网络安全之欺骗攻击

客户主机 请求发出者
（4）解析应答 1.2.3.4 并在本地缓存
域 DNS服务器
（3）解析应答 1.2.3.4
域 DNS服务器
上图中有三台主机：客户主机、域 DNS服务器和域DNS服务器。其中 域DNS服务器直接为客户主机提供DNS
答案就在DNS报文里面。DNS报文格式头部的ID 域，是用于区别不同会话过程的，这有点类似于 TCP中的序列号，域名解析的请求方和应答方只有 使用相同的ID号才能证明是同一个会话(由请求方 决定所使用的ID)。
不同的解析会话，采用不同的ID号。
2021/7/20
25
第二种可能情况(3)
在一段时期内，DNS服务器一般都采用一种有章 可循的ID生成机制，例如，对于每次发送的域名 解析请求，依次将数据包中的ID加1。
DNS服务器里有一个“DNS缓存表”，里 面存储了此DNS服务器所管辖域内主机的域 名和IP地址的对应关系。
2021/7/20
11
DNS工作原理
2021/7/20
12
DNS解析出IP的过程（1）
DNS解析出IP的过程（2）
DNS工作原理
（1）请求解析
（2）请求解析
攻击者可以控制本地的域名服务器 攻击者无法控制任何DNS服务器
2021/7/20
21
第一种可能情况
2021/7/20
22
第一种可能情况(2)
2021/7/20
23
第二种可能情况
另一种更现实的情况，就是攻击者无法控制任何 DNS服务器，但他可以控制该服务所在网络的某 台主机，并可以监听该网络中的通信情况。这时候， 黑客要对远程的某个DNS服务器进行欺骗攻击， 所采用的手段很像IP欺骗攻击：

一
图 １ ＡＲ 攻 击模 拟 网 络 结 构 图 Ｐ 响 应 数 据 包 后 ， 得 到 的 目的 主 机 的 Ｉ 址 和 ＭＡＣ地 址 添加 到 自 己 将 Ｐ地 的 Ａ Ｐ列 表 中 ， 利 用 此 信 息 开 始 数 据 的传 输 。如 果 源 主 机 一 直 没 有 Ｒ 并 下 面 给 出 具 体模 拟 步 骤 ： 收 到 Ａ Ｐ响 应 数 据 包 ， 示 Ａ Ｐ查 询 失 败 。 Ｒ 表 Ｒ 第 一 步 ：使 用 物 理 地 址 扫 描 工 具 扫 描 主 机 上 图 中 两 台 Ｄ ｃ及 交 换 １ Ｐ欺 骗 ． ＡＲ ２ 机对应 的 ｉ ｐ和 ｍａ 址 ， 后 记 录下 来 。 ｃ地 然 假 设 某 机 器 Ａ要 向 主机 Ｂ发 送 报 文 ， 查 询 本 地 的 Ａ 会 ＲＰ缓 存 表 ， 第 二 步 ：在 ａｐ攻 击 机 上 使 用 网 络 嗅 探 工 具 捕 获 一 个 ａｐ的 响 应 ｒ ｒ
０ 引 言 ．
深 入 的 研 究 ， 文 给 出 了一 种 模 拟 ａｐ欺 骗 攻 击 的方 法 。实 验证 明 ， 本 ｒ 该 第 一 种 ： 用 ＡＲ ｃｏ传 送 正 确 的 ＡＲ 利 Ｐｅｈ Ｐ讯 息 ， 过 频 繁 地 提 醒 通 方 法 可 以 很 好 的 模 拟 ａｐ欺 骗 攻 击 。 ｒ 正 确 的 Ａ Ｐ对 照 表 ， 达 到 防 治 的 效 果 。 Ｒ 来 １概 述 ． 第二 种 ： 用绑定 方式 ， 利 固定 Ａ Ｐ对 照 表 不 受 外 来 影 响 ： 过 固 Ｒ 通
【 摘 要 】 ｒ Ａ ｐ欺骗 攻击是局 域网 中常见的一种安全威胁 。本文重点分析 Ａｒ 拟 ｈｉ ｐ攻 击 的 方 法 。
【 键词 】 关 网络 安全 ； ｒ 击 ； Ａ ｐ攻 网络 嗅探
关 ， 被它欺骗的 Ｐ 让 Ｃ向 假 网 关 发 数 据 ， 不 是 通 过 正 常 的 路 由器 途 径 而 就是 无 法上 网 随 着 网络 规 模 的迅 速 发 展 ， 网络 安 全 问 题 也 日益 突 出 。其 中 ａｐ 上 网 。从 用户 的 角度 看来 ． ｒ 欺 骗 攻 击 就 是 一 类 典 型 的 网络 安 全 威 胁 ， 业 局 域 网经 常会 因 为 ＡＲ 企 Ｐ ２ Ａｒ 骗 攻 击 防 治 ． ｐ欺 欺 骗 攻 击 而 导 致 网络 瘫 痪 或 者 网络 中断 。为 了对 ａｐ欺 骗攻 击 进行 更 ｒ 针对 Ａ ＲＰ攻 击 的 防治 ， 见 的方 法 可 以分 为 以下 三 种 ： 常

首先使用“快照X”恢复Windows/Linux系统环境。

一．ARP欺骗攻击实验需求：（1）本实验使用交换网络结构（参见附录B），组一、二和三间通过交换模块连接（主机A、C、E通过交换模块连接，主机B、D、F也通过交换模块连接）。

因此，正常情况下，主机C无法以嗅探方式监听到主机A与主机E间通信数据，同样主机D也无法监听到主机B与主机F间的通信数据。

（2）主机C要监听主机A和主机E间的通信数据；主机D要监听主机B与主机F间的通信数据。

分析：黑客主机通过对目标主机进行ARP欺骗攻击，获取目标主机间的通信数据。

1．正常通信（1）目标主机二单击工具栏“UDP工具”按钮，启动UDP连接工具，创建2513/udp服务端。

（2）目标主机一启动UDP连接工具，将“目标机器”IP地址指定为目标主机二的地址，目标端口与服务器一致。

在“数据”文本框中输入任意内容，单击“发送”按钮，向服务端发送数据。

服务端确定接收到数据。

（3）黑客主机单击工具栏“控制台”按钮，切换至/opt/ExpNIS/NetAD-Lab/Tools/ids/目录（Snort目录），执行如下命令：通过上述命令snort仅会监听源IP地址为目标主机一的、传输协议类型为UDP的网络数据（4）目标主机一再次向目标主机二发送消息，黑客主机停止snort监听（Ctrl+C），观察snort监听结果，是否监听到目标主机间的通信数据。

为什么？没有监听到结果，目标主机不在同一个共享设备上，正常状态下目标主机一和二间的通信，黑客主机监听不到它们之间的信息。

（5）目标主机一查看ARP缓存表，确定与目标主机二的IP相映射的MAC 地址是否正常。

不正常，缓存表多出一行新的内容。

2．ARP攻击（1）黑客主机单击平台工具栏“控制台”按钮，进入实验目录，运行ARPattack 程序攻击目标主机一，将其ARP缓存表中与目标主机二相映射的MAC地址更改为黑客主机的MAC地址。

其中第一个参数为被攻击主机IP地址，第二个参数为被攻击主机MAC地址，第三个参数为与被攻击主机进行正常通信的主机IP地址。

防范arp欺骗攻击的主要方法ARP（Address Resolution Protocol）欺骗攻击是一种利用ARP协议安全漏洞的攻击方式，通过伪造ARP响应报文，将目标主机与网关的通信转发到攻击者的主机，从而实现窃取数据、监听通信等攻击目的。

为了防范ARP欺骗攻击，我们可以采取以下主要方法：1. 静态ARP表配置：在网络设备中手动配置静态ARP表，将IP地址与MAC 地址正确绑定。

这样可以在发生ARP欺骗攻击时，设备会根据静态ARP表的配置进行判断，从而避免接收到虚假的ARP响应。

2. ARP协议的安全性加固：通过对网络设备的配置，可以增加ARP协议的安全性。

例如，使用ARP缓存超时时间限制，减少ARP缓存时间，可以减少攻击者进行ARP欺骗攻击的窗口期。

另外，关闭ARP请求广播转发功能，限制ARP 请求只在局域网中广播，可以减少攻击者发起ARP欺骗攻击的机会。

3. 安全交换机的使用：安全交换机具有对网络流量进行流量转发过滤的功能。

可以通过配置交换机来禁止ARP包的广播转发，同时只将ARP包转发到目标MAC地址处，避免ARP欺骗攻击。

4. 网络监控与检测系统：部署网络监控与检测系统，可以实时监测和检测ARP 欺骗攻击。

例如，通过对ARP响应报文的分析判断，检测到异常ARP响应时，立即发出警报或执行预先设定的应对措施，阻止攻击者进一步进行攻击。

5. 使用ARP防火墙：ARP防火墙是一种专门用于防范ARP欺骗攻击的设备，其工作原理是对所有进出网络的ARP请求和响应进行检测和过滤。

有效地防止了恶意ARP包的发送和伪造，从而保障了网络的安全。

6. 使用加密技术：使用加密技术对通信数据进行加密，可以在部分情况下抵御ARP欺骗攻击。

当攻击者截获加密数据时，由于无法破解密钥，无法获得有效信息。

总结来说，防范ARP欺骗攻击主要通过配置静态ARP表、加固ARP协议安全性、使用安全交换机、部署网络监控与检测系统、使用专门的ARP防火墙以及使用加密技术来实现。