您订阅的产品有更新，请实时查阅
查看详情您订阅的产品有更新，请实时查阅
查看详情
颁布功夫：2020-09-15
本文作者：郑幼风（左）、林正亮（右）
最近幼锐收到了某网点客户的反。
“平板电脑在衔接网点内AP放出的信号时，Wi-Fi总是自动断开衔接，严沉影响业务运行！”
听闻新闻，幼锐立马赶往客户现场，火速处置：
机智的幼锐顿时打开Wi-Fi魔盒扫描周围环境滋扰情况，发现环境相对比力干净。
既然如此，先瞅一眼AP上有关日志再说，通过日志上发现终端在发送认证关联报文之后，顿时又发出了大量的解认证报文：
AP频仍收到终端解认证报文并打印日志
不仅如此，现场2.4G与5.8G频段所有终端关联时均存在这个景象，幼锐顿时就意识到：
TIPS：反造技术道理介绍
1、反造AP 在检测到正常的 AP 设备信息后，仿冒正常的 AP 的bssid地址向终端发送解认证或者解关联报文。无线终端收到这些报文后，以为是正常的AP 要自动断开衔接，因而就会断开Wi-Fi衔接。
2、反造AP仿冒终端的mac向正常的AP发送解认证或者解关联报文，正常的AP收到这些报文后，以为终端要自动断开衔接，因而就会断开与终端的Wi-Fi衔接。
有了疑惑方向后，幼锐第一功夫查抄AC配置，发现AC上配置了有关的反造号令，为了排除AP间自身相互影响，先将现场反造AP职能关关，发现终端关联时依然存在自动断开的情况，问题的排查陷入了僵局。
(Tips：无线瘦AP放出beacon帧里面有个firendly flag，别名敦睦标志位。通常情况下，上线在统一台AC的AP敦睦标志位默认是一样的，不会相互反造。）
这样的设法在脑中一闪而过，幼锐顿时拿出了随身携带的空口抓包网卡，在现场进行了空口抓包
通过空口抓包，幼锐发现了终端(MAC尾号：F057)从一个源地址收到多个Deauth报文。（解认证）
再通过报文信号强度对比，正常AP发出的Beacon报文信号强度高（-29dbm），由于AP就在头顶；Deauth报文信号比力弱（-90dbm），正常统一个AP发出的Beacon和Deauth报文信号强度差不多，因而通过报文对比初步判断的确可能存在反造情况，并且反造设备距离终端较远。
现场AP地位
既然问题相对明确了，现场接下来要做的就是找出这个反造源了，这可难不倒我幼锐！
首先，通过空口抓包软件omnipeek上设置好抓包前过滤前提，只抓ap地点信路deauth报文。设置好抓包前过滤前提之后，拿着电脑，在AP的四个方向走动，查看deauth报文的信号强度在哪个方向信号相对较强，而后往相对较强的方向去查找。
抓包设置过滤前提
Deauth报文信号强度
忽然，幼锐灵光一闪：这个反造源会不会只基于某些特定的信路进行反造，把现场换成5.2G信路试试？说做就做，将现场信路代替成36-64之后，居然，反造的景象隐没了，终端可能正常关联并使用，由此也能够确认反造源设备并非基于全信路反造。
最终现场掌管人暗示另行找功夫再上门与隔壁网点沟通，现场能够赞成先使用躲避规划，同时也表白了对幼锐专业能力的认可。
敲黑板，划沉点：
最后，幼锐再给大伙做一个辅助判断是否反造报文特点的技术幼结：
1 正常情况在某一个地位捕获到的统一个AP发出的治理帧的报文的信号强度是相近的，若是存在deauth和disassoc报文的信号强度和该AP的其它治理。ㄈ鏱eacon,ack）的信号强度差距较大，注明该deauth和disassoc报文可能是反造AP发出的报文。
2 反造AP发送的解认证或者解关联报文大部门都是广播报文，也有针对特定终端的单播反造。
3 正常AP上配置禁用了低速度，而空口抓包抓到的该AP的解认证或者解关联报文却是用低速度发送的，注明可能是反造AP发出的报文。
文档评价
