CN100544279C - 无线局域网中监控非法接入点的方法、设备及系统 - Google Patents

Abstract

本发明公开了一种无线局域网中监控非法接入点AP的方法，包括步骤：保存监控AP需要攻击的非法AP的信息，监控AP在无线局域网中的信道上进行切换，并根据所述保存的该监控AP需要攻击的非法AP的信息，在当前切换到的信道上对非法AP进行攻击。基于上述方法本发明还提供了监控非法AP的设备和系统。按照本发明所述的方法、设备及系统，可以降低监控成本，更为有效的对WLAN中的非法AP实行监控。

Description

无线局域网中监控非法接入点的方法、设备及系统

技术领域

本发明涉及无线局域网，具体涉及无线局域网中监控非法接入点的方法、设备及系统。

背景技术

无线局域网(WLAN，Wireless local area network)技术是基于电子电气工程师协会(IEEE，Institute of Electrical and Electronics Engineers)提出的802.11媒体访问控制(MAC，Media Access Control)标准，该标准定义了无线工作站(STA，wirelesss station)与接入点(AP，Access Point)之间的空中接口规范。STA是无线网络的客户端，具体的可以是包含有802.11无线网络接口卡的计算机。而AP类似于无线网络中的基站，它能创建一组基本的服务，将大量的STA从无线网络桥接到其他现有的有线网络。STA与AP之间通过公用的无线信道(channel)进行通信，通常WLAN中都提供多个信道用于通信。

图1给出了一种典型的WLAN结构示意图，如图1所示，STA1通过信道1连接到AP1，STA2通过信道6连接到AP2，AP1和AP2在接入控制设备(AC，Acess controller)的控制下通过路由器(R，router)连接到核心网中；同时，网络中还可以存在以有线方式连接到网络中的有线计算机。其中，AP周期性的广播一种被称作信标帧(beacon)的信号，该信号包含有客户端如何与该AP连接的必要信息，例如服务集标识(SSID，Service Set Identifier)；收到信标帧的STA，可以向AP发送连接请求，使用上述SSID与该AP建立连接，在得到认证(authentication)和建立关联(association)后即可通过该AP接入网络；当AP需要与STA断开连接时，AP通过向STA发送解除认证帧(Deauthentication Frame)，STA在接收到上述解除认证帧帧后终结与该AP的连接，断开与网络的连接。

由于802.11MAC标准本身存在安全性缺陷，无线局域网比传统有线网络面临更多的安全威胁，其中，非法AP(Rogue AP)是当前WLAN中最大的安全威胁。非法AP是一种放置在无线局域网中的未经授权的AP，它通过一个伪造的网络接口与STA建立通信链路，提供对网络的无限制的访问，或者监听用户，以及通过欺骗方式获取用户的关键数据等。非法AP给WLAN增加了潜在的安全隐患。

通常SSID被用来区分空间区域中的存在的多个不同的无线局域网络，如果非法AP广播的SSID与某个合法AP相同，那么STA将无法区分哪个AP是合法的，此时STA通常选择与信号强度最大的AP连接。因此如果无线网络中没用其他的安全措施，非法AP就可以通过增加信号强度与STA建立关联(association)。如图2所示，该图中包括一个工作在信道6上的非法AP，该非法AP的信号强度大于邻近的合法AP1，如果非法AP的SSID与AP1相同，工作站STA2可能选择非法AP作为网络接入点，从而被该非法AP监听。

为解决上述问题，防止合法的用户与网络中的非法AP连接，需要对网络中的非法AP进行监控。关于非法AP的监控，目前还没有任何标准，各设备提供商有自己的解决方案。但是，现有技术的基本方案是：在无线局域网中散布一些工作在混杂模式(promiscuous mode)下的监控AP(monitor AP)，每个监控AP覆盖一定的区域，用于捕获所有的抵达其自身的数据包，对所有的信道进行持续的扫描；由于无线局域网都配置有基于MAC地址的合法AP的列表，任何通过扫描被检测到的不在该列表里AP被认为是非法AP；对于检测到的非法AP，任何与该非法AP相连的STA都将被解除认证，STA在被解除认证之后，将断开与非法AP的连接，从而阻止了STA与非法AP的通信。在断开与非法AP的连接之后，STA会继续搜索所有的可用的AP并试图再次接入网络，因此STA仍然可能与上述非法AP连接。现有技术中的解决方法是为上述非法AP设置一个专用的监控AP，该监控AP工作在与上述非法AP相同的信道上，用于监控上述非法AP的所有的网络流量，持续的向任何与该非法AP连接的STA发送解除认证帧，以保证STA不会与该非法AP建立连接。

现有技术的缺点在于，需要为每个非法AP专门设置一个专用的监控AP，对各个非法AP分别进行监控，显然这种解决方案的成本太高，可行性低。

发明内容

本发明所要解决的技术问题是提供一种WLAN中监控非法AP的方法及设备，降低监控成本，有效的对WLAN中的非法AP实行监控。

为解决上述技术问题，本发明提供方案如下：

一种无线局域网中监控非法接入点AP的方法，监控AP接收并保存接入控制设备AC下发的需要攻击的非法AP的信息，所述非法AP的信息至少包括非法AP的媒体访问控制地址以及非法AP工作的信道；监控AP在无线局域网中的至少两个信道上进行切换，并在每切换到一个信道上时，根据所保存的非法AP信息，广播源地址为工作在该信道上的非法AP的地址的解除认证帧；

其中，监控AP在当前切换到的信道上进行扫描并将扫描到的AP的信息上报给无线局域网中的接入控制设备，并根据接入控制设备返回的非法AP信息更新当前的需要攻击的非法AP信息。

本发明所述的方法，还包括以下步骤：

所述接入控制设备按照以下步骤确定所述返回的非法AP信息：接入控制设备将所述监控AP扫描到的AP的信息与自身保存的预先确定的非法AP信息比较，确定所述监控AP扫描到的非法AP；并且，接入控制设备根据预先设定的非法AP的判断规则和所述监控AP扫描到的AP信息，确定所述监控AP扫描到的新的非法AP。

本发明所述的方法中，所述的扫描到的AP的信息进一步包括：AP的提供商信息，AP的服务集标识SSID。

本发明所述的方法中，监控AP在每切换到一个信道上后，进一步查询每个抵达其自身的数据包的目的地址信息，判断所述目的地址是否为所述该监控AP需要攻击的非法AP的地址：如果所述目的地址为所述非法AP的地址，则向该数据包的源地址发送源地址为所述非法AP的地址的单播的解除认证帧。

本发明所述的方法中监控AP对信道进行周期性扫描。

本发明还提供了一种无线局域网中的监控AP设备，用于对无线局域网中的非法AP实行监控，包括：

扫描单元，用于在每切换到一个信道上后，对当前信道进行扫描，并周期性的将其扫描到的AP的信息发送给接入控制设备；

直接攻击列表单元，用于接收并保存接入控制设备AC下发的该监控AP设备需要攻击的非法AP信息，所述非法AP的信息至少包括非法AP的媒体访问控制地址以及非法AP工作的信道；

攻击单元，用于在无线局域网中的信道上进行切换，并在每切换到一个信道上时，从所述直接攻击单元中获取非法AP信息确定工作在当前信道上的非法AP，广播源地址为工作在该信道上的非法AP的地址的解除认证帧。

本发明所述的监控AP设备中，所述扫描单元进一步用于在每切换到一个信道上后，对当前信道进行扫描，查询每个抵达其自身的数据包的目的地址信息并发送给攻击单元；所述攻击单元进一步用于将所述扫描单元发送的数据包的目的地址信息，与从所述直接攻击列表单元中获取的非法AP比较，判断所述数据包的目的地址是否为所述非法AP的地址，如果所述数据包的目的地址为非法AP的地址，则向该数据包的源地址发送源地址为该非法AP的单播的解除认证帧。

本发明所述的监控AP设备中，所述扫描单元进一步对无线局域网中的信道进行周期性的扫描。

本发明所述的监控AP设备中，所述直接攻击列表单元进一步用于根据接入控制设备返回的非法AP信息更新其所保存的非法AP信息，其中，所述接入控制设备按照以下步骤确定所述返回的非法AP信息：接入控制设备将所述监控AP扫描到的AP的信息与自身保存的预先确定的非法AP信息比较，确定所述监控AP扫描到的非法AP；并且，接入控制设备根据预先设定的非法AP的判断规则和所述监控AP扫描到的AP信息，确定所述监控AP扫描到的新的非法AP。

本发明还提供了一种无线局域网中接入控制设备AC，包括：

AP攻击列表生成单元，用以接收每个监控AP上报的在各个信道扫描到的AP信息，并通过将所述扫描到的AP信息与预先确定的所有非法AP的信息比较以确定每个监控AP需要攻击的非法AP以及非法AP所在的信道；

AP攻击列表下发单元，用以将上述AP攻击列表生成单元确定的非法AP以及非法AP所在的信道下发给扫描到该非法AP的监控AP。

本发明所述的接入控制设备中，所述AP攻击列表生成单元包括动态攻击列表单元，用以根据预定的规则确定监控AP扫描到的AP中存在的新的非法AP，同时AP攻击列表生成单元依据动态攻击列表单元所确定的新的非法AP确定监控AP需要攻击的非法AP。

本发明还提供了一种无线局域网中的监控非法AP的系统，包括上述监控AP，以及上述AC。

从以上所述可以看出，本发明提供的WLAN中监控非法AP的方法及设备，通过监控AP对多个信道进行扫描，从而有效的对网络中的多个非法AP实现了监控，降低了监控成本；监控AP周期性更新其直接攻击列表，并只对自己扫描到的非法AP进行攻击，从而降低了攻击所产生的网络流量；同时，监控AP进一步在每个信道的扫描过程中侦听并分析网络流量，从而实时监控并攻击任何扫描到的非法AP。

附图说明

图1为一种典型的WLAN结构示意图；

图2为WLAN中非法AP的网络入侵的示意图；

图3为本发明实施例提供的一种扫描模式示意图；

图4为本发明实施例的监控非法AP的方法的流程示意图；

图5为本发明实施例的监控AP在扫描开始前对非法AP进行攻击的举例示意图；

图6为本发明实施例的监控AP在扫描过程中对非法AP进行攻击的举例示意图；

图7为本发明实施例的监控非法AP的系统的结构示意图；

图8为本发明实施例的监控AP设备的结构示意图；

图9为本发明实施例的接入控制设备的结构示意图。

具体实施方式

本发明提供了一种无线局域网中有效的监控非法AP的方法、设备及系统，通过监控AP依次对各个信道上进行扫描并对非法AP采取相应的对策，从而有效的实现了非法AP的监控。以下结合附图通过具体实施例对本发明做详细的说明。

为了能对网络中的非法AP进行有效的监控，本发明首先提供了一种扫描模式，由监控AP按照该扫描模式，在每个信道上扫描所有AP的信息，所有信道上的扫描组成一个扫描周期，每个扫描周期完成后进入下一扫描周期。所述扫描模式具体包括该监控AP需要扫描的所有信道、各个信道上的扫描时长以及各个信道扫描的先后顺序等。图3所示为监控AP的一种扫描模式示意图，如图3所示，该扫描模式的扫描周期为60ms，监控AP依次在信道1、信道2和信道3上进行扫描，每个信道的扫描时长为20ms，在上一信道扫描结束后切换到下一个信道，当信道3扫描结束时，监控AP切换到信道1上继续进行下一周期的扫描。按照这种扫描模式，监控AP可以对网络中多个信道上的多个非法AP进行监控，从而提高监控的效率。

本发明中，监控AP按照上述扫描模式对各个信道进行扫描。同时，监控AP处设置有一个直接攻击列表，直接攻击列表记录了该监控AP需要攻击的所有非法AP的相关信息，这些信息至少包括非法AP的MAC地址以及该非法AP所在的信道。本实施例所述的监控非法AP的方法中，监控AP根据该直接攻击列表在各个信道上对非法AP进行攻击，图4以其中的一个信道(信道N)为例对本发明进行说明，如图4所示，该方法包括：

步骤40，监控AP按照预先设定的扫描模式，将其工作信道从上一信道切换到信道N。

步骤41，监控AP搜索其直接攻击列表中工作在信道N上的所有的非法AP，并针对搜索到的每个非法AP分别生成源地址为该非法AP的MAC地址的解除认证帧，并将该解除认证帧广播出去。

步骤42，监控AP在信道N上开始进行扫描，在扫描过程中捕获抵达其自身的数据包，查询所述数据包的目的地址，并与其直接攻击列表相比较，如果数据包的目的地址为其直接攻击列表中的非法AP的MAC地址，则向该数据包的源地址发送源地址为上述非法AP的MAC地址的单播的解除认证帧。

步骤43，信道N上的扫描结束，监控AP按照其扫描模式，将其工作信道从信道N切换到下一信道。

为了更加清楚的解释上面的攻击过程，下面结合附图作进一步介绍：

图5为步骤41中所述的攻击非法AP的举例示意图，如图5所示，该监控AP的直接攻击列表中信道1上有MAC地址分别为A、B和C的三个非法AP，在信道2上有MAC地址为D的一个非法AP，信道3上有MAC地址为E的一个非法AP；为每个信道设置20ms的扫描时间，监控AP按照图中的扫描模式对三个信道分别进行20ms的扫描。第一个20ms扫描时间开始时，监控AP在对信道1扫描之前，搜索其直接攻击列表，监控AP找到工作在信道1上的A、B、C这三个非法AP后，分别为每个非法AP生成源地址为这些非法AP的MAC地址的解除认证帧，并将该解除认证帧广播出去，如图5所示，监控AP广播源地址分别为A、B和C的三种解除认证帧；第二个20ms扫描时间开始时，对信道2扫描开始之前，监控AP广播源地址为D的解除认证帧；第三个20ms扫描时间开始时，对信道3扫描开始之前，监控AP广播源地址为E的解除认证帧。这样，任何可能在上一扫描周期与上述非法AP建立连接的STA在接收到上述广播的解除认证帧以后，将断开与上述非法AP的连接，从而实现了对非法AP的攻击，有效的阻止了STA与非法AP的连接。

图6为步骤42中所述的攻击非法AP的举例示意图，为了对网络中的非法AP进一步实行实时监控，监控AP在上述广播解除认证帧后还要对当前信道进行扫描，在每个信道上进行扫描的过程中，工作在混杂模式的监控AP进一步查询所有抵达其自身的数据包的目的地址：如果捕获到的某个数据包的目的地址为其直接攻击列表中的非法AP的MAC地址，则该数据包可能是某个STA发送至该非法AP的信息，此时监控AP采取以下攻击对策，即向上述STA发送单播的解除认证帧，用于解除与非法AP相连的该STA的认证，从而在扫描过程中实时断开该STA与非法AP的连接。上述解除认证帧的源地址为上述非法AP的MAC地址，目的地址为上述数据包的源地址。参见图6所示，监控AP在信道1上扫描的过程中，捕获到一个X发送给B的帧，即，该帧的源地址为X，目的地址为B。由于目的地址B为非法AP，因此监控AP向X发送单播的解除认证帧，该解除认证帧的源地址为B，目的地址为X，在X接收该解除认证帧后，X将断开与B的连接。通过这种攻击手段，可以在扫描过程中实时监控，在必要的时候可以解除任何与非法AP相连的STA的认证，从而断开STA与非法AP的连接。

从以上所述可以看出，监控AP根据其直接攻击列表对非法AP进行攻击，所述直接攻击列表中记录了该监控AP需要攻击的所有非法AP的相关信息。由于恶意用户可能随时撤除或者新安置某个非法AP，因此网络中的非法AP并不是固定不变的。为了更有效的对网络中存在的非法AP实行监控，本实施例中，所述直接攻击列表可以进一步根据该监控AP的扫描报告进行更新，下面介绍监控AP处的直接攻击列表是如何更新的：

如图7所示，本实施例的监控非法AP的系统，包括：AC和至少一个监控AP，其中，监控AP与AC相连。

本实施例中，AC处设置有一个静态攻击列表，通过静态配置将本WLAN中预先确定的非法AP的MAC地址保存在该静态攻击列表中；同时，AC处还为每个监控AP分别设置一个动态攻击列表，该动态攻击列表与监控AP一一对应，用于保存各监控AP需要攻击的非法AP信息，这些信息至少包括该监控AP需要攻击的非法AP的MAC地址以及扫描到该非法AP的信道。

监控AP按照上述扫描模式依次对每个信道上进行扫描，并根据扫描到的所有的AP的相关信息生成扫描报告，周期性的将该扫描报告发送至AC，所述扫描报告中通常包括下列信息：

1)执行扫描的监控AP；

2)该信道上监控AP扫描到的所有AP的MAC地址；

3)上述AP的MAC地址是否被授权；

4)扫描到上述MAC地址的信道；

5)扫描到上述MAC地址的时间；

6)信号强度等。

AC根据上述扫描报告更新上述监控AP所对应的动态攻击列表，并在更新完成之后，将动态攻击列表中的非法AP信息下发给相应的监控AP；监控AP根据接收到的非法AP信息更新其直接攻击列表，从而保证其直接攻击列表中记录的非法AP是当前网络中存在的非法AP。其中，上述AC根据扫描报告更新动态攻击列表具体包括：

A)AC首先通过将扫描报告中扫描到的AP的MAC地址与其静态攻击列表相比较，判断是否存在静态攻击列表中的非法AP，如果存在，则AC将该非法AP的MAC地址、扫描到该MAC地址的信道(即该非法AP的工作信道)的等信息加入到上述监控AP所对应的动态攻击列表中；

B)由于恶意用户可以在任意时间在网络中安置新的非法AP，除了上述静态攻击列表中预先确定的非法AP外，网络中还可能出现新的非法AP。因此，基于上述扫描报告，AC进一步按照预先设定的规则，判断扫描报告中扫描到的AP中是否存在新的非法AP，并将判断出的新的非法AP的MAC地址以及该非法AP的工作信道等信息，加入到上述监控AP所对应的动态攻击列表中。其中，所述预先设定的规则是根据网络需要具体设定，例如，AP提供商是否合法，AP的SSID是否合法等都可以作为非法AP的判定标准。

按照以上操作，AC在动态攻击列表中更新了每个监控AP所需攻击的非法AP的信息，在更新完成之后，AC将动态攻击列表中的非法AP信息分别发送给对应的监控AP，监控AP根据接收到的非法AP信息更新自己的直接攻击列表，即将其直接攻击列表同步于动态攻击列表。从以上所述可以看出，监控AP处的直接攻击列表是基于其扫描报告周期性更新的，也就是说，监控AP所攻击的非法AP都是该监控AP扫描到的AP，监控AP不需要对网络中所有的非法AP都实行监控，它只对自己扫描到的非法AP，从而降低了攻击所产生的网络流量，更为有效的实现了对非法AP的监控。

基于上述监控非法AP的方法，本实施例提供了一种监控AP设备，用于对网络中的非法AP进行监控，如图8所示，该监控AP设备80包括：直接攻击列表单元81，攻击单元82和扫描单元83。所述攻击单元82分别与直接攻击列表单元81和扫描单元83相连。

其中，所述直接攻击列表单元81，用于保存该监控AP设备80需要攻击的非法AP信息，这里，所述非法AP信息至少包括：非法AP的MAC地址，以及该非法AP的工作信道；直接攻击列表单元81还可以进一步用于接收AC发出的非法AP信息，并据此更新其所保存的非法AP信息。

所述攻击单元82，用于在无线局域网中的信道上进行切换，从所述直接攻击单元81中获取非法AP信息，在当前信道上对非法AP进行攻击。所述在当前信道上对非法AP进行攻击，可以是根据从所述直接攻击单元81中获取的非法AP信息，确定工作在当前信道上的非法AP，并对这些非法AP进行攻击，攻击的方式可以是广播源地址为这些非法AP的MAC地址的解除认证帧。所述攻击单元82还可以进一步用于将所述扫描单元83发送的数据包的目的地址信息，与从所述直接攻击列表单元81中获取的非法AP比较，判断所述数据包的目的地址是否为所述非法AP，如果所述数据包的目的地址为非法AP，则向该数据包的源地址发送源地址为该非法AP的单播的解除认证帧；否则，不动作。

所述扫描单元83，用于对当前信道进行扫描，查询每个抵达其自身的数据包的目的地址信息并发送给攻击单元82；以及进一步用于周期性的将其扫描到的AP的信息发送给接入控制设备AC。

基于上述监控非法AP的方法，本实施例还提供了一种监控接入设备AC，如图9所示，该AC设备90包括：AP攻击列表生成单元91和动AP攻击列表下发单元92，所述AP攻击列表生成单元91和AP攻击列表下发单元92相连。

其中，所述AP攻击列表生成单元91，用以接收每个监控AP上报的在各个信道扫描到的AP信息，根据上述信息确定每个监控AP需要攻击的的非法AP以及非法AP所在的信道；

所述AP攻击列表下发单元92，用以将上述AP攻击列表生成单元91确定的非法AP以及非法AP所在的信道下发给扫描到该非法AP的监控AP。

本实施例中，所述AP攻击列表生成单元91还可以包括静态攻击列表单元911，用以保存预先确定的所有非法AP的信息，而所述AP攻击列表生成单元91通过将所述扫描到的AP信息与该静态攻击列表单元911比较以确定监控AP需要攻击的非法AP。

这里，所述AP攻击列表生成单元91包括动态攻击列表单元910，用以根据预定的规则确定监控AP扫描到的AP中存在的新的非法AP，同时AP攻击列表生成单元91依据动态攻击列表单元910所确定的新的非法AP确定监控AP需要攻击的非法AP。

综上所述，发明实施例所述监控非法AP的方法，可通过在WLAN中设置一个或若干监控AP，实现一个监控AP对多个非法AP的监控，同时降低了攻击非法AP所产生的网络流量，更为有效的实现了非法AP的监控。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必须的通用硬件平台的方式来实现，当然也可以通过硬件，但显然前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明实施例所述方法。

同样，还可以通过一种计算机设备还实现，所述计算机设备包括用以执行本发明所述方法的软件以及运行该软件必须的硬件。

本发明所述的无线局域网中监控非法AP的方法、设备及系统，并不仅限于说明书和实施方式中所列运用，它完全可以被适用于各种适合本发明之领域，对于熟悉本领域的人员而言可容易地实现另外的优点和进行修改，因此在不背离权利要求及等同范围所限定的一般概念的精神和范围的情况下，本发明并不限于特定的细节、代表性的设备和这里示出与描述的图示示例。

Claims (12)

1.一种无线局域网中监控非法接入点AP的方法，其特征在于，

监控AP接收并保存接入控制设备AC下发的需要攻击的非法AP的信息，所述非法AP的信息至少包括非法AP的媒体访问控制地址以及非法AP工作的信道；

监控AP在无线局域网中的至少两个信道上进行切换，并在每切换到一个信道上时，根据所保存的非法AP信息，广播源地址为工作在该信道上的非法AP的地址的解除认证帧；

其中，监控AP在当前切换到的信道上进行扫描并将扫描到的AP的信息上报给无线局域网中的接入控制设备，并根据接入控制设备返回的非法AP信息更新当前的需要攻击的非法AP信息。

2.如权利要求1所述的方法，其特征在于，

所述接入控制设备按照以下步骤确定所述返回的非法AP信息：

接入控制设备将所述监控AP扫描到的AP的信息与自身保存的预先确定的非法AP信息比较，确定所述监控AP扫描到的非法AP；并且，

接入控制设备根据预先设定的非法AP的判断规则和所述监控AP扫描到的AP信息，确定所述监控AP扫描到的新的非法AP。

3.如权利要求2所述的方法，其特征在于，所述的扫描到的AP的信息进一步包括：AP的提供商信息，AP的服务集标识SSID。

4.如权利要求1所述的方法，其特征在于，监控AP在每切换到一个信道上后，进一步查询每个抵达其自身的数据包的目的地址信息，判断所述目的地址是否为所述该监控AP需要攻击的非法AP的地址：如果所述目的地址为所述非法AP的地址，则向该数据包的源地址发送源地址为所述非法AP的地址的单播的解除认证帧。

5.如权利要求4所述的方法，其特征在于监控AP对信道进行周期性扫描。

6.一种无线局域网中的监控AP设备，用于对无线局域网中的非法AP实行监控，其特征在于包括：

扫描单元，用于在每切换到一个信道上后，对当前信道进行扫描，并周期性的将其扫描到的AP的信息发送给接入控制设备；

直接攻击列表单元，用于接收并保存接入控制设备AC下发的该监控AP设备需要攻击的非法AP信息，所述非法AP的信息至少包括非法AP的媒体访问控制地址以及非法AP工作的信道；

攻击单元，用于在无线局域网中的信道上进行切换，并在每切换到一个信道上时，从所述直接攻击单元中获取非法AP信息，确定工作在当前信道上的非法AP，广播源地址为工作在该信道上的非法AP的地址的解除认证帧。

7.如权利要求6所述的设备，其特征在于，所述扫描单元进一步用于在每切换到一个信道上后，对当前信道进行扫描，查询每个抵达其自身的数据包的目的地址信息并发送给攻击单元；所述攻击单元进一步用于将所述扫描单元发送的数据包的目的地址信息，与从所述直接攻击列表单元中获取的非法AP比较，判断所述数据包的目的地址是否为所述非法AP的地址，如果所述数据包的目的地址为非法AP的地址，则向该数据包的源地址发送源地址为该非法AP的单播的解除认证帧。

8.如权利要求6所述的设备，其特征在于，所述扫描单元进一步对无线局域网中的信道进行周期性的扫描。

9.如权利要求6所述的设备，其特征在于，所述直接攻击列表单元进一步用于根据接入控制设备返回的非法AP信息更新其所保存的非法AP信息，其中，所述接入控制设备按照以下步骤确定所述返回的非法AP信息：

接入控制设备将所述监控AP扫描到的AP的信息与自身保存的预先确定的非法AP信息比较，确定所述监控AP扫描到的非法AP；并且，

接入控制设备根据预先设定的非法AP的判断规则和所述监控AP扫描到的AP信息，确定所述监控AP扫描到的新的非法AP。

10.一种无线局域网中接入控制设备AC，其特征在于包括：

AP攻击列表生成单元，用以接收每个监控AP上报的在各个信道扫描到的AP信息，并通过将所述扫描到的AP信息与预先确定的所有非法AP的信息比较以确定每个监控AP需要攻击的非法AP以及非法AP所在的信道；

AP攻击列表下发单元，用以将上述AP攻击列表生成单元确定的非法AP以及非法AP所在的信道下发给扫描到该非法AP的监控AP。

11.如权利要求10所述的AC，其特征在于，所述AP攻击列表生成单元包括动态攻击列表单元，用以根据预定的规则确定监控AP扫描到的AP中存在的新的非法AP，同时AP攻击列表生成单元依据动态攻击列表单元所确定的新的非法AP确定监控AP需要攻击的非法AP。

12.一种无线局域网中的监控非法AP的系统，其特征在于包括如权利要求6所述的监控AP，以及如权利要求10所述的AC。

Images