WIPS产品到底能不能堵上最强Wi-Fi 漏洞?这里有一场精彩的红蓝对抗
作者:360天马安全团队 & 360天巡实验室
近日,有安全研究员披露 WPA2 协议层中存在逻辑缺陷,几乎所有支持 Wi-Fi 的设备都面临威胁,其传输的数据存在被嗅探、篡改的风险。攻击者可获取 Wi-Fi网络中的数据信息,如信用卡、邮件、账号、照片等,危害巨大。对于用户而言,应该关注设备厂商安全公告,及时更新修补漏洞。而对于企业而言,除了督促员工尽快更新设备外,还可以利用WIPS 产品来帮助抵御 KRACK 攻击等无线安全攻击威胁,保护企业内部的 WiFI 设备安全。
本文将以KRACK攻击为例,介绍 WIPS 产品为何能快速支持 KRACK 攻击检测并进行防御,进行了编辑整理。
一.什么是WIPS
WIPS(无线入侵防御系统)是针对企业无线应用环境的安全威胁发现与防护系统,通过将无线通信技术、无线攻防、数据分析与挖掘等技术相结合,确保企业的无线网络边界安全、可控。
较为出名的 WAIDPS,便是一款由 Python 编写的无线入侵检测工具,基于Linux平台,完全开源。它可以探测包括 WEP/WPA/WPS在内的无线入侵&攻击方式,并可以收集周边WiFi相关的所有信息。
1.WIPS(无线入侵防御系统)基本架构
WIPS 通常采用采用 B/S 或者 C/S架构,收发引擎分布式部署在企业办公环境中,将收集到的热点信息传给中控服务器。管理员通过通过管理平台查看企业内部热点信息,对捕获到的攻击行为进行告警,并对恶意、违规的热点进行阻断。
2.基本功能
利用 WIPS 产品可以查看并管理企业内可信热点、未知热点;识别并告警可疑攻击行为;快速响应WiFi攻击及威胁事件。能够有效防止恶意热点、未知及外部热点、伪造热点、未授权移动终端等可能带来的安全隐患,从而保护企业的无线网络安全。
分布式部署在企业办公环境中的收发引擎将会回收整个区域内所有 802.11 原始数据并进行分析识别,如:
● 热点、客户端识别
■ 回收热点、客户端BSSID、ESSID、PWR、OUI & Loc等信息。
■ 判断并标记恶意热点、未授权热点、错误配置热点(弱密码、有漏洞的加密协议)。
■ 发现客户端未授权连接。
■ ..
● 攻击行为识别
■ 检测MDK3去认证攻击
■ 检测伪造合法热点攻击
■ 检测伪造MAC地址攻击
■ 检测Aircrack-NG无线破解攻击
■ ..
3.无线攻击识别规则
由于后文对 KRACK 攻击的检测方法涉及检测伪造热点,此处便以此为例进行说明。
伪造热点攻击(Evil-Twin)是众多无线攻击方法中,成本较低、效果较好的一种,因此及时地发现并阻断钓鱼热点是非常必要的。常见的伪造热点攻击检测方法有:热点常规信息检测、登录凭证验证检测、时钟偏差检测等方式。
● 常规信息检测
利用目标 AP 的 Beacon、Interval、SSID、Channel 及其他无线信息进行比较得出判断。
● 凭证验证检测
利用 AP 登记保存的凭证信息向目标设备发起连接,若成功再用错误密码尝试连接,若提示错误则证明是合法热点。
● 时钟偏差检测等方式
通过计算两个相邻信标帧之间的 timestamp 间隔差异,即时钟偏差,与预先设定的阈值进行比较来检测伪 AP。如果 AP的时钟偏差值与特征库中储存的偏差值不一样,则可认定这个 AP 为一个无线钓鱼 AP。
▲如上图就是一个 Python 利用 Scapy 模块以实现通过时钟偏差检测识别钓鱼热点的示例
二.KRACK攻击原理分析
本次的 WPA2“密钥重装攻击”,基本原理为:利用 WPA协议层中的逻辑缺陷,多次重传握手过程中的消息3从而导致重放随机数和重播计数器,为攻击者提供了利用条件。
在协议标准中还存在一条危险的注释“一旦安装后,就可从内存中清除加密密钥”,若按此注释进行实现,在密钥重装攻击时会从内存中取回已经被0覆盖的 key值,从而导致客户端安装了值全为零的秘钥。而使用了含漏洞 wpa_supplicant 版本的 Linux 及 Android 设备便因此遭受严重威胁。
1.KRACK攻击利用方式(攻击视频分析)
①首先测试设备连接真实的 testnetwork 网络↓↓↓
②开启 WireShark 监听并在稍后被设为钓鱼热点的网卡↓↓↓
③攻击演示:
真实热点 Real AP:
SSID:testnetwork
Mac:bc:ae:c5:88:8c:20
Channel:6
被攻击客户端 Target:
SSID: 90:18:7c:6e:6b:20
伪造同名同 MAC 热点(Rouge AP):
SSID: testnetwork
Mac:bc:ae:c5:88:8c:20
Channel:1(信道不同)
▲注入CSA beacon pairs 将客户端信道变为1,也就是迫使客户端Target与RougeAP通信。伪AP向目标Target发送Disassociate数据包,使其解除关联。
④利用网卡建立目标 AP 的伪造热点,迫使客户端连接到伪造热点上。此时设备经历重连,WiFI 状态为正在认证。
当目标 targe 与真实 AP 完成认证过程,准备发起连接时,注入CSA beacon pairs,使信道切换到 Channel 1实施中间人攻击,同时客户端状态保持在 State 2,接下来开始发送四次握手中的 Message 3,实施密钥重新安装(Key ReinstallationAttack)攻击。
⑤此时密钥重装攻击已经执行成功,客户端已连接上伪造热点:
⑥在此伪造热点中,被攻击端所有流量皆可被嗅探、篡改;演示视频中使用经典的 MITM 工具 sslstrip 对 HTTPS进行降级,便可获取用户传输的明文账号信息。
2.检测KRACK的几种途径
之前有讲到 KRACK 的攻击原理,根据现有 KRACK 的 Demo来看,攻击者的主要利用方式为:在被攻击客户端与正常AP建立连接时,攻击代码(POC)“克隆”了被攻击客户端所连接的AP,建立了一个相同BSSID、ESSID,但 Channel 不同的热点;通过发送 Disassociate Frame迫使被攻击客户端解除关联,此时设备经历重连;准备重新与正常AP发起连接时,注入CSA beacon pairs(Channel SwitchAnnouncement),使信道切换到恶意AP所在信道,实施中间人攻击;同时客户端状态保持在State2(通过对访问点进行身份验证的身份验证状态),接下来开始发送四次握手中的Message 3,实施密钥重新安装(Key ReinstallationAttack)攻击,即可与伪AP建立正常连接通信。
根据以上攻击流程,我们分析便得出 KRACK 现有的攻击方式特征,并能据此添加对 KRACK 攻击进行检测:
1. 建立同 ESSID、BSSID 但不同Channel 的 Rouge AP;
2. 向客户端发送异常 Deauth/Disassociate Frame;
3. 重新发送四次握手中的 message3 强制重置 nonce,相同IV;
4. Sequence Number 和 Timestamp 乱序;
5. Client 在建立握手的时候切换 Channel;
三.红蓝对抗演示
作为使用 WPA2协议设备的用户来说,官方的解决方案是等待协议漏洞的修复与厂家设备的升级。在企业环境中,能否将无线防护的主动权掌握在自己手中呢。安全专家的建议是企业应合理部署WIPS,但是WIPS能否抵御这种突如其来的无线安全威胁呢?
在详细分析了黑客的攻击过程后,天巡实验室准备进行一场红黑对抗,一组扮演黑客模拟相同的攻击手段进行无线攻击;另一组实验人员扮演企业管理员进行无线防护,同时在实验环境内部署WIPS,测试 WIPS的防御效果。
1. 首先建立 testnetwork热点,企业用户连接该热点并通过认证后可访问企业内网资源;通过WIPS管理员可直观了解该热点的设备属性和安全属性,包括热点ESSID、BSSID、热点厂商、频道和加密方式等等。
2. 然后黑客伪造与 testnetwork相同名称及配置的热点,尝试欺骗用户连接;此时企业无线网络环境中同时出现了两个热点,非专业人员根本无法识别哪个是企业自建热点,哪个是非法的钓鱼热点。可以看到此时非法热点已经被WIPS 识别出来并阻断,当前连接终端数为“无”。
3. 与此同时 WIPS 也第一时间向管理员通报伪造合法热点攻击事件的发生及处理情况。WIPS 的及时响应为管理员在突发情况发生时争取了更多的处置时间。
4.黑客为了使其他终端连接非法热点简直无所不用其极,泛洪终端拒绝服务攻击是成本最低也是最见效的方式。该种攻击方式可断开所有终端与合法热点的连接,在其他场景也可以干扰公共网络终端与热点的连接,造成网络瘫痪。此时WIPS 系统能够发现此类攻击,在提供处理建议的同时,还能定位攻击发生的具体位置,管理员可实地排查是否有可疑人员。
5. 可以说黑客的攻击行踪已经完全暴露在 WIPS 之下,原本看不见摸不着的无线威胁,透过 WIPS的映射逐渐变得清晰。还不知道发生了什么的黑客继续他的攻击,黑客通过收集和重放重新发送四次握手中的Message3 强制重置nonce,从而成功攻击加密协议,解密客户端发送通信数据包,截获敏感信息。但是此时WIPS系统已经监测到该攻击,并对实施钓鱼的热点进行了阻断,使不知情的“用户”免于威胁。
推荐系统
电脑公司Ghost Win8.1 x32 精选纯净版2022年7月(免激活) ISO镜像高速下载
语言:中文版系统大小:2.98GB系统类型:Win8电脑公司Ghost Win8.1x32位纯净版V2022年7月版本集成了自2022流行的各种硬件驱动,首次进入系统即全部硬件已安装完毕。电脑公司Ghost Win8.1x32位纯净版具有更安全、更稳定、更人性化等特点。集成最常用的装机软件,精心挑选的系统维护工具,加上绿茶独有
微软Win11原版22H2下载_Win11GHOST 免 激活密钥 22H2正式版64位免费下载
语言:中文版系统大小:5.13GB系统类型:Win11微软Win11原版22H2下载_Win11GHOST 免 激活密钥 22H2正式版64位免费下载系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。Win11 64位 Office办公版(免费)优化 1、保留 Edge浏览器。 2、隐藏“操作中心”托盘图标。 3、保留常用组件(微软商店,计算器,图片查看器等)。 5、关闭天气资讯。
Win11 21H2 官方正式版下载_Win11 21H2最新系统免激活下载
语言:中文版系统大小:4.75GB系统类型:Win11Ghost Win11 21H2是微软在系统方面技术积累雄厚深耕多年,Ghost Win11 21H2系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。Ghost Win11 21H2是微软最新发布的KB5019961补丁升级而来的最新版的21H2系统,以Windows 11 21H2 22000 1219 专业版为基础进行优化,保持原汁原味,系统流畅稳定,保留常用组件
windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载
语言:中文版系统大小:5.31GB系统类型:Win11windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载,微软win11发布快大半年了,其中做了很多次补丁和修复一些BUG,比之前的版本有一些功能上的调整,目前已经升级到最新版本的镜像系统,并且优化了自动激活,永久使用。windows11中文版镜像国内镜像下载地址微软windows11正式版镜像 介绍:1、对函数算法进行了一定程度的简化和优化
微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载
语言:中文版系统大小:5.31GB系统类型:Win11微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载,微软2022年正式推出了win11系统,很多人迫不及待的要体验,本站提供了最新版的微软Windows11正式版系统下载,微软windows11正式版镜像 是一款功能超级强大的装机系统,是微软方面全新推出的装机系统,这款系统可以通过pe直接的完成安装,对此系统感兴趣,想要使用的用户们就快来下载
微软windows11系统下载 微软原版 Ghost win11 X64 正式版ISO镜像文件
语言:中文版系统大小:0MB系统类型:Win11微软Ghost win11 正式版镜像文件是一款由微软方面推出的优秀全新装机系统,这款系统的新功能非常多,用户们能够在这里体验到最富有人性化的设计等,且全新的柔软界面,看起来非常的舒服~微软Ghost win11 正式版镜像文件介绍:1、与各种硬件设备兼容。 更好地完成用户安装并有效地使用。2、稳定使用蓝屏,系统不再兼容,更能享受无缝的系统服务。3、为
雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载
语言:中文版系统大小:4.75GB系统类型:雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的雨林木风品牌,其系统口碑得到许多人认可,积累了广大的用户群体,雨林木风是一款稳定流畅的系统,一直以来都以用户为中心,是由雨林木风团队推出的Windows11国内镜像版,基于国内用户的习惯,做了系统性能的优化,采用了新的系统
雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO
语言:中文版系统大小:5.91GB系统类型:Win7雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO在系统方面技术积累雄厚深耕多年,加固了系统安全策略,雨林木风win7旗舰版系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。win7 32位旗舰装机版 v2019 05能够帮助用户们进行系统的一键安装、快速装机等,系统中的内容全面,能够为广大用户
相关文章
- 无法添加用户权限
- XP系统开机显示“网络上有重名”怎么解决?
- 专栏
- 专栏
- 智能家庭本周锋闻:微软眼镜HoloLens带你环游火星
- Ryuk勒索软件攻击牟利超1.5亿美元
- 路由器突然不能上网怎么办 路由器突然无法连接网络的解决方法
- MX播放器如何观看网络视频?MX播放器观看网络视频的方法
- 网络安全设置之利用网络分段和访问控制来抵御攻击
- 常见的DDoS攻击到底有哪些?
- 在win7系统中无法创建文件夹怎么办?
- RSA Conference 2020安全大会来了!这些内容你都了解吗?
- 从运营角度看数据安全
- XP系统中,如何用Ping命令测试网速呢?
- 你还敢用导航吗?独角兽“干掉”GPS和北斗导航
- Prometheus 告警为什么选用Alertmanager?
- 成功识别日志中的数据泄漏漏洞并对其进行缓解
- 网页图片显示不出来怎么办 网络故障解决【详解】
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 3电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 4深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 5雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
常用系统
- 1萝卜家园 GHOST WIN7 SP1 X64 电脑城装机版 V2016.07 (64位) 下载
- 2笔记本&台式机专用系统GhostWin7 64位六一节 旗舰版2020年6月(64位) 高速下载
- 3win7原版系统下载_windows7原版系统iso镜像
- 4Win11 25179.1000下载_Win11 Insider Preview 25179.1000下载
- 5系统之家Ghost Win10 完美装机版64位 v2023.06免费下载
- 6笔记本系统Ghost Win8.1 (X64) 喜迎国庆 全新纯净版2020年10月(永久激活) 提供下载
- 7笔记本&台式机专用系统 Windows10 企业版 版本1903 2021年12月(64位) 提供下载
- 8深度技术Ghost Win10 64位 经典专业版 v2023.07免费最新下载
- 9深度技术Ghost Win7 Sp1 电脑城万能装机版2020年4月(32位) ISO高速下载
- 10Windows XP系统安装包下载_深度技术Windows XP SP3稳定专业版下载V2023.07