使用無(wú)線(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包對(duì)無(wú)線(xiàn)網(wǎng)絡(luò)安全進(jìn)行分析
本文闡述的是利用無(wú)線(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包來(lái)對(duì)無(wú)線(xiàn)網(wǎng)絡(luò)安全的正確分析，在無(wú)線(xiàn)網(wǎng)絡(luò)中，建立連接并不像連接有線(xiàn)網(wǎng)絡(luò)那樣簡(jiǎn)單，物理安全也沒(méi)有阻止未經(jīng)授權(quán)人員進(jìn)入設(shè)備室那樣容易，甚至在接入點(diǎn)總方向的小問(wèn)題都可能讓你崩潰。也就是說(shuō)，保護(hù)無(wú)線(xiàn)網(wǎng)絡(luò)安全將成為未來(lái)安全行業(yè)的挑戰(zhàn)。
在這篇文章中，我們將探討解決利用數(shù)據(jù)包分析無(wú)線(xiàn)安全問(wèn)題的實(shí)用技巧，首先我們將展示正確連接無(wú)線(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包的方法，收集到正確數(shù)據(jù)后，我們將探討不同的分析技術(shù)，包括分析WEP/WPA認(rèn)證、過(guò)濾加密流量以及尋找惡意接入點(diǎn)等。
捕獲無(wú)線(xiàn)數(shù)據(jù)包
從數(shù)據(jù)包來(lái)看，無(wú)線(xiàn)網(wǎng)絡(luò)與有線(xiàn)網(wǎng)絡(luò)在很多方面都具有相似之處，無(wú)線(xiàn)網(wǎng)絡(luò)仍然使用TCP/IP進(jìn)行數(shù)據(jù)通信，并遵守與有線(xiàn)主機(jī)同樣的有關(guān)網(wǎng)絡(luò)的法律。這兩種網(wǎng)絡(luò)平臺(tái)的主要區(qū)別出現(xiàn)在OSI模型的較低層，無(wú)線(xiàn)網(wǎng)絡(luò)是通過(guò)在空中發(fā)送數(shù)據(jù)來(lái)通信，而不是通過(guò)數(shù)據(jù)線(xiàn)來(lái)發(fā)送數(shù)據(jù)。無(wú)線(xiàn)數(shù)據(jù)通信的媒介是共享的媒介，也正是因?yàn)檫@種特殊性，在物理和數(shù)據(jù)鏈接層必須進(jìn)行特殊處理以確保不會(huì)發(fā)生數(shù)據(jù)沖突并且數(shù)據(jù)能夠正確傳輸。這些服務(wù)由802.11標(biāo)準(zhǔn)的不同機(jī)制來(lái)提供。
這涉及到排除無(wú)線(xiàn)網(wǎng)絡(luò)故障的問(wèn)題，因?yàn)楸仨毑东@兩層802.11信息才能支持故障排除。為了做到這一點(diǎn)，你必須能夠?qū)o(wú)線(xiàn)網(wǎng)絡(luò)接口卡(WNIC)接入到特殊模式，也就是監(jiān)視器模式。監(jiān)視器模式市一中特殊的驅(qū)動(dòng)程序設(shè)置，限制了無(wú)線(xiàn)網(wǎng)絡(luò)接口卡發(fā)送數(shù)據(jù)的能力，讓無(wú)線(xiàn)網(wǎng)絡(luò)接口卡只能被動(dòng)地聽(tīng)取選定的頻道。
在Linux操作系統(tǒng)，我們可以很簡(jiǎn)單地將無(wú)線(xiàn)網(wǎng)絡(luò)接口卡轉(zhuǎn)變?yōu)楸O(jiān)視器模式，但是大部分Windows驅(qū)動(dòng)程序都不允許這個(gè)功能。因此，我們需要一塊特殊的硬件來(lái)實(shí)現(xiàn)模式轉(zhuǎn)換。這塊硬件被成為AirPcap，由CACE技術(shù)公司所制作。AirPcap設(shè)備本質(zhì)上是一個(gè)無(wú)線(xiàn)網(wǎng)絡(luò)接口卡，主要用于Windows操作系統(tǒng)和Wireshark數(shù)據(jù)包捕獲工具中的監(jiān)視器模式。使用這個(gè)設(shè)備，你可以從你想要收聽(tīng)的無(wú)線(xiàn)頻道捕獲兩層802.11信息。
數(shù)據(jù)包結(jié)構(gòu)
無(wú)線(xiàn)數(shù)據(jù)包和有線(xiàn)數(shù)據(jù)包的主要區(qū)別在于802.11表頭的增加，這是一個(gè)第二層表頭，包含關(guān)于數(shù)據(jù)包和傳輸媒介的額外信息。主要有三種類(lèi)型的802.11數(shù)據(jù)包：數(shù)據(jù)、管理和控制。
管理 - 這些數(shù)據(jù)包用于建立第二層主機(jī)間的連接，一些重要的管理數(shù)據(jù)包子類(lèi)型報(bào)告身份驗(yàn)證數(shù)據(jù)包、關(guān)聯(lián)數(shù)據(jù)包和Beacon數(shù)據(jù)包。
控制 - 控制數(shù)據(jù)包允許對(duì)管理數(shù)據(jù)包和數(shù)據(jù)數(shù)據(jù)包的傳遞，并于擁塞管理有關(guān)。常見(jiàn)子類(lèi)型包括請(qǐng)求到發(fā)送和清除到發(fā)送數(shù)據(jù)包。
數(shù)據(jù) - 這些數(shù)據(jù)包包含實(shí)際數(shù)據(jù)，并且是能夠從無(wú)線(xiàn)網(wǎng)絡(luò)轉(zhuǎn)發(fā)到有線(xiàn)網(wǎng)絡(luò)的唯一數(shù)據(jù)包類(lèi)型。
探討每種802.11數(shù)據(jù)包子類(lèi)型有點(diǎn)偏離本文主題，下面我們?cè)賹⒅攸c(diǎn)放在安全方面的無(wú)線(xiàn)網(wǎng)絡(luò)問(wèn)題。
尋找惡意接入點(diǎn)
IT資產(chǎn)的物理安全是無(wú)線(xiàn)網(wǎng)絡(luò)安全領(lǐng)域最常被忽視的問(wèn)題。而在這個(gè)方面，最常見(jiàn)的疏漏之一就是將未經(jīng)授權(quán)設(shè)備增加到網(wǎng)絡(luò)上。在有線(xiàn)網(wǎng)絡(luò)世界，未經(jīng)授權(quán)的路由器可能會(huì)導(dǎo)致拒絕服務(wù)攻擊。雖然有線(xiàn)網(wǎng)絡(luò)世界未經(jīng)授權(quán)設(shè)備會(huì)造成嚴(yán)重后果，但惡意無(wú)線(xiàn)接入點(diǎn)(WAP)的影響則更大，因?yàn)閻阂鉄o(wú)線(xiàn)接入點(diǎn)可能會(huì)允許設(shè)備外的人員獲取到網(wǎng)絡(luò)的訪(fǎng)問(wèn)權(quán)限，就像他們可以隨意走進(jìn)來(lái)，將筆記本連接到網(wǎng)絡(luò)中一樣。
幸運(yùn)的是，檢測(cè)惡意無(wú)線(xiàn)接入點(diǎn)可以以相當(dāng)簡(jiǎn)單的方式實(shí)現(xiàn)。為了實(shí)現(xiàn)這一點(diǎn)，你必須首先從網(wǎng)絡(luò)廣播范圍內(nèi)的幾個(gè)區(qū)域捕獲無(wú)線(xiàn)流量。然后，有幾個(gè)不同的過(guò)濾器可以用于確定是否存在惡意接入點(diǎn)以及客戶(hù)端是否與惡意接入點(diǎn)通信。
最簡(jiǎn)單的方法之一就是知道已知合法接入點(diǎn)的MAC地址，使用這個(gè)信息，你可以輸入過(guò)濾器!wlan.bssid == 00:11:88:6b:68:30，將你實(shí)際的接入點(diǎn)MAC地址取代上述的樣本地址。這樣做將會(huì)向你展示所有發(fā)送到或者發(fā)送自所有接入點(diǎn)的無(wú)線(xiàn)流量，而不是指定接入點(diǎn)。如果你在這個(gè)區(qū)域有一個(gè)以上的接入點(diǎn)，你可以使用OR (||)運(yùn)算符來(lái)結(jié)合這些過(guò)濾器。在這種情況下，你可以使用類(lèi)似!wlan.bssid == 00:11:88:6b:68:30 || !wlan.bssid == 00:11:ff:a1:a4:22來(lái)過(guò)濾出兩個(gè)已知合法接入點(diǎn)。
這種方法通?？梢哉页鼋尤朦c(diǎn)，但如果你想更加深入地找到實(shí)際連接到惡意無(wú)線(xiàn)接入點(diǎn)的移動(dòng)工作站呢?其中一個(gè)方法就是過(guò)濾重新關(guān)聯(lián)請(qǐng)求。這樣的話(huà)，你可以將前面的過(guò)濾器與wlac.fc.type_subtype eq 0和wlac.fc.type_subtype eq 2結(jié)合。第一個(gè)過(guò)濾器將會(huì)顯示所有關(guān)聯(lián)請(qǐng)求，第二個(gè)將會(huì)顯示重新關(guān)聯(lián)請(qǐng)求。必要情況下，你可以使用AND (&&)運(yùn)算符將前面的過(guò)濾器與其中任一個(gè)過(guò)濾器結(jié)合。
最后，你可以再進(jìn)一步確定在移動(dòng)客戶(hù)端和惡意無(wú)線(xiàn)接入點(diǎn)之間是否有任何實(shí)際數(shù)據(jù)傳輸。你可以通過(guò)過(guò)濾器 wlan.fc.type eq 2以及前面的排除已知合法接入點(diǎn)的過(guò)濾器對(duì)所有在非合法接入點(diǎn)通信的數(shù)據(jù)包進(jìn)行過(guò)濾。
過(guò)濾未加密流量
當(dāng)數(shù)據(jù)包通過(guò)空氣傳輸時(shí)，保護(hù)數(shù)據(jù)包不被泄漏的唯一辦法就是部署某種類(lèi)型的加密技術(shù)。這通常是通過(guò)在現(xiàn)代系統(tǒng)中部署WPA或WPA2來(lái)實(shí)現(xiàn)的。當(dāng)然，經(jīng)常審查無(wú)線(xiàn)網(wǎng)絡(luò)和確保沒(méi)有無(wú)線(xiàn)客戶(hù)端以未加密模式傳遞數(shù)據(jù)也是很好的安全做法。但是數(shù)據(jù)包泄漏還是可能發(fā)生，例如當(dāng)WAP被錯(cuò)誤配置，存在惡意WAP或者兩個(gè)無(wú)線(xiàn)客戶(hù)端可以直接以特殊模式通信時(shí)。
在無(wú)線(xiàn)網(wǎng)絡(luò)中尋找未加密數(shù)據(jù)需要使用另一種過(guò)濾器。在這種情況下，我們可以使用wlan.fc.protected == 0過(guò)濾器來(lái)找到所有包含未加密數(shù)據(jù)的數(shù)據(jù)包?，F(xiàn)在，如果你使用這個(gè)過(guò)濾器會(huì)發(fā)現(xiàn)它會(huì)返回一些意想不到的結(jié)果。802.11控制和管理框架沒(méi)有加密，因?yàn)橹粸閃AP和無(wú)線(xiàn)客戶(hù)端執(zhí)行管理功能。在這種情況下，我們必須增加wlan.fc.type eq 2來(lái)延展過(guò)濾器，這將能夠確保過(guò)濾器只顯示未加密數(shù)據(jù)數(shù)據(jù)包。最終的過(guò)濾器形式應(yīng)該是wlan.fc.protected == 0 && wlan.fc.type eq 2。
分析WEP和WPA身份驗(yàn)證
最開(kāi)始保護(hù)無(wú)線(xiàn)網(wǎng)絡(luò)傳輸數(shù)據(jù)的首選方法是WEP(有效等效保密)。WEP曾經(jīng)叱咤風(fēng)云，直到在它的加密密鑰管理中發(fā)現(xiàn)幾個(gè)漏洞。正因?yàn)榇?，新?biāo)準(zhǔn)才應(yīng)運(yùn)而生，包括WPA和WPA2標(biāo)準(zhǔn)，雖然WPA及其更無(wú)線(xiàn)網(wǎng)絡(luò)安全版本W(wǎng)PA2也存在問(wèn)題，但它們要比WEP安全得多。
能夠區(qū)別WEP和WPA是非常實(shí)用的技能，如果你能夠做到這一點(diǎn)，你將能夠發(fā)現(xiàn)網(wǎng)絡(luò)中應(yīng)該是WPA的WEP身份驗(yàn)證。除此之外，你還將能夠分析失敗驗(yàn)證嘗試。
WEP身份驗(yàn)證
WEP身份驗(yàn)證是通過(guò)使用挑戰(zhàn)/響應(yīng)機(jī)制來(lái)運(yùn)作的。當(dāng)客戶(hù)端試圖連接到WAP時(shí)，WAP就會(huì)出現(xiàn)挑戰(zhàn)文本。該挑戰(zhàn)被獲知后，客戶(hù)端就會(huì)獲取該文本，使用客戶(hù)端提供的WEP進(jìn)行加密，然后將產(chǎn)生的字符串傳回WAP。
一旦WAP驗(yàn)證了響應(yīng)文本的正確性，它就會(huì)向客戶(hù)端傳回一個(gè)信息，告知它身份驗(yàn)證過(guò)程已經(jīng)完成。過(guò)濾器找到成功認(rèn)證答復(fù)是wlan_mgt.fixed.status_code == 0x0000。
如果身份驗(yàn)證沒(méi)有成功的話(huà)，WAP將會(huì)發(fā)出一條信息表示“收到包含身份驗(yàn)證序列的身份驗(yàn)證框架，交易序列號(hào)錯(cuò)誤”。
過(guò)濾器獲取失敗通知數(shù)據(jù)包：wlan_mgt.fixed.status_code == 0x000e.
WPA身份驗(yàn)證
WPA身份驗(yàn)證也是使用挑戰(zhàn)/響應(yīng)機(jī)制，但是運(yùn)作方式完全不同。在數(shù)據(jù)包級(jí)別，WPA身份驗(yàn)證使用EAPOL來(lái)執(zhí)行它的挑戰(zhàn)/響應(yīng)。你可以使用簡(jiǎn)單的過(guò)濾器EAPOL來(lái)找到這些數(shù)據(jù)包。在成功的身份驗(yàn)證中，你通?？梢钥吹剿膫€(gè)EAPOL數(shù)據(jù)包，分別代表兩個(gè)挑戰(zhàn)和響應(yīng)，包含四個(gè)完整的數(shù)據(jù)包。每個(gè)挑戰(zhàn)和響應(yīng)都可以在數(shù)據(jù)包內(nèi)使用Replay Counter值來(lái)搭配。
當(dāng)WPA驗(yàn)證失敗時(shí)，你將需要更多的EAPOL數(shù)據(jù)包，挑戰(zhàn)/響應(yīng)被嘗試更多次。如果這個(gè)過(guò)程最終失敗的話(huà)，你應(yīng)該會(huì)看到取消驗(yàn)證數(shù)據(jù)包。
有兩種過(guò)濾失效WPA驗(yàn)證的方法，第一種就是使用EAPOL過(guò)濾器，計(jì)算WAP和無(wú)線(xiàn)客戶(hù)端間傳輸?shù)臄?shù)據(jù)包數(shù)量。另外一個(gè)方法就是使用wlan.fc.type_subtype == 0x0c過(guò)濾器取消驗(yàn)證數(shù)據(jù)包。這將會(huì)返回很多與失敗驗(yàn)證不相關(guān)的多余結(jié)果，因此為了驗(yàn)證數(shù)據(jù)包與此相關(guān)，你將需要深入挖掘，并創(chuàng)建另一個(gè)圍繞WAP和無(wú)線(xiàn)客戶(hù)端間所有數(shù)據(jù)包的過(guò)濾器。
結(jié)論
在本文中，我們探討了一些基本無(wú)線(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包捕獲具體問(wèn)題，并展示了無(wú)線(xiàn)網(wǎng)絡(luò)安全中不同數(shù)據(jù)包分析應(yīng)用。無(wú)線(xiàn)網(wǎng)絡(luò)、無(wú)線(xiàn)安全和數(shù)據(jù)包分析是非常廣泛的話(huà)題，希望本文能夠有助于大家進(jìn)一步深入研究這個(gè)領(lǐng)域。
【編輯推薦】
