Ubuntu Sniffer在无线网络监控中的应用

Ubuntu 环境下的无线网络监控实践

一 核心概念与前提

• 在 Linux/Ubuntu 中，所谓“sniffer”通常指借助支持监听模式（Monitor Mode）与抓包驱动（如 mac80211）的无线网卡，配合抓包/分析工具对802.11 管理帧、控制帧与数据帧进行捕获与分析。常见工具包括Wireshark、tcpdump、Scapy等。802.11 抓包与有线以太网不同，必须切换到监听模式才能看到非本机、非关联的数据帧，这是开展无线监控的基础前提。

二 典型场景与工具选型

• 场景 A：抓取 WPA2/WPA3 四次握手用于认证分析或故障排查
  • 关键思路：让网卡监听目标 AP 所在信道（channel）/频率（freq），在合法授权前提下捕获EAPOL四次握手帧。
  • 实操要点：
    • 在客户端或 AP 侧获取当前 AP 的信道/频率（如：信道36、频率5180 MHz），以便精准监听。
    • 在 Ubuntu 将网卡切到监听模式，并固定到目标信道；使用 Wireshark 捕获，显示过滤表达式示例：eapol && wlan.addr == <目标设备MAC>。
    • 触发握手（如让目标设备重新关联/重连），在 Wireshark 中确认是否捕获到完整的四次握手包。
    • 若网卡不支持监听模式，需更换支持监听的USB Wi‑Fi 网卡。
• 场景 B：周边 AP 扫描与射频环境观察
  • 使用抓包工具直接观察Beacon/Probe Response等管理帧，获取SSID、BSSID、信道、RSSI、加密方式等，用于射频规划与干扰排查。此类观察同样依赖网卡监听能力与抓包软件（如 Wireshark、tcpdump）。
• 场景 C：编程式嗅探与自动化分析
  • 使用 Python + Scapy 在 802.11 层进行嗅探、过滤与统计，适合做自定义协议识别、异常流量检测与批量分析脚本开发。Scapy 支持 802.11 嗅探与多种协议解析，便于快速原型化。

三 快速上手步骤

• 步骤 1 确认网卡与驱动能力
  • 查看无线接口（如：iwconfig/iw dev），确认是否为支持监听模式的无线网卡；不支持则需更换设备。
• 步骤 2 切换到监听模式并固定信道
  • 使用工具（如 airmon-ng 或系统 iw 命令）将接口切到Monitor，并切换到目标信道/频率（如：5180 MHz / 36）。
• 步骤 3 启动抓包与分析
  • Wireshark：选择监听接口，设置显示过滤（如：eapol 或 wlan.addr == <MAC>），开始捕获并观察握手或目标流量。
  • tcpdump：命令行快速抓包并写文件，例如：sudo tcpdump -i <mon0> -w capture.pcap（后续用 Wireshark 打开分析）。
  • Scapy（Python）：以管理员权限运行脚本，指定监听接口进行 802.11 嗅探与自定义处理。
• 步骤 4 结束与清理
  • 停止抓包后，将网卡切回Managed模式，避免影响正常网络连接。

四 合规与安全提示

• 仅在自有网络或取得明确、书面授权的资产上开展监控与分析；不要对未授权网络或设备实施去认证等攻击性操作。
• 802.11 抓包涉及隐私与合规风险，请遵守当地法律法规与企业安全制度；在生产环境操作前建议进行风险评估与变更审批。
• 注意：本文仅用于合法合规的网络监控、审计与故障排查目的，作者不对任何非法使用行为负责。