基于連接驗(yàn)證的無線局域網(wǎng)Authentication Flood攻擊實(shí)現(xiàn)與檢測(cè)

黃波

摘 要：隨著無線網(wǎng)絡(luò)終端多樣化及應(yīng)用發(fā)展，無線網(wǎng)絡(luò)以其特有的漏洞和攻擊威脅相比于傳統(tǒng)有線網(wǎng)絡(luò)所面臨的安全問題日益復(fù)雜。論文主要對(duì)無線局域網(wǎng)Authentication Flood攻擊進(jìn)行研究。通過對(duì)DoS攻擊原理的闡述，模擬搭建實(shí)驗(yàn)環(huán)境，模擬演練攻擊過程，針對(duì)Authentication Flood攻擊所造成的無線局域網(wǎng)網(wǎng)絡(luò)安全問題予以分析，提出判斷檢測(cè)此類型攻擊的方法并提出合理性建議。

關(guān)鍵詞：無線局域網(wǎng)；連接驗(yàn)證；Authentication Flood攻擊；檢測(cè)

中圖分類號(hào)： TP393.1 文獻(xiàn)標(biāo)識(shí)碼：A

Based on Connection Authentication Flood Attack Implementation and Detection in WLAN

Huang Bo

（Police Information Department， Liaoning Police Academy， LiaoningDalian116023）

Abstract： With in diversity and application development of wireless network terminal ，Wireless network with its peculiar vulnerabilities and attack compared to traditional wired network security problems facing increasingly complex. This paper mainly studies Authentication Flood attack in WLAN. Through to expound DoS attack principle， building simulation experiment environment， exercising simulation attack process， analyzing Authentication Flood attack security problem， The function models are put forward detection method and reasonable Suggestions of this attack.

Key words： WLAN； Authentication； Authentication Flood； Detection

1 引言

隨著2G、3G、4G、5G等多種無線寬帶技術(shù)的發(fā)展并推廣應(yīng)用，無線局域網(wǎng)絡(luò)獲得廣泛應(yīng)用，但針對(duì)無線局域網(wǎng)絡(luò)獨(dú)有特性所造成的安全隱患和威脅更為復(fù)雜。其中，無線局域網(wǎng)DoS攻擊的危害最大，且最難以防范。無線局域網(wǎng)中的DoS攻擊應(yīng)用工具操作簡(jiǎn)便容易，對(duì)目標(biāo)端的攻擊效果明顯，即便是對(duì)于無線局域網(wǎng)的原理不熟知和了解，也同樣可以輕松自如的對(duì)目標(biāo)無線局域網(wǎng)絡(luò)發(fā)起進(jìn)攻，破壞其正常的系統(tǒng)功能。目前，網(wǎng)絡(luò)安全機(jī)制往往側(cè)重于保密性、完整性和可認(rèn)證性，對(duì)于網(wǎng)絡(luò)可用性的保護(hù)力度不夠，致使目前對(duì)于無線局域網(wǎng)DoS攻擊的防范并沒有很好的應(yīng)對(duì)和解決方案。因而針對(duì)于無線局域網(wǎng)DoS攻擊的工作原理、模擬攻擊過程、分析攻擊過程、捕獲攻擊結(jié)果并檢測(cè)分析，追蹤攻擊源頭，幫助在實(shí)際工作中發(fā)現(xiàn)此類安全問題，對(duì)保障無線局域網(wǎng)的安全性就有更重要的現(xiàn)實(shí)意義和應(yīng)用價(jià)值。

2 DoS攻擊及無線網(wǎng)絡(luò)連接驗(yàn)證概述

2.1 DoS攻擊及原理概述

DoS，全稱為Denial of Services，即拒絕服務(wù)攻擊。該攻擊方式會(huì)以阻塞正常的網(wǎng)絡(luò)帶寬、耗盡服務(wù)器的內(nèi)存資源、干擾及破壞正常的通信為主。目的是使網(wǎng)絡(luò)服務(wù)系統(tǒng)與網(wǎng)絡(luò)用戶間無法提供常規(guī)服務(wù)，當(dāng)一般網(wǎng)絡(luò)用戶進(jìn)行資源的訪問時(shí)，DoS使得用戶系統(tǒng)服務(wù)停止響應(yīng)，甚至達(dá)到崩潰狀態(tài)。DoS攻擊過程中一般不會(huì)破壞目標(biāo)用戶的設(shè)備和服務(wù)器，其主要針對(duì)的是用戶的網(wǎng)絡(luò)資源包括網(wǎng)絡(luò)帶寬、系統(tǒng)的堆棧、開放的進(jìn)程以及允許的連接等。

DoS攻擊一般包括三個(gè)步驟。

（1）攻擊者通過監(jiān)聽無線局域網(wǎng)查找到存在漏洞并且能夠入侵的系統(tǒng)，進(jìn)一步獲得系統(tǒng)的控制權(quán)。而后在被攻陷的系統(tǒng)中安裝DoS的管理者，這一步常常針對(duì)于緩沖區(qū)溢出漏洞或系統(tǒng)安全配置漏洞進(jìn)行。

（2）攻擊者通過掃描工具掃描發(fā)現(xiàn)其中存在安全漏洞的系統(tǒng)并進(jìn)行攻擊，從而獲得該系統(tǒng)的主導(dǎo)控制權(quán)。隨即在遭受到攻擊的目標(biāo)系統(tǒng)中安裝并運(yùn)行已準(zhǔn)備好的DoS攻擊代理。

（3）攻擊者通過向管理者發(fā)起通知，對(duì)攻擊代理攻擊的目標(biāo)和類型等予以說明。攻擊者、攻擊代理和管理者之間通過對(duì)通信信道的加密，使DoS攻擊網(wǎng)絡(luò)更好的隱藏。當(dāng)攻擊代理收到攻擊指令之后，開始發(fā)起真正意義上的攻擊。

2.2 無線連接驗(yàn)證概述

為達(dá)到跟蹤工作站的身份驗(yàn)證，查看關(guān)聯(lián)狀態(tài)的目的，IEEE 802.11對(duì)客戶端的一種狀態(tài)機(jī)制做了定義。無線客戶端和無線接入點(diǎn)（AP）則基于IEEE的標(biāo)準(zhǔn)，實(shí)現(xiàn)了這種狀態(tài)機(jī)制。在無線局域網(wǎng)環(huán)境下，無線客戶端與無線接入點(diǎn)（AP）的連接通過一個(gè)身份驗(yàn)證得以實(shí)現(xiàn)。無線接入點(diǎn)（AP）上的驗(yàn)證，包括開放式的密鑰驗(yàn)證和預(yù)共享的密鑰驗(yàn)證在內(nèi)的兩種驗(yàn)證方式。雖然一個(gè)工作站可以同時(shí)與多個(gè)無線接入點(diǎn)（AP）進(jìn)行連接驗(yàn)證，但在實(shí)際連接過程中，同一時(shí)刻與無線接入點(diǎn)（AP）進(jìn)行連接驗(yàn)證一般只能是一個(gè)。使用密碼進(jìn)行連接驗(yàn)證的過程原理圖如圖1所示。與無線接入點(diǎn)（AP）成功關(guān)聯(lián)的客戶端需停留在狀態(tài)3，才能夠開始進(jìn)行正常的無線網(wǎng)絡(luò)通信。處于狀態(tài)1和2的客戶端，則是在通過核實(shí)身份驗(yàn)證和查看關(guān)聯(lián)狀態(tài)之前將無法進(jìn)入到無線局域網(wǎng)絡(luò)通信的過程之中。

無線客戶端與無線接入點(diǎn)（AP）的連接，根據(jù)核實(shí)關(guān)聯(lián)和認(rèn)證的相對(duì)狀態(tài)，可以分為三種狀態(tài)如表1所示。endprint

3 Authentication Flood攻擊實(shí)現(xiàn)及檢測(cè)

3.1 Authentication Flood攻擊概述

Authentication Flood攻擊即驗(yàn)證洪水攻擊，全稱即身份驗(yàn)證洪水攻擊，簡(jiǎn)稱為Auth攻擊，是無線局域網(wǎng)拒絕服務(wù)攻擊類型中的一種。該攻擊的主要對(duì)象是處于通過驗(yàn)證與無線局域網(wǎng)接入點(diǎn)（AP）搭建關(guān)聯(lián)的客戶端，攻擊者將偽造大量的虛假身份驗(yàn)證請(qǐng)求幀（偽造的身份驗(yàn)證服務(wù)和狀態(tài)代碼）向無線局域網(wǎng)接入點(diǎn)（AP）內(nèi)傳送。當(dāng)接收到的身份驗(yàn)證請(qǐng)求超出無線局域網(wǎng)接入點(diǎn)的承受能力范圍時(shí)，其會(huì)斷開其它無線局域網(wǎng)內(nèi)正常服務(wù)的連接。

3.2 Authentication Flood攻擊原理

一般情況下，所有無線局域網(wǎng)客戶端的連接請(qǐng)求都會(huì)被無線局域網(wǎng)接入點(diǎn)（AP）記錄在其連接表中。而攻擊者使用看上去似乎合法其實(shí)是隨機(jī)生成的虛假M(fèi)AC地址來偽造出大量的虛假連接，同時(shí)偽造出大量的虛假身份驗(yàn)證請(qǐng)求，并集中發(fā)送給目標(biāo)AP。AP持續(xù)接收虛假連接請(qǐng)求會(huì)導(dǎo)致AP連接列表出現(xiàn)錯(cuò)誤，當(dāng)連接數(shù)量超過AP所能提供的許可范圍時(shí)，AP就會(huì)拒絕其它客戶端發(fā)出的連接請(qǐng)求或?qū)⒁呀?jīng)連接成功的客戶端強(qiáng)制斷開。Authentication Flood攻擊過程及原理如圖1所示。

3.3 Authentication Flood攻擊實(shí)現(xiàn)

3.3.1 Authentication Flood攻擊模擬環(huán)境

為實(shí)現(xiàn)Authentication Flood攻擊過程，現(xiàn)使用實(shí)驗(yàn)室環(huán)境下的三臺(tái)主機(jī)為背景進(jìn)行實(shí)驗(yàn)性操作。

（1）主機(jī)終端。主機(jī)A、B、C為一組，主機(jī)A為無線局域網(wǎng)使用者，主機(jī)B為惡意攻擊者，主機(jī)C捕獲數(shù)據(jù)包，其中A、B、C三主機(jī)的IP地址自動(dòng)獲取。角色如表2所示。

（2）連接無線局域網(wǎng)。主機(jī)A使用USB無線網(wǎng)卡，連接名為team2的無線局域網(wǎng)。

2.3.2 Authentication Flood攻擊過程

（1）主機(jī)B啟動(dòng)Linux虛擬機(jī)，打開一個(gè)Shell，輸入如下命令連接進(jìn)入無線局域網(wǎng)。

啟用無線網(wǎng)卡：

initwlan

ifconfig -a wlan0 up

并將無線網(wǎng)卡激活成monitor模式：

airmon-ng start wlan0 1

監(jiān)聽無線局域網(wǎng)以便找出要攻擊無線局域網(wǎng)的MAC地址：

airodump-ng --channel 1 mon0

監(jiān)聽到無線局域網(wǎng)結(jié)果如圖2所示。

通過監(jiān)聽結(jié)果可知要攻擊的無線局域網(wǎng)的SSID為team2，MAC地址為14：75：90：9B：E9：38。

（2）主機(jī)B選擇執(zhí)行“WAS”—“Radio Network Analysis ”—“80211”—“Cracking”—“MDK3”，開啟MDK3。

輸入如下命令：./mdk3 mon0 a -a 14：75：90：9B：E9：38進(jìn)行攻擊（a，代表Authentication Flood攻擊；-a 指定攻擊對(duì)象，后面輸入其MAC地址）

攻擊后的顯示信息如圖3所示。

此時(shí)就會(huì)看到主機(jī)A的ping操作出現(xiàn)“請(qǐng)求超時(shí)“超時(shí)現(xiàn)象，此攻擊過程成功完成。 由于路由器的性能近些年來提升比較大，導(dǎo)致這類攻擊可能不會(huì)使路由與計(jì)算機(jī)的連接斷開，在計(jì)算機(jī)上看到的現(xiàn)象是ping的延遲增加。

2.4 Authentication Flood攻擊檢測(cè)

攻擊檢測(cè)也只可以通過常規(guī)的工具還完成，此處用Wireshark實(shí)現(xiàn)數(shù)據(jù)包監(jiān)控并分析判斷網(wǎng)絡(luò)請(qǐng)求超時(shí)或延遲增加是由當(dāng)前的Authentication Flood攻擊引起的。

如上述攻擊模擬實(shí)現(xiàn)過程中無線網(wǎng)卡配置一樣，載入驅(qū)動(dòng)程序并將無線網(wǎng)卡激活成monitor模式，監(jiān)聽頻道為1，再運(yùn)行相應(yīng)工具捕獲無線數(shù)據(jù)包。

主機(jī)C運(yùn)行 “Wireshark”，開啟Wireshark。配置 “mon0”設(shè)備最右側(cè)的“Opitons”按鈕選項(xiàng)，取消其中選擇“Capture packets in promiscuous mode”前的復(fù)選框，在“Capture Filter”中填入“ether host 無線路由的MAC地址”（ether host 14：75：90：9B：E9：38），點(diǎn)擊“Start”按鈕，隨即開始捕獲無線局域網(wǎng)數(shù)據(jù)，查看到的數(shù)據(jù)包，如圖4所示。

通過Wireshark捕獲到的數(shù)據(jù)可以檢測(cè)出，Authentication Flood攻擊過程中網(wǎng)內(nèi)攻擊主機(jī)偽造大量不同MAC地址與MAC地址為14：75：90：9B：E9：38終端的連接請(qǐng)求數(shù)據(jù)包，當(dāng)偽造數(shù)量達(dá)到一定數(shù)量時(shí)，就可以導(dǎo)致AP無法實(shí)現(xiàn)無線局域網(wǎng)內(nèi)正常用戶的服務(wù)，從而達(dá)到Authentication Flood攻擊的目的。

4 結(jié)束語

要解決無線網(wǎng)絡(luò)各協(xié)議層所存在的問題，需要采取使用技術(shù)和管理等多種手段綜合治理，更要提高自身的安全意識(shí)。本文通過闡述無線網(wǎng)絡(luò)應(yīng)用現(xiàn)狀及DoS攻擊原理概況，模擬搭建實(shí)驗(yàn)環(huán)境，完成Authentication Flood攻擊過程，針對(duì)這兩種攻擊過程中產(chǎn)生數(shù)據(jù)包的檢測(cè)與分析研究。目前，除去本文采用的Wireshark工具外，還有Snort-Wireless這樣的開源實(shí)時(shí)入侵檢測(cè)系統(tǒng)，可以通過其中的檢測(cè)方法深入開展此類攻擊的檢測(cè)分析研究。網(wǎng)絡(luò)安全問題是不斷發(fā)展的，隨著無線局域網(wǎng)的廣泛應(yīng)用及新型攻擊方式和攻擊技術(shù)的不斷涌現(xiàn)，需要不斷研究和完善相應(yīng)的安全機(jī)制，營(yíng)造良好的網(wǎng)絡(luò)使用環(huán)境。

參考文獻(xiàn)

[1] 莊緒強(qiáng).WLAN攻擊技術(shù)研究[D].西安電子科技大學(xué)，2011.

[2] 何敏.無線局域網(wǎng)環(huán)境下檢測(cè)工具的設(shè)計(jì)與實(shí)現(xiàn)[D].東南大學(xué)，2012.

[3] 焦立彬.無線入侵檢測(cè)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D].華中科技大學(xué)，2012.

[4] 夏彬.基于軟件定義網(wǎng)絡(luò)的WLAN中DDoS攻擊檢測(cè)和防護(hù)[D].上海交通大學(xué)， 2015-01.

[5] 張永錚等.DDoS攻擊檢測(cè)和控制方法[J].軟件學(xué)報(bào)，2012-05.

[6] 余秀迪， 徐德. 無線WiFi的安全與防護(hù)[J].信息通信，2015-06.endprint