伪造接入点

用于受控环境下流量捕获的开放 Wi-Fi 伪造接入点。使用 hostapd（原生 nl80211 AP 模式）+ dnsmasq（DHCP/DNS）+ iptables NAT 向上行接口转发。

要求

• Linux，root 权限。
• 支持 AP 模式的无线网卡（iw phy → Supported interface modes: ... AP）。
• 软件包：hostapd、dnsmasq、iw、iptables、rfkill、wireshark。

配置

编辑 fake_ap.sh 开头的变量。

INTERNET_IFACE — 具有互联网连接的上行接口

这是已经存在默认路由的接口（以太网、USB 适配器、Wi‑Fi 客户端等）。名称因机器而异（eth0、enp3s0、wlp3s0……）。

ip route | grep default
# default via 192.168.1.1 dev enp3s0 ...
#                            ^^^^^^
#                            使用此名称

将 INTERNET_IFACE 设置为 dev 后面的接口名称。

AP_IFACE — 用于伪造接入点的无线网卡

使用 iw dev 中的物理 Wi‑Fi 接口。通常为 wlan0，但也可能是 wlp2s0 或类似名称。

iw dev
# phy#0
#   Interface wlan0
#             ^^^^^
#            使用此名称

选择支持 AP 模式的 phy 上的接口（iw phy → Supported interface modes: ... AP）。不要使用 Docker 桥接（docker0、br-*）或虚拟接口（veth*）。

示例

FAKE_SSID="Free_Public_WiFi"
CHANNEL="6"
INTERNET_IFACE="enp3s0"
AP_IFACE="wlan0"
GATEWAY_IP="10.0.0.1"

运行

sudo ./fake_ap.sh

该脚本会：

1. 在无线 phy 上以 managed 模式创建 AP 接口（例如 wlan0）。
2. 启动 hostapd，使用开放 SSID 并设定信道。
3. 启动 dnsmasq（DHCP + DNS 转发到 1.1.1.1 / 8.8.8.8）。
4. 启用 IP 转发并向上行接口进行 MASQUERADE。
5. 实时打印已连接的客户端（MAC + IP + 从租约中获取的主机名）。
6. Ctrl+C 执行完整清理（iptables 规则、接口、NM、ip_forward）。

实时监控

sudo journalctl -t dnsmasq -f          # DHCP 租约 + 每个客户端 DNS 查询
sudo wireshark -i wlan0                # 捕获客户端 L3 流量（使用你的 AP_IFACE）
sudo iw dev wlan0 station dump         # 客户端 L2 状态（RSSI、速率、流量）
cat /var/lib/misc/dnsmasq.leases       # 活跃租约

Wireshark — 枚举过滤条件

在 AP 接口（例如 wlan0）上打开 Wireshark，应用你需要的显示过滤器。

识别设备

浏览的网站（包括 HTTPS）

会话和新连接

凭据 / 表单（HTTPS 下较少见，但仍值得检查）

有用的组合

# 某个客户端的加密流量 + 联系的域名
ip.src == 10.0.0.42 && (dns || tls.handshake.type == 1)

# 被动手机型号发现
ip.src == 10.0.0.42 && (dhcp || mdns || ssdp || nbns)

# 定向到特定域名的流量（如社交）
tls.handshake.extensions_server_name contains "instagram"

# 排除广播/多播噪音
not (eth.dst == ff:ff:ff:ff:ff:ff) && not (ip.dst >= 224.0.0.0 && ip.dst <= 239.255.255.255)

提示

• 要快速提取客户端访问的SNI：
  root@kitploit:~

  sudo tshark -i wlan0 -Y 'tls.handshake.type==1 && ip.src==10.0.0.42' \
    -T fields -e tls.handshake.extensions_server_name
  

• 要持续抓取 pcap 文件以便离线分析：
  root@kitploit:~

  sudo tcpdump -i wlan0 -w /tmp/capture.pcap
  

• 无需 Wireshark，DNS 查询也可在 journalctl -t dnsmasq -f 中查看。

许可证

MIT — 见 LICENSE。

法律声明

仅在你拥有或已获得书面授权测试的网络和设备上使用。拦截他人流量是违法的。