网络协议分析arp地址欺骗

1、实验二十三 ARP 地址【实验目的】加深对 ARP 高速缓存的理解；了解 ARP 协议的缺陷；3. 增强意识。【实验学时】2 学时【实验环境】在本实验中需要 1 台路由、1 台交换机、1 台协议分析仪、2 台实验 PC，使用协议分析仪数据包，对到的数据进行分析。将所有的设备都接入到交换机上，并在交换机上配置端口映像功能，具体 IP 分配如下表：表 7-1 设备 IP 地址分配表设备连接如下图所示：图 7-1 实验拓扑图设备接口IP 地址连接到交换机PCAEth0192.168.0.2/24FA0/8PCBEth0192.168.0.3/24FA0/9RSR-AFA0/0192.168.0.1/

2、24FA0/10RG-PATS 网络协议分析仪Eth0192.168.0.10/24FA0/24第七章 网络攻防实验【实验内容】1、学习 ARP 地址的原理；2、搭建网络实现 ARP 地址3、了解怎样防范 ARP 地址过程；。【实验流程】图 7-2 实验流程图【实验原理】ARP 报文格式：地址转换协议（ARP）是用来实现 IP 地址与本地网络认知的物理地址（以太网 MAC 地。在 IPv4 中，IP 地址长为 32 位。然而在以太局域网络中，设备地址长为址）之间的48 位。有一张表格，通常称为 ARP 缓冲（ARP cache），来维持每个 MAC 地址与其相应的 IP 地址之间的对应关系。A

3、RP 提供一种形成该对应关系的规则以及提供双向地址转换。在 TCP/IP 网络环境下，一个 IP 数据包到达目的地所经过的网络路径是由路由器根据数据包的目的 IP 地址查找路由表决定的，但 IP 地址只是主机在网络层中的地址，要在实际的物理链传送数据包，还需要将 IP 数据包封装到 MAC 帧后才能发送到网络中。同一链的哪台主机接收这个 MAC 帧是依据该 MAC 帧中的目的 MAC 地址来识别的，即除了同一链将网卡置为混杂模式的主机外，只有当某台主机的 MAC 地址和链路中传输的MAC 帧的目的 MAC 地址相同时，该主机才会接收这个 MAC 帧并拆封为 IP 数据包交给上层模块处理。因此，

4、每一台主机在发送链路层数据帧前都需要知道同一链接收方的 MAC地址，地址协议 ARP 正是用来进行 IP 地址到 MAC 地址的转换的。同时为了避免不必要的 ARP 报文查询，每台主机的操作系统都着一个 ARP 高速关系。ARP 高缓存 ARP Cache，着同一链其它主机的 IP 地址到 MAC 地址的速缓存通常是动态的，该缓存可以手工添加静态条目，由系统在一定的时间间隔后进行刷新。ARP 协议虽然是一个高效的数据链路层协议，但作为一个局域网协议，它是建立在各主机之间相互信任的基础上的，所以 ARP 协议存在以下缺陷：ARP 高速缓存根据所接收到的 ARP 协议包随时进行动态更新；ARP 协

5、议没有连接的概念，任意主机即使在没有 ARP请求的时候也可以做出应答；ARP 协议没有认证机制，只要接收到的协议包是有效的，主机就无条件的根据协议包的内容刷新本机 ARP 缓存，并查该协议包的。因此攻击者可以随时发送虚假 ARP 包更新被。如下图是 ARP 协议的报文格式：主机上的 ARP 缓存，进行地址或服务图 7-3 ARP 报文Hardware Type 指定一种硬件接口类型，为发送方请求响应所用。Protocol Type 指由发送方提供的高级协议地址类型。Hlen 硬件地址大小。Plen 协议地址大小。Operation 各个值如下表所示：图 7-4 operation 选项第七章

6、网络攻防实验Sender Hardware Address 发送者硬件地址。Sendrotocol Address 发送者协议地址。Hardware Address 目标硬件地址。Protocol Address 目标协议地址。ARP原理：ARP 协议的作用是在处于同一个子网中的主机所的局域网部分中将 IP 地址到 MAC 地址。当有人在未获得时就企图更改 MAC 和 IP 地址的 ARP 表格中的信息时，就发生了 ARP。通过这种方式，们可以MAC 或 IP 地址，以便实施如下的两种ARP骗。：服务和中间人。分为二种，一种是对路由器 ARP 表的；另一种是对内网 PC 的网关欺第一种 ARP

7、的原理是：截获网关数据。它不断向路由器发送一系列错误的内网MAC 地址，使真实信息无法通过更新保存在路由器中，造成正常 PC 无法收到信息。第二种 ARP的 PC 向假网的原理是：网关。它是建立假网关，让被它数据，使 PC 无法上网。针对交换机根据目的 MAC 地址来决定数据包转发端口的特点，如下图所示：图 7-5 ARPARP的实现：假设主机 C 为实施 ARP的者，其目的是截获主机 B 和主机 A 之间的通数据，且主机 C 在实施 ARP前已经预先知道 A 和 B 的 IP 地址。这时 C先发送 ARP 包获得主机 B 的 MAC 地址，然后向 B 发送 ARP Reply 数据包，其中源

8、 IP 地址为 A 的 IP 地址，但是源 MAC 地址却是主机 C 的 MAC 地址。主机 B 收到该 ARP Reply后，将根据新的 IP 地址与 MAC对更新 ARP 缓存。这以后当 B 给 A 发送数据包时，目标 MAC 地址将使用 C 的 MAC 地址，因此交换机根据 C 的 MAC 地址就将数据包转发到攻击者 C 所在的端口。同理，者 C 发送 ARP Reply 使主机 A 确信主机 B 的 MAC 地址为C 的 MAC 地址。在间歇的发送虚假 ARP Reply 的同时，者 C 打开本机的路由功能，将被劫持的数据包转发到正确的目的主机，这时的，通信不会出现异常，但实际上数据包

9、却被 C者对主机 A 和 B 来说是完全透明截获，者 C 成为了“中间人”。假定者想对主机 B 实施 ARP，那么他可以先对主机 A 进行服务（入侵者可以利用 ARP 协议造成：者发送大量的 ARP 请求报文，且报文的 IP 地址与MAC 地址不一致，造成响应主机主机不得不花很多时间处理这些请求）使其暂时挂起或干脆趁主机 A 关机时进行，然侵者用主机 A 的 IP 地址向主机 B 发送 ARP 请求报文，这样在主机 B 的高速缓存中就更新了原来主机 A 的 IP 地址物理地址的。若原来主机 A和主机 B 有某种信任关系，那么现在主机 B 就和者的机器有了同样的信任关系。ARP1只根据对象的不同

10、可以分为三种，受害主机。实施后效果如下：如下图图 7-6主机2. 只路由器、网关。实施后效果如下：如下图图 7-6网关第七章 网络攻防实验3. 双向，即前面两种方法的组合使用。实施后的效果如下：如下图图 7-7 双向ARP带来的危害可以分为几大类网络异常。具体表现为：掉线、IP等。数据窃取。具体表现为：个人隐私泄漏（如 MSN、邮件等）、账号用（如账号、等）。的网页被添加了数据篡改。具体表现为：内容，俗称“挂马”。控制。具体表现为：网络速度、网络行为（例如某些网页打不开、某些网络应用程序用不了）受第三者控制。ARP根据发起的不同可以分为两类人为ARP。人为。ARP的目的主要是：造成网络异常、窃

11、取数据、控制。不是特指某一种，而是指所有包含有 ARP功能的的总称。ARP的目的主要是：窃取数据（等）、篡改数据（挂马等）。防止 ARP：ARP，防止 ARP主机 IP 地址物理地址最直接的最有效的方法是不使用 ARP。在主机中将信任的作为条目保存在 ARP 高速缓存中，而不去响应 ARP 请求，这样做的缺点就是需要人工来修改这种关系。检测：作为基本的预防措施，主机地接收来自网络上的 ARP 广播报主机级的文请求，若 ARP 报文中 IP 地址与本 IP 地址一致，则认为是一种，或发送者物理地址与原来 IP物理地址不致，也可能是一种，而告警。主机级的主动检测：检测 ARP的另一种预防措施是安排

12、主机在预先启动时候，发送对自己 IP 地址的 ARP 请求报文，如果能收到 ARP 响应，则 IP将向主机用户或管理检测到的 ARP。用自己的 IP 地址主动询问 ARP 能发现 IP 地址配置错误，还能抓住简单使用操作系统故意配置错误 IP 地址进行 ARP的者。服务级检测：作为另一种选择，更复杂的预防措施是从响应报文中获得的硬件地址生成一个 RARP 请求报文，以此来检测 ARP 响应的真实性。网络级检测：可以定期地主机上的 ARP 高速缓存来检测 IP 地址物理地址的映射关系的变化，或者将网络中的某个接口保持在混杂模式方式来网络中发送的每个数据包，并可网络负载以及检测出 IP 地址物理地

13、址关系的变化，同时将这种变化立即给管理员。【实验步骤】步骤一：设定环境按照拓扑结构图连接到网络，配置网关路由器的 IP 地址为 192.168.0.1，：图 7-8 配置网关配置 PCA 计算机的 IP 地址为 192.168.0.2，如下图所示：图 7-9 配置主机 IP 地址第七章 网络攻防实验配置 PCB 计算机的 IP 地址为 192.168.0.3，如下图所示：图 7-10 配置主机IP 地址在路由器上使用 show arp 命令查看 arp 列表，如下图所示：图 7-11 在路由器上查看 ARP 缓存表步骤二：网关在 PCA 上使用 arp a 命令查看网关的 arp 的列表，如下

14、图所示：图 7-12 在主机上查看 ARP 缓存表通过上面命令可以看到真实网关的 MAC 地址为 00-d0-f8-6b-c8-1a，可以通过发送 ARP数据包改变客户机的 ARP 列表，将网关的 MAC 地址改变 00-d0-f8-6b-c8-2a。使用 RG-PATS 协议仪的协议数据发生器编辑 ARP 数据包，模拟网关路由器发送 ARP更新信息，改变客户机的 arp 列表。首先打开 RG-PATS 协议仪数据包发生器，点击菜单栏 “添加”，如下图所示：图 7-13 添加报文添加一个 ARP 协议模板，并将时间差设置为 3 毫秒，点击确认添加，如下图所示：图 7-14 添加 ARP 协议模

15、板修改协议模板的每个值：Ethernet II 封装：目标物理地址：-原物理地址：00-D0-F8-6B-C8-2A类型：0806 ARP 封装：硬件类型：1 协议类型：800硬件地址长度：6协议地址长度：4操作码：2发送物理地址：00-D0-F8-6B-C8-2A发送 IP 地址：192.168.0.1目的物理地址：-目的 IP 地址：255.255.255.0下图是编辑完成并经过校验的数据包：第七章 网络攻防实验图 7-15 编辑完成的 ARP 报文编辑完成后，点击发送，如下图所示：图 7-16 报文发送数量在 PCA 上使用命令 arp a 命令来查看 arp 表项，如下图所示：图 7-

16、17 查看网关的 ARP这时关于网关 192.168.0.1 的 MAC为 00-d0-f8-6b-c8-2a。步骤三：主机PCB 在PCA 的 arp 表的MAC 地址为 00-15-c5-65-ea-32，如下图所示：图 7-18 查看主机的 ARP使用 RG-PATS 协议仪的协议数据发生器编辑 ARP 数据包，模拟 PCB 发送 ARP 更新信息，改变 PCA 和路由器网关的 arp 列表，从而实现 ARP仪数据包发生器，点击菜单栏“添加”，如下图所示：。首先打开 RG-PATS 协议图 7-19 添加报文添加一个 ARP 协议模板，并将时间差设置为 3 毫秒，点击确认添加，如下图所示：图 7-20 添加 ARP 协议模板修改协议模板的每个值：Ethernet II 封装：目标物理地址：-原物理地址：00-D0-F8-6B-11-11类型：0806ARP 封装：硬件类型：1协议类型：800硬件地址长度：6第七章 网络攻防实验协议地址长度：4操作码：2发送物理地址：00-D0-F8-6B-11-11发送 I