解决ARP攻击的方法pc软件 文章资讯 手机软件

您当前的位置→图文中心ARP文章ARP故障解决ARP攻击的方法

解决ARP攻击的方法


2011/4/1  编辑:admin 来源:本站整理   

【故障原因】

  局域网内有人使用ARP欺骗的木马程序(比如:传奇盗号的软件, 某些传奇外挂中也被恶意加载了此程序)。

  【故障原理】

  要了解故障原理, 我们我自己先来了解一下ARP协议。

  就在局域网中, 可以通过ARP协议来完成IP地址转换为第二层物理地址(即MAC地址)的。 ARP协议对网络net安全具有重要的意义。 可以通过伪造IP地址和MAC地址实现ARP欺骗, 能够就在网络net中产生大量的ARP通信量使网络net阻塞。

  ARP协议是“Address Resolution Protocol”(地址解析协议)的缩写。 就在局域网中, 网络net中实际传输的是“帧”, 帧里面是有目标主机的MAC地址的。 就在以太网中, 一个主机要和另一个主机来进行直接通信, 就一定要要知道目标主机的MAC地址。 但这个目标MAC地址是怎么才能获得的呢?它就是可以通过地址解析协议获得的。 所谓“地址解析”就是主机就在发送send帧前将目标IP地址转换成目标MAC地址的过程。 ARP协议的可以说是功能就是可以通过目标设备的IP地址, 查询目标设备的MAC地址, 以保证通信的顺利来进行。

  每台安装有TCP/IP协议的电脑里都有一个ARP缓存表, 表里的IP地址与MAC地址是一一对应的, 如下表所示。

  主机 IP地址 MAC地址

  A 192.168.16.1 aa-aa-aa-aa-aa-aa

  B 192.168.16.2 bb-bb-bb-bb-bb-bb

  C 192.168.16.3 cc-cc-cc-cc-cc-cc

  D 192.168.16.4 dd-dd-dd-dd-dd-dd

  我们我自己以主机A(192.168.16.1)向主机B(192.168.16.2)发送send数据信息为例。 当发送send数据信息时, 主机A会就在我自己的ARP缓存表中寻找是否有目标IP地址。 如果去寻找到了, 也就知道了目标MAC地址, 直接把目标MAC地址写入帧里面发送send就可以能够了;如果就在ARP缓存表中没有去寻找到相对应的IP地址, 主机A就一定会就在网络net上发送send一个广播, 目标MAC地址是“FF.FF.FF.FF.FF.FF”, 这表示向同一个网段内的所有主机发出这样的询问:“192.168.16.2的MAC地址是什么?”网络net上其他主机并不响应ARP询问, 只有主机B接收到这个帧时, 才向主机A做出这样的回应:“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。 这样, 主机A就知道了主机B的MAC地址, 它就可以能够向主机B发送send信息了。 同一个时间它还更新了我自己的ARP缓存表, 下次再向主机B发送send信息时, 直接从ARP缓存表里查找就可以能够了。 ARP缓存表采用了老化机制, 就在一段时间内如果表中的某一行没有使用, 就一定会被删除, 这样可以能够很大很大减少ARP缓存表的长度, 加快查询速度。

  从上面可以能够看出, ARP协议的基础就是信任局域网内所有的人, 那么就很容易实现就在以太网上的ARP欺骗。 对目标A来进行欺骗, A去Ping主机C却发送send到了DD-DD-DD-DD-DD-DD这个地址上。 如果来进行欺骗的时候, 把C的MAC地址骗为DD-DD-DD-DD-DD-DD, 于是A发送send到C上的数据信息包都变成发送send给D的了。 这不正好是D能够接收到A发送send的数据信息包了么, 嗅探成功。

  A对这个变化一点都没有意识到, 但是接下来的事情就让A产生了怀疑。 因为A和C连载不上了。 D对接收到A发送send给C的数据信息包可没有转交给C。

  做“man in the middle”, 来进行ARP重定向。 打开D的IP转发功能, A发送send过来的数据信息包, 转发给C, 好比一个路由器一样。 不过, 假如D发送sendICMP重定向的话就中断了整个计划。

  D直接来进行整个包的修改转发, 捕获到A发送send给C的数据信息包, 全部来进行修改后再转发给C, 而C接收到的数据信息包完全认为是从A发送send来的。 不过, C发送send的数据信息包又直接传递给A, 倘若再次来进行对C的ARP欺骗。 现就在D就完全成为A与C的中间桥梁了, 对于A和C之间的通讯就可以能够了如指掌了。

  【故障现象】

  当局域网内某台主机运行ARP欺骗的木马程序时, 会欺骗局域网内所有主机和路由器, 让所有上网的流量就一定要经过病毒主机。 其他用户本来直接可以通过路由器上网现就在转由可以通过病毒主机上网, 切换的时候用户会断一次线。

  切换到病毒主机上网后, 如果用户已经登陆了传奇服务器, 那么病毒主机就一定会经常伪造断线的假像, 那么用户就得重新登录传奇服务器, 这样病毒主机就可以能够盗号了。

  由于ARP欺骗的木马程序发作的时候会发出大量的数据信息包导致局域网通讯拥塞以及其自身处理能力的限制, 用户会感觉上网速度越来越慢。 当ARP欺骗的木马程序停止stop运行时, 用户会恢复从路由器上网, 切换过程中用户会再断一次线。

  【HiPER用户快速发现ARP欺骗木马】

  就在路由器的“系统system历史记录”中看到大量如下的信息(440以后的路由器软件版本中才有此提示):

  MAC Chged 10.128.103.124

  MAC Old 00:01:6c:36:d1:7f

  MAC New 00:05:5d:60:c7:18

  这个消息代表了用户的MAC地址发生了变化, 就在ARP欺骗木马现在开始运行的时候, 局域网所有主机的MAC地址更新为病毒主机的MAC地址(即所有信息的MAC New地址都一致为病毒主机的MAC地址), 同一个时间就在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。

  如果是就在路由器的“系统system历史记录”中看到大量MAC Old地址都一致, 则说明局域网内曾经出现过ARP欺骗(ARP欺骗的木马程序停止stop运行时, 主机就在路由器上恢复其真实的MAC地址)。

  【就在局域网内查找病毒主机】

  就在上面我们我自己已经知道了使用ARP欺骗木马的主机的MAC地址, 那么我们我自己就可以能够使用NBTSCAN(下载地址:http://www.utt.com.cn/upload/nbtscan.rar)必备工具来快速查找它。

  NBTSCAN可以能够取到PC的真实IP地址和MAC地址, 如果有”传奇木马”就在做怪, 可以能够去寻找到装有木马的PC的IP/和MAC地址。

  命令:“nbtscan -r 192.168.16.0/24”(搜索整个192.168.16.0/24网段, 即

  192.168.16.1-192.168.16.254);或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137 网段, 即192.168.16.25-192.168.16.137。 输出结果第一列是IP地址, 最后一列是MAC地址。

  NBTSCAN的使用范例:

  假设查找一台MAC地址为“000d870d585f”的病毒主机。

  1)将压缩包中的nbtscan.exe 和cygwin1.dll解压缩放到c:\下。

  2)就在Windows现在开始—运行—打开, 输入cmd(windows98输入“command”), 就在出现的DOS窗口中输入:C:\nbtscan -r 192.168.16.1/24(这里有请求需要根据记录用户实际网段输入), 回车。

  C:\Documents and Settings\ALAN>C:\nbtscan -r 192.168.16.1/24

  Warning: -r option not supported under Windows. Running without it.

  Doing NBT name scan for addresses from 192.168.16.1/24

  IP address NetBIOS Name Server User MAC address

  ------------------------------------------------------------------------------

  192.168.16.0 Sendto failed: Cannot assign requested address

  192.168.16.50 SERVER 00-e0-4c-4d-96-c6

  192.168.16.111 LLF ADMINISTRATOR 00-22-55-66-77-88

  192.168.16.121 UTT-HIPER 00-0d-87-26-7d-78

  192.168.16.175 JC 00-07-95-e0-7c-d7

  192.168.16.223 test123 test123 00-0d-87-0d-58-5f

  3)可以通过查询IP--MAC对应表, 查出“000d870d585f”的病毒主机的IP地址为“192.168.16.223”。

  【解决处理思路】

  1、一定不要把您的网络net安全信任关系建立就在IP基础上或MAC基础上, (rarp同样存就在欺骗的问题), 理想的关系应该建立就在IP+MAC基础上。

  2、布置设置静态的MAC-->IP对应表, 一定不要让主机刷新您设定好的转换表。

  3、除非很有必要, 否则停止stop使用ARP, 将ARP做为永久条目保存就在对应表中。

  4、使用ARP服务器。 可以通过该服务器查找我自己的ARP转换表来响应其他机器的ARP广播。 确保这台ARP服务器不被黑。

  5、使用"proxy"代理IP的传输。

  6、使用硬件屏蔽主机。 布置设置好您的路由, 确保IP地址能到达合法的路径。 (静态配置路由ARP条目), 提醒一定要注意, 使用交换集线器和网桥再也不能够阻止ARP欺骗。

  7、管理员定期用响应的IP包中获得一个rarp请求, 之后检查ARP响应的真实性。

  8、管理员定期轮询, 检查主机上的ARP缓存。

  9、使用防火墙连续监控网络net。 提醒一定要注意有使用SNMP的情况下, ARP的欺骗有有可能导致陷阱包丢失。

  【HiPER用户的解决处理方案】

  主张用户采用双向绑定的方法解决处理并且防止ARP欺骗。

  1、就在PC上绑定路由器的IP和MAC地址:

  1)最先是, 获得路由器的内网的MAC地址(例如HiPER网关地址192.168.16.254的MAC地址为0022aa0022aa)。

  2)编写一个批处理文件程序rarp.bat内容如下:

  @echo off

  arp -d

  arp -s 192.168.16.254 00-22-aa-00-22-aa

  将文件程序中的网关IP地址和MAC地址更改为您我自己的网关IP地址和MAC地址即可。

  将这个批处理软件拖到“windows--现在开始--程序--启动”中。

  3)如果是网吧, 可以能够利用收费软件服务端程序(pubwin或者万象都可以能够)发送send批处理文件程序rarp.bat到所有客户机的启动目录。 Windows2000的默认启动目录为“C:\Documents and Settings\All Users「现在开始」菜单程序启动”。

  2、就在路由器上绑定用户主机的IP和MAC地址(440以后的路由器软件版本支持):

  就在HiPER管理界面--高级配置--用户管理中将局域网每台主机均作绑定

原文出自【比特网】, 转载请保留原文链接:http://sec.chinabyte.com/363/11865363.shtml

相关文章
  • 魔兽世界WoW Legion companion随身app不能安装怎么解决
  • 谷歌浏览器程序包出错!谷歌浏览器程序包无效的问题怎么解决?
  • CAD保存文件时出现致命错误如何处理怎么解决?
  • CAD画pl线是空心是怎么回事?CAD pl线变实心线的方法解决办法
  • foodie美食相机拍照时闪退怎么处理,怎么解决
  • 360安全卫士解决电脑玩游戏花屏死机的方法介绍
  • 电脑FPS低是什么引起的?我们怎么格能够解决?
  • win7系统msn无法登录,Win7登录msn失败提示“错误代码80040154”怎么解决?
  • PS设置的内存和暂存位置容量不够解决?扩大PS暂存盘容量的具体方法
  • PP助手出错解决,PP助手修复闪退的方法
  • 发表评论
    阅读排行
    相关热门
    网站帮助 - 广告合作 - 下载声明 - 网站地图