新手艺get√ 你知道谁在攻击你的Wi-Fi吗？？？？？？？

宣布时间：2020-09-15

AGGAME·(中国区)集团官方网站

本文作者：郑小风（左）、林正亮（右）

最近小锐收到了某网点客户的反�。。。。。。。。�

“平板电脑在毗连网点内AP放出的信号时，，，，，，，，Wi-Fi总是自动断开毗连，，，，，，，，严重影响营业运行！”

AGGAME·(中国区)集团官方网站

听闻新闻，，，，，，，，小锐立马赶往客户现�。。。。。。。。�，，，，，，，迅速处置惩罚：

AGGAME·(中国区)集团官方网站

机智的小锐马上翻开Wi-Fi魔盒扫描周围情形滋扰情形，，，，，，，，发明情形相对较量清洁。。。。。。。。

既然云云，，，，，，，，先瞅一眼AP上相关日志再说，，，，，，，，通过日志上发明终端在发送认证关联报文之后，，，，，，，，马上又发出了大宗的解认证报文：

AGGAME·(中国区)集团官方网站 AP频仍收到终端解认证报文并打印日志

不但云云，，，，，，，，现场2.4G与5.8G频段所有终端关联时均保存这个征象，，，，，，，，小锐马上就意识到：

TIPS：反制手艺原理先容

AP反制有两种方法：

1、反制AP 在检测到正常的 AP 装备信息后，，，，，，，，仿冒正常的 AP 的bssid地点向终端发送解认证或者解关联报文。。。。。。。。无线终端收到这些报文后，，，，，，，，以为是正常的AP 要自动断开毗连，，，，，，，，于是就会断开Wi-Fi毗连。。。。。。。。

2、反制AP仿冒终端的mac向正常的AP发送解认证或者解关联报文，，，，，，，，正常的AP收到这些报文后，，，，，，，，以为终端要自动断开毗连，，，，，，，，于是就会断开与终端的Wi-Fi毗连。。。。。。。。

有了嫌疑偏向后，，，，，，，，小锐第一时间检查AC设置，，，，，，，，发明AC上设置了相关的反制下令，，，，，，，，为了扫除AP间自身相互影响，，，，，，，，先将现场反制AP功效关闭，，，，，，，，发明终端关联时依然保存自动断开的情形，，，，，，，，问题的排查陷入了僵局。。。。。。。。

(Tips：无线瘦AP放出beacon帧内里有个firendly flag，，，，，，，，又名友好标记位。。。。。。。。一样平常情形下，，，，，，，，上线在统一台AC的AP友好标记位默认是一样的，，，，，，，，不会相互反制。。。。。。。。）

AGGAME·(中国区)集团官方网站

这样的想法在脑中一闪而过，，，，，，，，小锐马上拿出了随身携带的空口抓包网卡，，，，，，，，在现场举行了空口抓包

通过空口抓包，，，，，，，，小锐发明了终端(MAC尾号：F057)从一个源地点收到多个Deauth报文。。。。。。。。（解认证）

再通过报文信号强度比照，，，，，，，，正常AP发出的Beacon报文信号强度高（-29dbm），，，，，，，，由于AP就在头顶；；；；；Deauth报文信号较量弱（-90dbm），，，，，，，，正常统一个AP发出的Beacon和Deauth报文信号强度差未几，，，，，，，，因此通过报文比照起源判断确实可能保存反制情形，，，，，，，，并且反制装备距离终端较远。。。。。。。。

AGGAME·(中国区)集团官方网站现场AP位置

既然问题相对明确了，，，，，，，，现场接下来要做的就是找出这个反制源了，，，，，，，，这可难不倒我小锐！

首先，，，，，，，，通过空口抓包软件omnipeek上设置好抓包前过滤条件，，，，，，，，只抓ap所在信道deauth报文。。。。。。。。设置好抓包前过滤条件之后，，，，，，，，拿着电脑，，，，，，，，在AP的四个偏向走动，，，，，，，，审查deauth报文的信号强度在哪个偏向信号相对较强，，，，，，，，然后往相对较强的偏向去查找。。。。。。。。

抓包设置过滤条件

AGGAME·(中国区)集团官方网站 Deauth报文信号强度

通过一直的走动测试，，，，，，，，最终将反制源锁定在了隔邻的一家网点内，，，，，，，，但网点未营业，，，，，，，，暂时无法举行相同，，，，，，，，这可让小锐为难了，，，，，，，，离胜利只差一步。。。。。。。。

那么......

突然，，，，，，，，小锐灵光一闪：这个反制源会不会只基于某些特定的信道举行反制，，，，，，，，把现场换成5.2G信道试试？？？？？？？说做就做，，，，，，，，将现场信道替换成36-64之后，，，，，，，，果真，，，，，，，，反制的征象消逝了，，，，，，，，终端能够正常关联并使用，，，，，，，，由此也可以确认反制源装备并非基于全信道反制。。。。。。。。

最终现场认真人体现另行找时间再上门与隔邻网点相同，，，，，，，，现场可以赞成先使用规避计划，，，，，，，，同时也表达了对小锐专业能力的认可。。。。。。。。

AGGAME·(中国区)集团官方网站

敲黑板，，，，，，，，划重点：

最后，，，，，，，，小锐再给大伙做一个辅助判断是否反制报文特征的手艺小结：

1 正常情形在某一个位置捕获到的统一个AP发出的治理帧的报文的信号强度是相近的，，，，，，，，若是保存deauth和disassoc报文的信号强度和该AP的其它治理�。。。。。。。。ㄈ鏱eacon,ack）的信号强度差别较大，，，，，，，，说明该deauth和disassoc报文可能是反制AP发出的报文。。。。。。。。

2 反制AP发送的解认证或者解关联报文大部分都是广播报文，，，，，，，，也有针对特定终端的单播反制。。。。。。。。

3 正常AP上设置禁用了低速率，，，，，，，，而空口抓包抓到的该AP的解认证或者解关联报文却是用低速率发送的，，，，，，，，说明可能是反制AP发出的报文。。。。。。。。

关注aggame官网