取消驗(yàn)證洪水攻擊與洪水驗(yàn)證攻擊一樣，都是無線網(wǎng)絡(luò)拒絕服務(wù)攻擊的一種形式。作為DOS攻擊途徑的一種，取消驗(yàn)證洪水攻擊的破壞性是毋庸置疑的。我們?cè)?jīng)介紹了關(guān)聯(lián)洪水攻擊以及驗(yàn)證洪水攻擊。本篇文章將通過原理、步驟以及表現(xiàn)介紹取消驗(yàn)證洪水攻擊，繼而引出防范措施。

1.取消驗(yàn)證洪水攻擊原理及步驟

取消驗(yàn)證洪水攻擊，國際上稱之為De-authenticationFloodAttack，全稱即取消身份驗(yàn)證洪水攻擊或驗(yàn)證阻斷洪水攻擊，通常被簡(jiǎn)稱為Deauth攻擊，是無線網(wǎng)絡(luò)拒絕服務(wù)攻擊的一種形式，它旨在通過欺騙從AP到客戶端單播地址的取消身份驗(yàn)證幀來將客戶端轉(zhuǎn)為未關(guān)聯(lián)的/未認(rèn)證的狀態(tài)。對(duì)于目前廣泛使用的無線客戶端適配器工具來說，這種形式的攻擊在打斷客戶端無線服務(wù)方面非常有效和快捷。一般來說，在攻擊者發(fā)送另一個(gè)取消身份驗(yàn)證幀之前，客戶站會(huì)重新關(guān)聯(lián)和認(rèn)證以再次獲取服務(wù)。攻擊者反復(fù)欺騙取消身份驗(yàn)證幀才能使所有客戶端持續(xù)拒絕服務(wù)。

需要說明的是，De-authenticationBroadcastAttack即取消身份驗(yàn)證廣播攻擊和De-authenticationFloodAttack即取消身份驗(yàn)證洪水攻擊原理基本一致，只是在發(fā)送程度及使用工具上有所區(qū)別，但前者很多時(shí)候用于配合進(jìn)行無線中間人攻擊，而后者常用于純粹的無線D.O.S，所以很多不夠清楚的無線安全資料上會(huì)將兩者放在一起提及。

取消身份驗(yàn)證洪水攻擊具體步驟如下：

攻擊者先通過掃描工具識(shí)別出預(yù)攻擊目標(biāo)(無線接入點(diǎn)和所有已連接的無線客戶端)。

通過偽造無線接入點(diǎn)和無線客戶端來將含有de-authentication幀注入到正常無線網(wǎng)絡(luò)通信。

此時(shí)，無線客戶端會(huì)認(rèn)為所有數(shù)據(jù)包均來自無線接入點(diǎn)。

在將指定無線客戶端“踢出”無線網(wǎng)絡(luò)后，攻擊者可以對(duì)其他客戶端進(jìn)行同樣的攻擊，并可以持續(xù)進(jìn)行以確保這些客戶端無法連接AP。

盡管客戶端會(huì)嘗試再次連接AP，但由于攻擊者的持續(xù)攻擊，將會(huì)很快被斷開。

下圖為筆者繪制的取消身份驗(yàn)證洪水攻擊原理圖，可看到攻擊者對(duì)整個(gè)無線網(wǎng)絡(luò)發(fā)送了偽造的取消身份驗(yàn)證報(bào)文。

2..取消驗(yàn)證洪水攻擊表現(xiàn)形式及效果

攻擊者通過發(fā)送de-authentication取消驗(yàn)證數(shù)據(jù)包文，達(dá)到中斷已連接無線客戶端正常無線通信的目的，并在持續(xù)大量發(fā)送此類報(bào)文基礎(chǔ)上，使得無線網(wǎng)絡(luò)一直處于癱瘓狀態(tài)。下面我們來看看相關(guān)工具及效果。

可以使用的工具有很多，比如在Linux下比較有名的MDK2/3，或者早一點(diǎn)的Void11等，在Windows下我們也可以使用aireplay-ng的其中一個(gè)參數(shù)配合實(shí)現(xiàn)。

3..取消驗(yàn)證洪水攻擊應(yīng)對(duì)方法

保持定時(shí)監(jiān)控?zé)o線網(wǎng)絡(luò)的連接狀態(tài)，當(dāng)出現(xiàn)大量的Deauthentication請(qǐng)求，并且每個(gè)請(qǐng)求只存在很短時(shí)間就消失時(shí)，應(yīng)該立即開始使用Omnopeek等工具進(jìn)行無線檢測(cè)其來源如MAC等。對(duì)于大型企業(yè)用戶，可以使用一些專業(yè)網(wǎng)絡(luò)工具配合來實(shí)現(xiàn)。
 

【編輯推薦】

1. 淺析DOS關(guān)聯(lián)洪水攻擊
2. 驗(yàn)證洪水攻擊的原理與應(yīng)對(duì)方法
3. 防火墻安全測(cè)試之日志分析工具
4. 淺析各類DDOS防火墻應(yīng)對(duì)攻擊時(shí)的表現(xiàn)
5. 實(shí)例體驗(yàn)自造DDOS硬件防火墻