了解ARP的攻擊原理 阻止ARP攻擊

411789986

你是否遇到過在局域網(wǎng)中上網(wǎng)時會突然掉線，過一段時間后又會恢復(fù)正常�；蛘呤强蛻舳藸顟B(tài)頻頻變紅，用戶頻繁斷網(wǎng)，IE瀏覽器頻繁出錯，以及一些常用軟件出現(xiàn)故障等。又或者是你所在的局域網(wǎng)是通過身份認(rèn)證上網(wǎng)的，會突然出現(xiàn)可認(rèn)證，但不能上網(wǎng)的現(xiàn)象（無法ping通網(wǎng)關(guān)）。如果出現(xiàn)了上述狀況，那你要小心了，因為你很可能受到了ARP的攻擊。 \r\n　　那么什么是ARP呢？如何受到攻擊的？該怎么解決呢？下文將給你進行一一解答。\r\n\r\n　　一 什么是ARP：\r\n\r\n　　ARP是“Address Resolution Protocol”（地址解析協(xié)議）的縮寫。在局域網(wǎng)中，網(wǎng)絡(luò)中實際傳輸?shù)氖恰皫�”，幀里面是有目�?biāo)主機的MAC地址的。在以太網(wǎng)中，一個主機和另一個主機進行直接通信，必須要知道目標(biāo)主機的MAC地址。但這個目標(biāo)MAC地址是如何獲得的呢？它就是通過地址解析協(xié)議獲得的。所謂“地址解析”就是主機在發(fā)送幀前將目標(biāo)IP地址轉(zhuǎn)換成目標(biāo)MAC地址的過程。ARP協(xié)議的基本功能就是通過目標(biāo)設(shè)備的IP地址，查詢目標(biāo)設(shè)備的MAC地址，以保證通信的順利進行。\r\n\r\n　　二 ARP的工作原理：\r\n\r\n　　只有了解了ARP的工作原理，我們才能更有效地阻止ARP的攻擊。簡單地說，ARP的原理就是：首先，每臺主機都會在自己的ARP緩沖區(qū)中建立一個 ARP列表，以表示IP地址和MAC地址的對應(yīng)關(guān)系。當(dāng)源主機需要將一個數(shù)據(jù)包要發(fā)送到目的主機時，會首先檢查自己 ARP列表中是否存在該 IP地址對應(yīng)的MAC地址，如果有﹐就直接將數(shù)據(jù)包發(fā)送到這個MAC地址；如果沒有，就向本地網(wǎng)段發(fā)起一個ARP請求的廣播包，查詢此目的主機對應(yīng)的MAC地址。此ARP請求數(shù)據(jù)包里包括源主機的IP地址、硬件地址、以及目的主機的IP地址。網(wǎng)絡(luò)中所有的主機收到這個ARP請求后，會檢查數(shù)據(jù)包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此數(shù)據(jù)包；如果相同，該主機首先將發(fā)送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已經(jīng)存在該IP的信息，則將其覆蓋，然后給源主機發(fā)送一個 ARP響應(yīng)數(shù)據(jù)包，告訴對方自己是它需要查找的MAC地址；源主機收到這個ARP響應(yīng)數(shù)據(jù)包后，將得到的目的主機的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息開始數(shù)據(jù)的傳輸。如果源主機一直沒有收到ARP響應(yīng)數(shù)據(jù)包，表示ARP查詢失敗。\r\n\r\n　　下面舉個簡單的例子：\r\n\r\n　　假設(shè)A的地址為：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA\r\n\r\n　　假設(shè)B的地址為：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB\r\n\r\n　　那么根據(jù)上面的原理，我們簡單說明這個過程：A要和B通訊，A就需要知道B的MAC地址，于是A發(fā)送一個ARP請求廣播（誰是192.168.10.2 ，請告訴192.168.10.1），當(dāng)B收到該廣播，就檢查自己，結(jié)果發(fā)現(xiàn)和自己的一致，然后就向A發(fā)送一個ARP單播應(yīng)答（192.168.10.2 在BB-BB-BB-BB-BB-BB）。\r\n\r\n<--分頁--> \r\n　　三 受到攻擊的原因：ARP欺騙\r\n\r\n　　其實，此起彼伏的瞬間掉線或大面積的斷網(wǎng)大都是ARP欺騙在作怪。從影響網(wǎng)絡(luò)連接通暢的方式來看，ARP欺騙分為二種，一種是對路由器ARP表的欺騙；另一種是對內(nèi)網(wǎng)PC的網(wǎng)關(guān)欺騙。\r\n\r\n　　第一種ARP欺騙的原理是——截獲網(wǎng)關(guān)數(shù)據(jù)。它通知路由器一系列錯誤的內(nèi)網(wǎng)MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在路由器中，結(jié)果路由器的所有數(shù)據(jù)只能發(fā)送給錯誤的MAC地址，造成正常PC無法收到信息。第二種ARP欺騙的原理是——偽造網(wǎng)關(guān)。它的原理是建立假網(wǎng)關(guān)，讓被它欺騙的PC向假網(wǎng)關(guān)發(fā)數(shù)據(jù)，而不是通過正常的路由器途徑上網(wǎng)。在PC看來，就是上不了網(wǎng)了，“網(wǎng)絡(luò)掉線了”。\r\n\r\n　　下面通過實例來講講ARP欺騙的過程：\r\n\r\n　　每臺安裝有TCP/IP協(xié)議的電腦里都有一個ARP緩存表，表里的IP地址與MAC地址是一一對應(yīng)的如下表所示。\r\n\r\n　　主機 IP地址 MAC地址\r\n\r\n　　A 192.168.16.1 aa-aa-aa-aa-aa-aa\r\n\r\n　　B 192.168.16.2 bb-bb-bb-bb-bb-bb\r\n\r\n　　C 192.168.16.3 cc-cc-cc-cc-cc-cc\r\n\r\n　　D 192.168.16.4 dd-dd-dd-dd-dd-dd\r\n\r\n　　我們以主機A（192.168.16.1）向主機B（192.168.16.2）發(fā)送數(shù)據(jù)為例。當(dāng)發(fā)送數(shù)據(jù)時，主機A會在自己的ARP緩存表中尋找是否有目標(biāo)IP地址。如果找到了，也就知道了目標(biāo)MAC地址，直接把目標(biāo)MAC地址寫入幀里面發(fā)送就可以了；如果在ARP緩存表中沒有找到相對應(yīng)的IP地址，主機A就會在網(wǎng)絡(luò)上發(fā)送一個廣播，目標(biāo)MAC地址是“FF.FF.FF.FF.FF.FF”，這表示向同一網(wǎng)段內(nèi)的所有主機發(fā)出這樣的詢問：“192.168.16.2的MAC地址是什么？”網(wǎng)絡(luò)上其他主機并不響應(yīng)ARP詢問，只有主機B接收到這個幀時，才向主機A做出這樣的回應(yīng)：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。這樣，主機A就知道了主機B的MAC地址，它就可以向主機B發(fā)送信息了。同時它還更新了自己的ARP緩存表，下次再向主機B發(fā)送信息時，直接從ARP緩存表里查找就可以了。ARP緩存表采用了老化機制，在一段時間內(nèi)如果表中的某一行沒有使用，就會被刪除，這樣可以大大減少ARP緩存表的長度，加快查詢速度。 \r\n\r\n　　從上面可以看出，ARP協(xié)議的基礎(chǔ)就是信任局域網(wǎng)內(nèi)所有的人，那么就很容易實現(xiàn)在以太網(wǎng)上的ARP欺騙。對目標(biāo)A進行欺騙，A去Ping主機C卻發(fā)送到了DD-DD-DD-DD-DD-DD這個地址上。如果進行欺騙的時候，把C的MAC地址騙為DD-DD-DD-DD-DD-DD，于是A發(fā)送到C上的數(shù)據(jù)包都變成發(fā)送給D的了。這不正好是D能夠接收到A發(fā)送的數(shù)據(jù)包了么，嗅探成功。\r\n\r\n　　A對這個變化一點都沒有意識到，但是接下來的事情就讓A產(chǎn)生了懷疑。因為A和C連接不上了。D對接收到A發(fā)送給C的數(shù)據(jù)包可沒有轉(zhuǎn)交給C。做“man in the middle”，進行ARP重定向。打開D的IP轉(zhuǎn)發(fā)功能，A發(fā)送過來的數(shù)據(jù)包，轉(zhuǎn)發(fā)給C，好比一個路由器一樣。不過，假如D發(fā)送ICMP重定向的話就中斷了整個計劃。\r\n\r\n　　D直接進行整個包的修改轉(zhuǎn)發(fā)，捕獲到A發(fā)送給C的數(shù)據(jù)包，全部進行修改后再轉(zhuǎn)發(fā)給C，而C接收到的數(shù)據(jù)包完全認(rèn)為是從A發(fā)送來的。不過，C發(fā)送的數(shù)據(jù)包又直接傳遞給A，倘若再次進行對C的ARP欺騙�，F(xiàn)在D就完全成為A與C的中間橋梁了，對于A和C之間的通訊就可以了如指掌了。\r\n\r\n四 ARP攻擊的防范方法： \r\n\r\n　　知道了攻擊的原理，我們就能夠更好的防范ARP的攻擊了，下面列出了一些基本的防范方法，供大家參考。 \r\n\r\n　　1、不要把你的網(wǎng)絡(luò)安全信任關(guān)系建立在IP基礎(chǔ)上或MAC基礎(chǔ)上，（rarp同樣存在欺騙的問題），理想的關(guān)系應(yīng)該建立在IP+MAC基礎(chǔ)上。 \r\n\r\n　　2、設(shè)置靜態(tài)的MAC-->IP對應(yīng)表，不要讓主機刷新你設(shè)定好的轉(zhuǎn)換表。 \r\n\r\n　　3、除非很有必要，否則停止使用ARP，將ARP做為永久條目保存在對應(yīng)表中。 \r\n\r\n　　4、使用ARP服務(wù)器。通過該服務(wù)器查找自己的ARP轉(zhuǎn)換表來響應(yīng)其他機器的ARP廣播。確保這臺ARP服務(wù)器不被黑。 \r\n\r\n　　5、使用\"proxy\"代理IP的傳輸。 \r\n\r\n　　6、使用硬件屏蔽主機。設(shè)置好你的路由，確保IP地址能到達(dá)合法的路徑。（靜態(tài)配置路由ARP條目），注意，使用交換集線器和網(wǎng)橋無法阻止ARP欺騙。 \r\n\r\n　　7、管理員定期用響應(yīng)的IP包中獲得一個rarp請求，然后檢查ARP響應(yīng)的真實性。 \r\n\r\n　　8、管理員定期輪詢，檢查主機上的ARP緩存。 \r\n\r\n　　9、使用防火墻連續(xù)監(jiān)控網(wǎng)絡(luò)。 \r\n\r\n　　通過以上的方法可以大大降低你受ARP攻擊的可能。

Natiry

有小小懂.繼續(xù)努力中/./

285285285

實在是郁悶，單位里的電腦………………

cccpcccp12

一百多臺電腦呀��！都要裝上，累呀��！

xuxu790215

努力學(xué)習(xí)中,單位的電腦經(jīng)常這樣,真難辦

6209851

好東西，頂了再看。。

chenxi4499

不知道瑞星卡卡管用不？\r\n大家有用過的嗎？

zhenggm20

努力學(xué)習(xí)中……   謝樓主