使用OmniPeek抓无线数据包

1、使用OmniPeek抓无线数据包1简介WildPacketsOmniPeek是一款既能抓有线数据包又能抓无线数据包的工具软件。使用OmniPeek抓无线数据包要使用特定的无线网卡和驱动，OmniPeek支持的常见无线网卡：所有基于Atheros芯片的PCI无线网卡，比如TP-LINK的所有PCI无线网卡都是采用Atheros芯片；基于Ralink2870的USBlln的无线网卡；大部分迅驰笔记本内置的Intel无线网卡；这些无线网卡的驱动并不支持OmniPeek抓包，必须使用OmniPeek提供的相应的驱动。在OmniPeek的安装目录下已经自带了这些驱动，使用的时候可以先安装原来的无线驱动，

2、然后替换为OmniPeek的驱动，也可以直接使用OmniPeek提供的驱动。前面一个方面的好处是可以使用原厂提供的应用程序，后面的方法就只能使用Windows的无线配置程序了。如何判别是否为OmniPeek支持的无线网卡：启动OmniPeek，点击“NewCapture”，在弹出的对话框中选择“Adapter”，点击Localmachine下显示的无线网卡，看WildPacksAPI是否为“yes”，如果是“no”则说明不支持。有线网卡都支持，因此不需要这样判断。例如图表l显示OmniPeek可以支持这款TP-LINK无线网卡。图表1判别OmniPeek能否支持某个无线网卡安装无线驱动以TP-

3、LinkTL-WN951N11n无线网卡为例，OmniPeek提供了Atheros_6.0的驱动，如果是TL-WN651G等11g的Atheros无线网卡则需要使用11g版本的驱动：Atheros_4.2。方法一：正常安装完TP-LINK自带的无线驱动和应用程序后，把Atheros_6.0目录下的ar5416.sys文件改名为athw.sys，替换E:WINDOWSsystem32drivers目录下的athw.sys文件，重新启动电脑。方法二：在设备管理器中找到硬件更新为抓包所用的驱动。无线抓包方法启动OmniPeek，点击“NewCapture”，在“Adapter”下选择无线网卡，在“8

4、02.11”下选择要抓包的无线信道。这一步很重要，如果选的信道不对，就抓不到你希望的无线数据包。可以直接指定无线信道号，也可以指定AP的BSSID（就是AP的MAC地址）、ESSID等方式来设置信道。图表2显示的是11n下的无线信道，如果是11g的卡则没有这么多信道。其中数字表示的是信道号，括号中是该无线模式。“bgn”表示11b,11g,11n的普通信道,“n40h”是40MHz带宽11n模式下的向上复用信道，“n401”是40MHz带宽11n模式下的向下复用信道。因为40MHz11n模式下，除了使用一个普通信道外，还需要复用另外一个信道来达到40MHz带宽的目的，可以选择使用普通信道向上复

5、用一个信道，也可以选择普通信道向下复用一个信道。CaptureOptions-无线网络连接16802.115ele匚t匚hannelby*)Number:Obssid：OE55ID:Ericryption3-2432MHz(n40h)1-2412MHz(bg)-2422MHz(n40h)2-2417MHz(bg)-2427MHz(n40h)-2422MHz(bg)3-2432MHz(n4Cih)4-2427MHz(bg)-2437MHz(n40h)-2422MHz(n40l)5-2432MHz(bg)-2442MHz(n40h)-2427MHz(n40l)6-2437MHz(bg)-2447M

6、Hz(n40h)-2432MHz(n40l)7-2442MHz(bg)-2452MHz(n40h)-2437MHz(n40l)-2447MHz(bg)-2442MHz(n40l)-2452MHz(bg)-2447MHz(n40l)-2457MHz(bg)-2452MHz(n40l)-2462MHz(bg)-2457MHz(n40l)-2467MHz(bg)-2462MHz(n40l)13-2472MHz(bg)图表2设置要抓包的无线信道点击确认后，出现抓包界面，点“StartCapture”按钮就可以开始抓包了。过滤器设置OKniPeek-Capture1JjjlFileEditViewapt

7、urESendMonitorToolsWindowHelpn&a国IH逾丁殳0園囚密辱圉O3Packetsreceived:0BulYerusage:0%Packetsfiltered:0Fitterstate:Acceptallpackets由于所有无线AP包。在OmniPeek的抓包界面下如有一个“Filters”标签，点击后可以看到昭觸商豆X-H1%阳祇前园xa-a|%802.11Retry802.11ToD5|AppleTalk|AppleTalkBroadcastAtherosBroadcast丹士c、t、购齬上址曲？f上ad图表3过滤器设置界面会不停的广播beacon数据帧，因此如

8、果不设置过滤器，就会抓到很iddcasts1TF-Link滤器,jBroad匚匸aptureDashboardPacketsLogbFiltersEupertHierarchyFlatApplicationWebServersClientsPagesRequestsVoice&VideoCallsF-lediaVisualsApdexPeerMapGraphsStatisticsNodesProtocols多不木相关的已经预先设置好的过勺U；nflFilter|802.11Ad-HocNetwork|802.11Beacons802.11BeaconsOnly802.11Data802.11F

9、romD5802.11Management802.11MoreData|802.11MoreFragments|802.11NoBeacons802.11Order|802.11ProtectedPacketsI|copyortsroa匚omjCommentBeaconframeswithE55!=1BeaconpacketsBeaconpacketsControl匚旧匚ke乜BroadcomE8-BwithralinkBroadcomE8-BwithHEDBroadcomE8-BwithD-LinkBroadcomE8-BwithHED可以在工具栏上设置是只抓满足过滤器的数据包还是不抓满足过

10、滤器的数据包,还可以如图图表，也可以使用高级模式肩可以增加一个简单模自己新建立一个过滤增加一个过滤器，如图表85所示。ED高级模式下，可以使用多个条件的逻辑组合。比如，不想抓beacon帧、ProbeRequest帧和ProbeResponse帧，可以点击“And”按钮,选寫嘟“确定”，然后再点击“Not”，依次增加“80211ProbeRq”、“80211ProbeRsp”，最终结果见图表。BroadcomHEDwithralink:ocol”，从中选80211Beacon,点paitsICMPICMPpacketsIPIP,ARP,orRARPpackets|IPfilterfilterbyIPIWNCOMMLANIWNCOMMLANLocalLAN-MonitorMonitorNetwork|MACfilterMACaddressfilterMACfilterwithnoBeaconMACaddres