无线网实战案例分析——查找隐藏的SSID
2006-11-21   网络

作为网络管理员，安全问题是最不能忽视和回避的，有线网防火墙，IDS，IPS，无线网全都使用安全级别很高的802.1x认证方式，但是如果公司内部人员私自接入一个AP，用于实时的向外界泄露机密文件，或者别有用心的人在公司闲置的网络接口安放非法AP窃取敏感信息，看似固若金汤的网络安全很可能就会因这个“蚁穴”而全盘崩溃。

什么是SSID？SSID（Service Set Identifier），它是用来区分不同的网络或自治域的，简单说，SSID就是一个局域网的ID，最多可以有32个字符。SSID只不过是一个标识，它能和“安全”产生什么关系呢？我们来回想一下我们连接公司AP的过程，点击右下角的图标，选择要连接的SSID，如果需要认证，填写两遍密码，这样就完成了无线网的连接。为什么我能看到SSID？那是因为AP在设置的时候打开了Broadcast SSID选项，目的是方便User的连接，如果黑客想通过安放非法的Rogue AP在网络内来窃取机密数据，相信它不会傻到打开广播，告诉管理员你的网络内有一个“信号质量非常好”的AP存在吧？我们可以大胆的假设，凡是我们见到的不认识的SSID都可能是非法的，凡是我们看不到的隐藏的SSID肯定是非法的！也许现在您的网络内就存在这样一颗罪恶的小AP！

虽然禁用了SSID广播，但是我们仍然可以通过侦听无线数据包“透视”无线网络查找SSID，Airmagnet Laptop就是这样一款专业的无线网测试软件，禁用SSID广播这种小伎俩根本瞒不过它的法眼（图一），Annouced SSID（通告SSID）：NO，SSID：test_lab。Airmagnet快速准确的获得了我们需要的信息，而且告诉我们它原本是不广播SSID的，来看看此功能是如何实现的。

图一

首先我们来看一下AP是如何将SSID广播出去的。AP只要接通电源就会发送Beacon frame（信标帧）广播，BI（信标帧的发送间隔）为100毫秒，也就是说每秒钟发送10个信标，来看一下捕捉到的Beacon frame信标帧（图二）， 看看它里面都有什么？最基本的信号强度，所在的Channel（信道），当然还有SSID parameter set：”test_lab”等等。没错，如果AP广播SSID，那么信标帧中就会包含SSID的信息就会被添加到中广播出去，这样在PC“查看无线网络”的时候就能看到有这么一个SSID的存在。不广播SSID的Beacon帧是什么样呢？（图三），SSID parameter set：”\000\000\000\000\000\000\000\000”， Beacon帧里不再包含SSID信息。“隐身术”就是这么实现的。

图二，广播SSID的Beacon帧

图三：不广播SSID的Beacon帧

我们还再来了解一下PC与AP建立连接的过程吧（图四）：

1、 站点在全部13个信道发送探测请求Probe request。
2、 AP在收到请求之后做响应应答Probe response。
3、 站点通过选择应答数据包中信号最强的AP连接。
4、 站点发送身份认证信息。
5、 AP认可了站点的认证信息并注册，建立连接。

图四：连接建立过程

对于广播SSID的AP，PC能够从“查看无线网络”看到SSID，点击想连接的SSID实际上就是在发送探测请求，或者叫连接请求，AP“应答”，确认身份，建立连接。不广播SSID的连接过程就稍微的复杂一些了，因为AP不广播SSID，PC是无法知道要向哪个信道去发送连接请求的，所以这时候PC会向全部13个信道发送探测请求，直到收到AP的应答，然后就能进行后面的连接过程了。关键就在于此！我们来看一下NO.8749这个Probe request探测请求帧都包括什么（图五），正如我们所料，这里面SSID parameter set：”test_lab”这个参数——“谁是test_lab？”

图五，探测请求帧

值得注意的是，PC一旦开机就会发送包含有曾经连接过的SSID的Probe request请求帧，如果这些数据帧背黑客捕捉到，黑客很可能会伪造一个“你想要的”AP，这就造成了一个危险的安全隐患，这不是本文要讨论的问题。AP在收到请求后的应答（图六）包括同样的参数：SSID parameter set：”test_lab”——“我就是你要找的AP test_lab”。剩下的我不用多说大家也应该明白了，通过这一问一答，SSID就得到了！

图六，请求应答帧

如果您是一个天天面对着庞大复杂的网络的网络管理员，需要快速准确的获得网络内的信息，Airmagnet Laptop无疑是首选的无线网络管理软件，不要被XP显示的“区域中找不到无线网络”所迷惑，认为网络内根本不存在无线网络设备，俗话说眼见为实，使用专业的无线网测试软件进行周期性测试，才能确保万无一失。安恒公司的无线网测试工程师在现场测试的过程中发现了大量隐藏的非发接入AP，使用Airmagnet Laptop不但可以查找存在的非法AP更能定位非法设备的物理位置，并且能够将捕捉到的数据包保存，用免费的Ethereal协议分析软件就能够对无线网络进行完成更为深入细致的分析。

注：考虑到可能涉及客户的敏感信息，所以我们在实验室内完成本案。