當你拿到一臺linux電腦，你可以把它配置成Wi-Fi抓包器，用以捕獲空中Wi-Fi包，為網絡問題分析提供依據。

一.無線網卡的監聽模式

默認情況下，無線網卡和無線接入點（Wireless Access Point，WAP）建立連接后，就處于托管模式（Managed mode），在托管模式下，無線網卡只專注于接收從 WAP發給自己的數據報文。如果想讓無線網卡監聽所有的空中無線包，需要將無線網卡設置成監聽模式（Monitor mode，也叫 RFMON 模式），然后再使用Wireshark 等軟件對捕獲的數據報文進行分析。 無線網卡除了 Managed mode 和 Monitor mode 這兩種模式之外，還支持其他模式，如：Ad hoc（也叫IBSS模式）和Master mode, Linux Wireless 站點上對此有詳細的介紹。

二.linux系統的網卡信息

為了將無線網卡設置成監聽模式，我們需要先獲取網卡驅動信息并設置網卡。

確保無線網卡正常工作。若Linux電腦能正常通過無線網絡上網則無線網卡驅動正常。否則需要：

?a. 確定無線網卡型號

~$ lsusb

b.安裝驅動

linux無線網卡驅動的安裝可以參考這里。

確定網卡是否支持Monitor Mode,查看自身網卡驅動命令：

? ~$ sudo lshw -c network

-network
    description: Wireless interface
    ...
    logical name: wlp0s20f3
    ...
    configuration: broadcast=yes driver=iwlwifi
    driverversion=6.2.0-34-generic firmware=72.daa05125.0 QuZ-
    a0-hr-b0-72.u
    ip=172.20.2.187 latency=0 link=yes multicast=yes
    wireless=IEEE 802.11
    resources: iomemory:600-5ff irq:16 memory:6055294000-
    6055297fff

通過查閱Linux Wireless 論壇,我們可以得知：網卡驅動iwlwifi支持monitor mode,即監聽模式。

三.Linux系統無線網卡的配置

3.1 使用iwconfig查看無線網卡狀態

1. Linux系統可以使用iwconfig工具查看當前網卡狀態：

~$ iwconfig

lo        no wireless extensions.
gpd0      no wireless extensions.
wlp0s20f3  IEEE 802.11  ESSID:"@Hyatt_WiFi"
    Mode:Managed  Frequency:5.805 GHz  Access Point:
    8C:7A:15:2E:56:4C
    Bit Rate=360 Mb/s   Tx-Power=22 dBm
    Retry short limit:7   RTS thr:off   Fragment thr:off
    Power Management:on
    Link Quality=51/70  Signal level=-59 dBm
    Rx invalid nwid:0  Rx invalid crypt:0  Rx invalid
    frag:0
    Tx excessive retries:2  Invalid misc:0   Missed
    beacon:0

可以看出無線網卡名稱為：wlp0s20f3 ;當前處于托管模式(Managed Mode)。

2. 使用iwconfig 將網絡配置為Monitor Mode時參考命令序列(optional):

?$ su ?
$ ifconfig your_driver_name down          //將無線網卡 your_driver_name 停用 ?
$ ifconfig your_driver_name down          //將無線網卡 your_driver_name 停用 ?
$ iwconfig your_driver_name mode monitor  //設置 your_driver_name 的模式為monitor mode ?
$ ifconfig your_driver_name up            //啟用無線網卡 ?
$ iwconfig your_driver_name channel 3     //可選項，設置channel ?
$ iwconfig                                //重新檢查網卡狀態

為什么使用iwconfig將無線網卡設置成監聽模式后，過幾秒又會自動變成托管模式？大多數情況下歸咎于Network Manager服務。如果無線網卡已經連接了 AP，則Network Manager會檢測無線通常將無線網卡設置成監聽模式后，即可以使用如 Wireshark 之類的抓包工具截取無線網絡報文了。但是由于抓包時網卡是處于監聽模式的，這時不能通過Wi-Fi連接互聯網，否則網卡會自動切換回托管模式。為了避免自動切換，我們可以使用airmon-ng工具配置Managed Mode。所以用戶可以嘗試斷開無線連接，或者使用“service network-manager stop”停止Network Manager服務 。

考慮到停止Network Manager可能造成其他網絡服務問題，我們不推薦直接使用iwconfig設置網絡的Monitor Mode。

3.2 使用airmon-ng監聽無線網絡

通常將無線網卡設置成監聽模式后，就可以使用如 Wireshark 之類的抓包工具抓取無線網絡空中報文了。但是由于抓包時網卡是處于監聽模式的，此時不能通過Wi-Fi連接互聯網，否則網卡會自動切換回托管模式。為了避免自動切換，我們可以使用airmon-ng工具 。

安裝抓包需要使用的工具

~$ sudo apt install -y wireshark net-tools wireless-tools aircrack-ng

~$ sudo airmon-ng //查看當前網卡及驅動狀態`

PHY   Interface    Driver	   Chipset
phy0  wlp0s20f3    iwlwifi	   14.3    

Network controller: Intel Corporation  Wi-Fi 6  AX201 (rev 20)

根據列出的當前系統所使用的無線網卡類型，以及安裝的驅動程序，使用airmon-ng相關命令將網卡設置成監聽模式

~$ sudo airmon-ng start wlp0s20f3

Found 4 processes that could cause trouble.Kill them using
airmon-ng check kill' before putting the card in monitor mode,
they will interfere by changing channels and sometimes putting
the interface back in managed mode
    PID Name
    820 avahi-daemon
    825 NetworkManager
    856 wpa_supplicant
    860 avahi-daemon
PHY	Interface	Driver		Chipset
phy0	wlp0s20f3	iwlwifi		14.3 Network controller: Intel
Corporation Wi-Fi 6 AX201 (rev 20)
(mac80211 monitor mode vif enabled for [phy0]wlp0s20f3 on
[phy0]wlp0s20f3mon)
(mac80211 station mode vif disabled for [phy0]wlp0s20f3)

查看Monitor Mode是否設置成功

~$ sudo airmon-ng

PHY   Interface	    Driver		Chipset
phy0  wlp0s20f3mon	iwlwifi		14.3

Network controller: Intel Corporation Wi-Fi 6 AX201 (rev 20)

設置抓包頻帶(channel)和帶寬

~$ sudo iw dev wlp0s20f3mon set channel 10 HT20

抓包

~$ sudo wireshark

抓包結束，返回托管模式(Managed Mode)

~$ sudo airmon-ng stop wlp0s20f3mon

3.3 使用iw監聽無線網絡

隨著Wi-Fi技術的發展進步，cfg80211和nl80211作為一種新的無線驅動框架用于無線程序的開發。而cfg80211不使用ioctl系統調用，而是使用Netlink（基于socket通信）。iw就是完全基于cfg80211框架重新設計并開發的網絡配置工具

使用iw查看網卡信息以及支持的頻帶和帶寬：

~$ iw list

列出本地的無線設備，以及每個無線設備的詳細信息

~$ iw dev

phy#0
Unnamed/non-netdev interface
    wdev 0x5
          addr 7c:21:4a:21:c3:57
    type P2P-device
    txpower 0.00 dBm
Interface wlp0s20f3
    ifindex 5
    wdev 0x4
    addr 7c:21:4a:21:c3:58
    ssid Nordicsh-5G
    type managed
    channel 44 (5220 MHz), width: 160 MHz, center1: 5250 MHz
    txpower 22.00 dBm
    multicast TXQ:
qsz-byt	qsz-pkt	flows	drops	marks	overlmt	hashcol	tx-bytes	tx-packets
0	0	0	0	0	

查看指定網卡設備信息

~$ iw dev wlp0s20f3 info

將網卡設置為監聽模式： ? ~$ sudo iw dev wlp0s20f3 interface add mon0 type monitor 或者 ~$ sudo iw phy phy0 interface add mon0 type monitor

使能虛擬網卡：

~$ sudo ifconfig mon0 up

上述兩條命令新增了一個虛擬網卡接口mon0，并將mon0設置為監聽模式。這個命令和3.2的airmon-ng的效果相同，wlp0s20f3仍然保持 managed模式不變，新增的mon0運行在Monitor模式下。虛擬接口新增之后需要使用ifconfig up啟用 設置成功后可以用“iw dev”或者“iwconfig”查看無線網卡信息，可發現多了Interface mon0的網卡設備

設置虛擬網卡工作的頻帶(channel)和帶寬

~$ sudo iwconfig mon0 set channel 3 HT20

注意，設置mon0為monitor之后直接設置channel可能會報錯：Error for wireless request “Set Frequency” (8B04) : SET failed on device mon0 ; Device or resource busy. 此時需要刪除managed mode 網卡(刪除該網卡后暫時無法上網)：

? ~$ sudo iw dev wlp0s20f3 del (然后重新設置網卡頻段)

抓包：

~$ sudo wireshark

抓包完后返回托管模式：

~$ sudo iw phy phy0 interface add wlp0s20f3 type managed

~$ sudo iw dev mon0 del

檢查網卡狀態：

~$ iw dev （或者 ~$ iwconfig）

四.使用wireshark抓包

4.1 通過wireshark抓包必須的配置

安裝必要工具。

~$ sudo apt install -y wireshark net-tools wireless-tools aircrack-ng

為實現抓包，我們將網卡設置為監聽模式并使能虛擬網卡后；需要啟用wireshark: (~$ sudo wireshark), 由于wireshark中不能顯式地設置抓包的頻帶(channel)和帶寬，我們需要后臺設置頻帶(channel)和帶寬

~$ sudo iw dev wlp0s20f3mon set channel 149 80MHz

如果只是動態地修改頻帶(channel)，也可簡化為:

~$ sudo iwconfig mon0 channel 140

如何獲取所需監聽AP的通信頻帶(channel)？

通過查看路由器配置

通過wifi Shell sample的 wifi scan 命令獲取 ?

通過sudo iwlist your_driver_name scan | egrep "Cell|ESSID|Channel" 命令獲取，注意網卡需處于托管模式(Managed Mode),例如：

~$ sudo iwlist wlp0s20f3 scan | egrep "Cell|ESSID|Channel"

Cell 01 - Address: 94:98:69:51:A9:47
          Channel:153
          ESSID:"CMCC-6XyY-5G"
Cell 02 - Address: 96:BE:09:91:9C:E2
          Channel:161
          ESSID:""
Cell 04 - Address: 04:AB:08:A0:F6:16
          Channel:1
          Frequency:2.412 GHz (Channel 1)
          ESSID:"CMCC-MF9H"

4.2 頻帶和帶寬說明（optional）

動態設置頻帶和帶寬：

~$ iw dev wlp0s20f3mon set channel 3 HT20

Wi-Fi 頻段頻率與channel存在對應關系,把頻率劃分成很多寬度相等的子頻段(頻帶)就是信道Channel，每個信道的頻率寬度稱為帶寬。同版本的Wi-Fi協議，其無線電載波可以工作在不同的頻率范圍如2.4GHz和5GHz頻段內。

固定頻率的波是無法承載信息的，只有能切換頻率的波才能承載信息，無線信號通訊必須工作在一定頻段內而非某個頻率點。

對2.4 GHz （802.11 b/g/n）頻率進行頻段分配，一共可以有14個信道(頻帶)。

如果每個信道的帶寬是22MHz，那么2.4G最多只能同時使用三個互不重疊的信道（1，6和11）。其中信道14在全球大多數國家都不允許使用。

?如果信道帶寬是20MHz，那么最多可以同時使用四個信道（1，5，9，13）。2.4G頻道帶寬典型值說明：

#     NoHT  : 不使用802.11n，基本很少用
#     HT20  :  802.11n/ac/ax 20Mhz頻寬
#     HT40+ : 802.11n/ac/ax 雙20Mhz，控制信道比擴展信道頻率高
#     HT40-  : 802.11n/ac/ax 雙20Mhz，控制信道比擴展信道頻率低

2.4G頻段分布圖

對于5GHz頻段，信道從5.000GHz（信道0）開始編碼，每5MHz一個信道。各國開放頻率范圍有所不同，如EN301 893規范是從 5.150GHz開始的。通常實際允許使用的信道是從36開始的，頻寬20MHz，可用信道每次+4，如36，40，44，48 … 64 。 查閱每個國家可用的信道可參考：無線局域網信道列表 - 維基百科，自由的百科全書 (wikipedia.org)

監聽模式下查看網卡支持的頻帶和帶寬信息：

~$ iw wlp0s20f3mon info

4.3 實時跳頻(optional)

?信道×帶寬的排列組合選項太多，普通用戶并不知道哪些組合是合法的，以及自己的網卡是否支持這些組合。我們用2個腳本來自動完成一些工作。

配置識別腳本test-channels.sh：自動識別出當前網卡哪些信道+帶寬的排列組合是合法的，并記錄下來；

自動跳頻腳本：在前一個腳本的范圍內，無限循環跳頻掃描： channel-hopping.sh

注意：需要將腳本里網卡接口改為自身監聽網絡所使用的網卡，如：DEFAULT_INTERFACE="wlp0s20f3mon"；

使能執行權限chmod +x ./test-channels.sh；chmod +x channel-hopping.sh執行權限;并用sudo執行。

1.test-channels.sh

此腳本列舉出了5G、2.4G頻段下，各個帶寬下支持的掃描信道，執行結果如： ?

~$ chmod +x ./test-channels.sh ?

~$ sudo ./test-channels.sh

===================================================
2.4G:
Width:HT20, Valid Channels:1 2 3 4 5 6 7 8 9 10 11 12 13
Width:HT40+, Valid Channels:1 2 3 4 5 6 7 8 9
Width:HT40-, Valid Channels:5 6 7 8 9 10 11 12 13
Width:80MHz, Valid Channels:
Width:160MHz, Valid Channels:
5G:
Width:HT20, Valid Channels:36 40 44 48 52 56 60 64 100 104 108 112       116 120 124 128 132 136 140 144 149 153 157 161 165
Width:HT40+, Valid Channels:36 44 52 60 100 108 116 124 132 140 149 157

2.channel-hopping.sh

自動跳頻的腳本內記錄了每種帶寬下，網卡可以支持的信道。這些數據來源是前一個腳本的輸出結果此時需要設置抓包頻段和帶寬：

?~$ chmod +x channel-hopping.sh ?

~$ sudo ./channel-hopping.sh HT20

執行腳本時，指定要使用的帶寬，腳本將會每0.5s切換一次信道。腳本只會循環執行一次，之后你可以手動指定信道和帶寬。

4.4 過濾器

抓包時，可以在wireshark中設置過濾器來選取自己設備的包。根據MAC地址過濾的語法如下：

Source Address: wlan.sa==XX:XX:XX:XX:XX:XX

Destination Address: wlan.da==XX:XX:XX:XX:XX:XX

Receiver Address: wlan.ra==XX:XX:XX:XX:XX:XX

Transmitter Address: wlan.ta==XX:XX:XX:XX:XX:XX

五.小結

5.1 使用airmon-ng+wireshark抓包

sudo apt install -y wireshark net-tools wireless-tools aircrack-ng
Iwconfig
sudo iwlist wlp0s20f3 scan | egrep "Cell|ESSID|Channel"
=> wlp0s20f3
sudo airmon-ng start wlp0s20f3 //switch to monitor mode:
iwconfig (optional)
=> wlp0s20f3mon
sudo wireshark
iw wlp0s20f3mon info

#網卡名：wlp0s20f3mon
頻道：149
帶寬：可選的參數有
頻道：149
帶寬：可選的參數有
noHT : 不使用802.11n，基本很少用
HT20 : 802.11n/ac/ax 20mhz頻寬
HT40+ : 802.11n/ac/ax 雙20Mhz，控制信道比擴展信道頻率高
HT40- : 802.11n/ac/ax 雙20Mhz，控制信道比擴展信道頻率低
5MHz : 5MHz，基本很少用
10MHz : 10MHz，基本很少用
80MHz : 802.11ac/ax
160MHz: 802.11ac/ax

sudo iw dev wlp0s20f3mon set channel 11 HT20 //when setting,not require to close wireshark
sudo ./test-channels.sh //optional
chmod +x channel-hopping.sh //optional
sudo ./channel-hopping.sh HT20 //optional, if required:chmod +x channel-hopping.sh
wlan.da==f4:ce:36:00:1d:52 or wlan.sa==f4:ce:36:00:1d:52 //in wireshark GUI
sudo airmon-ng stop wlp0s20f3mon //close monitor mode.

5.2 使用iw+wireshark抓包

sudo apt install -y wireshark net-tools wireless-tools aircrack-ng
sudo iw dev
iwconfig
=>wlp0s20f3
sudo iwlist wlp0s20f3 scan | egrep "Cell|ESSID|Channel"

=>channel 3
sudo iw dev wlp0s20f3 interface add mon0 type monitor
iwconfig
sudo ifconfig mon0 up
sudo iw dev wlp0s20f3 del
sudo iwconfig mon0 channel 3 //or sudo iw dev mon0 set channel 3 HT20
sudo wireshark

sudo ./test-channels.sh //optional, change wifi-driver to mon3 in the xxx.sh
sudo ./channel-hopping.sh HT20 //optional

sudo iw phy phy0 interface add wlp0s20f3 type managed
sudo iw dev mon0 del
iwconfig

注意:如果wireshark 因權限問題問題無法啟動，可執行以下命令序列：

sudo apt-get install libcap2-bin wireshark

sudo chgrp nordic /usr/bin/dumpcap

sudo chmod 750 /usr/bin/dumpcap

sudo setcap cap_net_raw,cap_net_admin+eip /usr/bin/dumpcap

審核編輯 黃宇