前言：理解 802.11 狀態機是防禦的基石

IEEE 802.11 定義了三種客戶端狀態：

• 狀態 1：未認證、未關聯
• 狀態 2：已認證、未關聯
• 狀態 3：已認證、已關聯（唯一可傳輸數據狀態）

所有 DoS 攻擊本質上都是強制或誘導客戶端從狀態 3 退回狀態 1/2，使其無法通訊。

一、 Authentication Flood（認證洪水攻擊）

攻擊原理

攻擊者偽造大量隨機 MAC 位址，向 AP 發送海量偽造認證請求幀。AP 連接表資源耗盡，導致合法客戶端無法認證/關聯。

實戰工具：MDK3 (Linux/BackTrack)

mdk3 mon0 a -a 00:1C:DF:60:C1:94 -s 200

• a：Auth DoS 模式
• -a：目標 AP MAC
• -s：發包速率（實際 150-250 pkt/s）

攻擊效果驗證

• Airodump-ng 顯示大量偽造 Client（STATION 欄）關聯目標 AP
• 合法客戶端出現斷線、重連失敗、網路不穩
• 圖形化工具 Charon (Java GUI) 同樣可實現，支援針對特定 Client MAC 定點攻擊

封包分析識別攻擊

Wireshark/OmniPeek 捕獲大量連續 802.11 Authentication 幀。注意：來源 MAC 均為偽造，**無法直接追蹤攻擊者真實 MAC**。

二、 Deauthentication Flood（取消認證洪水攻擊）

攻擊原理

攻擊者偽造 AP 來源的 Deauth 幀（原因碼通常為 1、3、7），單播發送給目標客戶端，強制其斷開連線（狀態 3 → 狀態 1）。客戶端嘗試重連 → 再次被 Deauth → 持續拒絕服務。

為何極具殺傷力？

• 幾乎所有無線晶片組/驅動程式預設「收到 Deauth 即斷開」，無驗證機制
• 廣播 Deauth 可一次踢離全網客戶端
• 工具門檻低：aireplay-ng -0 10 -a <AP_MAC> -c <CLIENT_MAC> mon0

防禦與緩解策略

層面	措施
協議層	部署 802.11w (PMF, Protected Management Frames)，加密管理幀，驗證 Deauth 來源
設備層	AP 啟用 Deauth 防護/速率限制；客戶端驅動更新支援 802.11w
監控層	WIDS/WIPS 實時告警異常 Deauth 爆發；Wireshark 協議過濾 wlan.fc.type_subtype == 0x00c0
物理層	定向天線、降低發射功率、調整佈局減少洩漏

三、 綜合建議

1. 將 802.11w 列為採購新 AP/客戶端的硬性指標
2. 定期進行授權紅隊演練，驗證防禦有效性
3. 建立無線基線：正常 Deauth/Disassoc 頻率、原因碼分布
4. 事件響應預案：隔離可疑 AP、封鎖攻擊者 MAC（配合定位）、升級固件

結語

Auth/Deauth Flood 利用 802.11 協議設計缺陷，成本極低、殺傷力大。隨著 802.11w (WPA3 強制) 普及，管理幀保護將從根本上緩解此類攻擊。在此之前，監控、速率限制與物理隔離是關鍵防線。