不正なカードとアクセスポイントの検出802.11
最初の目標は、検出します。 私たち力を伝えることができたときに、カード上のローカルネットワークの範囲内ですか？ これは、既製のコンポーネントとフリーソフトウェアです。 シスコaironetに含まれているドライバをサポートし、さらに多く最近のlinuxカーネル"のrfモニタ"モードでは、許可されたパケットごたまぜの監視802.11 -具体的には、原料の監視8 02.11フレームを検出する証拠があれば、フレームを放送しているアクセスポイントのならず者またはカードを使用します。 仕様書に記載され、元の802.11 、 802.11クラスのフレームの3つがあります。 検出することを目的とならず者の不正なアクセスポイントと無線イーサネットカード、私たちは、主に興味があるクラスの1と2フレームします。 クラス1フレームが使用できる状態にしてフレームのみ1 、 unauthenticatedの状態では、ほとんどの管理フレームが使用され、認証、ビーコン、プローブ要求します。 クラス2フレームの使用が認められて1と2の両方の州、そして協会と再結合が使用されます。 アクセスポイントから、私たちは期待して、多数のビーコンフレームを参照してください（ 1級）します。 クライアントから無関連アドホック走査型アクティブモードと、私たちは期待して、多数のプローブの要求を参照してください（クラスでも1 ） 。 この仮説をテストし、監視する方法は、すべての802.11管理フレームを必要に応じて、どのカードと、シスコlinuxドライバができる"のrfモニタモード"と述べた。 セットアップのrfを発動してカードをモニターモードでは、 bss内の任意の（使用"モード： r "を平原のrfモニタモード） ： ＃ エコー"モード： y " > / proc/driver/aironet/eth0/config ＃ 次に、 tcpdumpとパケットのログ記録を開始し、それらをファイルに保存して以降の分析エーテル： ＃ tcpdumpと私はeth0 - - 0秒に- w ＃ capturefile 不正なアドホックネットワークの最初のテストだったことを確認する能力を検出するwlanカードに電源がオンにします。 ルーセントのオリノコ川カードはad - hocモードに設定されてwin2kノートパソコン、およびオンになってあったかどうか確認する任意の特性に送られるフレームアウトされたときにはカードのオリノコ川ad - hocモードに入っています。 カードの初期化後に、 tcpdumpとは止まった、 etherealに開始するには、ファイルを開いたと、捕獲します。 多数のプローブからのご要望にオリノコ川のカードが見つかり、実際に確認したときに可能性を検出した範囲内の電源を閉じるワイヤレスイーサネットカードをアドホックモードになります。 解剖のフレームは以下のとおり：
実際のところ、させることが可能かどうかをスキャンを開始し、積極的にカードをアドホックモードでは、かなりの量の有用な情報とすることができ、 1つのフレームから収集します。 最も関連性の高いのはssidとmacアドレスのため、使用することができ、特定のカードを追跡するおよび/または人物だ。 不正なアクセスポイントを確認し、次のテストだった可能性が不正アクセスポイント検出します。 tcpdumpと、セッションが開始し、その後にアクセスポイントシスコaironet 340だったオンになっています。 終了した後には、アクセスポイントを起動すると、ダンプを調べたetherealに、数多くのフレームを送信するビーコンされ、アクセスポイントが見つかりました。 1つは、次のようなフレームで、解剖されたエーテル：
不正なクライアントの最終的な条件だった不正なクライアントをテストします。 最初のシナリオを考え（シナリオの可能性が高い）は、外国人のカードをもたらすものとして権力を間違ったのssidます。 走査型だった場合はカードを積極的には、プローブのリクエストだろうから見て、このカードにしようとするアクセスポイントを見つけました。 2つ目のシナリオをもたらすことは、外国のカードとして力をして、正しいのssidます。 この1つのターンするために、もう少し問題を検出し、ほんの数があるだろう802.11管理フレームの警告を起動する、そしてもっと"ふつう"のトラフィックします。 この問題は、主にrfmon_anybss方法のため、カードの動作モードでは、シスコ-もかかわらず、その名前は、カードを受け取ることはできませんからパケットを同時にb ss内のすべての範囲で、特にこれらのb ss内の別の周波数を使用します。 その結果は、それまでにいくつかのマニュアルの介入からのトラフィックを特定のにおいを嗅ぐbss内の-詳細については、上のセクションの下に"の問題点と合併症"の詳細については、この問題を回避するとどのようにしてください。 この問題が無視され、代わりには、いくつかの焦点は802.11管理フレームを表示することは、容易にスニファ-両方のシナリオを生産すると判明した似たようなリクエストをプローブので、両方のシナリオで扱われるのと同じです。 プローブ解剖して送信されたリクエストされたこのカード：
いくつかの問題点と合併症の問題で、シスコに来た光カードとドライバを記載する必要があります。 最初の問題は、シスコカードの場合、デフォルトでは、とさえrfmon rfmon_anybssモードでは、積極的にスキャンしていないため、すべてのチャネルでのすべてのトラフィックを集めています。 以下のような条件の下でのbss内を再スキャンされている：
これらのすべての条件が"キック"のカードを再スキャンします。 実用的な検出装置を構築すると、カードには定期的な間隔をけらなければならない、おそらく一分ごとにします。 簡単なスクリプトファイルを一分ごとに触れbsslistでしょうトリックします。 第2の問題：ません。 bss内のすべての範囲内に現れたのは、確実にファイル/ proc/driver/aironet/eth0/bsslistます。 カードに入れたときrfmonモードでは、送信が無効になったので、積極的にカードをスキャンすることはできませんbss内のプローブのリクエストを送信しています。 そのため、カードを使用する必要があり受動的スキャニングします。 プローブのリクエストを送信する代わりに、カードのビーコンを聞いています。 パッシブスキャンして、カードを使用するタイマーを聞くためには、ビーコンフレームタイマーの有効期限が切れるまで、その後別のチャネルに移動します。 この問題は、このカードをシスコタイマーが低すぎる。 40msデフォルトの値は、私たちのテストが不十分だったネットワークをbss内のすべての通知にかかわらず、または相対信号強度の範囲内のアクセスポイントします。 解決策は、以下の行を追加してカードの初期設定ルーチン、 setup_card 、 airo.c ： cfg.beaconlistentimeout = 120 ; このタイムアウト前に3倍bss内の仕事を確実に検出します。 その結果、私たちのすべてのアクセスポイントを示してbsslist 、すべての時間だ。 第三の問題：もかかわらず、その名前でも、パット、カードをrfmon_anybssモードませんでした原因を受信して、カードからのトラフィックをすべてのアクセスポイントには、別の周波数を使用されたすべての同期おそらく異なっています。 カード自体を選んだbss内を同期させることをベースに、独自のアルゴリズム（おそらくその信号強度の相対的評価）します。 この問題は、私たちを見たいと思っ bsssからのトラフィックをすべての範囲内だけでなく、これらのことが起こる最強の信号。 する方法が見つかりませんでしこの機能を無効にしてカードをシスコが、問題を回避するには-l inuxドライバを提供する/ p rocのインターフェイスを設定するにa pを推奨します。 1回のリストbsssの範囲では、スキャナが見つかりました（ / proc/driver/aironet/eth0/bsslist ）は、 1つを選択してを監視したり、 macアドレスを入力して、ファイル/ proc/driver/aironet/eth0/aplistます。 これにより、カードを同期させることにしてbss内のチャネルおよびスイッチをして、後からのトラフィックを受け取ったとして使用することができbss内の信号強度を評価または不審な活動を監視します。 簡単なテストを確認し、これらの結論を出すには802.11フレームの特徴は、典型的なならず者の不正なアクセスポイントやアドホックネットワーク、および、これらのフレームを使って分析することができ検出して、既製のコンポーネントとフリーソフトウェアです。 これらの概念を使用するとともに、データベースの信頼できるアクセスポイントとカードの指紋と、不審なフレーム、エーテルとして使用される可能性がある基本的なビルディングブロックは、本格的な802.11侵入検知システムです。 これは、記事に追加された金sulloway
|
|||
|