ARP攻击原理与防御措施

…………………………一　地一　－　

浅析ＡＲＰ对网络的攻击与防御　

山东理工大学于丽娟　淄博市博山第一职业中专　亓宝峰　

【摘要】随着计算机技术与网络的飞速发展，算机与互联网使我们的生活日新月异，但同时也带来了巨大的安全隐患。从局域网的方向来看，人们上网时会受到　网络的攻击，导致无法上网，甚至威胁到自身财产的安全，我们有必要去探索研究存在的网络攻击，找到比较合理的防御方法。　

【关键词】局域网；攻击；防御；ＡＲＰ：Ｉｐ协议；数据包；地址解析；映射关系　

在今天这个时代，网络已经成为社　

会活动的基础设施，扮演着越来越重要　

的角色，它在给人类生活带来方便快捷　

的同时，也存在着很多不安全的因素：　

比如发动网络攻击使其他用户无法上　

网、盗取用户信息，甚至威胁到用户财　

产安全等问题。　

一、当前网络的现状　

当前网络受到了很多方面的攻击，　

己成为信息时代人类面临的重大威胁。　

局域网是最容易被攻击的对象，ｂｉｓｏｎ学　

校机房，常常会发生一台机器感染病毒　

造成其他机器无法上网，使整个机房瘫　

痪，并伴随着账号被盗等情况发生。因　

此局域网这方面我们要着重进行防御。　

在互联网上，每个接口都用ＩＰ地址　

来表示，端口号用来表示相互通信的应　

用程序。域名系统为主机名和ＩＰ地址之　

间提供动态的映射，尽管用户习惯使用　

的是主机名而不是ＩＰ地址。服务器使用　

知名端口号，而客户使用临时设定的端　

口号。　ＩＰ数据包常通过以太网发送。以太　

网设备并不识别３２位ＩＰ地址：它们是以　

４８位以太网地址传输以太网数据包的。　

因此，ＩＰ驱动器必须把ＩＰ目的地址转换　

成以太网目的地址。在这两种地址之间　

存在着某种静态算法或动态算法的映　

射。地址解析协议（Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　

Ｐｒｏｔｏｃｏｌ，ＡＲＰ）就是用来确定这些映射　

的协议。　

ＡＲＰ协议是以太网等数据链路层的　

基础协议，负责完成ＩＰ地址到硬件地址　

的映射工作。过程简述如下：　

１．当主机或者网络设备需要解析　

龙源期刊网

ARP攻击的原理分析及防御方案

作者：陈禹航

来源：《电脑知识与技术》2014年第32期

摘要：在以太网环境下，ARP攻击一方面会造成网络连接不稳定，引发用户通信中断，另一方面截取用户报文进而获取用户敏感信息等危害。为此，该文从ARP协议的原理入手，分两类分析了四种常见的ARP攻击方式的过程和原理，然后提出以太网环境下计算机和交换机的全面立体的ARP防御方案，最后结合一个实际案例分析以太网环境下ARP攻击的定位过程。

关键词：ARP协议；ARP攻击；IP地址；MAC地址；ARP防御；ARP攻击定位

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）32-7594-04

Abstract： In the Ethernet environment，when ARP attack happens， network connection is

precarious to interrupt communication network on one hand and and intercept users’ packets to get

users’ sensitive messages on the other hand .So，taking the principle of ARP protocol as a key， this

paper discusses four common ARP attacks，then，

Key words：ARP protocol；ARP attack；IP address；MAC address；defence for ARP；location of ARP attacking

在以太网接入因特网环境下，ARP攻击时有发生，造成网内主机频繁断网，甚至截取用户报文，给网内用户带来很大的不便。

浅谈局域网中ＡＲＰ攻击与防御　

彭淑华孔坡郑州科技学院　【摘要】本文针对校园网用户和机房，对在局域网中频繁发生的ＡＲＰ欺骗原理进行了分析和介绍，通过伪造ＩＰ地址和ＭＡｃ地址实现ＡＲＰ欺骗能够在局域网中产生　大量的Ａ１　通信量造成局域网阻塞，从而使网络受阻。本文主要讲解ＡＲＰ攻击的原理以及如何防御ＡＲＰ攻击的方法，加强安全防范措施以达到局域网安全的目的。　【关键词】ＡＲＰ攻击；防御；网络安全　１．引言　最近学校机房的网络很不稳定，经常　出现瞬间大面积的掉线现象，严重影响学　生上机质量，经过多方排除（对系统进行　重装、杀毒，对交换机、路由器和服务器　等都进行了排查）最后确定是ＡＲＰ的问题。　这种病毒是一种利用计算机病毒使计算机　网络无法正常运行的计算机攻击手段。如　何防范ＡＲＰ的网络攻击己成为确保局域网的　网络畅通的很重要事情。　２．ＡＲＰ￣ＪＪ，议及工作原理　ＡＲＰ：ＡｄｄｒｅＳＳ　ＲｅＳＯｌｕｔｉｏｎ　ＰｒｏｔＯＣＯ１　地址解析协议，是ＴＣＰ／ＩＰ协议集中的链路层　的协议。在局域网中网络中实际传输的是　“帧”，帧里面是目标主机的ＭＡＣ地址，在　以太网中一个主机要和另一个主机直接通　信，必须要知道目标主机的ＭＡＣ地址，但这　个慝标ＭＡＣ地址如何获得的呢？它就是通过　地址解析协议获得的，所谓“地址解析协　议”就是主机在发送帧前将目标ＩＰ地址转换　成目标ＭＡＣ地址的过程。ＡＲＰ协议的基本功能　就是通过目标设备的ＩＰ地址查询目标设备的　ＭＡＣ地址，以保证通信的顺利进行。　ＡＲＰ工作原理：某机器Ａ要向主机Ｂ发　送报文，会查询本地的ＡＲＰ缓存表，找到Ｂ　的ＩＰ地址对应的ＭＡＣ地址后，就会进行数据　传输。如果未找到，则广播Ａ一个ＡＲＰ请求　报文（携带主机Ａ的ＩＰ地址Ｉａ一一物理地址　Ｐａ），请求ＩＰ地址为Ｉｂ的主机Ｂ回答物理地　址Ｐｂ。网上所有主机包括Ｂ都收￣ｔＪＡＲＰ请求，　但只有主机Ｂ识别自己的ＩＰ地址，于是向Ａ主　机发回一个ＡＲＰ响应报文。其中就包含有Ｂ　的ＭＡｃ地址，Ａ接收到Ｂ的应答后，就会更新　本地的ＡＲＰ缓存。接着使用这个ＭＡＣ地址发　送数据（由网卡附￣ｎＭＡｃ地址）。因此，本　地高速缓存的这个ＡＲＰ表是本地网络流通的　基础，而且这个缓存是动态的。　然而一些非法入侵者和黑客利用各种　技术手段，篡改和伪造ＩＰ地址和ＭＡＣ地址，　在网络中产生大量的通信量使网络阻塞或者　通过中间人进行ＡＲＰ重定和攻击，以达到非　法入侵和获取他人信息的目的。这种网络入　侵方式叫做ＡＲＰ欺骗，它是近来网络入侵攻　击的一个重要形式，也是造成局域网瘫痪的　原因，严重威胁着网络信息的安全。　３．ＡＲＰ欺骗和攻击方式　ＡＲＰ欺骗是黑客常用的攻击手段之一，　ＡＲＰ欺骗木马只需成功感染一台电脑，就可　能导致整个局域网都无法上网，严重的甚　至可能带来整个网络的瘫痪。该木马发作　时除了会导致同一局域网内的其他用户上　网出现时断时续的现象外，还会窃取用户　密码。如盗取ＱＱ密码、盗取各种网络游戏　一３４一闷文　啄　密码和账号去做金钱交易，盗窃网上银行　账号来做非法交易活动等，这是木马的惯　用伎俩，给用户造成了很大的不便和巨大　的经济损失。　ＡＲＰ欺骗分为三种：一种对路由器ＡＲＰ　表的欺骗：第二种是对内网ＰＣ的网关欺　骗；第三种是将数据指导向不存在的地　址。下面简单介绍一下前两种欺骗的原　理：第一种ＡＲＰ欺骗原理是一一截获网关数　据。它通知路由器一系列错误的内网ＭＡＣ　地址，并按照一定的频率不断进行，使真　实的地址信息无法通过更新保存在路由器　中，结果路由器的所有数据只能发送给错　误的ＭＡＣ地址，造成正常ＰＣ无法收到信息。　第二种ＡＲＰ欺骗的原理是一一伪造网关，它　的原理是建立假的网关，让被它欺骗的ＰＣ　向假的网关发送数据，而不是通过正常的　路由器途径上网。那么ＰＣ就上不了网，也　就是所谓的掉线。　一般来说，ＡＲＰ欺骗攻击的后果非常　严重，ＡＲＰ欺骗木马的中毒现象表现为：使　用局域网时会突然掉线，过一段时间后又　会恢复正常。比如客户端状态频频变红，　用户频繁断网，ＩＥ浏览器频繁出错，以及　一些常用软件出现故障等。如果局域网中　是通过身份认证上网的，会突然出现可认　证，但不能上网的现象（无法Ｐｉｎｇ通网　关），重启机器或在ＭＳ—ＤＯＳ窗口下运行命　令ａｒｐ—ｄ后，又可恢复上网。有些网络管理　员对此不甚了解，出现故障时，认为ＰＣ没　有问题，交换机没掉线的“本事”，而且　如果第一种ＡＲＰ欺骗发生时，只要重启路　由器，网络就能全面恢复，那问题一定是　在路由器了。为此，宽带路由器背了不少　“黑锅”。　下面举个实例说明ＡＲＰ攻击过程：　当一个入侵者想非法进入公司的数据　服务器而这台主机的防火墙只对１９２．０．０．４　（假设）这个ＩＰ开放２３口（ｔｅｌｎｅｔ），攻击　者无法入侵１９２．０．０．４所以他采用ＡＲＰ欺骗。　（１）他先研究１９２．０．０．４这台主机，发　现这台机器使用一个洪水数据包就可以让　其死机。　（２）于是他送一个洪水数据包给１９２．０．０．４　的１３９端口，于是这机器应包而死机。　（３）这时主机发送到１９２．０．０．４将无　法被机器应答，系统自己的ＡＲＰ对应表将　１９２．０．０．４的地址抹掉。　（４）这段时间里入侵者把自己的ＩＰ改成　１９２．０．０．４。　（５）他从新发一个Ｐｉｎｇ给主机要求主机　更新主机的ＡＲＰ转换表。　（６）主机找到该ＩＰ然后在ＡＲＰ表中加入　新的ＩＰ一一ＭＡｃ对应关系。　（７）防火墙失效了，攻击者的ＩＰ变成合　法的ＭＡＣ地址。ＡＲＰ欺骗攻击完成。　ＡＲＰ攻击是指攻击者利用地址解析协议　本身的运行机制而发动的攻击行为包括主　机发动ＩＰ冲突攻击数据轰炸，断局域网上　任何一台主机的网络连接等主要有以盗取　数据为主要目的ＡＲＰ欺骗攻击还有以捣乱破　坏为目的ＡＲＰ泛洪攻击。　ＡＲＰ欺骗攻击有以下几种形式：　（１）Ｄｏｓ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ）中文为　拒绝服务攻击。拒绝服务攻击就是使目标　主机不能响应外界请求，从面不能对外提　供服务的攻击方法如果攻击者将目标主机　ＡＲＰ缓存中的ＭＡＣ地址全部改为根本就不存　在的地址，那么目标主机向外发送的所有　以太网数据帧会丢失，使得上层应用忙于　处理这种异常而无法响应的外来请求，也　就导致目标主机产生拒绝服务。　（２）ＡＲＰ泛洪攻击　攻击主机持续把伪造的ＭＡｃ一一ＩＰ映　射对发给受害主机，对于局域网的所有主　机和网关进行广播，抢占网络带宽和干扰　正常通信这种攻击方式的主要攻击特征包　含：通过不断发送伪造的ＡＲＰ广播数据包使　得交换机忙于处理广播数据包耗尽网络带　宽。令局域网内部的主机或网关找不到正　确的通信对象，使得正常通信被阻断。用　虚假的地址信息占满主机的ＡＲＰ高速缓存空　间，造成主机无法创建缓存表项，无法正　常通信，这种攻击特征为ＡＲＰ溢出攻击。　ＡＲＰ泛洪攻击不是以盗取用户数据为目的，　它是以破坏网络为目的。　（３）ＩＰ地址冲突攻击　制造出局域网上有另一台主机与被ＡＲＰ　欺骗过的主机共享一个ＩＰ的假象由于违反　了惟一性（ＩＰ地址每一机器一个）要求，　受欺骗的主机会自动向用户弹出警告对话　框大量的攻击数据包能令受害主机耗费大　量的系统资源对于Ｗｉｎｄｏｗｓ操作系统，只要　接收到一个ＡＲＰ数据包，不管该ＡＲＰ数据包　所记录的源ＩＰ地址同本地主机相同但ＭＡｃ地　址不同，Ｗｉｎｄｏｗｓ系统就会弹出ＩＰ地址冲突　警告对话框。　（４）ＡＲＰ扫描攻击　向局域网内所有主机发送ＡＲＰ请求，　从而获得正在运行主机的ＩＰ和ＭＡＣ地址映射　对。ＡＲＰ扫描往往是为发动ＡＲＰ攻击准备。　攻击源通过ＡＲＰ扫描来获得所要攻击主机的　ＩＰ和ＭＡＣ地址从而为网络监听盗取用户数据　实现隐蔽式攻击做准备。　４．精确定位局域网中的ＡＲＰ欺骗攻击　

龙源期刊网

浅析局域网ARP攻击及防御措施

作者：刘扬 白睿

来源：《中国科技博览》2015年第33期

[摘 要]众所周知，在局域网中，一台主机要和另一台主机进行通信，必须要知道目标主机的IP地址，但是最终负责在局域网中传送数据的网卡等物理设备是不识别IP地址的，只能识别其硬件地址即MAC地址。MAC地址是48位的，通常表示为12个16进制数，每2个16进制数之间用“-”或者冒号隔开，如：00-0B-2F-13-1A-23就是一个MAC地址。每一块网卡都有其全球唯一的MAC地址，网卡之间发送数据，只能根据对方网卡的MAC地址进行发送，这时就需要一个将高层数据包中的IP地址转换成低层MAC地址的协议，而这个重要的任务将由ARP协议完成。

中图分类号：TF089 文献标识码：A 文章编号：1009-914X（2015）33-0158-01

一、ARP协议

ARP全称为Address Resolution Protocol，地址解析协议。所谓“地址解析”就是主机在发送数据包前将目标主机IP地址转换成目标主机MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 这时就涉及到一个问题，一个局域网中的电脑少则几台，多则上百台，这么多的电脑之间，如何能准确的记住对方电脑网卡的MAC地址，以便数据的发送呢 这就涉及到了另外一个概念，ARP缓存表。在局域网的任何一台主机中，都有一个ARP缓存表，该表中保存这网络中各个电脑的IP地址和MAC地址的对照关系。当这台主机向同局域网中另外的主机发送数据的时候，会根据ARP缓存表里的对应关系进行发送。

二、ARP攻击原理分析

ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。ARP病毒造成网络瘫痪的原因可以分为对路由器ARP表的欺骗，和对内网PC的网关欺骗两种。第一种必须先截获网关数据。它使路由器就收到一系列错误的内网MAC地址，并按照一定的频率不断更新学习进行，使真实的地址信息无法通过更新保存在路由器中，造成的PC主机无法正常收到回应信息。第二种是通过交换机的MAC地址学习机制，当局域网内某台主机已经感染ARP欺骗的木马程序，就会欺骗局域网内所有主机和路由器，让所有上网的流量都必须经过病毒主机。