您订阅的产品有更新，，，， ，请实时查阅
查看详情您订阅的产品有更新，，，， ，请实时查阅
查看详情
颁布功夫：2020-09-15
本文作者：郑幼风（左）、林正亮（右）
最近幼锐收到了某网点客户的反馈。。。。 。
“平板电脑在衔接网点内AP放出的信号时，，，， ，Wi-Fi总是自动断开衔接，，，， ，严沉影响业务运行！”
听闻新闻，，，， ，幼锐立马赶往客户现场，，，， ，火速处置：
机智的幼锐顿时打开Wi-Fi魔盒扫描周围环境滋扰情况，，，， ，发现环境相对比力干净。。。。。 。
既然如此，，，， ，先瞅一眼AP上有关日志再说，，，， ，通过日志上发现终端在发送认证关联报文之后，，，， ，顿时又发出了大量的解认证报文：
AP频仍收到终端解认证报文并打印日志
不仅如此，，，， ，现场2.4G与5.8G频段所有终端关联时均存在这个景象，，，， ，幼锐顿时就意识到：
TIPS：反造技术道理介绍
1、反造AP 在检测到正常的 AP 设备信息后，，，， ，仿冒正常的 AP 的bssid地址向终端发送解认证或者解关联报文。。。。。 。无线终端收到这些报文后，，，， ，以为是正常的AP 要自动断开衔接，，，， ，因而就会断开Wi-Fi衔接。。。。。 。
2、反造AP仿冒终端的mac向正常的AP发送解认证或者解关联报文，，，， ，正常的AP收到这些报文后，，，， ，以为终端要自动断开衔接，，，， ，因而就会断开与终端的Wi-Fi衔接。。。。。 。
有了疑惑方向后，，，， ，幼锐第一功夫查抄AC配置，，，， ，发现AC上配置了有关的反造号令，，，， ，为了排除AP间自身相互影响，，，， ，先将现场反造AP职能关关，，，， ，发现终端关联时依然存在自动断开的情况，，，， ，问题的排查陷入了僵局。。。。。 。
(Tips：无线瘦AP放出beacon帧里面有个firendly flag，，，， ，别名敦睦标志位。。。。。 。通常情况下，，，， ，上线在统一台AC的AP敦睦标志位默认是一样的，，，， ，不会相互反造。。。。。 。）
这样的设法在脑中一闪而过，，，， ，幼锐顿时拿出了随身携带的空口抓包网卡，，，， ，在现场进行了空口抓包
通过空口抓包，，，， ，幼锐发现了终端(MAC尾号：F057)从一个源地址收到多个Deauth报文。。。。。 。（解认证）
再通过报文信号强度对比，，，， ，正常AP发出的Beacon报文信号强度高（-29dbm），，，， ，由于AP就在头顶；；；；；；；Deauth报文信号比力弱（-90dbm），，，， ，正常统一个AP发出的Beacon和Deauth报文信号强度差不多，，，， ，因而通过报文对比初步判断的确可能存在反造情况，，，， ，并且反造设备距离终端较远。。。。。 。
现场AP地位
既然问题相对明确了，，，， ，现场接下来要做的就是找出这个反造源了，，，， ，这可难不倒我幼锐！
首先，，，， ，通过空口抓包软件omnipeek上设置好抓包前过滤前提，，，， ，只抓ap地点信路deauth报文。。。。。 。设置好抓包前过滤前提之后，，，， ，拿着电脑，，，， ，在AP的四个方向走动，，，， ，查看deauth报文的信号强度在哪个方向信号相对较强，，，， ，而后往相对较强的方向去查找。。。。。 。
抓包设置过滤前提
Deauth报文信号强度
忽然，，，， ，幼锐灵光一闪：这个反造源会不会只基于某些特定的信路进行反造，，，， ，把现场换成5.2G信路试试 ？？？？？说做就做，，，， ，将现场信路代替成36-64之后，，，， ，居然，，，， ，反造的景象隐没了，，，， ，终端可能正常关联并使用，，，， ，由此也能够确认反造源设备并非基于全信路反造。。。。。 。
最终现场掌管人暗示另行找功夫再上门与隔壁网点沟通，，，， ，现场能够赞成先使用躲避规划，，，， ，同时也表白了对幼锐专业能力的认可。。。。。 。
敲黑板，，，， ，划沉点：
最后，，，， ，幼锐再给大伙做一个辅助判断是否反造报文特点的技术幼结：
1 正常情况在某一个地位捕获到的统一个AP发出的治理帧的报文的信号强度是相近的，，，， ，若是存在deauth和disassoc报文的信号强度和该AP的其它治理帧。。。。 。ㄈ鏱eacon,ack）的信号强度差距较大，，，， ，注明该deauth和disassoc报文可能是反造AP发出的报文。。。。。 。
2 反造AP发送的解认证或者解关联报文大部门都是广播报文，，，， ，也有针对特定终端的单播反造。。。。。 。
3 正常AP上配置禁用了低速度，，，， ，而空口抓包抓到的该AP的解认证或者解关联报文却是用低速度发送的，，，， ，注明可能是反造AP发出的报文。。。。。 。
文档评价
