Radiotap头信息解析

小灰灰 2022-02-05 10:47 321阅读 0赞

在`Linux`系统中用`wireshark`或`tcpdump`抓无线网卡数据包，每一数据帧前面都有一个叫`radiotap`的协议头，它包含了信号强度、噪声强度、信道、时间戳等信息。`radiotap`比传统的`Prism`或`AVS`头更有灵活性，成为`ieee802.11`事实上的标准。支持`radiotap`的系统较多，如`Linux`、`FreeBSD`、`NetBSD`、`OpenBSD`，还有`Windows`(需使用`AirPcap`)。它的头部定义如下：

struct ieee80211_radiotap_header {
        u_int8_t        it_version;     /* set to 0 */
        u_int8_t        it_pad;
        u_int16_t       it_len;         /* entire length */
        u_int32_t       it_present;     /* fields present */
    } __attribute__((__packed__));

`it_version`：表示版本号，当前为`0`。  
`it_pad`：没有使用，仅仅是为了结构体对齐。  
`it_len`：表示长度，包括了`radiotap`头部和数据两部分，如果不需要了解`radiotap`，则可以直接跳到`ieee802.11`头部。  
`it_present`：表示`radiotap`数据的位掩码。`radiotap`的数据紧跟其头部。当其中的位掩码为`true`时，表示有对应的数据，可以认为每一比特表示一种类型。比如`bit5`为`1`表示有通道数据，则可以获取到信号强度，反之就是没有对应的数据。因此，`radiotap`的长度其实是不固定的。`bit31`为`1`表示还有多个`it_present`。

`radiotap`的每个类型都是有严格顺序的，数据的字序是小端格式(`little endian byte-order`)——包括头部的`it_len`和`it_present`。

目前应用比较广的解析库是`radiotap-library`，在`horst`软件和`Linux`内核中都使用到。关于每个类型的解释，可以参考`radiotap.h`文件的`ieee80211_radiotap_type`注释。

原文地址：[link][]

附带参考：[link][link 1]

[link]: https://segmentfault.com/a/1190000011811798
[link 1]: https://www.radiotap.org/