摘 要： WLAN由于無線信道的開放性和安全機制的缺陷，需要安全分析系統進行管理。選用PowerPC(mpc8270)處理器為硬件平臺，嵌入式Linux系統為軟件平臺，設計并實現了安全分析系統中的無線局域網安全分析終端。終端提供了WLAN報文的抓取、定制發送、編解碼及測試腳本的解析與執行等功能。
關鍵詞：無線局域網; 安全分析; 終端; PowerPC
在無線局域網(WLAN))的使用環境中，無線設備通過連接無線訪問點(Access Point)進行通訊。由于無線信道的開放性，非法用戶能夠在不被發現的情況下監聽獲取信道中的數據包，也可以主動攻擊無線訪問點使其崩潰，導致整個無線局域網的通訊服務停止，WLAN的安全性受到了嚴重的挑戰。目前，WLAN常用的安全措施有：設置無線訪問點的SSID(Service Set Identifier)來限制非法接入、MAC 認證來確保合法用戶才能夠接入、WEP加密等。針對這些安全措施出現了數據竊聽、數據分析、偽裝合法用戶、拒絕服務、修改數據、重放攻擊等安全問題[1-2]。要解決這些安全問題，需要進行主動或者被動安全分析[3]。主動安全分析：通過構造協議報文序列，模擬針對無線局域網安全漏洞的網絡攻擊，同待測設備交互，檢測待測設備是否能夠防御此攻擊，以判斷待測設備是否存在安全漏洞。被動安全分析:根據監測到的網絡數據，判斷是否存在針對已知漏洞的攻擊。要進行主動和被動安全分析，需要在WLAN環境中放置設備來對主動和被動安全分析技術提供支持，即無線局域網安全分析終端。
1 終端的部署結構及功能需求
1.1 部署結構
無線安全分析終端部署結構如圖1所示。圖中包括多個無線安全分析終端、多個無線訪問點（AP）、1個主控節點及其他無線接入設備。其中，無線安全分析終端與主控節點構成了無線安全分析系統。
1.2 功能需求
主控節點包含主動與被動分析模塊，終端對主動與被動分析模塊進行支持。如圖2所示，終端進行主動分析時,首先通過主控端有線網絡接口接收來自主控節點的攻擊測試腳本；然后執行腳本時,通過無線網絡接口發送數據包；最后通過無線網絡接口采集數據處理后發送回主控節點。終端進行被動分析時，首先通過無線網絡接口采集無線報文；然后按照規則中的報文處理規則(包含各種網絡協議編解碼方式及處理規則)進行處理，將需要的數據通過主控端網絡接口返回給主控節點進行分析處理。
根據以上分析可知，終端需實現以下功能：
(1) WLAN報文的抓取、定制發送及編解碼功能。這是實現主動與被動安全分析的基礎。
(2) 主動與被動安全分析的過程控制。
(3) 終端能夠提供解析與執行測試腳本的能力。
(4) 隨著針對WLAN的攻擊方式不斷增多，終端應具有良好的擴展性。
2 硬件組成
無線安全分析終端的硬件平臺由核心板和底板組成。如圖3所示，核心板上集成了CPU（MPC8270）、Flash ROM和SDRAM等。底板上提供了豐富的外設接口：包括1個10 M/100 M以太網接口、2個PCI接口、1個四線RS-232串口、JTAG接口等。
2.1 核心板MPC8270處理器及存儲器
MPC8270屬于Power QUICC II系列，其內部集成了2個處理單元：1個嵌入式PowerPC 603e核心,1個精減指令集（RISC）的通訊處理模塊（CPM）。同時，還擁有獨立的16 KB數據Cache和16 KB指令Cache,它支持60 x總線、PCI/LOCAL總線,內核工作時鐘最高450 MHz。由于CPU專注于管理高端的任務，CPM承擔了底層外圍的通訊，這種雙核的設計除可以滿足有線和無線網絡的通訊處理任務外，還可以比傳統設計更大地降低功耗,提供更加平衡的處理能力。16 MB的Flash ROM和128 MB的SDRAM構成了系統的存儲空間。Flash作為程序存儲器，固定為16bit數據讀寫訪問模式,它只連接MPC8270的低16bit數據總線，用片選信號/CS0選中。SDRAM作為系統的內存，采用1根144引腳的128 MB內存條,以60 x總線與MPC8270相連,數據寬度為64 bit。MPC8270提供了SDRAM控制器，故只需進行寄存器的設置即可。
2.2 底板外設接口
外設接口包括RS-232串行接口、JTAG口、以太網口和PCI接口等。RS-232接口用于人機交互及調試。JTAG口主要用于Bootloader的下載。Bootloader是嵌入式系統中引導系統的初始化部分，功能類似于PC機的BIOS。以太網口使用MPC8270的FCC模塊作為網口通訊，用于開發時搭建交叉編譯環境進行調試及正常工作時與主控節點的通訊。2個PCI接口分別插入2塊無線網卡，本文中以芯片組型號為AR5212的PCI接口的無線網卡（TL-WN651G）為例。
3 軟件設計與實現
終端以Linux作為軟件開發平臺，主要實現對無線局域網的主動安全和被動安全分析的支持。針對前面所描述的終端功能需求,文中將軟件劃為4個模塊。如圖4所示，包括連接控制模塊、執行控制模塊、測試支撐命令庫、網絡適配器模塊。
3.1 連接控制模塊
連接控制模塊負責通過有線網絡接口與主控節點通訊。終端啟動后，將建立Socket，然后將廣播本終端信息以進行注冊，主控節點收到信息后更新終端列表，其后Socket將處于監聽狀態,負責隨時與主控節點的通訊。
3.2 執行控制模塊
執行控制模塊負責主動與被動安全分析的過程控制，提供執行測試腳本的能力。
終端采用Tcl命令解釋器作為執行控制模塊的核心。終端與主控節點的控制命令、測試腳本等都通過Tcl命令解釋器解釋實現。
Tcl語言是一種腳本語言，一個重要特性是它的擴展性。用Tcl的C/C++接口將編寫的低層網絡通訊函數擴展成命令?；谶@些擴展命令，用Tcl腳本語言編寫頂層接口模塊。主控節點也可以利用這些擴展命令編寫安全分析腳本和控制命令?；谶@樣的思想，通過編寫擴展命令，終端的軟件具有很強的可擴展性。本文中，終端移植安裝了ActiveTcl8.4版本。
3.2.1 主動分析過程控制
主動分析控制由連接控制模塊的Socket進行觸發，當Socket接收到來自主控節點的測試腳本后，將單獨開始一個線程進行主動分析并負責返回測試結果。
3.2.2 被動分析過程控制
802.11g標準最大傳輸速率為108 Mb/s。被動分析過程控制應盡可能無遺漏地接收無線信道中的所有數據，對于可能出現捕獲數據包過多而終端無法及時處理致使數據包丟失的情況,文中采用了多線程和緩沖機制,如圖5所示。接收子線程負責將接收到的數據報文緩沖在隊列中，主線程從緩存隊列中讀取報文進行處理。
3.3 測試支撐命令庫
測試支撐命令庫提供了對主控節點與終端間的控制命令、腳本解析、WLAN報文編解碼的支持。
3.3.1 測試支撐命令庫的實現原理
平臺支撐命令庫提供測試所使用的Tcl命令，除采用Tcl語言自身實現某些簡單命令外，其他都基于C/C++實現。圖6是實現基于有線網卡發送數據的sock_send命令的編寫過程示例。
3.3.2 測試支撐命令庫組成
平臺支撐命令庫主要有2部分：Socket.dll和Base文件。實現了以下Tcl支撐命令：
(1)緩沖區編解碼支持命令。數據包在發送前和接收后都是先存放在緩沖區(buffer)中。緩沖區編解碼支持命令提供了一組管理和操作報文緩沖區的操作命令，包括緩沖區的申請和釋放，按各種格式填寫緩沖區和獲取緩沖區的內容等。
(2)PCO支持命令。提供了一組訪問TCP/IP協議的各個層次接口的控制觀察點（PCO）。
(3)協議報文編解碼、報文收發等支持命令。協議包括DLC、IPv4、IPv6、ARP、ICMPv4、ICMPv6、TCP、UDP、DNS、
ISIS、STP等。
(4)定時器操作、批量發包等。
3.3.3 無線數據包接收命令實現
作為無線終端的基本功能之一，必須能夠接收所在區域網絡的無線數據包，本文采用了libpcap[4]庫函數實現。
144 B Prism頭或者26 B左右的Radiotap頭，是無線網卡自動添加在802.11MAC頭前的數據，它記錄了所在區域無線信號的強度、噪聲強度和傳輸速率等物理層信息。通常情況下，使用libpcap捕獲無線數據包后，網卡將自動報文頭部分的Prism頭、Radiotap頭、802.11頭轉換為802.3報文頭提供給上層。本文采用了libpcap與madwifi相結合的方法來獲取所需要的無線網絡報文頭，終端使用的是libpcap 0.8.1版本。
3.3.4 無線數據包發送命令實現
開源項目Lorcon[5]對實現WLAN報文的定制發送需求提供了支持,它專為Linux操作系統所設計，其屏蔽了底層的具體實現，用戶只需指定使用的無線網卡的驅動程序名及型號即可調用。用戶事先設定好要發送的數據內容(包括802.11報文頭)，然后調用Lorcon庫函數即可。
由于使用Lorcon庫函數,發送時未提供發送確認機制，當同一信道中發生沖突時，會出現發送數據包不成功的情況，文中采用了在1塊無線網卡上發送無線數據包同時通過另一塊無線網卡監聽的方法，如果監聽接收到此數據包,表示此數據已發送成功;如果在規定時間內未接收到此數據包表示發送失敗，則重新發送。
3.4 網絡適配模塊
網絡適配模塊提供對無線網卡的驅動支持和工作模式設置。
無線網卡有多種工作模式，本文中終端需要使用正常模式和監聽模式(monitor模式)。在正常模式下，網卡工作在非偵聽狀態，只會接收到發給自己的數據包和廣播包，而丟棄其他包。在監聽模式下，網卡就可以接收其設定工作信道（channel）上的所有數據包。
本文需要使1塊無線網卡工作在監聽模式，采用與所使用無線網卡芯片相配套的無線網卡驅動madwifi-ng 0.9.4。安裝驅動后，可以使用wlanconfig命令設置無線網卡為監聽模式。
4 系統測試
因終端在提供主動分析支持時，也要執行提供被動分析支持時所要執行的操作，本文以一個主動測試用例為例，對終端系統能否正常工作進行測試。
4.1 認證請求洪泛攻擊測試用例原理
當無線設備發送了一個認證請求給無線訪問點（AP）而又未進行連接之前，無線訪問點必須保持這個無線設備在已認證、未連接狀態，等待該無線設備的連接請求。攻擊者偽造大量的無線設備向無線訪問點發送認證請求，使無線訪問點沒有能力接收更多其他無線設備的請求。此時，則表示此次主動攻擊測試成功，被測無線訪問點不具備防御認證請求洪泛攻擊（Authentication Frame Flood）的能力。
4.2 測試環境
待測無線訪問點（AP）的MAC地址為：3e.d4.37.85.
64.33,無線終端IP地址為：192.168.1.43。
4.3 測試結果
終端首先按照主控端測試腳本組成攻擊數據包，然后進行洪泛攻擊待測無線訪問點，最后檢查攻擊結果，顯示攻擊成功，表示被測無線訪問點不具備防備認證請求洪泛攻擊能力。
本文設計實現了基于PowerPC的無線局域網安全測試終端。實現了對安全分析系統的主動分析與被動分析模塊的支持，從而能夠提前檢測到被測目標是否存在安全漏洞，防范多種針對無線局域網的攻擊并進行相應處理。終端可通過修改測試支撐命令庫而進行擴展。此外，終端還提供了對多種協議的支持，應用前景廣闊。
參考文獻
[1] BORISOV N. Intercepting mobile communications: the insecurity of 802.11. In Seventh Annual International Conference on Mobile Computing and Networking, July, 2001.
[2] ZHOU Wen Zhe, ALAN M, GU Qiang, A novel classification scheme for 802.11 WLAN active attacking traffic patterns. Wireless Communications and Networking Conference, 2006.
[3] ZHAO Yin, WU Jian Ping, YIN Xia. From active to passive——progress in testing of internet routing protocols (Extended Version)[J]. Journal of Computer Science and Technology, 2002,17(2):264-283.