取消驗證洪水攻擊的原理與應(yīng)對措施
取消驗證洪水攻擊與洪水驗證攻擊一樣，都是無線網(wǎng)絡(luò)拒絕服務(wù)攻擊的一種形式。作為DOS攻擊途徑的一種，取消驗證洪水攻擊的破壞性是毋庸置疑的。我們曾經(jīng)介紹了關(guān)聯(lián)洪水攻擊以及驗證洪水攻擊。本篇文章將通過原理、步驟以及表現(xiàn)介紹取消驗證洪水攻擊，繼而引出防范措施。
1.取消驗證洪水攻擊原理及步驟
取消驗證洪水攻擊，國際上稱之為De-authenticationFloodAttack，全稱即取消身份驗證洪水攻擊或驗證阻斷洪水攻擊，通常被簡稱為Deauth攻擊，是無線網(wǎng)絡(luò)拒絕服務(wù)攻擊的一種形式，它旨在通過欺騙從AP到客戶端單播地址的取消身份驗證幀來將客戶端轉(zhuǎn)為未關(guān)聯(lián)的/未認(rèn)證的狀態(tài)。對于目前廣泛使用的無線客戶端適配器工具來說，這種形式的攻擊在打斷客戶端無線服務(wù)方面非常有效和快捷。一般來說，在攻擊者發(fā)送另一個取消身份驗證幀之前，客戶站會重新關(guān)聯(lián)和認(rèn)證以再次獲取服務(wù)。攻擊者反復(fù)欺騙取消身份驗證幀才能使所有客戶端持續(xù)拒絕服務(wù)。
需要說明的是，De-authenticationBroadcastAttack即取消身份驗證廣播攻擊和De-authenticationFloodAttack即取消身份驗證洪水攻擊原理基本一致，只是在發(fā)送程度及使用工具上有所區(qū)別，但前者很多時候用于配合進行無線中間人攻擊，而后者常用于純粹的無線D.O.S，所以很多不夠清楚的無線安全資料上會將兩者放在一起提及。
取消身份驗證洪水攻擊具體步驟如下：
攻擊者先通過掃描工具識別出預(yù)攻擊目標(biāo)(無線接入點和所有已連接的無線客戶端)。
通過偽造無線接入點和無線客戶端來將含有de-authentication幀注入到正常無線網(wǎng)絡(luò)通信。
此時，無線客戶端會認(rèn)為所有數(shù)據(jù)包均來自無線接入點。
在將指定無線客戶端“踢出”無線網(wǎng)絡(luò)后，攻擊者可以對其他客戶端進行同樣的攻擊，并可以持續(xù)進行以確保這些客戶端無法連接AP。
盡管客戶端會嘗試再次連接AP，但由于攻擊者的持續(xù)攻擊，將會很快被斷開。
下圖為筆者繪制的取消身份驗證洪水攻擊原理圖，可看到攻擊者對整個無線網(wǎng)絡(luò)發(fā)送了偽造的取消身份驗證報文。
2..取消驗證洪水攻擊表現(xiàn)形式及效果
攻擊者通過發(fā)送de-authentication取消驗證數(shù)據(jù)包文，達(dá)到中斷已連接無線客戶端正常無線通信的目的，并在持續(xù)大量發(fā)送此類報文基礎(chǔ)上，使得無線網(wǎng)絡(luò)一直處于癱瘓狀態(tài)。下面我們來看看相關(guān)工具及效果。
可以使用的工具有很多，比如在Linux下比較有名的MDK2/3，或者早一點的Void11等，在Windows下我們也可以使用aireplay-ng的其中一個參數(shù)配合實現(xiàn)。
3..取消驗證洪水攻擊應(yīng)對方法
保持定時監(jiān)控?zé)o線網(wǎng)絡(luò)的連接狀態(tài)，當(dāng)出現(xiàn)大量的Deauthentication請求，并且每個請求只存在很短時間就消失時，應(yīng)該立即開始使用Omnopeek等工具進行無線檢測其來源如MAC等。對于大型企業(yè)用戶，可以使用一些專業(yè)網(wǎng)絡(luò)工具配合來實現(xiàn)。
【編輯推薦】
