How to: sniff (and decrypt) wifi packets

Wifi networks are “better” for sniffing than switched ones, because you can capture every packet without any particular attacks (see ManInTheMiddle) modulo information loss.

– aircrack-ng suite (precisely airodump-ng)
– wireshark

– bssid, channel and encryption key of network (is your conscience clear?)
– wireless card that works in monitor mode

Enable monitor mode:

airmon-ng start <interface>

Start sniffing:

airodump-ng <monitorif> -c <channel> -d <bssid> -w <filename>

When you have captured enough packets, it’s wireshark time!
Open the .cap file with wireshark:

wireshark filename.cap

Go to:
Edit -> Preferences -> Protocols

IEEE 802.11

Check “Enable decryption“.

Specify the encryption key in the respective field.
Be careful with syntax! See this page:

Click “Apply” then “OK“.
Now you can understand why open networks are so dangerous!

For lamers:
No, you can’t (well, not so easily) retrieve crypted data!
For this, there are various attack that I’ll not teach 🙂

For geek:
See http POST command and guess what happens when you login at an insecure webpage.

2 thoughts on “How to: sniff (and decrypt) wifi packets

  1. Ciao, colgo il tuo invito alle correzioni, visto che anch’io ho conseguito il FCE tempo addietro 😀
    anzichè switched, direi ‘wired’ per intendere le reti cablate.. e in ogni caso dopo ci va ‘ones’, come pronome per indicare che sempre di reti si tratta
    (wifi networks are better for sniffing than wired ones)

    without any particular attack..

    mentre non ho capito che intendi con ‘modulo information lossy’…

    When you’ve captured enough packets, anzichè when you captured, che indica un passato

    See this page: anzichè see that page, dato che la pagina è indicata immediatamente dopo..

    Now you can understand ‘why’ wireless networks are so dangerous, anzichè because

    Forse ritengo più corretto dire (well, not so easily) anzichè (or better, not so easily)

    Anzichè think what happens direi ‘imagine what happens’ or ‘wonder what happens’ o ancora più ad indicare il significato.. ‘guess what happens’..

    Per il resto direi che va bene… stai seguendo un corso per il First o studi autonomamente?

  2. anzichè switched, direi ‘wired’ per intendere le reti cablate

    Intendo proprio switched! Anche una rete composta da hub è cablata!

    modulo information lossy

    Dall’aritmetica modulare… leggilo come “a parte la perdita di informazione”

    Grazie delle altre correzioni, come vedi ho aggiornato la pagina!

    Seguirò il corso per il first l’anno prossimo, per adesso sto cercando di riprendere manualità, visto che sono abituato solo a leggere.

Leave a Reply

Please log in using one of these methods to post your comment: Logo

You are commenting using your account. Log Out /  Change )

Google+ photo

You are commenting using your Google+ account. Log Out /  Change )

Twitter picture

You are commenting using your Twitter account. Log Out /  Change )

Facebook photo

You are commenting using your Facebook account. Log Out /  Change )


Connecting to %s