802.11標(biāo)準(zhǔn)下常見的WiFi攻擊

流量嗅探

實(shí)際上，所有的WiFi流量都可以在監(jiān)控模式下使用適配器進(jìn)行嗅探。大多數(shù)Linux發(fā)行版都支持將某些WiFi芯片組放入這個(gè)監(jiān)控的模式中，這樣就可以處理所有網(wǎng)絡(luò)流量。

加密的網(wǎng)絡(luò)也沒有你想象的安全，WEP加密甚至WPA2-PSK都是不安全的，攻擊者可以通過欺騙一個(gè)deauthentication框架來強(qiáng)制一個(gè)新的身份驗(yàn)證過程，從而將你的設(shè)備與網(wǎng)絡(luò)斷開。

[[252731]]

由于嗅探流量是被動(dòng)進(jìn)行的，不能被檢測到。所以實(shí)際上所有開放或關(guān)閉的WiFi通信都是公開的，這就要求在更高層次上進(jìn)行通信加密，比如HTTPs。

暴力訪問

和其他密碼一樣，無線網(wǎng)絡(luò)的密碼也可以被暴力獲取。WEP可以通過分析記錄的流量在幾分鐘內(nèi)被破解，并被渲染成無用的。所以對(duì)于WPA安全網(wǎng)絡(luò)，黑客只需要一個(gè)標(biāo)準(zhǔn)的字典攻擊即可達(dá)到目的。

實(shí)際上，目前大多數(shù)暴力破解工具都是針對(duì)WiFi流量的。

像流量嗅探一樣，這種方法也是可以被檢測到的。唯一的保護(hù)的方法是使用強(qiáng)密碼，避免WEP加密。

WiFi網(wǎng)絡(luò)干擾

在802.11協(xié)議標(biāo)準(zhǔn)下，干擾WiFi網(wǎng)絡(luò)的方法很簡單，就是將相關(guān)的通信頻率填充大量垃圾。具體過程就是：利用Deauthentication和disassociation框架。

因?yàn)閐eauth框架是管理框架，它們是未加密的，即使沒有連接到網(wǎng)絡(luò)，任何人都可以對(duì)修改它。通過在框架中設(shè)置“發(fā)送器”地址，攻擊者可以處于攻擊范圍內(nèi)，不但可以發(fā)送持續(xù)的deauth框架，而且還能監(jiān)聽你的設(shè)備發(fā)送的指令。甚至干擾器腳本能監(jiān)測出所有接入點(diǎn)和客戶機(jī)的列表，同時(shí)不斷的將deauth框架發(fā)送給所有的用戶。

檢測干擾器

像nzyme這樣的工具將會(huì)監(jiān)測出deauth框架，而Graylog日志監(jiān)控系統(tǒng)可以在不同尋常級(jí)別的框架子類型域中發(fā)出警報(bào)。

惡意接入點(diǎn)

目前手機(jī)自動(dòng)連接到WiFi網(wǎng)絡(luò)的方式有兩種：

1.手機(jī)的信標(biāo)幀（beacon frame）通過發(fā)送的定期發(fā)送的信標(biāo)，可讓移動(dòng)工作站得知該網(wǎng)絡(luò)的存在，從而調(diào)整加入該網(wǎng)絡(luò)所必要的參數(shù)。在基礎(chǔ)型網(wǎng)絡(luò)里，接入點(diǎn)必須負(fù)責(zé)發(fā)送信標(biāo)幀。信標(biāo)幀所及范圍即為基本服務(wù)區(qū)域。在基礎(chǔ)型網(wǎng)絡(luò)里，所有連接都必須通過接入點(diǎn)，因此工作站不能距離太遠(yuǎn)，否則便無法接收到信標(biāo)。

2. 通過探測請(qǐng)求（Probe Request），移動(dòng)工作站將會(huì)利用探測請(qǐng)求幀，掃描所在區(qū)域內(nèi)目前有哪些 802.11網(wǎng)絡(luò)。Probe Request幀的格式如下圖所示，所有位均為必要。

探測請(qǐng)求幀包含兩個(gè)位：SSID以及移動(dòng)工作站所支持的速率（Supported Rates）。收到探測請(qǐng)求幀的工作站會(huì)據(jù)此判定對(duì)方能否加入網(wǎng)絡(luò)。為此，移動(dòng)工作站必須支持網(wǎng)絡(luò)所要求的所有數(shù)據(jù)速率，并以SSID表明所欲加入的網(wǎng)絡(luò)。

這樣問題就來了，任何設(shè)備都可以為任何網(wǎng)絡(luò)發(fā)送信標(biāo)幀和探測請(qǐng)求幀。如此一來，攻擊者就可以利用一個(gè)無賴的接入點(diǎn)四處移動(dòng)，以響應(yīng)任何需要響應(yīng)的請(qǐng)求，或者他們刻意為目標(biāo)公司網(wǎng)絡(luò)發(fā)送信標(biāo)。

現(xiàn)在的很多設(shè)備也都部署了相應(yīng)的保護(hù)機(jī)制，如果你準(zhǔn)備連接到一個(gè)之前加密但當(dāng)前未加密的網(wǎng)絡(luò)，那么設(shè)備將會(huì)給你發(fā)出警告提醒。不過，如果攻擊者知道你之前所連接的WiFi密碼或者說本身他攻擊的就是一個(gè)開放網(wǎng)絡(luò)的話，這種保護(hù)機(jī)制就沒有任何效果了。如果你的手機(jī)進(jìn)行了惡意接入點(diǎn)，那攻擊者就會(huì)實(shí)施中間人攻擊，監(jiān)聽你所有的通訊或發(fā)起DNS等攻擊。攻擊者甚至可以向你展示一個(gè)惡意的強(qiáng)制登錄門戶（Captive Portal）以收集更多關(guān)于你的瀏覽器的信息。

惡意接入點(diǎn)是非常難以識(shí)別的，因?yàn)樵谖锢砩隙ㄎ凰鼈兒軓?fù)雜，而且它們通常和現(xiàn)有的接入點(diǎn)基礎(chǔ)設(shè)施混合在一起。不過可以使用nzyme和Graylog工具來檢測它們。nzyme是一個(gè)開源工具，負(fù)責(zé)往Graylog記錄和轉(zhuǎn)發(fā)802.11標(biāo)準(zhǔn)下的管理幀，用于WiFi安全監(jiān)控和事件響應(yīng)。

惡意接入點(diǎn)的5種檢測方法

方法1:BSSID白名單方法

和其他網(wǎng)絡(luò)設(shè)備一樣，每個(gè)WiFi接入點(diǎn)都有一個(gè)MAC地址，這是它發(fā)送的每個(gè)消息的一部分。BSSID是指站點(diǎn)的MAC地址，（STA）在一個(gè)接入點(diǎn)，（AP）在一個(gè)基礎(chǔ)架構(gòu)模式， BSS是由IEEE 802.11-1999 無線局域網(wǎng)規(guī)范定義的。這個(gè)區(qū)域唯一的定義了每個(gè)BSS 。檢測惡意接入點(diǎn)的一種簡單方法是保存你的可信接入點(diǎn)和他們的MAC地址的列表，并與你在空中看到的MAC地址相匹配。不過，攻擊者可以很容易地欺騙MAC地址，繞過這種保護(hù)措施。

方法2:非同步的MAC時(shí)間戳

每個(gè)產(chǎn)生同一網(wǎng)絡(luò)的接入點(diǎn)都有一個(gè)高度同步的內(nèi)部時(shí)鐘，這一點(diǎn)很重要。這個(gè)時(shí)間是毫秒級(jí)的，同步增量為25微秒。大多數(shù)惡意接入點(diǎn)在嘗試進(jìn)行時(shí)間戳同步時(shí)往往會(huì)出現(xiàn)各種各樣的錯(cuò)誤，你可以通過檢測這種錯(cuò)誤來發(fā)現(xiàn)惡意熱點(diǎn)。

方法3:錯(cuò)誤的信道

你可以設(shè)置一個(gè)列表來存儲(chǔ)所有受信任接入點(diǎn)的信道，如果信道不同，則說明該接入點(diǎn)有問題。但是對(duì)于攻擊者來說，這種保護(hù)方式也是能夠輕松繞過的：比如對(duì)站點(diǎn)進(jìn)行重新定位，并將惡意接入點(diǎn)配置為只使用已經(jīng)使用過的信道。

方法4:加密降級(jí)

一個(gè)不知道網(wǎng)絡(luò)密碼的攻擊者可能會(huì)啟動(dòng)一個(gè)惡意接入點(diǎn)，以打開一個(gè)開放的網(wǎng)絡(luò)。

方法5:信號(hào)強(qiáng)度異常

通過分析信號(hào)強(qiáng)度尋找異常情況，目前有許多方法可以發(fā)現(xiàn)惡意的接入點(diǎn)。如果一個(gè)攻擊者坐在停車場上，并且偽造一個(gè)接入點(diǎn)，包括它的MAC地址(BSSID)，則平均信號(hào)強(qiáng)度突然有一個(gè)改變，因?yàn)樗h(yuǎn)離傳感器(nzyme)。