linux 下抓取无线网卡 802.11包

注意：无线网卡只有在监听模式下，才可以抓到无线帧。AP和Station模式虽然可以抓到数据包，但不是802.11的无线帧。

1、将无线网卡设置为 monitor 模式。

 具体有三种设置方法可参考 ： put your Wi-Fi Interface in Monitor Mode in Linux_Adrian503的博客-CSDN博客

2、抓包注意事项

单个网卡，可以直接设置成 monitor 模式，此时，网卡就只能工作在这个模式，监听空中所有的无线帧，都会接受。但是一般情况下，我们会正常使用网卡，作为station模式，又想抓取无线的包，此时可以给无线网卡创建一个虚拟子网，设成监听模式，再来抓包。

iw wlan0 interface add mon0 type monitor  // 添加一个别名mon0，monitor模式
ifconfig mon0 up // 启用mon0，默认不启用

如果要监听另外一个网卡的无线帧，一定要注意，要将网卡的channel 和要监听的网卡设置成一致,要不然抓不到你需要的包。

iw dev wlan0 set channel 6

 3、tcpdump 抓包

注意无线帧，没法用ip 端口等信息来过滤。

抓取发往 e0:ca:94:d5:f4:bf 地址的无线帧。

tcpdump -i wlan0 ether dst e0:ca:94:d5:f4:bf -w 1_monitor.pcap

抓取从 e0:ca:94:d5:f4:bf 发出的无线帧。 

tcpdump -i wlan0 ether src e0:ca:94:d5:f4:bf -w 1_monitor.pcap

 抓取 e0:ca:94:d5:f4:bf 收到或者发出的无线帧。 

tcpdump -i wlan0 ether host e0:ca:94:d5:f4:bf -w 1_monitor.pcap

 然后可以用wairshark 将抓取的包打开。

802.11 常见的数据帧有三种，管理帧，控制帧，数据帧。其中数据帧也分几种。具体介绍可以参考下文：

802.11常见的帧_ack帧_baidu_20152423的博客-CSDN博客

如果想在 wairshark 中过滤想要的帧，可以用下面的方法

 使用下面的过滤条件：

 在wairshark的底部，可以看到一共抓取了多少包，过滤后显示的包数量