我已将 WinPcap 移植到 NDIS 6 过滤器驱动程序:https://github.com/nmap/npcap .但它仍然不支持捕获所有 802.11 native 数据包(如未捕获控制和管理帧)。

我注意到有一种方法可以使用WlanSetInterface 函数为无线适配器设置DOT11_OPERATION_MODE_NETWORK_MONITOR。但是这次调用成功了(返回值是OK的，这次调用后我的wifi网络断开了)。但问题是我无法使用 Wireshark 在 Wi-Fi 接口(interface)上看到任何数据包，甚至连假以太网形式的 802.11 数据也看不到。所以肯定有问题。

我知道从 NDIS 6 和 vista 开始，启用此功能是可能的(至少微软自己的 Network Monitor 3.4 支持此功能)。

所以我想知道如何为 NDIS 6 版本的 WinPcap 启用监控模式？谢谢。

我的代码如下所示:

// WlanTest.cpp : Defines the entry point for the console application.
//

#include "stdafx.h"

#include <conio.h>
#include <stdio.h>
#include <stdlib.h>
#include <windows.h>
#include <wlanapi.h>

#define WLAN_CLIENT_VERSION_VISTA 2

void SetInterface(WLAN_INTF_OPCODE opcode, PVOID* pData, GUID* InterfaceGuid)
{
    DWORD dwResult = 0;
    HANDLE hClient = NULL;
    DWORD dwCurVersion = 0;
    DWORD outsize = 0;

    // Open Handle for the set operation
    dwResult = WlanOpenHandle(WLAN_CLIENT_VERSION_VISTA, NULL, &dwCurVersion, &hClient);
    dwResult = WlanSetInterface(hClient, InterfaceGuid, opcode, sizeof(ULONG), pData, NULL);
    WlanCloseHandle(hClient, NULL);

}

// enumerate wireless interfaces
UINT EnumInterface(HANDLE hClient, WLAN_INTERFACE_INFO sInfo[64])
{
    DWORD dwError = ERROR_SUCCESS;
    PWLAN_INTERFACE_INFO_LIST pIntfList = NULL;
    UINT i = 0;

    __try
    {
        // enumerate wireless interfaces
        if ((dwError = WlanEnumInterfaces(
            hClient,
            NULL,               // reserved
            &pIntfList
            )) != ERROR_SUCCESS)
        {
            __leave;
        }

        // print out interface information
        for (i = 0; i < pIntfList->dwNumberOfItems; i++)
        {
            memcpy(&sInfo[i], &pIntfList->InterfaceInfo[i], sizeof(WLAN_INTERFACE_INFO));
        }

        return pIntfList->dwNumberOfItems;
    }
    __finally
    {
        // clean up
        if (pIntfList != NULL)
        {
            WlanFreeMemory(pIntfList);
        }
    }
    return 0;
}

// open a WLAN client handle and check version
DWORD
OpenHandleAndCheckVersion(
    PHANDLE phClient
    )
{
    DWORD dwError = ERROR_SUCCESS;
    DWORD dwServiceVersion;
    HANDLE hClient = NULL;

    __try
    {
        *phClient = NULL;

        // open a handle to the service
        if ((dwError = WlanOpenHandle(
            WLAN_API_VERSION,
            NULL,               // reserved
            &dwServiceVersion,
            &hClient
            )) != ERROR_SUCCESS)
        {
            __leave;
        }

        // check service version
        if (WLAN_API_VERSION_MAJOR(dwServiceVersion) < WLAN_API_VERSION_MAJOR(WLAN_API_VERSION_2_0))
        {
            // No-op, because the version check is for demonstration purpose only.
            // You can add your own logic here.
        }

        *phClient = hClient;

        // set hClient to NULL so it will not be closed
        hClient = NULL;
    }
    __finally
    {
        if (hClient != NULL)
        {
            // clean up
            WlanCloseHandle(
                hClient,
                NULL            // reserved
                );
        }
    }

    return dwError;
}

// get interface state string
LPWSTR
GetInterfaceStateString(__in WLAN_INTERFACE_STATE wlanInterfaceState)
{
    LPWSTR strRetCode;

    switch (wlanInterfaceState)
    {
    case wlan_interface_state_not_ready:
        strRetCode = L"\"not ready\"";
        break;
    case wlan_interface_state_connected:
        strRetCode = L"\"connected\"";
        break;
    case wlan_interface_state_ad_hoc_network_formed:
        strRetCode = L"\"ad hoc network formed\"";
        break;
    case wlan_interface_state_disconnecting:
        strRetCode = L"\"disconnecting\"";
        break;
    case wlan_interface_state_disconnected:
        strRetCode = L"\"disconnected\"";
        break;
    case wlan_interface_state_associating:
        strRetCode = L"\"associating\"";
        break;
    case wlan_interface_state_discovering:
        strRetCode = L"\"discovering\"";
        break;
    case wlan_interface_state_authenticating:
        strRetCode = L"\"authenticating\"";
        break;
    default:
        strRetCode = L"\"invalid interface state\"";
    }

    return strRetCode;
}

int main()
{
    HANDLE hClient = NULL;
    WLAN_INTERFACE_INFO sInfo[64];
    RPC_CSTR strGuid = NULL;

    TCHAR szBuffer[256];
    DWORD dwRead;
    if (OpenHandleAndCheckVersion(&hClient) != ERROR_SUCCESS)
        return -1;

    UINT nCount = EnumInterface(hClient, sInfo);
    for (UINT i = 0; i < nCount; ++i)
    {
        if (UuidToStringA(&sInfo[i].InterfaceGuid, &strGuid) == RPC_S_OK)
        {
            printf(("%d. %s\n\tDescription: %S\n\tState: %S\n"),
                i,
                strGuid,
                sInfo[i].strInterfaceDescription,
                GetInterfaceStateString(sInfo[i].isState));

            RpcStringFreeA(&strGuid);
        }
    }

    UINT nChoice = 0;
//  printf("for choice wireless card:");
// 
//  if (ReadConsole(GetStdHandle(STD_INPUT_HANDLE), szBuffer, _countof(szBuffer), &dwRead, NULL) == FALSE)
//  {
//      puts("error input");
//      return -1;
//  }
//  szBuffer[dwRead] = 0;
//  nChoice = _ttoi(szBuffer);
// 
//  if (nChoice > nCount)
//  {
//      puts("error input.");
//      return -1;
//  }

    //ULONG targetOperationMode = DOT11_OPERATION_MODE_EXTENSIBLE_STATION;
    ULONG targetOperationMode = DOT11_OPERATION_MODE_NETWORK_MONITOR;

    SetInterface(wlan_intf_opcode_current_operation_mode, (PVOID*)&targetOperationMode, &sInfo[nChoice].InterfaceGuid);

    return 0;
}

更新:

Guy 让我清楚了 WinPcap 的高级库端应该如何处理监控模式，本质上是设置/获取 OID 值。但是WinPcap驱动怎么办，需要换驱动吗？我认为 WlanSetInterface 调用实际上与使用 OID 请求设置 DOT11_OPERATION_MODE_NETWORK_MONITOR 做同样的事情？它不起作用的事实是否意味着 npf 驱动程序也需要某种更改？

最佳答案

(针对问题更新和后续评论更新了答案。)

使用master分支libpcap版本pcap-win32.c中的pcap_oid_set_request_win32()来进行OID设置/获取操作。如果在 pcap_activate_win32() 中设置了 p->opt.rfmon，请将 OID OID_DOT11_CURRENT_OPERATION_MODE 设置为 DOT11_CURRENT_OPERATION_MODE structure uCurrentOpMode 设置为 DOT11_OPERATION_MODE_NETWORK_MONITOR。

对于 pcap_can_set_rfmon_win32()，尝试获取设备的句柄(请注意，这是在激活调用之前完成的)，如果成功，则使用 pcap_oid_get_request_win32() 尝试获取该 OID 的值；如果成功，则可以设置，否则，要么不能设置，要么报错。

驱动程序已经支持通用的获取/设置 OID 操作 - 这就是 PacketRequest() 使用的，以及 pcap_oid_get_request_win32()/pcap_oid_set_request_win32() 是在 PacketRequest() 之上实现的，所以这就是它们所使用的。

作为I indicated在线程中的消息中 you started在 wireshark-dev 列表上，处理来自 NDIS 的接收指示的代码必须能够处理“原始数据包”接收指示，并且您可能还必须将它们添加到 NDIS 数据包过滤器。 ( And you'll have to hack dumpcap, if you're going to use Wireshark to test the changes ；您将无法更改 NPcap，以便人们可以将其放入，现有版本的 Wireshark 将支持监控模式。)

我也在那里指出了how to query a device to find out whether it supports monitor mode .

至于关闭监控模式，这需要驱动程序、packet.dll 和 libpcap 的工作。在驱动程序中:

• 在 NDIS 6 驱动程序中，对于每个接口(interface)，都有“监控模式实例”的计数和保存的操作模式，并且对于接口(interface)的每个打开的 NPF 实例，都有一个“监控模式”标志；
• 在 Windows 9x 和 NDIS 4/5 驱动程序中，添加一个“打开监控模式”BIOC 调用，该调用总是失败并返回 ERROR_NOT_SUPPORTED；
• 在 NDIS 6 驱动程序中，添加相同的 BIOC 调用，如果未设置实例的“监控模式”标志，则尝试将操作模式设置为监控模式，如果它成功，如果接口(interface)的监控模式计数为零，则保存旧的操作模式，增加接口(interface)的监控模式计数并设置实例的“监控模式”标志(它也可以将适当的值添加到数据包过滤器)；
• 让关闭打开的 NPF 实例的例程检查实例的“监控模式”标志，如果已设置，则减少“监控模式实例”计数，如果计数达到零，则恢复旧的操作模式。

在 packet.dll 中，添加一个 PacketSetMonitorMode() 例程，它是对相关 BIOC ioctl 的包装。

在 pcap-win32.c 中，如果请求监控模式，则调用 PacketSetMonitorMode()，而不是直接设置操作模式。

要在驱动程序中设置 OID，请参阅 NPF_IoControl() 中 BIOCQUERYOID 和 BIOCSETOID 的代码路径 - 新的 BIOC ioctl 将在 NPF_IoControl() 中处理。

(当然，还要进行适当的 MP 锁定。)

如果您可以枚举接口(interface)的所有 NPF 实例，则可能不需要监控模式计数 - 计数只是设置了监控模式标志的实例数。

在驱动程序中执行此操作意味着如果执行监控模式捕获的程序突然终止，因此没有用户模式代码进行任何清理，该模式仍然可以重置。

关于c - 如何在 NDIS 6 过滤器驱动程序中启用 802.11 监控模式 (DOT11_OPERATION_MODE_NETWORK_MONITOR)？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/34507789/