Deauth 帧为什么危险

去认证（Deauth）帧在设计之初没有做鉴权，只要源地址伪装成 AP 或终端就能发送。未启用管理帧保护时，攻击者用极低的速率持续发送伪造 Deauth，就能让终端反复断开重连；这既是常见的干扰手段，也是许多工具实现「踢人」的原理。但 Deauth 本身也是正常机制：漫游时会主动断开旧 AP，AP 负载过高或安全策略也会踢除终端，因此看到 Deauth 不等于遭遇攻击，必须结合方向与原因码判断。

常见 Reason Code

Wireshark 过滤

wlan.fc.type_subtype == 12        # 只看 Deauth 帧
wlan.fixed.reason_code == 15       # 筛选握手超时
# 观察来源地址是否杂乱、发送频率是否异常
# 结合 AP 日志比对：AP 未记录的 Deauth 多为伪造

典型使用场景

• 排查间歇性掉线：确认是否存在伪造管理帧
• 漫游分析：区分正常切换与异常踢除
• 安全演练：验证启用 PMF 前后的差异
• 容量问题定位：负载过高时 AP 会主动踢除终端
• WIPS 部署验证：检查能否发现持续泛洪

怎么区分攻击与正常

三个判断维度：来源、方向和频率。正常踢除的 Deauth 由 AP 发出，原因码通常是负载、认证失败或不活动，且能在 AP 日志里找到对应记录；伪造泛洪的来源地址往往与真实 AP 不符或频繁变化，出现频率高且不规律，AP 日志中也没有记录。第二，看是否伴随完整的重新关联流程，正常漫游会紧接一次关联，泛洪则表现为断线后长时间无法稳定连接。第三，对比启用 PMF 强制前后的表现：如果开启后异常消失，基本可以确认是伪造管理帧导致。