ARP攻击的原理pc软件 文章资讯 手机软件

您当前的位置→图文中心ARP文章ARP原理ARP攻击的原理

ARP攻击的原理


2008/8/27 9:30:20 编辑:佚名 来源:admin 

就在局域网中, 可以通过ARP协议来完成IP地址转换为第二层物理地址(即MAC地址)的。 ARP协议对网络net安全具有重要的意义。 可以通过伪造IP地址和MAC地址实现ARP欺骗, 能够就在网络net中产生大量的ARP通信量使网络net阻塞。

ARP协议是“Address Resolution Protocol”(地址解析协议)的缩写。 就在局域网中, 网络net中实际传输的是“帧”, 帧里面是有目标主机的MAC地址的。 就在以太网中, 一个主机要和另一个主机来进行直接通信, 就一定要要知道目标主机的MAC地址。 但这个目标MAC地址是怎么才能获得的呢?它就是可以通过地址解析协议获得的。 所谓“地址解析”就是主机就在发送send帧前将目标IP地址转换成目标MAC地址的过程。 ARP协议的可以说是功能就是可以通过目标设备的IP地址, 查询目标设备的MAC地址, 以保证通信的顺利来进行。

每台安装有TCP/IP协议的电脑里都有一个ARP缓存表, 表里的IP地址与MAC地址是一一对应的, 如下所示。

主机 IP地址 MAC地址
A 192.168.16.1 aa-aa-aa-aa-aa-aa
B 192.168.16.2 bb-bb-bb-bb-bb-bb
C 192.168.16.3 cc-cc-cc-cc-cc-cc
D 192.168.16.4 dd-dd-dd-dd-dd-dd


我们我自己以主机A(192.168.16.1)向主机B(192.168.16.2)发送send数据信息为例。 当发送send数据信息时, 主机A会就在我自己的ARP缓存表中寻找是否有目标IP地址。 如果去寻找到了, 也就知道了目标MAC地址, 直接把目标MAC地址写入帧里面发送send就可以能够了;如果就在ARP缓存表中没有去寻找到相对应的IP地址, 主机A就一定会就在网络net上发送send一个广播, 目标MAC地址是“FF.FF.FF.FF.FF.FF”, 这表示向同一个网段内的所有主机发出这样的询问:“192.168.16.2的MAC地址是什么?”网络net上其他主机并不响应ARP询问, 只有主机B接收到这个帧时, 才向主机A做出这样的回应:“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。 这样, 主机A就知道了主机B的MAC地址, 它就可以能够向主机B发送send信息了。 同一个时间它还更新了我自己的ARP缓存表, 下次再向主机B发送send信息时, 直接从ARP缓存表里查找就可以能够了。 ARP缓存表采用了老化机制, 就在一段时间内如果表中的某一行没有使用, 就一定会被删除, 这样可以能够很大很大减少ARP缓存表的长度, 加快查询速度。

从上面可以能够看出, ARP协议的基础就是信任局域网内所有的人, 那么就很容易实现就在以太网上的ARP欺骗。 对目标A来进行欺骗, A去Ping主机C却发送send到了DD-DD-DD-DD-DD-DD这个地址上。 如果来进行欺骗的时候, 把C的MAC地址骗为DD-DD-DD-DD-DD-DD, 于是A发送send到C上的数据信息包都变成发送send给D的了。 这不正好是D能够接收到A发送send的数据信息包了么, 嗅探成功。

A对这个变化一点都没有意识到, 但是接下来的事情就让A产生了怀疑。 因为A和C连载不上了。 D对接收到A发送send给C的数据信息包可没有转交给C。

做“man in the middle”, 来进行ARP重定向。 打开D的IP转发功能, A发送send过来的数据信息包, 转发给C, 好比一个路由器一样。 不过, 假如D发送sendICMP重定向的话就中断了整个计划。

D直接来进行整个包的修改转发, 捕获到A发送send给C的数据信息包, 全部来进行修改后再转发给C, 而C接收到的数据信息包完全认为是从A发送send来的。 不过, C发送send的数据信息包又直接传递给A, 倘若再次来进行对C的ARP欺骗。 现就在D就完全成为A与C的中间桥梁了, 对于A和C之间的通讯就可以能够了如指掌了。

【故障现象】

当局域网内某台主机运行ARP欺骗的木马程序时, 会欺骗局域网内所有主机和路由器, 让所有上网的流量就一定要经过病毒主机。 其他用户本来直接可以通过路由器上网现就在转由可以通过病毒主机上网, 切换的时候用户会断一次线。

切换到病毒主机上网后, 如果用户已经登陆了服务器, 那么病毒主机就一定会经常伪造断线的假像, 那么用户就得重新登录服务器, 这样病毒主机就可以能够盗号了。

由于ARP欺骗的木马程序发作的时候会发出大量的数据信息包导致局域网通讯拥塞以及其自身处理能力的限制, 用户会感觉上网速度越来越慢。 当ARP欺骗的木马程序停止stop运行时, 用户会恢复从路由器上网, 切换过程中用户会再断一次线。

【HiPER用户快速发现ARP欺骗木马】

就在路由器的“系统system历史记录”中看到大量如下的信息(440以后的路由器软件版本中才有此提示):

MAC Chged 10.128.103.124
MAC Old 00:01:6c:36:d1:7f
MAC New 00:05:5d:60:c7:18

这个消息代表了用户的MAC地址发生了变化, 就在ARP欺骗木马现在开始运行的时候, 局域网所有主机的MAC地址更新为病毒主机的MAC地址(即所有信息的MAC New地址都一致为病毒主机的MAC地址), 同一个时间就在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。
如果是就在路由器的“系统system历史记录”中看到大量MAC Old地址都一致, 则说明局域网内曾经出现过ARP欺骗(ARP欺骗的木马程序停止stop运行时, 主机就在路由器上恢复其真实的MAC地址)。

【就在局域网内查找病毒主机】

就在上面我们我自己已经知道了使用ARP欺骗木马的主机的MAC地址, 那么我们我自己就可以能够使用NBTSCAN必备工具来快速查找它。

NBTSCAN可以能够取到PC的真实IP地址和MAC地址, 如果有”ARP攻击”就在做怪, 可以能够去寻找到装有ARP攻击的PC的IP/和MAC地址。

命令:“nbtscan -r 192.168.16.0/24”(搜索整个192.168.16.0/24网段, 即192.168.16.1-192.168.16.254);或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段, 即192.168.16.25-192.168.16.137。 输出结果第一列是IP地址, 最后一列是MAC地址。

NBTSCAN的使用范例:

假设查找一台MAC地址为“000d870d585f”的病毒主机。

1)将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:下。

2)就在Windows现在开始—运行—打开, 输入cmd(windows98输入“command”), 就在出现的DOS窗口中输入:C: btscan -r 192.168.16.1/24(这里有请求需要根据记录用户实际网段输入), 回车。

3)可以通过查询IP--MAC对应表, 查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。

相关文章
  • aRP的工作原理及高速缓存
  • 基于ARP欺骗的惩罚措施
  • ARP协议的探测原理
  • A Sharper Scaling图片放大不失真软件使用方法
  • 支付宝AR识花是什么,支付宝AR识花玩法介绍
  • 三星I9100连上电脑的Kies,提示"Your device's current firmware version is not supp...
  • flipboard怎么注册 Flipboard注册方法
  • VMware安装CentOS图文教程
  • 发表评论
    阅读排行
    网站帮助 - 广告合作 - 下载声明 - 网站地图