CN105681272B - 一种移动终端钓鱼WiFi的检测与抵御方法 - Google Patents

Abstract

本发明属于无线局域网技术领域且公开了一种移动终端钓鱼WiFi的检测与抵御方法，包括基于C/S架构的检测和防御钓鱼WiFi方法的基本原理，各个模块之间的交互及数据流向、基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系和知识库的构建过程以及本地知识库与云端知识库的交互方式，该发明保证用户在周围网络环境安全的情况下接入公共WiFi，从而保障了用户的上网隐私。

Description

一种移动终端钓鱼WiFi的检测与抵御方法

技术领域

本发明具体涉及一种移动终端钓鱼WiFi的检测与抵御方法，属于无线局域网技术领域。

背景技术

随着城市无线局域网热点在公共场所大规模的部署，无线局域网安全变得尤为突出和重要，其中钓鱼WiFi攻击是无线网络中严重的安全威胁之一。

无线钓鱼接入点攻击使指攻击者在公共场合架设一个伪装的无线接入点，设置与真实AP完全相同的服务集标识符(SSID:Server Set Identifier)，使得受害者误连上冒牌的无线接入点，可进一步开展窃取密码等攻击。

无线钓鱼AP通常采用被动等待客户连接的方式，和主动发送假冒的取消连接请求帧或取消认证帧以强制改变用户连接的方式。因此无线钓鱼AP攻击可以大致分为被动式攻击和主动式攻击。此外，还有一种不太常见的攻击方式，Karma攻击。当移动终端的主动扫描功能开启时，移动终端会自动向外广播Probe Request报文以探测曾经连接过的WiFi信号，Karma是一种通过伪造虚假响应包(Probe Response)来回应STA(Wireless station，手机、平板等客户端等)探测的攻击方式，让客户端误认为当前范围内存在曾经连接过的WiFi热点，从而骗取客户端的连接。

针对无线钓鱼攻击，目前主要有两种检测方式。第一种，是基于无线端的检测方法，监听无线电频率的电波然后与一个授权列表进行比对，传统的基于无线端嗅探的检测技术，是依靠无线嗅探器监控无线网络来检测可疑AP，这些嗅探器通过在2.4和5GHZ频谱上扫描未经授权的网络流量，嗅探器会探测出非法流量。第二种是基于有线端的检测方法，基于有线端嗅探的检测技术，是通过分析流经网关的网络流量从而检测无线钓鱼AP的存在。早期的检测方法主要是基于时空特征，如通过分析包间隔到达时间来检测无线钓鱼AP。后来的检测方法主要有，检测TCP流量中连续的ACK请求/应答到达时间和TCP流量中的往返时间，基于CSMA/CA机制和半双工信道的物理性质来检测无线钓鱼AP。近期研究的检测方法是，从网络通信流量中提取独一无二的无线网络流量特征。

常见的检测方式主要是针对普通主动攻击，针对这种攻击方式的检测手段需要合适的策略机制来区分合法和非法钓鱼AP。此外，由于Karma攻击是一种新的攻击方式，因而目前针对这种攻击方式的防御措施还较不完善。

发明内容

本发明要解决的技术问题克服现有的缺陷，提供一种移动终端钓鱼WiFi的检测与抵御方法，保证用户在周围网络环境安全的情况下接入公共WiFi，从而保障了用户的上网隐私，可以有效解决背景技术中的问题。

为了解决上述技术问题，本发明提供了如下的技术方案：

本发明提供一种移动终端钓鱼WiFi的检测与抵御方法，包括基于C/S架构的检测和防御钓鱼WiFi方法的基本原理，各个模块之间的交互及数据流向、基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系和知识库的构建过程以及本地知识库与云端知识库的交互方式。

作为本发明的一种优选技术方案，所述基于C/S架构的检测和防御钓鱼WiFi方法的基本原理，各个模块之间的交互及数据流向介 绍如下：1)广播模块主动向无线空间发送两个包含SSID的Probe Request报文，其中Probe Requst1中的SSID为当前空间中存在的SSID，Probe Request2中的SSID为当前空间中不存在的；2)识别模块监测收到的ProbeResponse报文，通过分析获得以下报文指纹key＝<SSID,BSSID,vendor-ID,认证方式，外网IP，地域信息>；3)对比模块将key作为关键字与知识库中内容做对比；4)对比模块将对比结果返回判别单元；5)判别模块通过判断查询结果是否为空做出反应。如果在知识库中找到该记录，则判断当前无线环境中存在恶意攻击节点，切断无线连接。如果不存在，则将ProbeResponse报文传给检测单元；6)检测单元通过判断收到的Probe Response报文是针对哪个Probe Request给出的响应，进入不同检测模块；7)检测单元检测结束后，如果当前环境存在攻击，则将恶意攻击节点信息送至存储模块；否则，成功接入无线；8)存储模块对恶意节点信息加密后存入本地知识库；9)本地知识库将恶意AP信息传送给服务器的接收模块；10)接收模块将信息处理后存入云端知识库；11)云端知识库与本地知识库进行定时的数据更新，云端知识库将信息传输给下发模块；12)下发模块将信息处理后存入本地知识库。

作为本发明的一种优选技术方案，所述基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系中各个检测模块的调用条件及具体检测方案如下：检测模块的调用条件：a)如果仅收到一条Probe Response且是针对ProbeRequst1发出的响应，则进入第一检测模块；b)如果仅收到一条Probe Response且是针对Probe Requst2发出的响应，则进如第二检测模块；c)如果收到两条Probe Response，分别针对Probe Requst1和Probe Requst2发出的响应，则进入第三检测模块。(2)检测模块的检测方案：1)第一检测模块：a)仅收到Probe Requst1的响应报文，可判断当前空间不存在Karma攻击；b)记录此条报文的以下指纹信息：info＝<SSID,BSSID,vendor-ID,认证方式,外网IP,地域信息>予以连接；c)调用识别模块监测是否发送reassociation request报文；d)如果发送，监测收到的reassociation response中的指纹信息info，并与已记录的信息info进行比对，如果二者一致，则予以重新连接，否则，发出警告，中止链接并将info信息加密存入本地知识库；2)第二检测模块:a)仅收到Probe Requst2的响应报文，可判断当前空间存在Karma攻击；b)记录此条报文指纹信息：info并加密存入本地知识库；3)第三检测模块：a)同时收到Probe Requst1和Probe Requst2的响应报文，则确定当前空间存在Karma攻击，发出警告，中止链接并将Probe Response2的指纹信息info加密存入本地知识库；b)比对两报文的以下信息：BSSID，Vendor-ID；c)如果信息一致，则判断两报文发送自同一恶意节点，发出警告并中止链接；d)如果信息不一致，调用第一检测模块判断是否遭到主动攻击。

作为本发明的一种优选技术方案，所述知识库的构建过程以及本地知识库与云端知识库的交互方式的数据层的数据流向具体介绍如下：1)识别模块获取到报文的指纹信息后发送至对比模块，与本地知识库中的解密后的恶意节点信息文件进行比对，如果在该文件中找到该节点的记录，则判断为当前节点为恶意攻击节点；2)当检测模块判定当前空间存在攻击对象时，将恶意AP信息发送至存储模块，存储模块在计算该记录的MD5值确定其无误后对其进行加密并存至本地知识库；3)当客户端发出请求时，本地知识库与云端 知识库之间会进行数据更新与交换。

本发明所达到的有益效果是：一种移动终端钓鱼WiFi的检测与抵御方法，能够在用户接入公共WiFi之前提前检测当前网络环境是否安全，如果存在攻击，提醒用户断开连接，并且将该恶意AP的信息加密存入知识库，该发明能够：1)支持公共场所环境下检测威胁系数最高的karma攻击，保护用户的上网隐私；2)支持记录并存储恶意AP的指纹信息，建立恶意AP知识库；3)支持客户端与服务器端知识库流量加密传输；4)支持云端知识库与本地知识库定时数据更新。

附图说明：

以下结合附图对本发明作进一步的详细说明。

图1是基于C/S架构的检测和防御钓鱼WiFi方法示意图；

图2是基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系中各个检测模块的调用条件及具体检测方案示意图；

图3是基于C/S架构的检测和防御钓鱼WiFi系统构建过程以及本地知识库与云端知识库交互方式的数据层的数据流向示意图；

图4是基于C/S架构的检测和防御钓鱼WiFi的网络拓扑图。

具体实施方式

以下对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

实施例：本发明一种移动终端钓鱼WiFi的检测与抵御方法，包括基于C/S架构的检测和防御钓鱼WiFi方法的基本原理，各个模块之间的交互及数据流向、基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系和知识库的构建过程以及本地知识库与云端知识库的交互方式。

图1介绍了基于C/S架构的检测和防御钓鱼WiFi方法的基本原理，各个模块之间的交互及数据流向介绍如下：

1)广播模块主动向无线空间发送两个包含SSID的Probe Request报文，其中ProbeRequst1中的SSID为当前空间中存在的SSID，Probe Request2中的SSID为当前空间中不存在的；

2)识别模块监测收到的Probe Response报文，通过分析获得以下报文指纹key＝<SSID,BSSID,vendor-ID,认证方式，外网IP，地域信息>；

3)对比模块将key作为关键字与知识库中内容做对比；

4)对比模块将对比结果返回判别单元；

5)判别模块通过判断查询结果是否为空做出反应。如果在知识库中找到该记录，则判断当前无线环境中存在恶意攻击节点，切断无线连接。如果不存在，则将ProbeResponse报文传给检测单元；

6)检测单元通过判断收到的Probe Response报文是针对哪个Probe Request给出的响应，进入不同检测模块；

7)检测单元检测结束后，如果当前环境存在攻击，则将恶意攻击节点信息送至存储模块；否则，成功接入无线；

8)存储模块对恶意节点信息加密后存入本地知识库；

9)本地知识库将恶意AP信息传送给服务器的接收模块；

10)接收模块将信息处理后存入云端知识库；

11)云端知识库与本地知识库进行定时的数据更新，云端知识库将信息传输给下发模块；

12)下发模块将信息处理后存入本地知识库。

图2介绍了所述基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系中各个检测模块的调用条件及具体检测方案如下：

(1)检测模块的调用条件：

a)如果仅收到一条Probe Response且是针对Probe Requst1发出的响应，则进入第一检测模块；

b)如果仅收到一条Probe Response且是针对Probe Requst2发出的响应，则进如第二检测模块；

c)如果收到两条Probe Response，分别针对Probe Requst1和Probe Requst2发出的响应，则进入第三检测模块。

(2)检测模块的检测方案：

1)第一检测模块：

a)仅收到Probe Requst1的响应报文，可判断当前空间不存在Karma攻击；

b)记录此条报文的以下指纹信息：info＝<SSID,BSSID,vendor-ID,认证方式,外网IP,地域信息>予以连接；

c)调用识别模块监测是否发送reassociation request报文；

d)如果发送，监测收到的reassociation response中的指纹信息info，并与已记录的信息info进行比对，如果二者一致，则予以重新连接，否则，发出警告，中止链接并将info信息加密存入本地知识库。

2)第二检测模块:

a)仅收到Probe Requst2的响应报文，可判断当前空间存在Karma攻击；

b)记录此条报文指纹信息：info并加密存入本地知识库。

3)第三检测模块：

a)同时收到Probe Requst1和Probe Requst2的响应报文，则确定当前空间存在Karma攻击，发出警告，中止链接并将Probe Response2的指纹信息info加密存入本地知识库；

b)比对两报文的以下信息：BSSID，Vendor-ID；

c)如果信息一致，则判断两报文发送自同一恶意节点，发出警告并中止链接；

d)如果信息不一致，调用第一检测模块判断是否遭到主动攻击。

4、所述知识库的构建过程以及本地知识库与云端知识库的交互方式的数据层的数据流向具体介绍如下：

1)识别模块获取到报文的指纹信息后发送至对比模块，与本地知识库中的解密后的恶意节点信息文件进行比对，如果在该文件中找到该节点的记录，则判断为当前节点为恶意攻击节点。

2)当检测模块判定当前空间存在攻击对象时，将恶意AP信息发送至存储模块，存储模块在计算该记录的MD5值确定其无误后对其进行加密并存至本地知识库。

3)当客户端发出请求时，本地知识库与云端知识库之间会进行数据更新与交换。

表3-1攻击节点指纹信息表

表3-2攻击节点地址信息表

5、应用案例

WiFi安全接入：本发明针对空间潜在的主动攻击威胁，提供了一种基于C/S架构的移动终端钓鱼WiFi的检测与抵御方法，保证移动用户安全接入公共WiFi，有效防止普通主动攻击以及Karma攻击。

示例：公共场所移动设备安全接入公共WiFi。

解决方案：用户手机、平板电脑等移动设备安装检测与防御软件，在酒店、餐厅、KTV等公共场所接入公共WiFi前，该应用通过主动向空间中发送请求报文，以监测空间中是否存在恶意攻击AP，有这种WiFi接入方式可以有效的防御主动攻击以及Karma攻击，其网络拓扑图如图4所示。

需要说明的是，本发明为一种移动终端钓鱼WiFi的检测与抵御方法，能够在用户接入公共WiFi之前提前检测当前网络环境是否安全，如果存在攻击，提醒用户断开连接，并且将该恶意AP的信息加密存入知识库，实用对象包括智能手机、平板电脑等移动设备，恶意AP知识库的建立对无线钓鱼WiFi的检测及预防具有显著的意义。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (3)

1.一种移动终端钓鱼WiFi的检测与抵御方法，包括基于C/S架构的检测和防御钓WiFi方法的基本原理，各个模块之间的交互及数据流向、基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系和知识库的构建过程以及本地知识库与云端知识库的交互方式；

其中，所述基于C/S架构的检测和防御钓鱼WiFi方法的基本原理，各个模块之间的交互及数据流向具体如下：

1)广播模块主动向无线空间发送两个包含SSID的Probe Request报文，其中ProbeRequst1中的SSID为当前空间中存在的SSID，Probe Request2中的SSID为当前空间中不存在的；

2)识别模块监测收到的Probe Response报文，通过分析获得以下报文指纹key＝<SSID,BSSID,vendor-ID,认证方式，外网IP，地域信息>；

3)对比模块将key作为关键字与知识库中内容做对比；

4)对比模块将对比结果返回判别单元；

5)判别模块通过判断查询结果是否为空做出反应；如果在知识库中找到记录，则判断当前无线环境中存在恶意攻击节点，切断无线连接；如果不存在，则将Probe Response报文传给检测单元；

6)检测单元通过判断收到的Probe Response报文是针对哪个Probe Request给出的响应，进入不同检测模块；

7)检测单元检测结束后，如果当前环境存在攻击，则将恶意攻击节点信息送至存储模块；否则，成功接入无线；

8)存储模块对恶意节点信息加密后存入本地知识库；

9)本地知识库将恶意AP信息传送给服务器的接收模块；

10)接收模块将信息处理后存入云端知识库；

11)云端知识库与本地知识库进行定时的数据更新，云端知识库将信息传输给下发模块；

12)下发模块将信息处理后存入本地知识库。

2.根据权利要求1所述的一种移动终端钓鱼WiFi的检测与抵御方法，其特征在于，所述基于C/S架构的检测和防御钓鱼WiFi系统客户端的具体工作流程以及各个模块之间的调用关系中各个检测模块的调用条件及具体检测方案如下：

(1)检测模块的调用条件：

a)如果仅收到一条Probe Response且是针对Probe Requst1发出的响应，则进入第一检测模块，

b)如果仅收到一条Probe Response且是针对Probe Requst2发出的响应，则进如第二检测模块，

c)如果收到两条Probe Response，分别针对Probe Requst1和Probe Requst2发出的响应，则进入第三检测模块；

(2)检测模块的检测方案：

1)第一检测模块：

a)仅收到Probe Requst1的响应报文，可判断当前空间不存在Karma攻击，

b)记录此条报文的以下指纹信息：info＝<SSID,BSSID,vendor-ID,认证方式,外网IP,地域信息>予以连接，

c)调用识别模块监测是否发送reassociation request报文，

d)如果发送，监测收到的reassociation response中的指纹信息info，并与已记录的信息info进行比对，如果二者一致，则予以重新连接，否则，发出警告，中止链接并将info信息加密存入本地知识库；

2)第二检测模块:

a)仅收到Probe Requst2的响应报文，可判断当前空间存在Karma攻击，

b)记录此条报文指纹信息：info并加密存入本地知识库；

3)第三检测模块：

a)同时收到Probe Requst1和Probe Requst2的响应报文，则确定当前空间存在Karma攻击，发出警告，中止链接并将Probe Response2的指纹信息info加密存入本地知识库，

b)比对两报文的以下信息：BSSID，Vendor-ID，

c)如果信息一致，则判断两报文发送自同一恶意节点，发出警告并中止链接，

d)如果信息不一致，调用第一检测模块判断是否遭到主动攻击。

3.根据权利要求1所述的一种移动终端钓鱼WiFi的检测与抵御方法，其特征在于，所述知识库的构建过程以及本地知识库与云端知识库的交互方式的数据层的数据流向具体介绍如下：

1)识别模块获取到报文的指纹信息后发送至对比模块，与本地知识库中的解密后的恶意节点信息文件进行比对，如果在该文件中找到该节点的记录，则判断为当前节点为恶意攻击节点；

2)当检测模块判定当前空间存在攻击对象时，将恶意AP信息发送至存储模块，存储模块在计算该记录的MD5值确定其无误后对其进行加密并存至本地知识库；

3)当客户端发出请求时，本地知识库与云端知识库之间会进行数据更新与交换。