【摘要】本文首先介绍了ARP协议的概念和工作原理,接着分析了当前ARP病毒的主要类型和特点,最后提出了一些具体的防范措施,来应对ARP的欺骗和攻击。本文笔者结合自己的一些网络管理经验,对ARP病毒进行了分析和总结,并提出了相应的防范措施。
【关键词】APR 病毒攻击防范措施
一、ARP协议及工作原理
1. ARP协议简介
ARP协议是Address Resolution Protocol地址解析协议的缩写,在局域网中以帧的方式进行传输数据,并且根据帧中目标主机的MAC地址来进行寻址。在以太网中,一台主机要和另一台主机进行直接通信,就必须要知道目的主机的MAC地址,这个目的MAC地址就是通过ARP协议获取的,地址解析就是主机在发送帧前将目的主机的IP地址转换成目的主机MAC地址的过程,这样才能保证局域网内各主机间可靠快速的通信。
2.ARP协议的工作原理
a.在同一个网段内
假设主机A和B在同一个网段,主机A要向主机B发送信息。具体的地址解析过程如下。
(1)主机A首先查看自己的ARP缓存表,确定其中是否包含有主机B对应的ARP表项。如果找到了主机B对应的MAC地址,则主机A直接利用ARP表中的MAC地址,对IP数据包进行帧封装,并将数据包发送给主机B。
(2)如果主机A在ARP缓存表中找不到对应的MAC地址,则将缓存该数据报文,然后以广播方式发送一个ARP请求报文。由于ARP请求报文以广播方式发送,该网段上的所有主机都可以接收到该请求,但只有被请求的主机B会对该请求进行处理。
(3)主机B比较自己的IP地址和ARP请求报文中的目标IP地址,如果相同则将ARP请求报文中的发送端主机A的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A。
(4)主机A收到ARP响应报文后,将主机B的MAC地址加入到自己的ARP缓存表中以用于后续报文的转发,同时将IP数据包进行封装后发送出去。
b.在不同网段间
当主机A和主机B不在同一网段时,主机A就会先向网关发出ARP请求报文。当主机A从收到的响应报文中获得网关的MAC地址后,将报文封装并发给网关。如果网关没有主机B的ARP表项,网关会广播ARP请求,目标IP地址为主机B的IP地址,当网关从收到的响应报文中获得主机B的MAC 地址后,就可以将报文发给主机B;如果网关已经有主机B的ARP表项,网关直接把报文发给主机B。
二、ARP的主要欺骗及攻击方式
1.ARP欺骗
网络欺骗是黑客常用的攻击手段之一,网络ARP欺骗分为两种,一种是对路由器ARP表的欺骗,另一种是对内网主机的网关欺骗。前一种欺骗的原理是攻击者通过截获分析网关数据,并通知路由器一系列错误的内网IP地址和MAC地址的映射,按照一定的频率不断进行使真实的地址信息映射无法通过更新保存在路由器中,结果路由器转发数据到错误的MAC地址的主机,造成正常主机无法收到信息;后一种ARP欺骗的原理是伪造网关,它的原理是把真实网关的的IP地址映射到错误的MAC地址,这样主机在向网关发送数据时,不能够到达真正的网关,如果假网关不能上网,那么真实的主机通过假网关也不能上网。
2.中间人攻击
按照ARP协议的设计,一个主机即使收到的ARP应答并非自身请求得到的,也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信,但也为ARP欺骗创造了条件。如图1所示,PC-X为X主机,MAC-X为X主机的物理地址,IP-X为X主机的IP地址。PC-A和PC-C通过交换机S进行通信。此时,如果有攻击者(PC-B)想探听PC-A和PC-C之间的通信,它可以分别给这两台主机发送伪造的ARP应答报文,使PC-A中的ARP缓存表中IP-C和MAC-B所对应,PC-C中的ARP缓存表中IP-A和MAC-B所对应。此后,PC-A和PC-C之间看似直接的通信,实际上都是通过攻击者所在的主机间接进行的,如图1虚箭头所示,即PC-B担当了中间人的角色,可以对信息进行窃取和篡改。这种攻击方式就称作中间人攻击。
3.ARP泛洪攻击
攻击主机持续把伪造的IP地址和MAC地址的映射对发给受害主机,对于局域网内的所有主机和网关进行广播,抢占网络带宽并干扰正常通信。导致网络中的主机和交换机不停地来更新自己的IP地址和MAC地址的映射表,浪费网络带宽和主机的CPU,使主机间都不能正常通信。
除了中间人攻击、ARP泛洪攻击外,还有Dos攻击等。
三、ARP攻击的主要防范措施
1. IP地址和MAC地址的静态绑定
(1)在用户端进行绑定
ARP欺骗是通过ARP的动态刷新,并不进行验证的漏洞,来欺骗内网主机的,所以我们把ARP表全部设置为静态可以解决对内网的欺骗,也就是在用户端实施IP和MAC地址绑定,可以再用户主机上建立一个批处理文件,此文件内容是绑定内网主机IP地址和MAC地址,并包括网关主机的IP地址和MAC 地址的绑定,并把此批处理文件放到系统的启动目录下,使系统每次重启后,自动运行此文件,自动生成内网主机IP地址到MAC地址的映射表。这种方法使用于小型的网络中。
(2)在交换机上绑定
在核心交换机上绑定用户主机IP地址和网卡的MAC地址,同时在边缘交换机上将用户计算机网卡的IP地址和交换机端口绑定的双重安全绑定方式。这样可以极大程度上避免非法用户使用ARP欺骗或盗用合法用户的IP地址进行流量的盗取,可以防止非法用户随意接入网络,网络用户如果擅自改动本机网卡的IP或MAC地址,该机器的网络访问将被拒绝,从而降低了ARP攻击的概率。
2.采用VLAN技术隔离端口
局域网的网络管理员可根据需要,将本单位网络规划出若干个VLAN,当发现有非法用户在恶意利用ARP欺骗攻击网络,或因合法用户受病毒ARP病毒感染而影响网络时,网络管理员可先找到该用户所在的交换机端口,然后将该端口划一个单独的VLAN,将该用户与其它用户进行隔离,以避免对其它用户的影响,当然也可以利用将交换机的该端口关掉来屏蔽该用户对网络造成影响。
3.采取802.1X认证
802.1X认证可以将使未通过认证的主机隔离,当发现某台主机中毒时,将禁止其认证从而达到将中毒主机隔离网络的目的。
例如,在本人所在学校就是需要上网的用户要提前到网络管理中心登记,也就是在网关中心申请一个用户名,并创建密码,并且把自己的MAC地址和用户名进行绑定,如果自己的换网卡后,还需要去网络管理中心进行重新绑定。用户上网前首先运行一个客户端软件,输入用户名密码后,通过认证服务器认证成功后才能上网。
4.防火墙和杀毒软件
可以安装ARP防火墙或者开启局域网ARP防护,比如360安全卫士等ARP病毒专杀工具,并且实时下载安装系统漏洞补丁,关闭不必要的服务等来减少病毒的攻击。
ARP欺骗/ MITM(Man-In-The-Middle)攻击原理和防范 一、MITM(Man-In-The-Middle) 攻击原理 按照 ARP 协议的设计，为了减少网络上过多的 ARP 数据通信，一个主机，即使收到的 ARP 应答并非自己请求得到的，它也会将其插入到自己的 ARP 缓存表中，这样，就造成了“ ARP 欺骗”的可能。如果黑客想探听同一网络中两台主机之间的通信（即使是通过交换机相连），他会分别给这两台主机发送一个 ARP 应答包，让两台主机都“误”认为对方的 MAC 地址是第三方的黑客所在的主机，这样，双方看似“直接”的通信连接，实际上都是通过黑客所在的主机间接进行的。黑客一方面得到了想要的通信内容，另一方面，只需要更改数据包中的一些信息，成功地做好转发工作即可。在这种嗅探方式中，黑客所在主机是不需要设置网卡的混杂模式的，因为通信双方的数据包在物理上都是发送给黑客所在的中转主机的。 这里举个例子，假定同一个局域网内，有 3 台主机通过交换机相连： A 主机： IP 地址为 192.168.0.1 ， MAC 地址为 01:01:01:01:01:01 ； B 主机： IP 地址为 192.168.0.2 ， MA C 地址为 02:02:02:02:02:02 ； C 主机： IP 地址为 192.168.0.3 ， MAC 地址为 03:03:03:03:03:03 。 B 主机对 A 和 C 进行欺骗的前奏就是发送假的 ARP 应答包，如图所示 在收到 B主机发来的ARP应答后，A主机应知道： 到 192.168.0.3 的数据包应该发到 MAC 地址为 020********* 的主机； C 主机也知道：到 192.168.0.1 的数据包应该发到 MAC 地址为 020********* 的主机。这样， A 和 C 都认为对方的 MAC 地址是 020********* ，实际上这就是 B 主机所需得到的结果。当然，因为 ARP 缓存表项是动态更新的，其中动态生成的映射有个生命期，一般是两分钟，如果再没有新的信息更新， ARP 映射项会自动去除。所以， B 还有一个“任务”，那就是一直连续不断地向 A 和 C 发送这种虚假的 ARP 响应包，让其 ARP缓存中一直保持被毒害了的映射表项。 现在，如果 A 和 C 要进行通信，实际上彼此发送的数据包都会先到达 B 主机，这时，如果 B 不做进一步处理， A 和 C 之间的通信就无法正常建立， B 也就达不到“嗅探”通信内容的目的，因此， B 要对“错误”收到的数据包进行一番修改，然后转发到正确的目的地，而修改的内容，无非是将目的 MAC 和源MAC 地址进行替换。如此一来，在 A 和 C 看来，彼此发送的数据包都是直接到达对方的，但在 B 来看，自己担当的就是“第三者”的角色。这种嗅探方法，
开发与应用 计算机与信息技术 ·7· ARP 攻击的分析与防范 吴勇 李祥 (贵州大学 计算机软件与理论研究所，贵州 贵阳 550025) 摘 要 介绍了ARP协议工作原理，分析了ARP协议的弱点，阐述了基于ARP进行网络攻击的主要方式，并给出了应 对措施。提出构造ARP应答包进行ARP欺骗的具体方法。 关键词 ARP协议；ARP欺骗；ICMP重定位；静态ARP表；地址解析；libnet 1 引言 网络上的计算机之间是通过IP地址通信的，但是IP地址是位于网络层的逻辑地址，计算机之间要想真的进行数据交换必须知道它的物理地址，ARP就是将逻辑地址转换成物理地址的一个协议。因此ARP的协议的安全就显的非常重要。现在对ARP攻击最常用的一种方式就是ARP欺骗，在这种攻击方式下，攻击方可以通过伪造ARP请求与应答更新目标主机的ARP缓存从而骗过目标机。使目标机的数据包发给攻击者。攻击者就可以对截获的数据包的内容进行分析破解目标机的信息。 2 ARP 协议 计算机之间主要是通过IP地址通信，IP地址是一个逻辑地址，通过IP地址就可以找到目标网络，但是在一个网络内部的计算机之间进行最终的数据交换时就必须经过物理MAC地址才能识别具体的一台主机，这时我们就需要ARP协议把需要通信的目标主机的IP地址解析为与之对应的硬件物理地址。 2.1 ARP 协议的基本工作原理 一台连入互连网的计算机拥有两个地址。一个是IP地址，它是一个网络层使用的协议并且独立于网络底层。每一台在互联网上的计算机都必须有一个惟一IP地址。IP地址是一个可以通过软件设置的逻辑地址。另一个地址是网卡地址MAC 地址。MAC地址是一个固定在网卡中的全球独一无二的地址。通过MAC地址，以太网就能独立于上层协议收发数据。当两台主机进行通信时，IP数据被封装成以太帧格式的一个个的数据包，这些数据包通过数据链路层进行传送，ARP消息就被封装在以太帧的数据部分。每一台基于TCP/IP协议的主机都有一个ARP缓存表。里面包括硬件类型，硬件地址长度，操作号，源IP地址与MAC地址，目的IP地址与MAC地址。如果一台主机甲要与另一台主机乙进行数据通信，且它们位于一个网段时，它们之间的具体通信过程如下：甲查看自己的ARP缓存表，寻找乙机器的相关信息，如果找到的话，就使用表中与乙的IP地址对应的MAC地址来通信；若查找失败，就会向局域网中发送一个以太网的广播帧，往帧中填充甲主机的IP地址和MAC地址，乙主机的IP地址等字段形成一个ARP请求。此时此网段内的所有机器都会收到此请求，但只有乙主机收到后发现此请求中有自己的IP地址从而作出响应。它先刷新自己的ARP缓存，以便提高以后的通信效率，而后生成一个ARP应答帧将自己的MAC地址填充进去发送给甲主机。甲收到后将乙的ARP信息写入自己的ARP缓存中。若不在同一网段，此过程分为两个阶段，第一阶段甲会广播一个ARP请求来得到本地网关的MAC地址，然后将数据发送到网关。再判断网关与乙是否在同一网段。如果是就进入第二阶段查找IP/MAC，转发数据否则继续广播ARP请求。(如图1) 当一台机器更换了新网卡后，就会通知网内其它主机，使之更新各自的ARP表项使IP地址和新的MAC地址保持一致。因此每台机器在启动时都会发一个以太网广播帧通知其它主机及时更新ARP缓存。 第一阶段 第二阶段 图1 不同网段的ARP攻击
ARP欺骗在网络中的应用及防范 一、ARP协议的内容和工作原理 地址解析协议（Address Resolution Protocol,ARP）是在只知道主机IP地址时确定其物理地址的一种协议。因IPv4、IPv6和以太网的广泛应用，其主要用于将IP地址翻译为以太网的MAC地址，但其也能在ATM和FDDI IP网络中使用。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC 层，也就是相当于OSI的第二层）的MAC地址。 首先，每台主机都会在自己的ARP缓冲区中建立一个ARP映射表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里面包括源主机的IP地址、源主机的MAC地址以及目的主机的IP地址、目的MAC地址。同一网段中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就丢弃此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP映射表中，如果ARP映射表中已经存在该IP的信息，则将其覆盖，然后以单播的形式给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到目的主机的IP地址和MAC地址并添加到自己的ARP映射表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。 二、ARP协议存在的安全漏洞 ARP协议是建立在信任局域网内所有节点的基础上的，它很高效，但却不安全。其主要漏洞有以下三点： １、主机地址映射表是基于高速缓存、动态更新的，ARP将保存在高速缓存中的每一个映射地址项目都设置了生存时间，它只保存最近的地址对应关系。这样恶意的用户如果在下次交换前修改了被欺骗机器上的地址缓存，就可以进行假冒或拒绝服务攻击。 2、由于ARP是无状态的协议，即使没有发送ARP请求报文，主机也可以接收ARP应答，只要接收到ARP应答分组的主机就无条件地根据应答分组的内容刷新本机的高速缓存。这就为ARP欺骗提供了可能，恶意节点可以发布虚假的ARP 报文从而影响网内节点的通信，甚至可以做“中间人”。 ３、任何ARP应答都是合法的，ARP应答无须认证，只要是局域网内的ARP 应答分组，不管是否是合法的应答，主机都会接受ARP应答，并用其IP-MAC信息篡改其缓存。这就是ARP的另一个隐患。 三、ARP欺骗攻击的实现过程 3.1 网段内的ARP欺骗攻击 ARP欺骗攻击的最基本手段就是向目标主机发送伪造的ARP应答，并使目标主机接收应答中伪造的IP与MAC间的映射表，并以此更新目标主机缓存。设在
防护arp攻击软件最终版-Antiarp安全软件 使用方法： 1、填入网关IP地址，点击〔获取网关地址〕将会显示出网关的MAC地址。点击[自动防护]即可保护当前网卡与该网关的通信不会被第三方监听。注意：如出现ARP欺骗提示，这说明攻击者发送了ARP欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的MAC地址，利用MAC地址扫描器可以找出IP 对应的MAC地址. 2、IP地址冲突 如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数据包，才会出现IP冲突的警告，利用Anti ARP Sniffer可以防止此类攻击。 3、您需要知道冲突的MAC地址，Windows会记录这些错误。查看具体方法如下： 右击[我的电脑]--[管理]--点击[事件查看器]--点击[系统]--查看来源为[TcpIP]---双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入Anti ARP Sniffer 的本地MAC地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig /all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符，如果更改失败请与我联系。如果成功将不再会显示地址冲突。 注意:如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡。 全中文界面，绿色不用安装 附件: [Antiarp安全软件] Antiarp.rar (2006-4-25 17:03, 353.06 K) 该附件被下载次数103 可惜传不上去。 解决ARP攻击一例 【故障现象】 当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。 切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。 由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行
编号TS-08-0005 科来网络分析系统ARP攻击解决方案 版权所有 ? 2007 科来软件保留所有权利。 本文档属商业机密文件，所有内容均为科来软件国内技术支持部独立完成，属科来软件内部机密信息，未经科来软件做出明确书面许可，不得为任何目的、以任何形式或手段（包括电子、机械、复印、录音或其他形式）对本文档的任何部分进行复制、修改、存储、引入检索系统或者传播。 汪已明 科来软件 电话：86-28-85120922 传真：86-28-85120911 网址：https://www.doczj.com/doc/9413686407.html, 电子邮件：support@https://www.doczj.com/doc/9413686407.html, 地址：成都市高新区九兴大道6号高发大厦B幢1F 版权所有 ？ ２００７ 科来软件． 保留所有权利 第１页 共６页
方案背景 目前，由于政府、企业、高校以及电子商务的蓬勃发展，使得网络已经融入到社会的各个领域；与此同时，网络用户的多样化，直接导致了蠕虫病毒和网络攻击的持续增多。在这种情况下，快速排查网络攻击，保障网络的持续可靠运行，已日益成为与国家、政府、企事业和个人的利益休戚相关的“大事情”。 自2006年以来，ARP攻击就以攻击方法简单、攻击速度快、攻击效果好而深受越来越多恶作剧者的青睐，从而导致近1年多的时间里，网络中的ARP攻击无处不在，各大论坛从未停止过ARP攻击的讨论，一些遭受过ARP攻击的用户甚至到了谈“ARP”色变的程度。 能否快速有效地排查ARP攻击，将直接导致网络的运行是否正常，其意义十分重大。接下来我们就详细地来看如何排查并预防ARP攻击。 ARP协议工作原理 ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作OSI参考模型的第2层（数据链路层），用于查找IP地址所对应物理网卡的MAC地址。 正常情况下，ARP协议的工作原理如下： 1.所有主机都在自己的缓冲区中建立一个IP地址和MAC地址的对应关系表，我们 称这个表为ARP表。 2.源主机需要发送一个数据包到目的主机时，首先检查自己的ARP表中是否存在该 目的IP地址对应的MAC地址，如果有，就将数据包发送到这个MAC地址所对应 的网卡；如果没有，就向本地网段中除自己以外的所有主机发起一个ARP请求广 播，以查询目的主机所对的MAC地址。 3.网络中的所有主机收到这个ARP请求后，都会检查数据包中的目的IP是否和自己 的IP地址一致。如果不相同，就丢弃该数据包；如果相同，该主机首先将源主机 的IP地址和MAC地址添加到自己的ARP表（ARP表中如果已经存在该IP的信 息，则将其覆盖），然后给源主机发送一个 ARP响应数据包，告诉对方自己是它 需要查找的MAC地址； 4.源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添 加到自己的ARP表，并同时将数据包发往目的主机所对应的网卡。 从上述的过程可知，正常情况下的ARP工作流程是一个请求，一个应答。 ARP攻击原理 根据攻击的严重程度，ARP攻击可以分为三种：ARP扫描、ARP中间人攻击和ARP 断网攻击。 版权所有 ？ ２００７ 科来软件． 保留所有权利 第２页 共６页
ARP欺骗和攻击问题，是企业网络的心腹大患。关于这个问题的讨论已经很深入了，对ARP攻击的机理了解的很透彻，各种防范措施也层出不穷。 但问题是，现在真正摆脱ARP问题困扰了吗？从用户那里了解到，虽然尝试过各种方法，但这个问题并没有根本解决。原因就在于，目前很多种ARP防范措施，一是解决措施的防范能力有限，并不是最根本的办法。二是对网络管理约束很大，不方便不实用，不具备可操作性。三是某些措施对网络传输的效能有损失，网速变慢，带宽浪费，也不可取。 本文通过具体分析一下普遍流行的四种防范ARP措施，去了解为什么ARP问题始终不能根治。 上篇：四种常见防范ARP措施的分析 一、双绑措施 双绑是在路由器和终端上都进行IP-MAC绑定的措施，它可以对ARP欺骗的两边，伪造网关和截获数据，都具有约束的作用。这是从ARP欺骗原理上进行的防范措施，也是最普遍应用的办法。它对付最普通的ARP欺骗是有效的。 但双绑的缺陷在于3点：
1、 在终端上进行的静态绑定，很容易被升级的ARP攻击所捣毁，病毒的一个ARP –d命令，就可以使静态绑定完全失效。 2、 在路由器上做IP-MAC表的绑定工作，费时费力，是一项繁琐的维护工作。换个网卡或更换IP，都需要重新配置路由。对于流动性电脑，这个需要随时进行的绑定工作，是网络维护的巨大负担，网管员几乎无法完成。 3、 双绑只是让网络的两端电脑和路由不接收相关ARP信息，但是大量的ARP攻击数据还是能发出，还要在内网传输，大幅降低内网传输效率，依然会出现问题。 因此，虽然双绑曾经是ARP防范的基础措施，但因为防范能力有限，管理太麻烦，现在它的效果越来越有限了。 二、ARP个人防火墙 在一些杀毒软件中加入了ARP个人防火墙的功能，它是通过在终端电脑上对网关进行绑定，保证不受网络中假网关的影响，从而保护自身数据不被窃取的措施。ARP防火墙使用范围很广，有很多人以为有了防火墙，ARP攻击就不构成威胁了，其实完全不是那么回事。 ARP个人防火墙也有很大缺陷：
本科生毕业论文（设计） 题目：ARP攻击和防范原理及示例 专业：计算机网络（本科） 考生姓名：********** 准考证号：************ 指导教师：****** 二〇一五年十月
学术诚信声明 本人所呈交的毕业论文，是在导师的指导下，独立进行研究工作所 取得的成果，所有数据、图片资料均真实可靠。除文中已经注明引用的 内容外，本论文不包含任何其他人或集体已经发表或撰写过的作品或成 果。对本论文的研究作出重要贡献的个人和集体，均已在文中以明确的 方式标明。本毕业论文的知识产权归属于培养单位。本人完全意识到本 声明的法律结果由本人承担。 本人签名：日期：2015-10-12
摘要 ARP攻击是指攻击者利用ARP协议本身的缺陷，在区域内一台终端或服务器上发布欺骗ARP广播包以达到盗取用户帐号、篡改网站内容、嵌入恶意代码、发布不良信息、监听传输数据等非法活动的目的。 ARP的攻击方式是ARP欺骗，ARP欺骗在过去常被运用到简单的拒绝服务攻击中。然而，随着大量缺乏管理且流动性较大的网吧以及其他公共上网环境的普及，互联网上开始出现许多由ARP基本攻击与侦听、网页篡改等黑客技术相互结合的攻击方式。这种ARP攻击之所以能在各类公共上网设施内迅速蔓延是因为在拥有上千台机器的公众上网环境或对外服务的IDC托管机房中，同一网段中往往有来自不同单位或不同人群使用的各类终端与服务器，由于其中各类系统的安全责任点归属复杂、使用人员流动性大，造成环境内安全管理漏洞较多，从而使新一代以ARP欺骗为基础的网页挂码或重定向攻击得以滋生。 目前，很多研究者已经给出了针对ARP欺骗攻击的防治方法，在一定程度上减少了ARP问题的发生，这类方法主要是通过保护ARP高速缓存等方法来实现，它们不能从根本上解决ARP欺骗问题，因为ARP欺骗是利用ARP协议本身存在在的漏洞，本文将从技术层面入手，分析解决该类问题。 关键词：ARP攻击、ARP协议、ARP欺骗、ARP安全防护
Arp攻击原理及防范 1．ARP协议简介 在局域网中，一台主机要和另一台主机进行通信，必须要知道另一台主机的IP地址，但是最终负责在局域网中传送数据的网卡等物理设备是不识别IP地址的，只能识别其MAC地址。MAC地址是48位的，通常表示为12个16进制数，每2个16进制数之间用“-”或者冒号隔开，如：FF-FF-FF-FF-FF-FF就是一个MAC地址。每一块网卡都有其全球唯一的MAC地址，网卡之间发送数据，只能根据对方网卡的MAC地址进行发送，这时就需要一个将数据包中的IP地址转换成MAC地址的协议，而这个重要的任务将由ARP协议完成。 ARP全称为Address Resolution Protocol，即地址解析协议。所谓“地址解析”就是主机在发送数据包前将目标主机IP地址转换成目标主机MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。这时就涉及到一个问题，一个局域网中的电脑少则几台，多则上百台，这么多的电脑之间，如何能准确的记住对方电脑网卡的MAC地址，以便数据的发送呢？这就涉及到了另外一个概念，ARP 缓存表。在局域网的任何一台主机中，都有一个ARP缓存表，该表中保存这网络中各个电脑的IP地址和MAC地址的对照关系。当这台主机向同局域网中另外的主机发送数据的时候，会根据ARP缓存表里的对应关系进行发送。 下面，我们用一个模拟的局域网环境，来说明ARP欺骗的过程。 2．ARP欺骗过程： 如图（1）所示（在相册）局域网中有三台主机与交换机相连接，主机名分别为A、B、C，交换机为网关命名为S，IP如图所示。现在A与C进行通信，正常情况下通信过程如下：A 将自身的数据打包目地IP为C的IP，因为不知道C的MAC，所以A向全网发出ARP请求要求得到C的MAC，C收到广播报文后将自身的MAC地址发送给A，A得到C的MAC后将数据打包，封装目的为C的IP和MAC，然后将数据包发送给S；S收到该包后拆包得到C的MAC，然后再对照自身的ARP缓存表，将数据包发送给C，一次通信完成。 这样的机制看上去很完美，似乎整个局域网也天下太平，相安无事。但是，上述数据发送机制有一个致命的缺陷，即它是建立在对局域网中电脑全部信任的基础上的，也就是说它的假设前提是：无论局域网中那台电脑，其发送的ARP数据包都是正确的。那么这样就很危险了！因为局域网中并非所有的电脑都安分守己，往往有非法者的存在。此时A想得到C 的MAC向全网发送广播，C将自己的MAC发给A，而此时一直沉默的B也向全网发出广播报文，说自已的IP为192.168.0.4MAC为B的MAC即MAC_b，原本A得到的C的MAC是正确的，由于B不停的发送广播报文，但A不知道B的MAC是伪造的，导致A重新动态更新自己的ARP缓存表，此时A的ARP缓存表里记录了一条错误的记录，这就导致了A以后要发送给C的数据全部发给了B。这就是ARP欺骗中冒充主机的方式。 如果B冒充网关又会是什么情况呢？大家知道局域网中所有电脑上网都要通过网关转发数据才能登陆互联网。此时如果B向全网发送广播说我的IP为192.168.0.1 MAC为MAC_b 即B自己的MAC，由于局域网通信的前提条件是信任任何电脑发送的ARP广播包。这样局域网中的其它电脑都会更新自身的ARP缓存表，记录下192.168.0.1－MAC_b这样的记录，这样，当它们发送给网关，也就是IP地址为192.168.0.1这台电脑的数据，结果都会发送到MAC_b这台电脑中！这样，B就将会监听整个局域网发送给互联网的数据包！ ARP病毒新的表现形式 由于现在的网络游戏数据包在发送过程中，均已采用了强悍的加密算法，因此这类ARP病毒在解密数据包的时候遇到了很大的难度。现在又新出现了一种ARP病毒，与以前的一样的是，该类ARP病毒也是向全网发送伪造的ARP欺骗广播，自身伪装成网关。但区别是，
ARP欺骗原理与解决办法 2009-03-26 18:18 【故障原理】 要了解故障原理，我们先来了解一下ARP协议。 在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP 协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。 ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下所示。 主机IP地址MAC地址 A 192.168.16.1 aa-aa-aa-aa-aa-aa B 192.168.16.2 bb-bb-bb-bb-bb-bb C 192.168.16.3 cc-cc-cc-cc-cc-cc D 192.168.16.4 dd-dd-dd-dd-dd-dd 我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B 发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。 从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD 这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A 发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，
ARP攻击方式总结及其防御 1. ARP DDOS攻击 2. ARP 返回数据包欺骗 3. ARP 请求欺骗 4. ARP全网请求欺骗 5. ARP中间人欺骗 6. ARPIP地址冲突 7. ARP网关欺骗 8．ARP 交换机端口转发欺骗(最厉害,就是幻境网盾skiller的攻击方法) 在此我特意奉献给大家，还有些ARP的应用就靠大家去发现了,就不在大家面前说道了,后面我也把一些常见的防护方法说一下,各位也讨论下。 Arp –ddos攻击 其实就是连续大量发送正常ARP 请求包,耗费主机带宽,这种攻击在局域网里面意义不算太大,例如ADSL猫,发送ARP 请求,几分终就会让它死掉,这种数据包是属于正常包,不会被ARP防火墙和交换机过滤掉。 此解决方法,在一些交换机中做流量限制,我也不会做,不知道可行性,个人认为防护难度A++++ ARP 返回数据包欺骗 这种欺骗是最常见的一种欺骗,就是向主机发送ARP返回数据包,这种包把IP做成网关地址,发送端的物理地址是自己的或伪造的,让对方电脑的IP--MAC地址表出现错误,当IP报文把这个硬件地址添到数据中发送就会出现找不到正确的物理出口地址。
这种的防护比较简单,用ARP -S 绑定网关,还有就是用ARP 防火墙,不过这种欺骗可能会被路由器发送的正确的地址给覆盖掉。 ARP 请求欺骗 ARP 请求欺骗也是比较常见的,他是ARP的请求协议，在目的IP和MAC 地址上都没错误,错误是请求者的MAC地址有问题,并不真的 .这种欺骗和返回欺骗仅OP值不同。 防护办法和上面那种一样。 ARP全网请求欺骗 这种欺骗是请求欺骗和返回欺骗的更进一步延伸,原理就是把以太帧头的目标地址改成FF-FF-FF-FF-FF-FF就是广播到所有主机,源地址IP地址或是网关IP地址,物理地址是假的MAC地址，切记在目的IP中，是192.168.1.255组播地址。 这种防护方法和上面相同,网络执法管一类软件的全网阻断功能就是用这种方法实现。 ARP中间人欺骗 这种欺骗是在交换机下面进行的,有人说交换环境下面数据流是安全的,下面这种攻击方式就是针对交换机。 大概的流程是这样的,A B C三台电脑,A 和 C进行正常通讯,B发起中间攻击,B首先发送ARP欺骗告诉A我B就是C,然后告诉C我B就是A.这样A和C之间的数据传输过程就被B完全给查看到了,说起来有点罗唆,这种欺骗也要做一个数据转发机制,不然A和C之间的通讯就会断掉,如P2P 终结者就是这类欺骗。 ARPIP地址冲突
1．arp欺骗的原理 以太网设备（比如网卡）都有自己全球唯一的MAC地址，它们是以MAC地址来传输以太网数据包的，但是以太网设备却识别不了IP数据包中的IP地址，所以要在以太网中进行IP通信，就需要一个协议来建立IP地址与MAC地址的对应关系，使IP数据包能够发送到一个确定的主机上。这种功能是由arp （AddressResolution Protocol）来完成的。 arp被设计成用来实现IP地址到MAC地址的映射。arp使用一个被称为arp高速缓存的表来存储这种映射关系，arp高速缓存用来存储临时数据（IP地址与MAC地址的映射关系），存储在arp高速缓存中的数据在几分钟没被使用，会被自动删除。 arp协议不管是否发送了arp请求，都会根据收到的任何arp应答数据包对本地的arp高速缓存进行更新，将应答数据包中的IP地址和MAC地址存储在arp高速缓存中。这正是实现arp欺骗的关键。可以通过编程的方式构建arp应答数据包，然后发送给被欺骗者，用假的IP地址与MAC地址的映射来更新被欺骗者的arp高速缓存，实现对被欺骗者的arp欺骗。 有两种arp欺骗：一种是对路由器arp高速缓存的欺骗；另一种是对内网电脑arp高速缓存的欺骗。2．arp欺骗攻击的防范 （1）在客户端使用arp命令绑定网关的IP/MAC（例如arp 00-e0-eb-81-81-85）。 （2）在交换机上做端口与MAC地址的静态绑定。 （3）在路由器上做IP/MAC地址的静态绑定。 （4）使用arp服务器定时广播网段内所有主机的正确IP/MAC映射表。 （5）及时升级客户端的操作系统和应用程序补丁。 （6）升级杀毒软件及其病毒库。
ARP攻击防御目录 目录 第1章 ARP攻击防御功能介绍................................................................................................. 1-1 1.1 ARP攻击简介 ................................................................................................................... 1-1 1.2 ARP攻击防御 ................................................................................................................... 1-4 1.2.1 DHCP Snooping功能............................................................................................ 1-4 1.2.2 IP静态绑定功能..................................................................................................... 1-5 1.2.3 ARP入侵检测功能................................................................................................. 1-5 1.2.4 ARP报文限速功能................................................................................................. 1-6 1.2.5 CAMS下发网关配置功能...................................................................................... 1-6 1.3 ARP攻击防御配置指南.................................................................................................... 1-7 1.4 支持ARP攻击防御功能的产品列表................................................................................ 1-8第2章 ARP攻击防御配置举例................................................................................................. 2-1 2.1 DHCP监控模式下的ARP攻击防御配置举例 ................................................................ 2-1 2.1.1 组网需求................................................................................................................. 2-1 2.1.2 组网图..................................................................................................................... 2-2 2.1.3 配置思路................................................................................................................. 2-2 2.1.4 配置步骤................................................................................................................. 2-2 2.1.5 注意事项................................................................................................................. 2-6 2.2 认证模式下的ARP攻击防御配置举例............................................................................ 2-7 2.2.1 组网需求................................................................................................................. 2-7 2.2.2 组网图..................................................................................................................... 2-7 2.2.3 配置思路................................................................................................................. 2-8 2.2.4 配置步骤................................................................................................................. 2-8 2.2.5 注意事项............................................................................................................... 2-19
Computer Knowledge and Technology 电脑知识与技术网络通讯及安全本栏目责任编辑：冯蕾第6卷第3期(2010年1月)“ARP 攻击与防范”课程实验设计 宋星月 （辽宁金融职业学院信息技术系，辽宁沈阳110122） 摘要：针对“ARP 攻击与防范”课程教学，分析了ARP 协议及ARP 攻击的工作原理，提出了一种更好理解“ARP 攻击与防范”的课程实验设计方案。 关键词：ARP 协议；ARP 攻击；ARP 防范；实验设计 中图分类号：TP393文献标识码：A 文章编号：1009-3044(2010)03-611-02 Experimental Design of Courses Based on the ARP Attack and Prevention SONG Xing-yue (Department of Information Technology,Liaoning Finance Vocatinal College,Shenyang 110122,China) Abstract:Based on ARP attack and prevention courses teaching,analyzed the principle of ARP protocol and ARP attacks.A advanced experiment method about the ARP attack and prevention is introduced,and it is helpful for students to study ARP attack and prevention.Key words:ARP protocol;ARP attack;ARP prevention;experiment design 互联网是一个面向大众的开放系统，设计初衷是信息共享、开放、灵活和快速，对于信息的保密措施和系统的安全性考虑得并不完备，这些特性不可避免地引发一些网络安全问题，而且，这些问题随着信息技术的发展也就日益严重，如何有效地防范各种攻击，增强网络安全性，是一项重要的课题。 网络协议安全是网络安全中的重要领域，研究ARP 协议及其在网络攻防中的应用具有积极的意义。但ARP 攻击方式在不断变换，就连一些资深的网络管理员也为此感到十分头疼。更何况学校里没有实际工作经验的学生。基于此，本文设计了一套ARP 攻击与防范实验方案，增强学生对ARP 协议、ARP 攻击原理的理解，并提高对网络实际操作和故障解决的能力。 1ARP 协议工作原理 ARP 协议，全称Address Resolution Protocol ，中文名是地址解析协议，它工作在OSI 模型的数据链路层，用于将IP 地址转化为网络接口的硬件地址(MAC 地址)。无论是任何高层协议的通信，最终都将转换为数据链路层硬件地址的通讯。 当网络中一台主机要向另一台主机或者路由器发送数据时，会首先检查自己ARP 列表中是否存在该IP 地址对应的MAC 地址，如有，就直接将数据包发送到该MAC 地址；如无，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的MAC 地址，此ARP 请求数据包里包括源主机的IP 地址、硬件地址、以及目的主机的IP 地址。网络中所有的主机收到该ARP 请求后，会检查数据包中的目的IP 是否和自己的IP 地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC 地址和IP 地址添加到自己的ARP 列表中，如果ARP 表中已经存在该IP 的信息，则将其覆盖，然后给源主机发送一个ARP 响应数据包，告诉对方自己是它需要查找的MAC 地址；源主机收到这个ARP 响应数据包后，将得到的目的主机的IP 地址和MAC 地址添加到自己的ARP 列表中，并以超时则删除的策略加以维护。 ARP 协议是建立在信任局域网内所有结点的基础上的，它很高效，但却不安全。它不会检查自己是否发过请求包，也不管（其实也不知道）是否是合法的应答，只要收到目标MAC 是自己的ARP Reply 包或ARP 广播包都会接受并缓存，这就为欺骗提供了可能。 2ARP 攻击原理 ARP 欺骗的核心思想是向目标主机发送伪造的ARP 应答，并使目标主机接收应答中伪造的IP 地址与MAC 地址之间的映射对，以此更新目标主机ARP 缓存。2.1ARP 攻击过程 设在同一网段的三台主机：A 、B 、C 。其IP 地址和MAC 地址映射关系如表1 所示。 假设A 与B 是信任关系，A 欲向B 发送数据包。攻击方C 通过前期准备，收 集信息，发现B 的漏洞，使B 暂时无法工作。然后C 发送一个源IP 地址为192.168.0.3源MAC 地址为BB:BB:BB;BB:BB:BB 的包给A 。由于大多数的操作系统在接收到ARP 应答后会及时更新ARP 缓存，而不考虑是否发出过真实的ARP 请求，所以A 接收到应答后，就更新它的ARP 缓存，建立新的IP/MAC 地址映射对，即192.168.0.2→CC:CC:CC:CC:CC:CC 。这样，A 就将发往B 的数据包发向了C ，这就是典型的ARP 欺骗过程。 收稿日期：2009-11-19 作者简介：宋星月（1978-），女，内蒙古人，讲师，东北大学硕士研究生，研究方向为计算机网络技术。 表1同网段主机IP/MAC 对应表ISSN 1009-3044Computer Knowledge and Technology 电脑知识与技术Vol.6,No.3,January 2010,pp.611-612E-mail:info@https://www.doczj.com/doc/9413686407.html, https://www.doczj.com/doc/9413686407.html, Tel:+86-551-56909635690964611
ARP攻击原理简析及防御措施 网络欺骗攻击作为一种非常专业化的攻击手段，给网络安全管理者，带来严峻的考验。网络安全的战场已经从互联网蔓延到用户内部的网络，特别是局域网。目前利用ARP欺骗的木马病毒在局域网中广泛传播，导致网络随机掉线甚至整体瘫痪，通讯被窃听，信息被篡改等严重后果。 0x1 简介 网络欺骗攻击作为一种非常专业化的攻击手段，给网络安全管理者，带来严峻的考验。网络安全的战场已经从互联网蔓延到用户内部的网络，特别是局域网。目前利用ARP欺骗的木马病毒在局域网中广泛传播，导致网络随机掉线甚至整体瘫痪，通讯被窃听，信息被篡改等严重后果。 0x2 ARP协议概述 ARP协议（address resolution protocol）地址解析协议 一台主机和另一台主机通信，要知道目标的IP地址，但是在局域网中传输数据的网卡却不能直接识别IP地址，所以用ARP解析协议将IP地址解析成MAC 地址。ARP协议的基本功能就是通过目标设备的IP地址，来查询目标设备的mac地址。 在局域网的任意一台主机中，都有一个ARP缓存表，里面保存本机已知的此局域网中各主机和路由器的IP地址和MAC地址的对照关系。ARP缓存表的生命周期是有时限的（一般不超过20分钟）。 举个例子：假设局域网中有四台主机
主机A想和主机B通信 主机A会先查询自己的ARP缓存表里有没有B的联系方式，有的话，就将mac-b 地址封装到数据包外面，发送出去。没有的话，A会向全网络发送一个ARP广播包，大声询问：我的IP地址是192.168.0.2，硬件地址是mac-a，我想知道IP地址是192.168.0.3的硬件地址是多少？此时，局域网内所有主机都收到了，B收到后会单独私密回应：我是192.168.0.3，我的硬件地址是mac-b，其他主机不会理A的此时A知道了B的信息，同时也会动态的更新自身的缓存表 0x3 ARP协议的缺陷 ARP协议是建立在信任局域网内所有节点的基础上的，他的效率很高。但是不安全。它是无状态的协议。他不会检查自己是否发过请求包，也不知道自己是否发过请求包。他也不管是否合法的应答，只要收到目标mac地址是自己的ARP reply或者ARP广播包（包括ARP reply和ARP request），都会接受并缓存。 0x4 ARP攻击原理