Welchen 802.11-Frame sollte ich verwenden, um zu ermitteln, ob eine bestimmte MAC-Adresse einem Access Point zugeordnet ist? Beacon-Frames wie diese könnten verwendet werden, um die Access Points zu identifizieren, aber wie identifiziert man Clients?
Ich versuche, etwas wie airodump-ng zu erreichen.
Antwort1
APs können keine Datenrahmen (einschließlich QoS-Daten und aller anderen Datenrahmenvarianten) an Clients senden, die nicht verbunden sind. Jeder FromDS-Datenrahmen an eine bestimmte Unicast-MAC-Adresse ist daher ein Zeichen dafür, dass dieser AP diesen Client als verbunden betrachtet.
Bitte beachten Sie, dass in typischen Netzwerken nicht alle verbundenen Clients wirklich „im Netzwerk“ sind und echten Datenverkehr senden/empfangen können. Das liegt daran, dass sich Clients vor der WPA2-Authentifizierung verbinden und die WPA2-Authentifizierung über Datenrahmen (insbesondere EAPOL-Key-Frames auf der Ethernet-Ebene) erfolgt. Clients können nichts anderes als EAPOL-Key-Frames senden/empfangen (wiederum handelt es sich dabei um Datenrahmen auf der 802.11-Ebene), bis der WPA2-Handshake erfolgreich abgeschlossen ist. Clients, deren Authentifizierung fehlschlägt, werden sofort getrennt (und die 802.11-Ebene wird deauthentifiziert).
Wenn Sie also wirklich nach Clients suchen, die vollwertige Mitglieder mit gutem Ruf im Netzwerk sind, möchten Sie möglicherweise EAPOL-Keyframes ausschließen.