24、揭秘WiFi攻击：现状、动机与应对策略

揭秘WiFi攻击：现状、动机与应对策略

1. WiFi攻击的全球现状

WiFi攻击在全球范围内呈现出不同的态势。一些国家如缅甸、俄罗斯和泰国的WiFi攻击发生率甚至高于中国。不过，由于数据规模有限以及部分国家与中国在攻击行为上缺乏相似性，相关研究结果可能并不适用于所有国家。但对于那些在攻击发生率、主要攻击类型和基本行为等方面与中国类似的国家，如缅甸，研究结果仍具有一定的参考价值。

在中国，WiFi攻击几乎遍布全国各个地区，并不局限于特定区域或互联网服务提供商（ISP）。而且，攻击密度基本与人口密度成正比。

2. WiFi攻击技术分析

WiFi攻击技术多种多样，且有些出人意料。WiSC能够检测到的四种攻击技术及其比例分别为：TCP劫持（57%）、DNS劫持（17%）、ARP欺骗（16%）和DHCP欺骗（12%）。由于一个接入点（AP）可能同时遭受多种攻击，这些比例之和超过了100%。

• TCP劫持 ：占检测到的攻击的一半以上。这主要是因为TCP在当今互联网应用中占据主导地位，攻击者有能力破坏TCP连接甚至加密。尽管全球范围内HTTPS的部署日益广泛，但TCP劫持攻击仍然猖獗。许多国家在HTTPS的有效部署方面存在严重不足，例如，在中国和美国的前100大网站中，分别有60%和36%的网站未启用HSTS（HTTP严格传输安全），使得它们容易受到HTTPS降级攻击，如SSLStrip。即使是启用了HSTS的网站，大部分也未能正确配置HSTS参数，导致HSTS在实际应用中失效。
• ARP和DHCP欺骗 ：在局域网（LAN）攻击中，ARP和DHCP欺骗攻击更容易在LAN连接较差的AP上发生。这是因为在较差的LAN环境下，欺骗响应能够比合法响应更快地到达用户设备。以往认为DHCP欺骗在WiFi网络中大多只是一种假设性攻击，但实际观察发现，攻击者通过采用一些极端策略，如大量发送DHCP Offer消息，使得DHCP欺骗在实际中变得可行。ARP和DHCP欺骗的根本原因在于AP无条件转发LAN内的所有广播，可通过在AP端进行数据包检查或加密来解决，但这会带来较大的存储和计算开销，对于低成本硬件的家用AP来说并不实用。一种替代方法是MAC强制转发，该技术已在一些公共场所（如地铁站）部署，用于防范欺骗攻击。

攻击技术	比例	发生环境	应对方法
TCP劫持	57%	普遍存在，HTTPS部署不足情况更严重	加强HTTPS和HSTS配置
DNS劫持	17%	网络条件较好时易发生	暂无明确提及
ARP欺骗	16%	LAN连接较差的AP	数据包检查、加密、MAC强制转发
DHCP欺骗	12%	LAN连接较差的AP	数据包检查、加密、MAC强制转发

3. 恶意行为与目标

通过对140万个攻击事件痕迹的分析，发现WiFi攻击主要有以下几种恶意行为和目标：
- 广告注入 ：占攻击事件的55%，主要通过TCP劫持将广告注入网页。有趣的是，注入的广告并未通过印象欺诈等技术刻意隐藏，这可能是因为广告商要求广告明确展示以达到实际广告效果。此外，使用强加密（WPA/WPA2）的AP中广告注入的检测率为2.33%，高于使用弱加密或无加密（WEP）的AP（1%）。这是因为受保护较好的AP往往具有更好的互联网连接，为广告注入提供了更好的网络环境。
- DoS和流量监控 ：占26%，攻击者通过ARP/DHCP欺骗，诱使用户设备将其设备识别为网络网关，从而丢弃数据包或监控用户网络痕迹。
- DNS劫持 ：导致用户的DNS查询收到错误的解析结果，可能引发钓鱼攻击，将用户重定向到伪装成原始请求网站的恶意网站。
- HTTPS目标攻击 ：如SSLStrip，将HTTPS链接偷偷替换为HTTP链接，破坏用户的加密。这两种攻击占比均小于8%，远低于先前研究报告的比例。

mermaid代码如下：

graph LR
    A[WiFi攻击] --> B[广告注入55%]
    A --> C[DoS和流量监控26%]
    A --> D[DNS劫持<8%]
    A --> E[HTTPS目标攻击<8%]

此外，遭受LAN攻击的AP比遭受广域网（WAN）攻击和良性AP的物理移动距离更长。这是因为ARP/DHCP欺骗攻击在较差的LAN环境中更容易成功，但也更容易被网络管理员发现并修复，因此攻击者需要战略性地重新定位以提高成功率并逃避检测。约10%的遭受LAN攻击的AP呈现出在几个位置之间移动的明显模式，形成一个或多个循环。

揭秘WiFi攻击：现状、动机与应对策略

4. 攻击背后的根本动机

在检测到的攻击事件中，广告注入目前占比最大，对终端用户的影响也最广泛。用户设备被注入广告后，可能会遭受各种欺诈和滥用，导致严重后果。因此，我们深入分析了基于接入点（AP）的广告注入攻击背后的根本动机。

• 攻击技术手段 ：攻击者采用了多种技术来逃避常见的安全检查，例如不断更改广告域名以防止安全或广告拦截软件识别，以及使用代码混淆来隐藏攻击逻辑。这表明攻击者在通过可见的广告展示获利的同时，竭力隐藏其恶意活动。
• 广告注入概率 ：恶意AP并非对所有拦截的网页都注入广告，而是以一定概率进行。对于77%的恶意AP，广告注入概率低于平均水平（17%）。从定性角度来看，过度的广告注入容易被用户察觉，可能导致AP重置、固件升级甚至断开连接，使攻击者失去受控制的AP。

为了定量解释攻击者如何选择广告注入概率，我们建立了广告注入攻击的经济模型。考虑到恶意AP并非一直处于攻击者控制之下，而是会在一段时间后逐渐恢复到良性状态，这一动态过程受用户有意防御和无意操作（如AP重置或固件升级）的影响。

• 无意恢复概率 ：我们选择了35,782个在测量期间广告注入概率最低（0.02）的AP，以排除高概率广告注入引起用户警惕的影响。通过跟踪它们14周的恢复过程，发现AP恢复符合指数分布：$P_F(t) = 1 - e^{-0.054t}$，其中$P_F(t)$表示第$t$周恢复的AP百分比，该模型的决定系数$R^2$高达0.89，拟合效果良好。
• 有意恢复概率 ：将恢复的AP分为因有意防御行动恢复和因无意行动恢复两部分。在已知每周所有恢复AP数量的情况下，先通过上述公式近似无意恢复的AP数量，再从总数中减去，得到因有意防御行动恢复的AP数量。计算每周的平均广告注入概率后，发现因有意防御行动恢复的AP百分比与广告注入概率的关系符合S函数，其中Bertalanffy函数拟合效果最佳，公式为$P_L(P_{ad}) = 0.95 * (1 - 1.99e^{-10.12P_{ad}-0.67})^3$，$R^2$为0.99。

因此，AP在时间$t$保持恶意的概率为$P_m(P_{ad}, t) = (1 - P_L(P_{ad}))(1 - P_F(t))$。假设共有$M$个AP，每个AP平均注入$N$个广告，每个广告带来的单位利润为$Profit_{unit}$，则攻击者的利润为$Profit(P_{ad}) = \sum_{t=0}^{\infty} M * N * Profit_{unit} * P_{ad} * P_m(P_{ad}, t)$。虽然$M$、$N$和$Profit_{unit}$的确切值未知，但我们可以通过计算相对利润$Profit_{relative}(P_{ad}) = \frac{Profit(P_{ad})}{Profit(1)} = \frac{P_{ad}(1 - P_L(P_{ad}))}{1 - P_L(1)}$，来了解不同广告注入概率对攻击者利润的影响。

概率类型	计算公式	拟合函数	决定系数$R^2$
无意恢复概率$P_F(t)$	$P_F(t) = 1 - e^{-0.054t}$	指数分布	0.89
有意恢复概率$P_L(P_{ad})$	$P_L(P_{ad}) = 0.95 * (1 - 1.99e^{-10.12P_{ad}-0.67})^3$	Bertalanffy函数	0.99
相对利润$Profit_{relative}(P_{ad})$	$Profit_{relative}(P_{ad}) = \frac{P_{ad}(1 - P_L(P_{ad}))}{1 - P_L(1)}$	-	-

通过绘制$Profit_{relative}(P_{ad})$与不同$P_{ad}$值的关系图，我们发现最大利润出现在$P_{ad} = 15\%$，这与现实中攻击者平均17%的选择相匹配。这表明大多数攻击者经过精心调整其行为，以实现长期利润最大化，暗示了存在一个相当成熟的WiFi攻击生态系统。

mermaid代码如下：

graph LR
    A[广告注入攻击] --> B[攻击技术手段]
    A --> C[广告注入概率]
    C --> D[无意恢复概率$P_F(t)$]
    C --> E[有意恢复概率$P_L(P_{ad})$]
    C --> F[相对利润$Profit_{relative}(P_{ad})$]
    D --> G[指数分布拟合]
    E --> H[Bertalanffy函数拟合]

5. 破坏攻击生态系统

了解WiFi攻击生态系统是制定有效防御策略的关键。接下来，我们将探讨如何识别这个地下生态系统，分析其中各个参与者之间的相互作用，并找出其弱点，以便进行主动反击。

• 识别攻击生态系统 ：通过对大量攻击事件的深入分析，我们可以发现攻击行为的模式和规律，从而识别出攻击生态系统的存在。例如，攻击者在广告注入时采用的技术手段和概率控制策略，反映了他们在追求利润最大化的同时，也在考虑如何避免被发现和阻止，这暗示了一个有组织、有策略的攻击生态系统。
• 参与者相互作用 ：在这个生态系统中，攻击者、广告商和用户之间存在着复杂的相互作用。攻击者通过攻击AP来注入广告获利；广告商希望通过广泛的广告展示来推广产品；用户则成为了攻击的受害者，他们的设备安全和隐私受到威胁。这种相互作用形成了一个动态的生态系统，其中每个参与者的行为都会影响其他参与者。
• 找出弱点并反击 ：通过对攻击生态系统的深入研究，我们可以找出其弱点。例如，攻击者在控制广告注入概率时，需要在获利和避免被发现之间进行权衡，这就是一个可以利用的弱点。我们可以通过加强用户教育，提高用户对广告注入攻击的警惕性，从而增加攻击者被发现的风险，迫使他们减少攻击行为。此外，还可以通过技术手段，如加强AP的安全防护、优化网络协议等，来提高攻击的难度和成本，从而破坏攻击生态系统的平衡。

综上所述，WiFi攻击是一个严重的安全问题，涉及到多种攻击技术、恶意行为和复杂的动机。为了应对这些攻击，我们需要深入了解攻击的现状、动机和生态系统，采取综合的防御策略，包括加强网络安全防护、提高用户安全意识和优化网络协议等，以保护用户的设备安全和隐私。