Вчера вечером много думал над там как же так происходит что когда я вклиниваюсь между жертвой и точкой, передающиеся через меня пакеты идут в не зашифрованном виде. и кажется понял как это происходит. ведь когда я встаю в прослушку я посылаю ARP запросы: жертве я говорю что мак адрес точки изменился (на мой соответственно) и точке я говорю что мак адрес жертвы тоже изменился и тоже на мой. таким образом пакеты от жертвы адресованные настоящей точке доступа идут ко мне, но идут они в любом случае через ту же точку доступа, вроде как транзитом получается, и точка сама же их для меня расшифровывает, так как понимает что они адресованы на мой мак адрес, и нужно их для меня расшифровать, и после снова зашифровать, но уже моим ключом. после чего я отправляю эти же пакеты на реальный мак адрес точки, и она уже транслирует их дальше в глобальную сеть. и потом все в обратном порядке, точка хочет передать полученные пакеты из интернета клиенту, смотрит в какому ip соответствует какой мак адрес, видит что ip жертвы соответствует мой мак адрес и отправляет их мне, в зашифрованном виде (но шифрование моим ключом) я их снифаю, и отправляю их жертве, но опять таки через все ту же точку. она понимает что я передаю пакеты жертве, точка их дешефрует и зашифровывает ключом жертвы.

мне кажется что теория выглядит примерно так, но я вполне могу заблуждаться!

и еще забавно что ни роутер ни жертву абсолютно не смущает что разным ip адресам может соответствовать один и тот же мак адрес, а при ARP спуфинге именно так и происходит!

ну так вот возвращаясь к моей проблеме, думаю просто прослушать трафик в режиме монитора у меня может не получиться банально потому что я хорошо слышу точку доступа жертвы (для ARP спуфинга этого было бы вполне достаточно), а вот ноутбук жертвы вполне могу и не услышать, ибо далеко. и при таком раскладе в лучшем случае я услышу пакеты передаваемые от точки к жертве, а вот от жертвы к точке может не получиться. и хендшейки тоже тогда не поймать.

в общем еще попробую, и посомтрю что получится!