ARP攻击与防护完全手册

1、ARP 攻击与防护完全手册1 .ARP 概念咱们谈 ARP 之前， 还是先要知道 ARP 的概念和工作原理， 理解了原理知识， 才能更好去面对和分析处理问题。1.1 ARP 概念知识ARP ，全称 AddressResolutionProtocol ，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。IP 数据包常通过以太网发送， 以太网设备并不识别 32 位 IP 地址， 它们是以 48 位以太网地址传输以太网数据包。因此，必须把IP 目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC 地址。 但这个目标

2、MAC地址是如何获得的呢？它就是通过地址解析协议获得的。 ARP 协议用于将网络中的 IP 地址解析为的硬件地址（ MAC 地址） ，以保证通信的顺利进行。1.2 ARP 工作原理首先，每台主机都会在自己的 ARP 缓冲区中建立一个ARP 列表，以表示IP 地址和 MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该IP地址对应的 MAC地址，如果有，就直接将数据包发送到这个MAC地址； 如果没有， 就向本地网段发起一个ARP 请求的广播包， 查询此目的主机对应的 MAC地址。此 ARP 请求数据包里包括源主机的 IP 地址、硬件地址、以及目

3、的主机的 IP 地址。网络中所有的主机收到这个ARP 请求后，会检查数据包中的目的 IP 是否和自己的 IP 地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的 MAC 地址和 IP 地址添加到自己的 ARP 列表中，如果ARP 表中已经存在该IP 的信息，则将其覆盖，然后给源主机发送一个ARP 响应数据包，告诉对方自己是它需要查找的 MAC 地址；源主机收到这个 ARP 响应数据包后，将得到的目的主机的 IP 地址和 MAC 地址添加到自己的 ARP 列 表中， 并利用此信息开始数据的传输。 如果源主机一直没有收到 ARP 响应数据包， 表示 ARP查询失败。例如：A 的地址

4、为：IP ： 192.168.10.1MAC:AA-AA-AA-AA-AA-AAB 的地址为：IP： 192.168.10.2MAC:BB-BB-BB-BB-BB-BB根据上面的所讲的原理，我们简单说明这个过程： A 要和 B 通讯， A 就需要知道B 的以太网地址，于是A 发送一个 ARP 请求广播（谁是192.168.10.2 ，请告诉 192.168.10.1 ） ，当B 收到该广播，就检查自己，结果发现和自己的一致，然后就向 A 发送一个 ARP 单播应答（192.168.10.2 在 BB-BB-BB-BB-BB-BB ） 。1.3 ARP 通讯模式通讯模式（ PatternAnal

5、ysis ） ：在网络分析中，通讯模式的分析是很重要的，不同的协议和不同的应用都会有不同的通讯模式。 更有些时候， 相同的协议在不同的企业应用中也会出现不同的通讯模式。 ARP 在正常情况下的通讯模式应该是：请求- 应答 - 请求 - 应答，也就是应该一问一答。2 . 常见 ARP 攻击类型个人认为常见的 ARP 攻击为两种类型： ARP 扫描和 ARP 欺骗。2.1 ARP 扫描（ ARP 请求风暴）通讯模式（可能） ：请求 - 请求 - 请求 - 请求 - 请求 - 请求 - 应答 - 请求 - 请求 - 请求 .描述：网络中出现大量ARP 请求广播包， 几乎都是对网段内的所有主机进行扫描

6、。 大量的 ARP 请求广播可能会占用网络带宽资源； ARP 扫描一般为 ARP 攻击的前奏。出现原因（可能） ：* 病毒程序，侦听程序，扫描程序。* 如果网络分析软件部署正确， 可能是我们只镜像了交换机上的部分端口， 所以大量 ARP 请求是来自与非镜像口连接的其它主机发出的。* 如果部署不正确，这些ARP 请求广播包是来自和交换机相连的其它主机。2.2 ARP 欺骗ARP 协议并不只在发送了 ARP 请求才接收ARP 应答。当计算机接收到 ARP 应答数据包的时候，就会对本地的 ARP 缓存进行更新，将应答中的 IP 和 MAC 地址存储在ARP 缓存中。所以在网络中，有人发送一个自己伪造

7、的 ARP 应答，网络可能就会出现问题。这可能就是协议设计者当初没考虑到的！2.2.1 欺骗原理假设一个网络环境中，网内有三台主机，分别为主机A 、 B 、 C 。主机详细信息如下描述：A 的地址为：IP ：192.168.10.1MAC:AA-AA-AA-AA-AA-AAB 的地址为：IP：192.168.10.2MAC:BB-BB-BB-BB-BB-BBC 的地址为：IP：192.168.10.3MAC:CC-CC-CC-CC-CC-CC正常情况下A 和 C 之间进行通讯，但是此时B 向 A 发送一个自己伪造的 ARP 应答，而这个应答中的数据为发送方 IP 地址是 192.168.10.

8、3（ C 的 IP 地址） ， MAC 地址是BB-BB-BB-BB-BB-BB （ C 的 MAC 地址本来应该是CC-CC-CC-CC-CC-CC ， 这里被伪造了）。当 A 接收到 B 伪造的 ARP 应答，就会更新本地的 ARP 缓存（ A 被欺骗了） ，这时 B 就伪装成 C 了。同时， B 同样向 C 发送一个 ARP 应答，应答包中发送方 IP 地址四 192.168.10.1（A 的 IP 地址） ， MAC 地址是 BB-BB-BB-BB-BB-BB （ A 的 MAC 地址本来应该是AA-AA-AA-AA-AA-AA ） ，当 C 收到 B 伪造的 ARP 应答，也会更新本

9、地ARP 缓存（ C 也被欺骗了） ，这时 B 就伪装成了 A 。这样主机A 和 C 都被主机 B 欺骗， A 和 C 之间通讯的数据都经过了B 。 主机 B 完全可以知道他们之间说的什么： ） 。 这就是典型的 ARP 欺骗过程。注意：一般情况下， ARP 欺骗的某一方应该是网关。2.2.2 两种情况ARP 欺骗存在两种情况：一种是欺骗主机作为“中间人” ，被欺骗主机的数据都经过它中转一次， 这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据； 另一种让被欺骗主机直接断网。第一种：窃取数据（嗅探） 通讯模式： 应答 - 应答 - 应答 - 应答 - 应答 - 请求 - 应答 - 应答 - 请

10、求 - 应答 .描述：这种情况就属于我们上面所说的典型的 ARP 欺骗，欺骗主机向被欺骗主机发送大量伪造的ARP 应答包进行欺骗，当通讯双方被欺骗成功后，自己作为了一个“中间人“的身份。此时被欺骗的主机双方还能正常通讯，只不过在通讯过程中被欺骗者“窃听”了。出现原因（可能） ：* 木马病毒* 嗅探* 人为欺骗第二种：导致断网通讯模式：应答- 应答- 应答- 应答- 应答- 应答- 请求描述：这类情况就是在ARP 欺骗过程中，欺骗者只欺骗了其中一方，如 B 欺骗了 A ，但是同时B没有对 C 进行欺骗，这样A 实质上是在和B 通讯，所以 A 就不能和 C 通讯了，另外一种情况还可能就是欺骗者伪造

11、一个不存在地址进行欺骗。对于伪造地址进行的欺骗，在排查上比较有难度，这里最好是借用 TAP 设备（呵呵，这个东东好像有点贵勒） ，分别捕获单向数据流进行分析！出现原因（可能） ：* 木马病毒* 人为破坏* 一些网管软件的控制功能3.常用的防护方法搜索网上， 目前对于 ARP 攻击防护问题出现最多是绑定 IP 和 MAC 和使用 ARP 防护软件，也出现了具有ARP 防护功能的路由器。呵呵，我们来了解下这三种方法。3.1 静态绑定最常用的方法就是做IP 和 MAC 静态绑定，在网内把主机和网关都做IP 和 MAC 绑定。欺骗是通过ARP 的动态实时的规则欺骗内网机器， 所以我们把ARP 全部设置

12、为静态可以解决对内网 PC 的欺骗， 同时在网关也要进行IP 和 MAC 的静态绑定， 这样双向绑定才比较保险。 方法：对每台主机进行IP 和 MAC 地址静态绑定。通过命令，arp-s可以实现arp -sIPMAC地址”。例如：“arp -S192.168.10.1AA-AA-AA-AA-AA-AA”。如果设置成功会在PC 上面通过执行arp-a 可以看到相关的提示：InternetAddressPhysicalAddressType192.168.10.1AA-AA-AA-AA-AA-AAstatic（ 静态 ） 一般不绑定,在动态的情况下：InternetAddressPhysicalA

13、ddressType192.168.10.1AA-AA-AA-AA-AA-AAdynamic（ 动态 ）说明：对于网络中有很多主机， 500 台， 1000 台 .，如果我们这样每一台都去做静态绑定，工作量是非常大的。 。 。 。 ， 这种静态绑定， 在电脑每次重起后， 都必须重新在绑定， 虽然也可 以做一个批处理文件，但是还是比较麻烦的！3.2 使用 ARP 防护软件目前关于 ARP 类的防护软件出的比较多了， 大家使用比较常用的 ARP 工具主要是欣向 ARP 工具， Antiarp 等。它们除了本身来检测出 ARP 攻击外，防护的工作原理是一定频率向网 络广播正确的 ARP 信息。我们还

14、是来简单说下这两个小工具。3.2.1 欣向 ARP 工具 俺使用了该工具，它有5 个功能：?A.IP/MAC 清单 选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。IP/MAC 扫描。这里会扫描目前网络中所有的机器的IP 与 MAC 地址。请在内网运行正常时扫描，因为这个表格将作为对之后 ARP 的参照。之后的功能都需要这个表格的支持，如果出现提示无法获取IP 或 MAC 时，就说明这里的表格里面没有相应的数据。 ?B.ARP 欺骗检测这个功能会一直检测内网是否有PC 冒充表格内的 IP 。你可以把主要的 IP 设到检测表格里面，例如，路由器，电影服务器，等需要内网机

15、器访问的机器IP 。（补充 ） “ARP 欺骗记录”表如何理解：“ Time ” ：发现问题时的时间；“sender ” ：发送欺骗信息的 IP 或 MAC ；“Repeat ” ：欺诈信息发送的次数；“ARPinfo ” ：是指发送欺骗信息的具体内容.如下面例子：timesenderRepeatARPinfo22:22:22192.168.1.221433192.168.1.1isat00:0e:03:22:02: e8这条信息的意思是：在22:22:22 的时间,检测到由192.168.1.22 发出的欺骗信息，已经发送了 1433 次， 他发送的欺骗信息的内容是： 192.168.1.1

16、 的 MAC 地址是 00:0e:03:22:02:e8 。打开检测功能，如果出现针对表内 IP 的欺骗，会出现提示。可以按照提示查到内网的 ARP欺骗的根源。 提示一句， 任何机器都可以冒充其他机器发送IP 与 MAC ， 所以即使提示出某个 IP 或 MAC 在发送欺骗信息，也未必是100 的准确。所有请不要以暴力解决某些问题。?C.主动维护这个功能可以直接解决ARP 欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内不停的广播制定的 IP 的正确的 MAC 地址。“制定维护对象”的表格里面就是设置需要保护的 IP 。发包频率就是每秒发送多少个正确的包给网络内所有机器。强烈建议尽量少的

17、广播IP ，尽量少的广播频率。一般设置 1 次就可以，如果没有绑定IP 的情况下，出现ARP 欺骗，可以设置到 50 100 次，如果还有掉线可以设置更高， 即可以实现快速解决ARP 欺骗的问题。 但是想真正解决ARP 问题， 还是请参照上面绑定方法。?D.欣向路由器日志收集欣向路由器的系统日志，等功能。?E抓包类似于网络分析软件的抓包，保存格式是.cap 。3.2.1Antiarp这个软件界面比较简单，以下为我收集该软件的使用方法。A.填入网关IP地址，点击获取网关地址将会显示出网关的MAC地址。点击自动防护即可保护当前网卡与该网关的通信不会被第三方监听。注意：如出现ARP 欺骗提示，这说明

18、攻击者发送了 ARP 欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的 MAC 地址，利用 MAC 地址扫描器可以找出 IP 对应的 MAC 地址 .B.IP 地址冲突如频繁的出现IP 地址冲突，这说明攻击者频繁发送ARP 欺骗数据包，才会出现IP 冲突的警告，利用 AntiARPSniffer 可以防止此类攻击。C.您需要知道冲突的 MAC地址，Windows 会记录这些错误。查看具体方法如下：右击 我的电脑-管理- 点击事件查看器- 点击系统- 查看来源为TcpIP-双击事件可以看到显示地址发生冲突，并记录了该MAC 地址，请复制该MAC 地址并填入AntiARPSniffer 的本地 MAC 地址输入框中 （请注意将:转换为-） ， 输入完成之后点击防护地址冲突 ，为了使 MAC 地址生效请禁用本地网卡然后再启用网卡，在CMD 命令行中输入Ipconfig/all ， 查看当前 MAC 地址是否与本地MAC 地址输入框中的 MAC 地址相符， 如果更改失败请与我联系。如果成功将不再会显示地址冲突。注意