> For the complete documentation index, see [llms.txt](https://b4zh.gitbook.io/b4zh/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://b4zh.gitbook.io/b4zh/redes-inalambricas/analisis-de-trafico-con-tshark.md). # Análisis de tráfico con Tshark 2E:12:9F:37:BF:F3 Tshark es una herramienta de CLI que nos permite analizar los protocolos de red obtenidos en un captura de tráfico. Pero antes hay que tener un fichero con tráfico capturado. ## CAPTURAR TRÁFICO CON AIRODUMP-NG Capturamos el tráfico de una red que sea de nuestro control y guardamos la información recolectada en un fichero de salida. ```bash airodump-ng wlan0mon --bssid FA:BA:DA:11:22:33 --channel 6 --write tráfico-Babau ```
El fichero que nos interesa es el que tiene la extensión .cap. ## TSHARK Leer archivo .cap con tshark: ```bash tshark -r tráfico-Babau-01.cap ``` ### Paquetes más cómunes Todos los siguientes comandos trabajan con la siguinte sintaxis: ```bash tshark -r [archivo.cap] -Y "wlan.fc.type_subtype==[#paquete]" # -Y filtro de visualización ``` * Association Request: paquete emitido por los dispositivos clientes sobre un AP al momento de la asociación previo a la autenticación. ```bash wlan.fc.type_subtype=0 ``` * Associaton Response: paquete emitido por el AP hacia los clientes al momento de aceptar una asociación previa a la autenticación ```bash wlan.fc.type_subtype==1 ``` * Probe Request: paquete emitido por un cliente para buscar un AP específico disponible para reconectarse, dicho AP ya es conocido por el cliente y anteriormente ya se ha generado un handshake. ```bash wlan.fc.type_subtype=4 ``` * Probe Response: paquete emitido por un AP en respuesta a un paquete Probe Request emitido previamente por un cliente, para indicarle que el AP está disponible y que se va a establecer un handshake de autenticación. Generalmente son los paquetes que más se recolectan en una captura de tráfico. ```bash wlan.fc.type_subtype==5 ``` * Paquetes Beacon: paquete emitido periódicamente por el AP indicando su presencia y que desde él hay una red disponible operando en un canal específico. ```bash wlan.fc.type_subtype==8 ``` ### Otros paquetes * Reassociation Request : paquete enviado por un cliente que ya se encuentra autenticado en un AP y quiere conectarse a un nuevo AP. ```bash wlan.fc.type_subtype==2 ``` * Reassociation Response: paquete enviado por el nuevo AP en respuesta al paquete Reassociation Request enviado previamente por un cliente, indicandole si la solicitud de reasociación fue aceptada o rechazada. ```bash wlan.fc.type_subtype==3 ``` * ATIM: los paquetes Announcement Traffic Indication Message son utillizados en redes AD-Hoc para anunciar que hay datos esperando para ser enviados durante el próximo intervalo de tiempo entre dispostivos de la red. ```bash wlan.fc.type_subtype==9 ``` * Desassociation: paquete emitido por un AP al cliente despues de la desautenticación de este, para generar la desasociación momentanea de estos. ```bash wlan.fc.type_subtype==10 ``` * Authentication: paquete emitido entre un AP y un cliente al momento de realizar la reautenticación. ```bash wlan.fc.type_subtype==11 ``` * Desauthentication: paquete emitido por un AP o un atacante para generar la desautenticación de uno o más clientes de un AP específico. ```bash wlan.fc.type_subtype==12 ``` * Action: paquete utilizado para realizar acciones de gestión de la red. ```bash wlan.fc.type_subtype==13 ``` * BAR - Block Acknowledgment Request: paquete emitido para solicitar la confirmación de recepción para un bloque de tramas específicas hacia un dispositivo: ```bash wlan.fc.type_subtype==32 ``` * BA - Block Acknowledgment: paquete que proporciona la confirmación de recepción para un bloque de tramas, en respuesta a un paquete BAR. ```bash wlan.fc.type_subtype==33 ``` * PS-Poll - Powe Save-Poll: paquete enviado por un cliente en modo ahorro de energía para solicitar datos almacenados en un AP, con el cual anteriormente se hubiese realizado una autenticación. ```bash wlan.fc.type_subtype==34 ``` * RTS - Request To Send: paquete enviado por un AP o un dispositivo con el fin de solicitar permiso para transmitir datos y evitar colisiones por envío de información en el canal. ```bash wlan.fc.type_subtype==27 ``` * CTS - Clear To Send: paquete enviado en respuesta a un paquete RTS a través del cual se indica que el canal está libre y que el remitente puede transmitir datos tranquilamente. ```bash wlan.fc.type_subtype==28 ``` * ACK - Acknowledgment: paquete enviado por un AP o un cliente para confirmar la recepción exitosa de un dato o información específica. ```bash wlan.fc.type_subtype==29 ``` * CF-End - Contention-Free End: paquete que indica el final de un periodo de transmisión libre por contención para uno o más dispositivos dentro de la red wifi. ```bash wlan.fc.type_subtype==38 ``` * CF-End + CF-ACK: paquete que indica el final de un periodo de transmisión libre por contención para uno o más dispositivos dentro de una red wifi y también reconoce la recepeción de datos mediante el envío de un paquete ACK. ```bash wlan.fc.type_subtype==39 ```