Как обнаружить скрытые Wi-Fi-сети (hidden SSID) и поддельные точки доступа: Airodump-ng, Kismet, Wireshark

ЗАКОННО:

  ✓ Аудит собственной Wi-Fi-инфраструктуры

  ✓ Аудит клиентской инфраструктуры при наличии письменного договора

  ✓ Пассивный мониторинг в рамках CTF/лаборатории

  ✓ Обнаружение несанкционированных устройств в своей сети

  ✓ Академическое исследование в изолированной тестовой среде



НЕЗАКОННО:

  ✗ Перехват трафика чужих пользователей без их ведома

  ✗ Деаутентификация клиентов чужой сети

  ✗ Создание Evil Twin для перехвата учётных данных

  ✗ Любые активные атаки на инфраструктуру без разрешения

Для внутреннего аудита:

  ✓ Приказ о проведении аудита / распоряжение CISO

  ✓ Согласование с владельцем инфраструктуры



Для внешнего аудита:

  ✓ Договор с явным scope (диапазоны частот, локации, временны́е рамки)

  ✓ Письмо об авторизации

  ✓ NDA

  ✓ Координация с провайдером (если применимо)

Обычный beacon:

  BSSID: AA:BB:CC:DD:EE:FF

  SSID:  "CorpNetwork"       ← видно всем

  Канал: 6



Скрытый beacon:

  BSSID: AA:BB:CC:DD:EE:FF

  SSID:  "" (пусто)          ← SSID не транслируется

  Канал: 6

Обмен при подключении клиента к скрытой сети:

  

  Клиент → [Broadcast] Probe Request: SSID="CorpNetwork"

  AP     → [Клиент]    Probe Response: SSID="CorpNetwork"

  Клиент → [AP]        Authentication Request

  AP     → [Клиент]    Authentication Response

  Клиент → [AP]        Association Request: SSID="CorpNetwork"

  AP     → [Клиент]    Association Response

  

  На любом из этих шагов SSID виден в эфире.

PWR  Beacons  #Data  CH  MB   ENC CIPHER AUTH ESSID

AA:BB:CC:DD:EE:FF  -67  124      8      6   54   WPA2 CCMP  PSK  <length: 11>

Характеристики поддельной точки доступа:

  ✓ Тот же SSID, что и у легитимной AP

  ✓ Тот же (или похожий) BSSID (MAC)

  ✓ Часто — тот же канал

  ✓ Обычно — более высокий сигнал (более мощный передатчик)

  ✓ Может использовать тот же тип шифрования (или Open)

  

Признаки в эфире:

  → Два BSSID с одинаковым SSID (нормально для mesh-сетей,

    аномально для обычной инфраструктуры)

  → Новый BSSID с известным SSID появляется внезапно

  → BSSID отличается от ожидаемого (другой производитель по OUI)

  → Аномально высокий сигнал относительно расстояния

Обязательно:

  ✓ Monitor mode (режим монитора)

  ✓ Packet injection (инъекция пакетов — для активных тестов)



Рекомендуемые чипсеты (2026):

  Atheros AR9271       — Alfa AWUS036NHA, TP-Link TL-WN722N v1

  Ralink RT3070        — Alfa AWUS036H

  Realtek RTL8812AU    — Alfa AWUS036ACH (802.11ac, двухдиапазонный)

  MediaTek MT7612U     — широкая поддержка в Kali Linux

  

Рекомендуемые модели:

  Alfa AWUS036ACH     — наиболее универсальный для аудита

  Alfa AWUS036ACS     — компактный, AC600

  Hak5 WiFi Pineapple — специализированный аудит-девайс

<h2 id="proverit-dostupnye-besprovodnye-interfeysy">Проверить доступные беспроводные интерфейсы:</h2>

iwconfig

<h2 id="ili">или:</h2>

iw dev



<h2 id="variant-1-cherez-airmon-ng-rekomenduetsya-ubivaet-konfliktuyuschie-protsessy">Вариант 1: через airmon-ng (рекомендуется — убивает конфликтующие процессы):</h2>

sudo airmon-ng check kill   # завершить процессы, мешающие мониторингу

sudo airmon-ng start wlan0  # запустить монитор-режим

<h2 id="interfeys-pereimenuetsya-v-wlan0mon">Интерфейс переименуется в wlan0mon</h2>




<h2 id="variant-2-cherez-iw-vruchnuyu">Вариант 2: через iw (вручную):</h2>

sudo ip link set wlan0 down

sudo iw wlan0 set monitor none

sudo ip link set wlan0 up



<h2 id="proverit-chto-monitor-rezhim-aktiven">Проверить, что монитор-режим активен:</h2>

iwconfig wlan0mon

<h2 id="dolzhno-otobrazitsya-mode-monitor">Должно отобразиться: Mode:Monitor</h2>




<h2 id="zafiksirovat-kanal-primer-kanal-6">Зафиксировать канал (пример, канал 6):</h2>

sudo iwconfig wlan0mon channel 6

<h2 id="ili-cherez-iw">или через iw:</h2>

sudo iw wlan0mon set channel 6

<h2 id="prosmatrivat-tolko-2-4-ggts-kanaly-1-13">Просматривать только 2.4 ГГц (каналы 1–13):</h2>

sudo airodump-ng --band bg wlan0mon



<h2 id="prosmatrivat-tolko-5-ggts">Просматривать только 5 ГГц:</h2>

sudo airodump-ng --band a wlan0mon



<h2 id="zafiksirovat-kanal">Зафиксировать канал:</h2>

sudo airodump-ng -c 6 wlan0mon



<h2 id="skanirovat-neskolko-kanalov">Сканировать несколько каналов:</h2>

sudo airodump-ng -c 1,6,11 wlan0mon

<h2 id="ustanovka-kali-linux-parrot-os-predustanovleno">Установка (Kali Linux / Parrot OS — предустановлено):</h2>

sudo apt install aircrack-ng



<h2 id="bazovoe-skanirovanie-vseh-kanalov">Базовое сканирование всех каналов:</h2>

sudo airodump-ng wlan0mon



<h2 id="s-sohraneniem-v-fayl-dlya-posleduyuschego-analiza">С сохранением в файл (для последующего анализа):</h2>

sudo airodump-ng -w /tmp/capture/wifi_audit wlan0mon

<h2 id="sozdayot-wifi-audit-cap-wifi-audit-csv-wifi-audit-kismet-csv">Создаёт: wifi_audit.cap, wifi_audit.csv, wifi_audit.kismet.csv</h2>

PWR  Beacons  #Data  #/s  CH  MB   ENC CIPHER AUTH ESSID

────────────────────────────────────────────────────────────────────────────────────────

AA:BB:CC:DD:EE:FF  -45  342      21     2    6   54e  WPA2 CCMP  PSK  CorpNet_Main

BB:CC:DD:EE:FF:00  -67  124      8      0    6   54   WPA2 CCMP  PSK  <length: 11>  ← скрытый

CC:DD:EE:FF:00:11  -78  89       0      0    11  130  OPN              FreeWifi

DD:EE:FF:00:11:22  -71  201      15     3    6   54e  WPA2 CCMP  PSK  CorpNet_Main  ← подозрительно!



 BSSID              STATION            PWR   Rate    Lost    Frames  Notes  Probes

────────────────────────────────────────────────────────────────────────────────────────

AA:BB:CC:DD:EE:FF  11:22:33:44:55:66  -56   54 -54  0       122

BB:CC:DD:EE:FF:00  22:33:44:55:66:77  -61   54 -54  0       43             hidden_ssid_name ← клиент раскрыл!

— мощность сигнала (чем ближе к 0, тем сильнее)

Beacons — количество beacon-фреймов

#Data   — количество пакетов данных

ENC     — тип шифрования (OPN = открытая, WPA2, WPA3)

ESSID   — имя сети (пустое или <length: N> = скрытый SSID)

Probes  — SSID, который ищет клиент (раскрывает скрытые сети!)

<h2 id="sfokusirovatsya-na-konkretnoy-tochke-po-bssid-i-kanalu">Сфокусироваться на конкретной точке (по BSSID и каналу):</h2>

sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF \

  -w /tmp/capture/target_ap wlan0mon



<h2 id="optsii-vyvoda">Опции вывода:</h2>

sudo airodump-ng --manufacturer \  # показывать производителя по OUI

                 --uptime \        # аптайм AP из beacon timestamp

                 --wps \           # WPS-информация

                 wlan0mon

<h2 id="fiksatsiya-na-skrytoy-ap-zhdyom-podklyucheniya-klienta">Фиксация на скрытой AP — ждём подключения клиента:</h2>

sudo airodump-ng -c 6 --bssid BB:CC:DD:EE:FF:00 wlan0mon



<h2 id="kogda-klient-podklyuchitsya-ssid-avtomaticheski-otobrazitsya">Когда клиент подключится — SSID автоматически отобразится</h2>

<h2 id="v-pole-essid-i-v-stroke-probes-nizhney-chasti-ekrana">в поле ESSID и в строке PROBES нижней части экрана</h2>

<h2 id="na-vashey-sobstvennoy-skrytoy-ap">На ВАШЕЙ собственной скрытой AP:</h2>

<h2 id="1-zafiksirovat-bssid-tochki-i-mac-adres-odnogo-iz-vashih-ustroystv">1. Зафиксировать BSSID точки и MAC-адрес одного из ваших устройств</h2>

<h2 id="2-otpravit-deautentifikatsionnyy-paket-vashemu-ustroystvu">2. Отправить деаутентификационный пакет (вашему устройству):</h2>

sudo aireplay-ng -0 5 \

  -a BB:CC:DD:EE:FF:00 \   # BSSID вашей AP

  -c 22:33:44:55:66:77 \   # MAC вашего тестового устройства

  wlan0mon



<h2 id="3-pri-perepodklyuchenii-ustroystva-ssid-poyavitsya-v-airodump-ng">3. При переподключении устройства SSID появится в airodump-ng</h2>

<h2 id="tsel-testa-ubeditsya-chto-skrytyy-ssid-raskryvaetsya-pri-perepodklyuchenii">Цель теста: убедиться, что скрытый SSID раскрывается при переподключении</h2>

vs. Airodump-ng:

  Kismet:

    ✓ Пассивный, нет активных пакетов

    ✓ Долгосрочный мониторинг с базой данных

    ✓ Встроенные IDS-алерты (Evil Twin, Rogue AP, deauth flood)

    ✓ Корреляция BSSID-SSID из probe-запросов автоматически

    ✓ Веб-интерфейс, REST API

    ✓ GPS-интеграция (wardriving)

    ✓ Сохраняет в PCAP для последующего Wireshark-анализа

  

  Airodump-ng:

    ✓ Быстрый, лёгкий

    ✓ Целевой захват на конкретный BSSID

    ✓ Прямая совместимость с aircrack-ng утилитами

    ✗ Нет встроенного IDS

    ✗ Нет долгосрочного хранения с базой данных

<h2 id="ustanovka-na-kali-linux-debian-ubuntu">Установка на Kali Linux / Debian / Ubuntu:</h2>

sudo apt install kismet



<h2 id="ili-iz-ofitsialnogo-repozitoriya-bolee-novaya-versiya">Или из официального репозитория (более новая версия):</h2>

wget -O - https://www.kismetwireless.net/repos/kismet-release.gpg.key | \

  sudo apt-key add -

echo 'deb https://www.kismetwireless.net/repos/apt/release/kali kali main' | \

  sudo tee /etc/apt/sources.list.d/kismet.list

sudo apt update && sudo apt install kismet



<h2 id="zapusk-s-interfeysom-v-monitor-rezhime">Запуск с интерфейсом в монитор-режиме:</h2>

sudo kismet -c wlan0mon



<h2 id="s-sohraneniem-logov-v-konkretnuyu-direktoriyu">С сохранением логов в конкретную директорию:</h2>

sudo kismet -c wlan0mon --log-prefix /tmp/kismet_audit/



<h2 id="zapusk-demonom-background">Запуск демоном (background):</h2>

sudo kismet -c wlan0mon --daemonize



<h2 id="veb-interfeys-dostupen-po-adresu">Веб-интерфейс доступен по адресу:</h2>

<h2 id="http-localhost-2501-po-umolchaniyu">http://localhost:2501 (по умолчанию)</h2>

<h2 id="etc-kismet-kismet-conf-osnovnye-nastroyki">/etc/kismet/kismet.conf — основные настройки:</h2>




<h2 id="istochnik-zahvata">Источник захвата:</h2>

source=wlan0mon



<h2 id="logirovanie">Логирование:</h2>

log_prefix=/var/log/kismet/audit

log_types=kismet,pcapng,json



<h2 id="opovescheniya-alerting">Оповещения (alerting):</h2>

alertemail=security@company.local

alert=APSPOOF,5/min,10/min    # Обнаружение поддельных AP

alert=DISASSOCFLOOD,10/sec    # Flood деаутентификации

alert=BCASTDISCON,5/min       # Broadcast deauth



<h2 id="gps-esli-est-priyomnik">GPS (если есть приёмник):</h2>

gps=gpsd:host=localhost,port=2947

Основные разделы веб-интерфейса:



Dashboard    → Общий обзор: точки доступа, клиенты, алерты

Networks     → Список всех обнаруженных сетей с деталями

Clients      → Устройства и их связи с AP

Alerts       → Оповещения IDS (⚠️ Evil Twin, Deauth Flood и т.д.)

SSID         → Все SSID, включая обнаруженные из probe-запросов



Полезные фильтры в Networks:

  ☑ Show hidden/cloaked networks  → скрытые сети

  ☑ Filter by SSID               → поиск по имени

  ☑ Show WPS enabled             → сети с WPS (уязвимость)

  ☑ Sort by signal               → по силе сигнала

Алерт APSPOOF:

  Условие: BSSID с известным SSID, но с другим MAC-адресом

  Значение: возможный Evil Twin / поддельная AP



Алерт DISASSOCFLOOD / DEAUTHFLOOD:

  Условие: поток deauth/disassoc фреймов

  Значение: активная атака деаутентификации на клиентов



Алерт BCASTDISCON:

  Условие: broadcast deauthentication

  Значение: атака направлена на всех клиентов сети



Алерт SSIDMATCH:

  Условие: два разных BSSID с одинаковым SSID в одном месте

  Значение: возможный Evil Twin или корпоративная mesh-сеть

<h2 id="zahvat-napryamuyu-cherez-wireshark-gui">Захват напрямую через Wireshark (GUI):</h2>

<h2 id="zapustit-wireshark-vybrat-interfeys-wlan0mon-start-capture">Запустить Wireshark → выбрать интерфейс wlan0mon → Start Capture</h2>




<h2 id="zahvat-cherez-tshark-cli-versiya-wireshark">Захват через tshark (CLI-версия Wireshark):</h2>

sudo tshark -i wlan0mon -w /tmp/wifi_capture.pcap



<h2 id="chtenie-ranee-zahvachennogo-fayla-iz-airodump-ng">Чтение ранее захваченного файла из airodump-ng:</h2>

wireshark /tmp/capture/wifi_audit.cap

── Фильтры управляющих фреймов ───────────────────────────────────────



<h2 id="vse-upravlyayuschie-freymy-beacon-probe-auth-assoc">Все управляющие фреймы (beacon, probe, auth, assoc):</h2>

wlan.fc.type == 0



<h2 id="beacon-freymy-translyatsiya-ap">Beacon-фреймы (трансляция AP):</h2>

wlan.fc.type_subtype == 8



<h2 id="probe-request-klient-ischet-set-soderzhit-ssid">Probe Request (клиент ищет сеть — содержит SSID!):</h2>

wlan.fc.type_subtype == 4



<h2 id="probe-response-ap-otvechaet-klientu-soderzhit-ssid">Probe Response (AP отвечает клиенту — содержит SSID!):</h2>

wlan.fc.type_subtype == 5



<h2 id="association-request-klient-assotsiiruetsya-yavnyy-ssid">Association Request (клиент ассоциируется — явный SSID):</h2>

wlan.fc.type_subtype == 0



<h2 id="association-response">Association Response:</h2>

wlan.fc.type_subtype == 1



── Фильтры для конкретной AP ──────────────────────────────────────────



<h2 id="vse-freymy-ot-k-konkretnomu-bssid">Все фреймы от/к конкретному BSSID:</h2>

wlan.bssid == aa:bb:cc:dd:ee:ff



<h2 id="upravlyayuschie-freymy-konkretnoy-skrytoy-ap">Управляющие фреймы конкретной скрытой AP:</h2>

wlan.bssid == aa:bb:cc:dd:ee:ff && wlan.fc.type == 0



<h2 id="probe-request-s-ssid-konkretnoy-seti">Probe Request с SSID конкретной сети:</h2>

wlan.ssid == "CorpNetwork"



── Фильтры для обнаружения угроз ─────────────────────────────────────



<h2 id="deauthentication-freymy-priznak-ataki">Deauthentication фреймы (признак атаки):</h2>

wlan.fc.type_subtype == 12



<h2 id="disassociation-freymy">Disassociation фреймы:</h2>

wlan.fc.type_subtype == 10



<h2 id="otkrytye-seti-net-shifrovaniya-potentsialnye-evil-twin">Открытые сети (нет шифрования) — потенциальные Evil Twin:</h2>

wlan.fc.protected == 0 && wlan.fc.type_subtype == 8



<h2 id="freymy-s-pustym-ssid-skrytye-ap">Фреймы с пустым SSID (скрытые AP):</h2>

wlan.ssid == ""

Шаг 1: Открыть .cap файл из airodump-ng или .pcap от tshark

Шаг 2: Применить фильтр: wlan.fc.type_subtype == 4

        (показывает probe request — клиенты ищут свои сети)

Шаг 3: В колонке Info будет видно: "Probe Request, SN=..., FN=..., Flags=..., SSID=HiddenSSID"

Шаг 4: Записать SSID и BSSID для корреляции

Шаг 5: Применить фильтр: wlan.fc.type_subtype == 5

        (probe response — AP отвечает с именем сети)

Шаг 6: Сопоставить BSSID из beacon (пустой SSID) с BSSID из probe response (SSID раскрыт)

<h2 id="izvlech-vse-ssid-iz-zahvachennogo-trafika">Извлечь все SSID из захваченного трафика:</h2>

tshark -r capture.pcap \

  -Y "wlan.fc.type_subtype == 4 || wlan.fc.type_subtype == 5" \

  -T fields \

  -e wlan.sa \

  -e wlan.ssid \

  -e wlan.fc.type_subtype \

  -e frame.time \

  | sort -u



<h2 id="nayti-vse-deauth-freymy-priznak-ataki">Найти все deauth-фреймы (признак атаки):</h2>

tshark -r capture.pcap \

  -Y "wlan.fc.type_subtype == 12" \

  -T fields \

  -e frame.time -e wlan.sa -e wlan.da -e wlan_mgt.reason_code



<h2 id="perechislit-vse-unikalnye-ap-s-ssid-i-bssid">Перечислить все уникальные AP с SSID и BSSID:</h2>

tshark -r capture.pcap \

  -Y "wlan.fc.type_subtype == 8" \

  -T fields \

  -e wlan.bssid -e wlan.ssid -e wlan.channel \

  | sort -u

Шаг 1: Запустить Airodump-ng или Kismet в режиме сканирования всех каналов

Шаг 2: В секции STATION нижней части экрана airodump-ng наблюдать 

        столбец Probes

Шаг 3: Когда клиент ищет скрытую сеть:

        → в Probes появится имя сети

        → сопоставить с BSSID из верхней секции



Шаг 4: Если BSSID с пустым SSID + probe request с конкретным SSID 

        от клиента, подключённого к этому BSSID → SSID раскрыт



Шаг 5: В Wireshark подтвердить через фильтр:

        wlan.bssid == XX:XX:XX:XX:XX:XX && wlan.ssid != ""

Наблюдение в airodump-ng:



Верхняя секция (AP):

  BB:CC:DD:EE:FF:00  -67  124  6  WPA2  <length: 11>  ← скрытая AP, 11 символов



Нижняя секция (Clients):

  BB:CC:DD:EE:FF:00  22:33:44:55:66:77  -61  43  HiddenCorpNet  ← клиент раскрыл!



Вывод:

  AP с BSSID BB:CC:DD:EE:FF:00 → SSID = "HiddenCorpNet"

  Длина: 13 символов (совпадает с 11? → нет, проверить кодировку)

Признак 1: Дублирующийся SSID с другим BSSID

  Норма: в mesh-сети несколько AP с одним SSID — нормально,

         но все они должны быть от одного производителя (OUI)

  Аномалия: «новый» BSSID с тем же SSID + другой OUI (производитель)

  

Пример:

  AA:BB:CC:DD:EE:FF  CorpNet  OUI: Cisco Systems   ← легитимная

  11:22:33:44:55:66  CorpNet  OUI: TP-Link Tech    ← подозрительная!



Признак 2: Аномально высокий сигнал

  Легитимная AP: -65 dBm (нормально для офиса)

  «Новая» AP с тем же SSID: -30 dBm (слишком близко / слишком мощная)

  → Высокий сигнал привлекает клиентов, которые подключатся к ней



Признак 3: Изменение типа шифрования

  Легитимная AP: WPA3 Enterprise

  Поддельная AP: WPA2 Personal (или Open)

  → Деградация к более слабому шифрованию — признак атаки



Признак 4: Новый BSSID появляется внезапно

  AP появилась только сегодня

  Нет в историческом списке авторизованных BSSID

  → Занести в базу данных авторизованных AP и сравнивать

<h2 id="authorized-aps-csv">authorized_aps.csv</h2>

BSSID,SSID,Channel,Encryption,Location,Added_Date

AA:BB:CC:DD:EE:FF,CorpNet_Main,6,WPA2-CCMP,Office Floor 1,2025-01-15

AA:BB:CC:DD:EE:00,CorpNet_Main,11,WPA2-CCMP,Office Floor 2,2025-01-15

AA:BB:CC:DD:EF:FF,CorpNet_Guest,6,WPA2-CCMP,Lobby,2025-01-15

<h2 id="prosmotr-alertov-v-realnom-vremeni-cherez-api-kismet">Просмотр алертов в реальном времени через API Kismet:</h2>

curl http://localhost:2501/alerts/all_alerts.json 2>/dev/null | \

  python3 -m json.tool | \

  grep -A5 "APSPOOF\|SSIDMATCH\|DISASSOCFLOOD"



<h2 id="ili-cherez-kismet-client">Или через kismet_client:</h2>

kismet_client --server http://localhost:2501/



<h2 id="eksport-alertov-v-fayl">Экспорт алертов в файл:</h2>

curl http://localhost:2501/alerts/all_alerts.json > kismet_alerts.json

<h2 id="obnaruzhit-deauth-flood-priznak-aktivnoy-ataki">Обнаружить deauth-flood (признак активной атаки):</h2>

wlan.fc.type_subtype == 12



<h2 id="esli-vidite-mnogo-deauth-freymov-ot-odnogo-istochnika-za-korotkoe-vremya">Если видите много deauth-фреймов от одного источника за короткое время —</h2>

<h2 id="eto-priznak-ataki-deautentifikatsii">это признак атаки деаутентификации.</h2>

<h2 id="proverit">Проверить:</h2>

<h2 id="istochnik-wlan-sa-eto-avtorizovannaya-ap">- Источник (wlan.sa) — это авторизованная AP?</h2>

<h2 id="prichina-wlan-mgt-reason-code-kod-1-9-tipichny-dlya-legitimnyh-otklyucheniy">- Причина (wlan_mgt.reason_code) — код 1-9 типичны для легитимных отключений</h2>

<h2 id="kod-3-deauthenticated-because-sending-sta-is-leaving-mozhet-byt-legitimnym">Код 3 (Deauthenticated because sending STA is leaving) — может быть легитимным</h2>

<h2 id="ochen-mnogo-odinakovyh-deauth-za-sekundy-pochti-vsegda-ataka">Очень много одинаковых deauth за секунды — почти всегда атака</h2>




<h2 id="broadcast-deauth-vse-klienty-srazu">Broadcast deauth (все клиенты сразу):</h2>

wlan.fc.type_subtype == 12 && wlan.da == ff:ff:ff:ff:ff:ff

<h2 id="ustanovka">Установка:</h2>

pip install scapy

<h2 id="ili-v-kali-linux">или в Kali Linux:</h2>

sudo apt install python3-scapy

#!/usr/bin/env python3

"""

wifi_monitor.py — пассивный монитор Wi-Fi для выявления аномалий.



Обнаруживает:

  - Скрытые сети (beacon с пустым SSID)

  - Раскрытие скрытых SSID через probe-запросы

  - Подозрительные дубликаты SSID (Evil Twin)

  - Deauthentication-фреймы



Использование:

  sudo python3 wifi_monitor.py -i wlan0mon

  sudo python3 wifi_monitor.py -i wlan0mon --authorized authorized_aps.csv



ВАЖНО: Запускать только с интерфейсом в монитор-режиме.

       Только для авторизованного аудита собственной инфраструктуры.

"""



import argparse

import csv

import sys

from collections import defaultdict

from datetime import datetime

from typing import Optional



try:

    from scapy.all import (

        Dot11, Dot11Beacon, Dot11Elt, Dot11ProbeReq,

        Dot11ProbeResp, Dot11Auth, Dot11Deauth,

        RadioTap, sniff

    )

except ImportError:

    print("Установите scapy: pip install scapy")

    sys.exit(1)





<h2 id="globalnoe-sostoyanie-monitoringa">─── Глобальное состояние мониторинга ─────────────────────────────────────</h2>




<h2 id="obnaruzhennye-ap-bssid-ssid-channel-encryption-first-seen-last-seen">Обнаруженные AP: bssid → {ssid, channel, encryption, first_seen, last_seen}</h2>

known_aps: dict = {}



<h2 id="ssid-spisok-bssid-dlya-obnaruzheniya-evil-twin">SSID → список BSSID (для обнаружения Evil Twin)</h2>

ssid_to_bssids: dict = defaultdict(set)



<h2 id="skrytye-ap-bssid-dlina-ssid-pustoy-ssid-no-bssid-izvesten">Скрытые AP: bssid → длина SSID (пустой SSID, но BSSID известен)</h2>

hidden_aps: dict = {}



<h2 id="avtorizovannye-ap-iz-fayla-esli-peredan">Авторизованные AP (из файла, если передан)</h2>

authorized_aps: dict = {}



<h2 id="schyotchik-deauth-po-istochniku">Счётчик deauth по источнику</h2>

deauth_counter: dict = defaultdict(int)



<h2 id="vremya-poslednego-alerta-anti-spam">Время последнего алерта (anti-spam)</h2>

last_alert: dict = {}

ALERT_INTERVAL = 30   # секунд между повторными алертами одного типа





def load_authorized_aps(filepath: str) -> dict:

    """Загрузить базу авторизованных AP из CSV."""

    aps = {}

    try:

        with open(filepath) as f:

            reader = csv.DictReader(f)

            for row in reader:

                bssid = row.get("BSSID", "").upper()

                if bssid:

                    aps[bssid] = row

        print(f"[+] Загружено {len(aps)} авторизованных AP из {filepath}")

    except FileNotFoundError:

        print(f"[!] Файл {filepath} не найден — работаем без белого списка")

    return aps





def get_channel(pkt) -> Optional[int]:

    """Извлечь канал из RadioTap-заголовка."""

    if pkt.haslayer(RadioTap):

        try:

            return int(pkt[RadioTap].Channel / 5) - 1000

        except Exception:

            pass

    return None





def get_encryption(pkt) -> str:

    """Определить тип шифрования из beacon-фрейма."""

    cap = pkt[Dot11Beacon].cap if pkt.haslayer(Dot11Beacon) else None

    if not cap:

        return "OPN"

    # Упрощённая проверка capability bits

    privacy = bool(cap & 0x0010)

    return "WPA/WPA2" if privacy else "OPN"





def alert(alert_type: str, message: str):

    """Вывести алерт с защитой от спама."""

    now = datetime.now()

    key = f"{alert_type}:{message[:40]}"

    if key in last_alert:

        diff = (now - last_alert[key]).total_seconds()

        if diff < ALERT_INTERVAL:

            return

    last_alert[key] = now

    ts = now.strftime("%H:%M:%S")

    print(f"\n{'⚠️ '*3} АЛЕРТ [{ts}] — {alert_type}")

    print(f"    {message}")





def handle_beacon(pkt):

    """Обработать beacon-фрейм от точки доступа."""

    bssid = pkt[Dot11].addr2

    if not bssid:

        return



    ssid_elt = pkt.getlayer(Dot11Elt)

    ssid = ""

    if ssid_elt and ssid_elt.ID == 0:

        ssid = ssid_elt.info.decode("utf-8", errors="replace").strip("\x00")



    channel   = get_channel(pkt)

    enc       = get_encryption(pkt)

    ts        = datetime.now()

    bssid_up  = bssid.upper()



    if bssid_up not in known_aps:

        known_aps[bssid_up] = {

            "ssid":       ssid,

            "channel":    channel,

            "encryption": enc,

            "first_seen": ts,

            "last_seen":  ts,

        }

        status = ""



        # Скрытая сеть?

        if not ssid:

            hidden_aps[bssid_up] = True

            status = "HIDDEN"

            print(f"[~] Скрытая AP: BSSID={bssid_up}  CH={channel}  ENC={enc}")

        else:

            print(f"[+] Новая AP:    BSSID={bssid_up}  SSID={ssid!r}  "

                  f"CH={channel}  ENC={enc}")



        # Проверить против белого списка

        if authorized_aps and bssid_up not in authorized_aps:

            alert("ROGUE_AP",

                  f"BSSID {bssid_up} (SSID={ssid!r}) не найден в белом списке!")



        # Evil Twin: тот же SSID, другой BSSID

        if ssid:

            ssid_to_bssids[ssid].add(bssid_up)

            if len(ssid_to_bssids[ssid]) > 1:

                bssid_list = ", ".join(ssid_to_bssids[ssid])

                alert("EVIL_TWIN",

                      f"SSID {ssid!r} транслируется несколькими AP: {bssid_list}")

    else:

        known_aps[bssid_up]["last_seen"] = ts



        # Изменился SSID? (AP перестала скрываться)

        if ssid and known_aps[bssid_up]["ssid"] == "":

            known_aps[bssid_up]["ssid"] = ssid

            hidden_aps.pop(bssid_up, None)

            print(f"[!] Скрытый SSID раскрыт из beacon: "

                  f"BSSID={bssid_up}  SSID={ssid!r}")





def handle_probe_request(pkt):

    """Обработать probe request от клиента."""

    ssid_elt = pkt.getlayer(Dot11Elt)

    if not ssid_elt or ssid_elt.ID != 0:

        return

    ssid = ssid_elt.info.decode("utf-8", errors="replace").strip("\x00")

    if not ssid:

        return   # broadcast probe (клиент ищет любую сеть)



    src = pkt[Dot11].addr2

    ts  = datetime.now().strftime("%H:%M:%S")



    # Клиент ищет скрытую сеть?

    for bssid_up, info in known_aps.items():

        if info["ssid"] == "" and ssid:

            # Клиент подключён к этой AP (адрес из нижней части airodump)

            # Здесь упрощённо — просто логируем probe с SSID

            pass



    print(f"[>] Probe Request: SRC={src}  SSID={ssid!r}  [{ts}]")



    # Проверить: если этот SSID соответствует скрытой AP в нашей базе

    for bssid_up, _ in hidden_aps.items():

        if bssid_up in known_aps:

            print(f"    → Возможно раскрывает скрытую AP: {bssid_up}")





def handle_probe_response(pkt):

    """Обработать probe response от AP."""

    bssid   = pkt[Dot11].addr2

    ssid_elt = pkt.getlayer(Dot11Elt)

    if not ssid_elt or ssid_elt.ID != 0:

        return

    ssid = ssid_elt.info.decode("utf-8", errors="replace").strip("\x00")

    if not ssid or not bssid:

        return



    bssid_up = bssid.upper()

    if bssid_up in hidden_aps:

        known_aps.setdefault(bssid_up, {})["ssid"] = ssid

        hidden_aps.pop(bssid_up)

        ts = datetime.now().strftime("%H:%M:%S")

        print(f"\n[!!!] СКРЫТЫЙ SSID РАСКРЫТ из probe response [{ts}]:")

        print(f"      BSSID: {bssid_up}")

        print(f"      SSID:  {ssid!r}")





def handle_deauth(pkt):

    """Обработать deauthentication-фрейм."""

    src = pkt[Dot11].addr2

    dst = pkt[Dot11].addr1

    ts  = datetime.now().strftime("%H:%M:%S")



    if src:

        deauth_counter[src] += 1

        count = deauth_counter[src]



        if count == 5:

            alert("DEAUTH_DETECTED",

                  f"Deauth-фреймы от {src} → {dst} (5+ за сеанс) [{ts}]")

        elif count == 20:

            alert("DEAUTH_FLOOD",

                  f"Возможная deauth-атака от {src}: {count}+ фреймов [{ts}]")





def packet_handler(pkt):

    """Общий обработчик пакетов."""

    if not pkt.haslayer(Dot11):

        return



    subtype = pkt[Dot11].subtype

    ptype   = pkt[Dot11].type



    if ptype == 0:   # управляющие фреймы

        if subtype == 8:    handle_beacon(pkt)

        elif subtype == 4:  handle_probe_request(pkt)

        elif subtype == 5:  handle_probe_response(pkt)

        elif subtype == 12: handle_deauth(pkt)





def print_summary():

    """Вывести итоговую сводку."""

    print("\n" + "═" * 60)

    print(f"  СВОДКА МОНИТОРИНГА")

    print("═" * 60)

    print(f"  Обнаружено AP: {len(known_aps)}")

    print(f"  Скрытых AP (нераскрытых): {len(hidden_aps)}")

    print(f"  Уникальных SSID: {len(ssid_to_bssids)}")



    if hidden_aps:

        print("\n  Нераскрытые скрытые AP:")

        for bssid in hidden_aps:

            print(f"    {bssid}")



    suspicious = {s: b for s, b in ssid_to_bssids.items() if len(b) > 1}

    if suspicious:

        print("\n  Подозрительные SSID (несколько BSSID):")

        for ssid, bssids in suspicious.items():

            print(f"    {ssid!r}: {', '.join(bssids)}")



    if any(c >= 5 for c in deauth_counter.values()):

        print("\n  Источники deauth-фреймов:")

        for src, cnt in sorted(deauth_counter.items(),

                               key=lambda x: -x[1]):

            if cnt >= 5:

                print(f"    {src}: {cnt} фреймов")





def main():

    parser = argparse.ArgumentParser(

        description="Пассивный Wi-Fi монитор для аудита беспроводной сети")

    parser.add_argument("-i", "--interface", required=True,

                        help="Беспроводной интерфейс в монитор-режиме (напр. wlan0mon)")

    parser.add_argument("--authorized", metavar="FILE",

                        help="CSV с авторизованными AP (BSSID,SSID,...)")

    parser.add_argument("--duration", type=int, default=300,

                        help="Длительность мониторинга в секундах (по умолчанию 300)")

    parser.add_argument("--output", metavar="FILE",

                        help="Сохранить перехваченные пакеты в PCAP")

    args = parser.parse_args()



    global authorized_aps

    if args.authorized:

        authorized_aps = load_authorized_aps(args.authorized)



    print(f"[*] Запуск мониторинга на {args.interface}")

    print(f"[*] Длительность: {args.duration} сек.")

    print("[*] Нажмите Ctrl+C для остановки\n")



    try:

        sniff(

            iface=args.interface,

            prn=packet_handler,

            store=args.output is not None,

            timeout=args.duration,

        )

    except KeyboardInterrupt:

        pass

    finally:

        print_summary()





if __name__ == "__main__":

    main()

<h2 id="zapusk">Запуск:</h2>

sudo python3 wifi_monitor.py -i wlan0mon



<h2 id="s-belym-spiskom-avtorizovannyh-ap">С белым списком авторизованных AP:</h2>

sudo python3 wifi_monitor.py -i wlan0mon --authorized authorized_aps.csv



<h2 id="s-ogranicheniem-vremeni">С ограничением времени:</h2>

sudo python3 wifi_monitor.py -i wlan0mon --duration 600

Критический приоритет (немедленное расследование):

  ⚠️⚠️⚠️ Evil Twin — поддельная AP с SSID корпоративной сети

  ⚠️⚠️⚠️ Deauth flood — активная атака на клиентов



Высокий приоритет (расследование в течение дня):

  ⚠️⚠️ Rogue AP — неавторизованная точка доступа в периметре сети

  ⚠️⚠️ Скрытая AP без обоснования в корпоративной инфраструктуре

  ⚠️⚠️ AP с деградировавшим шифрованием (OPN или WEP)



Средний приоритет (внести в отчёт):

  ⚠️ Личные точки доступа сотрудников (BYOD без регистрации)

  ⚠️ AP с включённым WPS (уязвимость)

  ⚠️ Нестандартный канал для корпоративной AP

Минимальная информация для каждой находки:

  - BSSID (MAC-адрес точки доступа)

  - SSID (имя сети, если удалось раскрыть)

  - Канал

  - Тип шифрования

  - Мощность сигнала (ориентировочное расстояние)

  - Время обнаружения

  - Производитель по OUI

  - Тип находки (Rogue AP / Evil Twin / Скрытая / Деградация)

  - Доказательства (файл захвата, скриншот, pcap-фрагмент)

<h2 id="opredelit-proizvoditelya-po-mac-adresu">Определить производителя по MAC-адресу:</h2>

<h2 id="cherez-nmap">Через nmap:</h2>

nmap --script=address-info -sn TARGET_IP



<h2 id="cherez-onlayn-bazu">Через онлайн-базу:</h2>

<h2 id="macvendors-com-wireshark-org-tools-oui-lookup-html">macvendors.com, wireshark.org/tools/oui-lookup.html</h2>




<h2 id="cherez-airodump-ng-s-flagom-manufacturer">Через Airodump-ng с флагом --manufacturer:</h2>

sudo airodump-ng --manufacturer wlan0mon



<h2 id="primer-esli-ozhidaem-cisco-ap-a-vidim-oui-raspberry-pi-foundation">Пример: если ожидаем Cisco AP, а видим OUI = &quot;Raspberry Pi Foundation&quot; —</h2>

<h2 id="eto-yavnyy-priznak-poddelnoy-tochki-nastroennoy-na-raspberry-pi-ili-podobnom">это явный признак поддельной точки (настроенной на Raspberry Pi или подобном)</h2>

<h2 id="perevesti-adapter-v-monitor-rezhim">Перевести адаптер в монитор-режим:</h2>

sudo airmon-ng check kill

sudo airmon-ng start wlan0



<h2 id="zapustit-kismet-dlya-dolgosrochnogo-monitoringa-v-fone">Запустить Kismet для долгосрочного мониторинга (в фоне):</h2>

sudo kismet -c wlan0mon --log-prefix /tmp/audit/ --daemonize



<h2 id="odnovremenno-bystroe-skanirovanie-cherez-airodump-ng">Одновременно — быстрое сканирование через airodump-ng:</h2>

sudo airodump-ng --manufacturer --wps \

  -w /tmp/audit/initial_scan wlan0mon

Результат первичного сканирования:



BSSID              PWR  ENC   SSID              Производитель    Примечание

AA:BB:CC:DD:EE:00  -45  WPA2  CorpNet_Main      Cisco Systems    OK

AA:BB:CC:DD:EE:01  -52  WPA2  CorpNet_Main      Cisco Systems    OK (другой этаж)

AA:BB:CC:DD:EE:02  -61  WPA2  CorpNet_Guest     Cisco Systems    OK

BB:CC:DD:EE:FF:00  -67  WPA2  <length: 11>      Cisco Systems    Скрытая!

CC:DD:EE:FF:00:11  -78  OPN   FreeWifi          TP-Link Tech     ⚠️ Открытая!

DD:EE:FF:00:11:22  -71  WPA2  CorpNet_Main      Raspberry Pi     ⚠️⚠️⚠️ Evil Twin!

<h2 id="fokus-na-skrytoy-ap">Фокус на скрытой AP:</h2>

sudo airodump-ng -c 6 --bssid BB:CC:DD:EE:FF:00 wlan0mon



<h2 id="zhdyom-poyavleniya-klienta-v-stolbtse-station-probes">Ждём появления клиента в столбце STATION/Probes...</h2>

<h2 id="cherez-5-minut">Через 5 минут:</h2>

<h2 id="bb-cc-dd-ee-ff-00-22-33-44-55-66-77-corpnet-admin-raskryto">BB:CC:DD:EE:FF:00  22:33:44:55:66:77  CorpNet_Admin  ← раскрыто!</h2>




<h2 id="vyvod-eto-administrativnaya-set-dlya-upravleniya-infrastrukturoy">Вывод: это административная сеть для управления инфраструктурой.</h2>

<h2 id="po-oui-cisco-znachit-skoree-vsego-legitimnaya-no-nuzhno-utochnit-u-it-otdela">По OUI — Cisco, значит скорее всего легитимная, но нужно уточнить у ИТ-отдела.</h2>

<h2 id="fiksatsiya-na-podozritelnoy-ap">Фиксация на подозрительной AP:</h2>

sudo airodump-ng -c 6 --bssid DD:EE:FF:00:11:22 wlan0mon



<h2 id="v-wireshark">В Wireshark:</h2>

<h2 id="filtr-wlan-bssid-dd-ee-ff-00-11-22">Фильтр: wlan.bssid == dd:ee:ff:00:11:22</h2>

<h2 id="rezultat-ap-aktivno-otpravlyaet-beacon-freymy-signal-71-dbm">Результат: AP активно отправляет beacon-фреймы, сигнал -71 dBm</h2>

<h2 id="oui-raspberry-pi-foundation-eto-ne-korporativnoe-oborudovanie">OUI: Raspberry Pi Foundation — это не корпоративное оборудование</h2>




<h2 id="fizicheskoe-rassledovanie-v-odnom-iz-peregovornyh-komnat-obnaruzhen">Физическое расследование: в одном из переговорных комнат обнаружен</h2>

<h2 id="raspberry-pi-podklyuchyonnyy-k-rozetke-za-shkafom-zabytyy-testovyy-stend">Raspberry Pi, подключённый к розетке за шкафом — забытый тестовый стенд.</h2>

РЕЗУЛЬТАТЫ АУДИТА Wi-Fi (краткая версия):



✓ 3 авторизованные корпоративные AP (Cisco, WPA2, соответствуют документации)

⚠️ 1 скрытая AP (BSSID: BB:CC:DD:EE:FF:00, SSID: CorpNet_Admin)

   → Выяснено: административная сеть, подтверждена ИТ-отделом

   → Рекомендация: задокументировать в реестре AP



⚠️ 1 открытая AP (CC:DD:EE:FF:00:11, SSID: FreeWifi)

   → Источник: личная точка доступа сотрудника

   → Риск: MITM-атаки на пользователей, нарушение политики BYOD

   → Действие: уведомить владельца, заблокировать на уровне NAC



⚠️⚠️⚠️ 1 несанкционированная AP с SSID корпоративной сети

   → Устройство: Raspberry Pi (тестовый стенд, не Evil Twin в данном случае)

   → Риск: потенциальный перехват клиентов, ошибочное подключение

   → Действие: демонтировать, внедрить NAC с 802.1X