-ng

Возможно, вы захотите опубликовать это на https://security.stackexchange.com в будущем.

Answer 2

Всякий раз, когда захват трафика Wi-Fi выглядит как набор различного случайного трафика 802.2/LLC с множеством различных случайных DSAP и SSAP, это означает, что ваш анализатор пакетов (Wireshark) пытается интерпретировать зашифрованные кадры, как если бы они были открытыми текстовыми кадрами (т.е. как будто они никогда не были зашифрованы или уже расшифрованы).

В вашем случае наиболее вероятной причиной является то, что вы не захватили четырехстороннее рукопожатие WPA/WPA2 (фреймы ключа EAPOL), когда на этот раз клиент (ы) присоединился к сети.

Менее вероятные причины могут заключаться в том, что вы неправильно ввели вашу парольную фразу WPA/WPA2 или SSID в генератор ключей или неправильно копировали выходные данные генератора ключей и правильно вводили их в соответствующее поле в интерфейсе Wireshark.

WPA- и WPA2-PSK генерируют ключи для каждого клиента, для сеанса на основе комбинации PSK (который, как вы знаете, получен из ключевой фразы и SSID через PBKDF2) в сочетании с одноразовыми номерами и другой информацией, которой обмениваются в течение -включение рукопожатия в начале соединения. Таким образом, если вы не захватите 4-стороннее рукопожатие для данного соединения, вы не сможете декодировать трафик с этого соединения.