80211帧的抓取以及分析

802.11帧的抓取以及分析1.802.11概述IEEE802.11是一个协议簇，主要包含以下规范：物理层规范:802.11b，802.11a，802.11g；增强型MAC层规范：802.11i，802.11r，802.11h等；高层协议规范：802.11f，802.11n，802.11p，802.11s等。802.11中定义了三种物理层规范，分别是：频率跳变扩展频谱(FHSS)PHY规范、直接序列扩展频谱(DSSS)PHY规范和红外线(IR)PHY规范。802.11同802.3一样，主要定义了OSI模型中物理层和数据链路层的相关规范，其中数据链路层又可分为MAC子层和LLC子层，802.11与802.3的LLC子层统一由802.2描述。2.802.11帧结构分析2.1一般帧结构22 6 6 6 2 6 2304 4MoteFragK2.ProtFrame—PFOtOC&lversionTypeSubType_L1122*11111111一般802.11MAC帧Framecontrol字段控制字段^Protocolversion:表明版本类型，现在所有帧里面这个字段都是0x00。*Type：指明数据帧类型，是管理帧，数据帧还是控制帧。*Subtype：指明数据帧的子类型，因为就算是控制帧，控制帧还分RTS帧，CTS帧，ACK帧等等，通过这个域判断出该数据帧的具体类型。*ToDS/FromDS：这两个数据帧表明数据包的发送方向，分四种可能情况讨论：**若数据包ToDS为0，FromDS为0，表明该数据包在网络主机间传输。**若数据包ToDS为0，FromDS为1，表明该数据帧来自AP。**若数据包ToDS为1，FromDS为0，表明该数据帧发送往AP。**若数据包ToDS为1，FromDS为1，表明该数据帧是从AP发送自AP的，也就是说这个是个WDS（WirelessDistributionSystem）数据帧。*Moreflag:分片标志，若数据帧被分片了，那么这个标志为1，否则为0。*Retry:表明是否是重发的帧，若是为1，不是为0。*PowerManage：当网络主机处于省电模式时，该标志为1，否则为0。*Moredata:当AP缓存了处于省电模式下的网络主机的数据包时，AP给该省电模式下的网络主机的数据帧中该位为1，否则为0。*Wep:加密标志，若为1表示数据内容加密，否则为0。*Order这个表示用于PCF模式下。2） Duration/ID（持续时间/标识）：表明该帧和它的确认帧将会占用信道多长时间；对于帧控制域子类型为：PowerSave-Poll的帧，该域表示了STA的连接身份（AID,Associationidentification）。3） Address（地址域）：源地址（SA）、目的地址（DA）、传输工作站地址（TA）、接收工作站地址（RA），SA与DA必不可少，后两个只对跨BSS的通信有用，而目的地址可以为单播地址（Unicastaddress）、多播地址（Multicastaddress）、广播地址（Broadcastaddress）。4） SequenceControl（序列控制域）：由代表MSDU（MACServerDataUnit）或者MMSDU（MACManagementServerDataUnit）的12位序列号（SequenceNumber）和表示MSDU和MMSDU的每一个片段的编号的4位片段号组成（FragmentNumber）o2.2帧类型针对帧的不同功能，可将802.11中的MAC帧细分为以下3类：1） 控制帧：用于竞争期间的握手通信和正向确认、结束非竞争期等；2） 管理帧：主要用于STA与AP之间协商、关系的控制，如关联、认证、同步等；3） 数据帧：用于在竞争期和非竞争期传输数据。FrameControl（帧控制域）中的Type（类型域）和Subtype（子类型域）共同指出帧的类型，当Type的B3B2位为00时，该帧为管理帧；为01时，该帧为控制帧；为10时，该帧为数据帧。而Subtype进一步判断帧类型。

2.3各种帧类型的结构控制帧:(1)RTS帧IFrameCoiilrolIFrameCoiilrol_ ReceiverDut'stiotiAddressFCS2b\ie?byte6byk6bytE4byteFram?R&^eixrerTransmitterControlDurationAddressAddressFCS(2)CTS帧2byte 2byte 6byie 4FrsineControlDuraUoiiRecehet'AddressICS(3)ACK帧(4)PS-POLL帧2bvte2byte 6byte6bvte 4bvteIlrameCentreIlrameCentre1AID BSSED FCSAddress管理帧基本结构:2byteKbyte€byte6tnteGbyte2 0-2332 4byteFrAtneControlDarationDASaBSSID-etrlFrame■bodyFCS数据帧：2byte2Byte6byte6byte6byte2 6byte0-2312 4ByteFrameccnttolDurationZEDAddress1Address2Address,Seq-CllAddress4FramebodyFCS3.802.11帧的抓取3.1配置wireshark启动monitormode,抓取wifi的数据包,如下图toylor$ubyntu iwdicvwloneInterfaceoddgnQtypenifonltar[£udo]口由雪r时Tarlaylar:t^yXorpubuntus-S亍udx?ifc-QnfigisKsnOupbmmtirss-udpwir^siiaric

3.2结果以及分析数据帧:■ LNUOmZl部德％1LH膈wrcfpa击妃部Owtift*竺1pact】的航*FraseC:117Zbyresoowire376bit、》.1L72escapiuredbicsjUSESCO!0TL胃旬0jRad1at曲HwdeF皿L.ngThUSESCO!0TL胃旬0Tj^te?SubryiM:&aratOsZO)•praw :mmwa(HQr^lJucrsloo!0Tyire:陌匚afraw(野别iKgiQ-Flag-5:Oxa 10-M5xaru£;Frawfrw&£站』硒a5曲W。0阡on。牝1)⑶对21，・・・rd...MoreFragn!«rtTS3Th』&1sth®lastFragaenc:....Ik.u■fiserry；;FrawIsbeiirgretriarisBiltted...0.一.■吐营义GTl5T£will5tW叩Ol・・・・■MoregtajNod-arjbuffered0 ■ FrQisectedfl^g?Mil1snotprotectedQ...・・・『■o^rderfIjg：wots-trictlyorderedC^jratiora;213gtlFMtl砰'刑"ng游；(网漓登网部切*;叫)H55IdiW：H：b5:la：0a：05C06：llzb5：la:0a:05)SourceadcTrfl^s:UscIofoF-OO:Cb9>:0aCM:dO:^c:00:04:0a)Fraynentirxiafeer:；05宅q如皿包iwinftflrz605..rr^iwchflcL：3«j5snc*0^3网技打[earrect][Cw4；Trq<][丽由F*1fit]*loglcal^LfnlcC-crfwtEgcwalgfIcml£rC；i£d.2&£.^42,166Ci±&,S6t,i^S,14-45,Ost；ifti-i$S,i4>4-U-s<i4iri51.16Sri?4>■WS■- ■早EIPMwE」Sr«口Mt；4祯6C4JPSJIStPwt;(l/WQ:!:aat-j(lOiT®6yt«)COM<XM(?t■■PI.1jnCOM<XM(?t■■PI.1jnTTiaiMinjVersion,Type和Subtype的08H,即00001000,后两位00,表明协议版本为0,倒数3、4位10表明这是一个数据帧，前四位0000是subtypeoFramecontrol后8位0AH，即00001010OToDS=0,FromDS=1,表明该数据帧来自AP。Morefrag=0，表明这是该帧的最后一段，Retry=1,表明这是重传帧，Pwr.Mgt.=0表明发送方没有进入节能模式；Moredata=0表明没有更多的帧，即Nodatabuffered.Protected=0，表明没有加密，Order=0，表明没有严格的顺序要求。Duration位为d500，低位为00,高位为d5,所以持续时间为00d5H=213微秒。Address1=0022698ea744,接收方的MAC地址;Address2=0611b51a0a05发送发地址，即AP地址；Address3=00005e00040a，远程远端地址；Sequence=3032，高位为32,低位为30,即0011001000110010,段号为0,帧号为001100100011B=803D,Checksequence=23093131H,检测结果为正确。控制帧：RTS

hIEEE802.11Request-ta-sentiPFlags:..r■.r...C■了0,皿53001睫;fWHonHaiP顼ffW8(2M5WRjequ&5t-tD~send「Flags=“C】+Frame7:52hIEEE802.11Request-ta-sentiPFlags:..r■.r...Ci>13e/5ubiype:itequesi-LO-send(QxlD)i_Franeconi:poll:D^00&4(Normal)Version!0Typ^MConrrnlframe(1)Subrype:11日Flitgs;OkG«-.R„OO-D5status:Nut1eavingD5ornetworkisoperatinginAD-HOCmode(ToD5;0「「o・D5;Q)(0x00)Br0.e-MoreFragnenrs:ThisIstheIasifragrwn匚....O.._=RerryiFrame1snorbeingrerransmireed...O…一«PwRMGT!STAwillsrayupuuOuu4.u=MoreDara:Nada^abuffered0.uuui=ProtectedflagsDataisnotprojected0-..«...«-Orderflag;NotstrictlyorderedDuration;?4O7ne<eladd^essiHonHalpr_8e:a7：44(oa：22^9：Se^7：-44)Transniceeraddress:d石：1L:Ei5:La.：O-a:05(D6：ll:b5ila:Da:05)日Franechecksequence:Ox6e24f2Ec[correcr]![■Good:Tru«][Bad:Fals-e]0OD0001000200OD0001000200030Version,Type和Subtype的b4H,即10110100，后两位00，表明协议版本为0,倒数3、4位01表明这是一个控制帧，前四位1011是subtype,表明这是一个RTS；Framecontrol后8位00H，控制帧的这几位除Pwr.mgt.外必然是0.Pwr.mgt即发送方没有进入节能模式。CTS帧•Fr-ase2^ mFire 45：l>yiescmpcurMCJWb1<s>ksl迎jQCl由9L；gT*_.*44^(tAjtoi.ij.«。•Fr-ase2^ mFire 45：l>yiescmpcurMCJWb1<s>F;rr&M€twitfal3OaMC-4(RltjrmaT)version;QTypecontrolFrw(1)dubx^pe:L3Fljijg?.:gd - kscaiws-sNflilej^ln^igwfiMworkTsfi^Hra^lng*i>良p-nre心玲Qfj■碎ps;S仲xg)……PQ,H■J=「?gBQfiTj4ThisisthflastfragpcnR；……fr.uaa 可旧HrWtfeeingr企廿mrvyiN尊日…。rI«.■i*w*ysta*{11st«yvpZ.hi-Fiirenq粘buftf^rtd・Q,・....■ft-oieciedfUg:01且isnotproi-KTedU—…一■orderfIjig:Nots,Srfellyordered如rajH&n:JJ15AeceivrrJiddrcsszfcj§营eT・.4■中二 号多(Jf-fc:fZ:al:4i:64:>5JbFraswcheckstque^es<K*ldl,f7'e5[corrtcr][Good：Trm»]沽拥？Fiji*]000020M6f0000<»CCdl6)305500KlOOO1CI30-t-COSICO-TOW02DOOOWCWOOWOO..,池』B000020M6f0000<»CCdl6)305500KlOOO1CI30-t-COSICO-TOW02DOOOWCWOOWOO..,池』BM«0U....WLOWJ-pVersion，Type和Subtype的C4H,即11000100，后两位00，表明协议版本为0，倒数3、4位01表明这是一个控制帧，前四位1100是subtype，表明这是一个CTS.Framecontrol后8位00H，控制帧的这几位除Pwr.mgt.外必然是0.Pwr.mgt即发送方没有进入节能模式。Duration位为6f09，低位为6f，高位为09，所以持续时间为096fH=2415微秒。ReceiverAddress=70f1al496492，接收方的MAC地址;Checksequence=a1d1f7e5H，检测结果为正确。ACK帧:

丑/mwTrefg&gE~U%3目A6byte^礼七^^广日flM&彳./》TOCLTMtl FA丑/mwTrefg&gE~U%3目A6byte^礼七^^广日flM&彳./》URW^t^pHca^^rH*"gEg£扫行zeeedafjii4cknowled$£flimr.FUgs;』.「八队丈ly四有u：brypfl■:MkncMl『dg^”nt:(CX«ld2-H皿 feMM(W3)Yfirsfqn^OTyp吒:c&ntralfrst(1>sun网田；13fliqs-l0x0ir...,«W-Xskmlinwt祯眄m UwmhxI®1nm-^K*od*Sh:期归a*bS-：0)0^M) .b..-Hare-Frigiw-nts:Tfri%I喧the1utfrasgac-crrt・“..□“.・*Reciry;firjse1snoibeingreiFjrtsMcced__.0._ti■rtfHHGTl5TAirilll!京邕邛Up….®worewca^wj6mlaffwedrC-.■,r=r"Protqc:tedFljq;Xt争"l>notpirg^-act^-d0.□..a..-orderfMet orrtt#edWfEpra；§Rttelv^address：&6：tlibS：la：0a：：01(06ni：b5jia；0aL■&5)-rramchecksequflTCt-! 财[cwrtet][G66diTru^]而ch■MOOWl-P■MOOWl-P«?0Version,Type和Subtype的d4H,即11010100,后两位00,表明协议版本为0,倒数3、4位01表明这是一个控制帧，前四位1101是subtype，表明这是一个ACK；Framecontrol后8位00H，控制帧的这几位除Pwr.mgt.外必然是0.Pwr.mgt即发送方没有进入节能模式。Duration位为0000，所以持续时间为0微秒,ACK表明该帧的传送结束，所以持续时间为0，ReceiverAddress=00:22:69:8e:a7:44，接收方的MAC地址；Checksequence=6e24f28cH，检测结果为正确。BlockACK：Version，Type和Subtype的94H,即10010100，后两位00，表明协议版本为0，倒数3、4位01表明这是一个控制帧，前四位1001是subtype,表明这是一个BlockAck，这是一个块确定帧Framecontrol后8位00H，控制帧的这几位除Pwr.mgt.夕卜必然是0.Pwr.mgt即发送方没有进入节能模式。Duration位为9400，低位为94，高位为00，所以持续时间为0094H=148微秒。ReceiverAddress=70f1al496492，接收方的MAC地址。TransmitterAddress=3822d67704d3,发送方的MAC地址，Checksequence=d2ed060f，检测结果为正确。 其

余位与BlockACK该种帧有关，BlockAckType=02HcompressedBlock；BlockAckControl=0005H,BlockAckStartingSequenceControl=9320H.管理帧:-Fr^e我:：XWbytes-cm^ire bit£>,K我片尸一惑£Jipcured birs-J:trhJ1orapHeadervOFL€nq(h32.6Q2,liep-iicqfi6Q2,liep-iicqfifr^HTp .-friHieanTF&l：:火网d(Hariial)<>iyp^tHand-teMmfri^e(Ci)subcype:&Wrligs:DMuuu―的.05stacu-s:mok1eavfi^gds"neEwrt-rk<5 Ina-hdcmade(tods:也Fr^mdss0。in.i0.・Fr&g«n<5iTh1i1s[蝴】盗彳frargmnt D_.-■ItE-Ery:Frjmrii*notfacingr«tranqilBiHLvd…口.■…■PWJMESTAWill«AJjrUp.-.0.・-..■wore占司i巨a：hodaxatwfferMl-■0.-._._■P,rot<c.l：i?<i：FlmgtDaEa.[幸notprotocte-dQ”.m-^rtferfllH?;mistrictlywWrNCuraiion：0ISc^-tinxtlqnaddrt-s^:&roadca?-E^ff：-FF:ff:ffzffzffjsourceaddressiMlEi^chruTrsOSsdO■(3a'2?!7?t05sdO)I^rHMTMhn-FF冲软W 们7"”EP〕>Frjgiwnrnwisr:QS^|utA££ ■ISErm«check5eqwfenc€;DxgahhN[E^reccl^GoodJTrut-Jraise]000-0OOl0W?Q0Q3D(KUOM^OMifiO0070W50OWOOOjOOOMOOiOoodoOOtOoafo相teCl虫0116Xoa(X)?dmnoro如002f00□001QQr01010001M000-0OOl0W?Q0Q3D(KUOM^OMifiO0070W50OWOOOjOOOMOOiOoodoOOtOoafo相teCl虫0116Xoa(X)?dmnoro如002f00□001QQr01010001M00id004405«><X)w34i-esuM*di04<K>012dladtOOS00OJWOQrowcw00g”00w耻OO<K>OOOO»dtOO<K>00睥00LO004.以太网帧格式以太网帧的抓取:

点击Capture,选择以太网，然后点击StartTheWiresharkNetworkAnalyzer[Wireshark1.12,4(vl.12.4-0-gb486IdafrGoCaptureAnalyzeStetieticsTelephonyToalsInternalsHel[p酸酸晚普任E旧|氮WiresJiArk:CaptureInterfacesDrscriptianWiresJiArk:CaptureInterfaces|由K氐t佩RealtekP匚KGBEFamily匚nntrollEfe-80：：4a1:dbbc:7{J90:e4a&fB8O!!C&99:E-b5l!c7be;e9fa□£V<AINfB8O!!C&99:E-b5l!c7be;e9faCapmrilngfmrn以大网[Wireshark1.12.4<^1_1Z4a-^b4&5ldafromniasief-].I2)|E«#t质e Gapluna-glyM$曰日日eTfllsphonjLw片IjrleriidstJetAtfrMs.Time祀d^Usl/SUvU»U2MKW0513.92156JM0&23.521769W0533.432^44000W 口DODKS.-Me470D0DM3-93O9L2KIQ5?s.nsHum5«3n95HOJMO3951352M03,96i3QSiM04.ODCillOKiDM4-2DO12fiKiCSwr*LHALOUiiUul^.101.i.60.61W192.ICe.0.192loi.4.ea.bi192.M—1D1. GO.^1LQL.<S.COuBli<n.4.sa.HL192.L6fl.Ci.192101,1,60-81Ci-LdrfcinqwigQ-Lirfcln_2S:dl:laC34L扣37*9gD*192.LU.O..19Z*fiqprMsicin匚l«rApply牝nOffrfnfftiQ*'AtfrMs.Time祀d^Usl/SUvU»U2MKW0513.92156JM0&23.521769W0533.432^44000W 口DODKS.-Me470D0DM3-93O9L2KIQ5?s.nsHum5«3n95HOJMO3951352M03,96i3QSiM04.ODCillOKiDM4-2DO12fiKiCSwr*LHALOUiiUul^.101.i.60.61W192.ICe.0.192loi.4.ea.bi192.M—1D1. GO.^1LQL.<S.COuBli<n.4.sa.HL192.L6fl.Ci.192101,1,60-81Ci-LdrfcinqwigQ-Lirfcln_2S:dl:laC34L扣37*9gD*192.LU.O..19Z*fiqprMsicin匚l«rApply牝nOffrfnfftiQ*'lul・*ouuiBa193.1€fl.0.19i1Q1.4.MSI101-4,60-81ML顷.a.192L01.4.EO.ELL92.1CS.Q.192L92.LCB.Q.192L92.l时4皿101.4.60SI侦1.4,的电192,160,0,191BroadcuicgroadcasrLDt-lZD.1^5.241HTTPI€PHTTPppppppkt;t:xmKF|nfc砰 LSVNj5ec^u■irwtiL血Len-uMSS-141faunSTM5AtK_FERIAL时M-42556[STAi.MK]?eq-0蛀k・lLrin-14-MOLen-5M5E-1453E^CK-FEW54625MI-50[*CK]5eQ=l^c.k=l・1n=&fi铀0Len=O53&[tcp非sflemofare^si'esbltdpdj]我S0-52S5S[ack]Stiq-iAdk-2£2wiii-i5744L0r>-D54-E;POET/cloudquary.iiiipHTTP/l.1GOBfl-MlS&[*Ck]£aq-lAck-SFOwin-149WSLnn-£«422HTTP/1.12MOLCtwc/plain)gW-4255S[FIN.ACKJ UdkTFS*in-l砌知Leu-454&2554^80[*CK]兴牛g*4Ck-J70可『$1104L«n-454&E5Ml-50[FIN,.ACK]巽Q=6布a/TFQ・1n=6由04Lfih=Q60W-62558[*CK.]熨CpWO^Ck-S77W1H-16SML«n-0fid1^2.：1&9.O_1的axbB:a!iB>5!EB:dl:lafioifli.1M.o_iisacba：a.3:&s：>3：dl：la4-■1QD133QOQ以蛇6泗04.S6S117M04,soei57m5.00016^000S.2D£2S7K»D5.4Dd2PK'[]Li-Llrfcln_3H;dl:1aD-LirfcIn_lD;dl;laa-Llntin_33:dlla□-Llnkin_3a：dl41aG-Lirfcin_33:di.laD-Llrfcln_33!dl:12fl-Lirtcln.Z-Hidl:!；!Sroadzuc6roadealtsrMdcascoroacicaicbgckimSroadcuT：aroadcucARFERF昌驴ARPARPAftPARPL3Z.1O9.U-L15atbB:x!:E^i；:dl:ll1-92.ICQ.0.1is«tb9;a};S6;3：fl;<ri;14MIOtiasML1S0.A.1«F?Tell1^?,168.0.1b0：a3：B&：3fl：dl：l«bS.&Z：B>5:此dnM!&5!^BzdlzlatiMM:的：33:dl:la1^2,163,0,115Ml«2.1SS.0.i-is第LW.1ES.CLLik毗1-9Z.lt>9.0.1isaxn5.J34G&5KIQ ‘. -.L.-KF72M2484040550O19JM0SOO&195MOfi,20CrlWMfl■5.2321MthDflD-LirfelFi-fO;dl Brondcai-t□-Llnkin_2B!dl"laQ-Lln*;in-3a：cJllao-Llnkin_ia：dl41aQ-Lirfcin_35:di.iaBroadcascsrMdcascsroacicaicsraadcsisrARPARPABP64142.ICQ.0.1诂it的扣打融；她mdlmM境606060192.163011SM JS-fllUi1^2.165Q.th执ua：：ai:&&：3a：(ii：ia192,163,0,115M&S-ai：f^：i8-dl41a>*u>has417T«llIUZ.i£H.a.LTCP的包:『「mrre1B1：详h/TP；on『「mrre1B1：详h/TP；on■■!「£•玲ni"：S：：,详n/TQ；cmurufEF〔mEr=irm QInterfaceidlDC\DEvicr\NPF_{fl470；3CJA-E2CE^37c-EBE6-E4S6FAlD55FEi-)EncapsulaciantypesErh&rfteT(1)ArrivalThM:Apr21.201521：3SE44.11574^000IHJE][1313111]EE][Tihcshiftforthispacket:0.OODOOOODOirconda]EpochTi«e:14255235-24..135745000seconds[T"i■&daTcafromprc^i口liec^pturc-dfrarw:D.Q20D1200Dsaconds][TinedeKaTrcffipreviousdisplayedTrifte:O.QSOIMOOsecwids][Hieslncflreferenceorfirstfrara-15.42D*OSQ(X}seconds]IFranrNunber:1-81■=ratieLengths氾 (J32bits)EapcuTQLength:54byras(49-2bicsj[Fr鱼诚1srnarked^Fals-e][f「Mnnisignomd:False][proctKols1nTrane!erhitrherrype:Ipzccp][ColoringftuleMane:http][ColoringEuleString:http||tep.port—6Q|[http2]eEchernerzi(arc:匚gpalin_ec&c:0d(b8:&fl:el:-ecbcsOd),dsc:D~Linkm_38:ctl:1a(bS:a3:S6:>±Lila)hjibasciruticn:D-link:In_lE:dl:la(ba：a£:B^i:3；&：€11:13|}<1sourctjCompalm_ec:LcOd【瞄漕北el：;史匚；M=DcOType:IP<ChfOBW>-InternetProtacollVersian4.Src:192.160-0.192C192.L6B-0.192).Dit:111.M.111-194(94)versionsJHarderL&ngth:20bytaspiDirrertn<1iLed 诳aFltld:OxW)[dscpOwSCk ech：0x00^nql-ecitwcnEcn-capatileTransporQ>TatalLength;40Identification:Ox22-9c(BSfiO)siFlags:0x02(Don，rFr^gsem)Fragnentoffs-et:0Tlfieblive:BPrococal:TCP®Headerchecksum:OxiXiQO[valldarlcndlssEiled]Saurcfl：1?2,L6Bb0,1?2(152,l&B,0-152)D-^tinatim:111.JD-131.1^{HL-30.111-194)[sour<eceoiF：unknown][C4Etin^tionG.caIP:linknawi]i?iriHSilssloncontrolftqldcoI,srerwr：53L17(Mill7]edslFart:SO(-8Q]eseqi1S45,Ack:392,ten:0DQC1QIXI10DQ20W30DQC1QIXI10DQ20W30以太网帧:EthernetII和IEEE802.3的帧格式分别如下:EthernetII帧格式：EthernetII46-1500 4IEEE分配 厂家分配MACEthernetII46-1500 4IEEE分配 厂家分配MAC地址0000.0Cxx.xxxx前导码目的地址源地址类型数据校验码］IE