arp欺骗技术以及其对策.docVIP

ARP欺骗技术以及其对策 ; 近年来,arp攻击十分频繁,ARP病毒位列十大病毒排行榜第四位,而且目前ARP地址欺骗技术已经被越来越多的病毒所采用,成为病毒发展的一个新趋势。如何防范arp攻击越来越受到了网管的重视。 ; 一、ARP协议工作原理 ; 在TCP/IP协议中,每一个网络结点是用IP地址标识的,IP地址是一个逻辑地址。而在以太网中数据包是靠48位MAC地址(物理地址)寻址的。因此,必须建立IP地址与MAC地址之间的对应(映射)关系,ARP协议就是为完成这个工作而设计的。 ; TCP/IP协议栈维护着一个ARP cache表,在构造网络数据包时,首先从ARP表中找目标IP对应的MAC地址,如果找不到,就发一个ARP request广播包,请求具有该IP地址的主机报告它的MAC地址,当收到目标IP所有者的ARP reply后,更新ARP cache.ARP cache有老化机制。 ; ARP协议是建立在信任局域网内所有结点的基础上的,它很高效,但却不安全。它是无状态的协议,不会检查自己是否发过请求包,也不管(其实也不知道)是否是合法的应答,只要收到目标MAC是自己的ARP reply包或arp广播包(包括ARP request和ARP reply),都会接受并缓存。这就为ARP欺骗提供了可能,恶意节点可以发布虚假的ARP报文从而影响网内结点的通信,甚至可以做“中间人”。 ; 二、ARP病毒分析 ; 当局域网内某台主机运行ARP欺骗的木马程序时,会欺骗局域网内所有主机和路由器,让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网,切换的时候用户会断一次线。切换到病毒主机上网后,如果用户已经登陆了传奇服务器,那么病毒主机就会经常伪造断线的假像,那么用户就得重新登录传奇服务器,这样病毒主机就可以盗号了。 ; 下面就BKDR_NPFECT.A病毒进行分析 ; 1.病毒的组件 ; 本文研究的病毒样本有三个组件构成: ; %windows%\\SYSTEM32\\LOADHW.EXE(108,386 bytes)……病毒组件释放者” ; %windows%\\System32\\drivers\\npf.sys(119,808 bytes)……“发ARP欺骗包的驱动程序” ; %windows%\\System32\\msitinit.dll (39,952 bytes)……“命令驱动程序发ARP欺骗包的控制者” ; 2.病毒运作基理 ; LOADHW.EXE执行时会释放两个组件npf.sys和msitinit.dll。 ; LOADHW.EXE释放组件后即终止运行。; 注意:病毒假冒成winPcap的驱动程序,并提供winPcap的功能。客户若原先装有winPcap,npf.sys将会被病毒文件覆盖掉。随后msitinit.dll将npf.sys注册(并监视)为内核级驱动设备:“NetGroup Packet Filter Driver”msitinit.dll还负责发送指令来操作驱动程序npf.sys (如发送APR欺骗包,抓包,过滤包等)以下从病毒代码中提取得服务相关值:BinaryPathName=system32\\drivers\\npf.sysStartType= SERVICE_AUTO_STARTServiceType=SERVICE_KERNEL_DRIVERDesiredAccess= SERVICE_ALL_ACCESSDisplayName = NetGroup Packet Filter DriverServiceName = Npf并将LOADHW.EXE注册为自启动程序:[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\\CurrentVersion\\RunOnce] dwMyTest =LOADHW.EXE注:由于该项位于RunOnce下,该注册表启动项在每次执行后,即会被系统自动删除。; 三、查找ARP攻击源头 ; 定位ARP攻击源头 ; 主动定位方式:因为所有的ARP攻击源都会有其特征——网卡会处于混杂模式,可以通过ARPKiller这样的工具扫描网内有哪台机器的网卡是处于混杂模式的,从而判断这台机器有可能就是“元凶”。 ; 被动定位方式:在局域网发生ARP攻击时,查看交换机的动态ARP表中的内容,确定攻击源的MAC地址;也可以在局域居于网中部署Sniffer工具,定位ARP攻击源的MAC。 ; 使用NBTSCAN可以取到PC的真实IP地址、机器名和MAC地址,如果有“ARP攻击”在做怪,可以找到装有ARP攻击的PC的IP、机器名和MAC地址。 ; 命令:“nbtscan -r 192.168.16.0/24”(搜索整个