ARP欺骗在网络中的应用及防范一、ARP协议的内容和工作原理地址解析协议（Address Resolution Protocol,ARP）是在只知道主机IP地址时确定其物理地址的一种协议。
因IPv4、IPv6和以太网的广泛应用，其主要用于将IP地址翻译为以太网的MAC地址，但其也能在ATM和FDDI IP网络中使用。
从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。
ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC 层，也就是相当于OSI的第二层）的MAC地址。
首先，每台主机都会在自己的ARP缓冲区中建立一个ARP映射表，以表示IP地址和MAC地址的对应关系。
当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的MAC地址。
此ARP请求数据包里面包括源主机的IP地址、源主机的MAC地址以及目的主机的IP地址、目的MAC地址。
同一网段中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。
如果不相同就丢弃此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP映射表中，如果ARP映射表中已经存在该IP的信息，则将其覆盖，然后以单播的形式给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到目的主机的IP地址和MAC地址并添加到自己的ARP映射表中，并利用此信息开始数据的传输。
如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。
二、ARP协议存在的安全漏洞ARP协议是建立在信任局域网内所有节点的基础上的，它很高效，但却不安全。
其主要漏洞有以下三点：１、主机地址映射表是基于高速缓存、动态更新的，ARP将保存在高速缓存中的每一个映射地址项目都设置了生存时间，它只保存最近的地址对应关系。
这样恶意的用户如果在下次交换前修改了被欺骗机器上的地址缓存，就可以进行假冒或拒绝服务攻击。
2、由于ARP是无状态的协议，即使没有发送ARP请求报文，主机也可以接收ARP应答，只要接收到ARP应答分组的主机就无条件地根据应答分组的内容刷新本机的高速缓存。
这就为ARP欺骗提供了可能，恶意节点可以发布虚假的ARP 报文从而影响网内节点的通信，甚至可以做“中间人”。
３、任何ARP应答都是合法的，ARP应答无须认证，只要是局域网内的ARP 应答分组，不管是否是合法的应答，主机都会接受ARP应答，并用其IP-MAC信息篡改其缓存。
这就是ARP的另一个隐患。
三、ARP欺骗攻击的实现过程3.1 网段内的ARP欺骗攻击ARP欺骗攻击的最基本手段就是向目标主机发送伪造的ARP应答，并使目标主机接收应答中伪造的IP与MAC间的映射表，并以此更新目标主机缓存。
设在同一网段的三台主机分别为A，B，C，如表1。
假设A与B是信任关系，A将要向B发送数据包。
攻击方C通过前期准备工作，发现B的漏洞，利用漏洞使其暂时无法工作，然后C发送包含自己MAC地址的ARP应答给A。
由于大多数的操作系统在接收到ARP应答后会及时更新ARP缓存，而不考虑是否发出过真实的ARP请求，所以A接收到应答后，就更新它的ARP缓存，建立新的IP和MAC地址映射表，即B的IP地址10.10.100.2对应了C的 MAC地址00-E0-4C-33-33-33。
这样就导致A将发往B的数据包发至了C，但A和B却对此全然不知，因此C就实现了对A和B的监听。
3.2 跨网段的ARP欺骗攻击跨网段的ARP欺骗比同一网段的ARP欺骗要复杂得多，它需要把ARP欺骗与ICMP重定向攻击结合在一起。
假设A和B在同一网段，C在另一个网段。
如表2。
首先，攻击方C修改IP包的生存周期，将其延长，以便做充分的广播。
然后和上面提到的一样，寻找主机B的漏洞，攻击此漏洞，使主机B暂时无法工作。
此后，攻击方C发送IP地址为B的IP地址10.10.100.2，MAC地址为C的MAC 地址00-E0-4C-33-33-33的ARP应答给A。
A接收到应答后，更新其ARP缓存。
这样，在主机A上B的IP地址就对应C的MAC地址。
但是，A在发数据包给B 时，仍然会在局域网内寻找10.10.100.2的MAC地址，不会把包发给路由器，这时就需要进行ICMP重定向，告诉主机A到10.10.100.2的最短路径不是局域网，而是路由，请主机重定向路由路径，把所有到10.10.100.2的包发给路由器。
主机A在接受到这个ICMP重定向后，修改自己的路由路径，把对10.10.100.2的数据包都发给路由器。
这样攻击方C就能得到来自内部网段的数据包。
四、常见的ARP攻击种类4.1 ARP欺骗攻击根据ARP协议存在的安全漏洞产生的“中间人”攻击，又称ARP双向欺骗。
他的基本原理就是将自己的主机插入到两个目标主机通讯路径之间。
截获两个目的主机直接的通讯数据。
假设有三台主机，正常下A与C直接的通讯是不可见的，但是利用“中间人”的欺骗技术，主机B可以实现交换机网络下的嗅探。
其主要步骤如下：1、主机B向主机A发送一个非法的ARP响应包，里面包括主机C的IP地址和主机B的MAC地址，主机A收到这个包后并没有去验证包的真实性就把ARP 缓存中C的地址篡改为B的MAC地址。
2、主机B也向主机C发送一个非法的ARP响应包，里面包括主机A的IP 地址和B的MAC地址，由于ARP协议的漏洞，主机C也没有去验证ARP的真实性就把ARP缓存中A的MAC地址改为B的MAC地址。
3、主机B启动IP转发功能。
主机A与C的所有直接的通讯将经过B，再由B转发给他们。
这样主机B就成功的对网内的用户进行了ARP欺骗。
ARP广播网关图1 ARP欺骗的过程4.2 网络监听由图1可知，当攻击者B想要截取主机C对外网通讯的信息时，主机B会给主机C和网关D发送一个欺骗的ARP应答包，根据“中间人”的欺骗原理，主机C和网关D都会认为主机B是对方，这样主机C看似能于外网进行通讯了，然而实际上它的通讯信息却受到主机B的监听。
此时主机B不仅可以完全监听，还可以随意改变数据包中的信息，并成功转发数据包。
假如主机B在局域网上广播一个IP地址为网关的欺骗ARP通知包，并篡改网关D的ARP缓存内的IP-MAC映射表，主机B则可以监听局域网内和网外的所有通讯信息。
大部分的木马或病毒都使用该ARP欺骗攻击手段达到攻击的目的。
4.3 广泛拒绝服务攻击DOS拒绝服务攻击DOS就是使目标主机不能正常相应外界请求，不能对外提供服务。
拒绝服务攻击主要有以下４种方式：1、进攻主机持续相应本网络内的所有ARP应答，并且应答为一个虚构的MAC 地址，那么目的主机向外发送的所有数据帧都会丢失，使得上层应用忙于处理这种异常而无法相应外来请求，也就导致目标主机产生拒绝服务。
2、进攻主机持续相应本网络内的所有ARP应答，并且应答包内的MAC地址全部为本子网网关的MAC地址，由于网关自身有IP转发功能的，那么本子网内所有的数据通讯都需要网关进行一次转发，这样就无形中增加了网关的负荷，会导致网关超负荷而崩溃或者等待队列过长，进而使子网主机内部之间，子网主机与外网主机之间的通讯全部失败或者收发数据超时。
3、一般交换网络采用的多是二层交换机，此类交换机自身维护着一个ARP 缓存，用于映射MAC地址对应的交换机的端口号，这个缓存中可容纳的映射条数是有限的。
如果进攻主机发送大量的包含不同MAC地址的ARP包，当数量足够多时，就有可能造成交换机DOS，不能正常转发数据包，使得交换机所连接的所有网络中断。
4、如果某一子网中存在着许多像路由器或者提供NAT服务的服务器这些具有IP转发功能的主机，利用ARP篡改的技术则可以实现多种形式的信息洪泛。
假设某子网包含了具有IP转发功能的主机1、2和3，通过ARP欺骗，把主机1的ARP缓存中默认网关对应的MAC地址改为主机2的MAC地址，利用同样的方法把主机2的ARP缓存的默认网关对应的MAC地址改为主机3的MAC地址，这样主机1到网关的数据通道就变成了1-2-3-网关，如果1的数据流量很大，则2、3也会有较高的负荷，并且分析可知被欺骗后子网的通讯流量是原来的三倍。
从而形成讯息洪泛，整个子网的性能就急剧降低了。
4.4 IP地址冲突进攻主机发送更改后的ARP报文，其包括目的主机的IP地址和伪装的MAC 地址，当系统检测到两个不同的MAC地址对应同一个IP地址则会提示IP地址冲突，在Windows操作系统中弹出警告对话框，Unix/Linux操作系统上表现为系统以mail方式等警告用户，这两种情况下都会使目的主机发生网络中断。
4.5 克隆攻击如今，攻击者已经能修改网络接口的MAC地址。
攻击者首先对目标主机进行拒绝服务攻击，使其不能对外部做出任何反应。
然后攻击者就可以将自己的MAC 地址与IP地址分别改为目标主机的MAC地址与IP地址，这样攻击者的主机就变成了目标主机的副本，从而进一步伪装了自己更进一步的实施各种非法攻击，窃取各种通信数据。
五、常见的ARP攻击防范解决措施5.1 设置静态的ARP缓存表ARP协议进攻最根本的原理就是改变IP地址与MAC地址对应关系，所以可以通过设置静态的ARP缓存表来防止ARP协议攻击。
设置静态ARP表有两种方法，一是在目的主机的ARP 缓存中设置静态的地址映射记录，二是在三层交换机设置IP-->MAC地址对应表。
在三层交换机上设置后，攻击主机就没有机会应答向其他主机发送ARP请求。
如果攻击者在未收到ARP请求的情况下仍凭空伪造ARP 应答请求发送给其他主机，三层交换机将拒绝用伪造的数据更新ARP缓存表中的静态记录。
这种方法比较简单，比较直观，但是在经常要更换IP地址且有较多主机的局域网里，这种方法就显得十分繁琐，工作量大。
在目的主机的ARP缓存中设置静态的地址映射记录的具体方法为：用户在DOS提示符下执行arp-a命令，看到C：“Documents and Settings”userarp-aInterface：10.10.100.1---0x2Internet Address Physical Address Type10.10.100.254 00-40-66-77-88-d7 dynamic其中10.10.100.254和00-30-6d-bc-9c-d7分别为网关的IP地址和MAC地址，因用户所在的区域、楼体和交换机不同，其对应网关的IP地址和MAC地址也不相同。
或者编写一个批处理文件arp.bat，实现将交换机网关的MAC地址与网关的IP地址的绑定，内容@echo offarp-darp-s 10.10.100.254 00-40-66-77-88-d7用户应该按照第一步中查找到的交换机网关的IP地址和MAC地址，填入arp-s后面即可，同时需将这个批处理软件拖到“windows—开始—程序—启动”中，以便用户每次开机后计算机自动加载并执行该批处理文件，对用户起到一个很好的保护作用。
