浅论ARP攻击原理及解决方法.docVIP

浅论ARP攻击原理及解决方法 　　摘要：本文从ARP协议的原理上分析ARP欺骗的实现，围绕ARP攻击的过程及该协议内在的缺陷，提出了防御办法及解决策略。 　　关键词：Arp协议；原理；攻击；防御 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2007)06-11528-01 　　 　　1 ARP协议概述 　　IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成以太网网目的地址。在这两种地址之间存在着某种静态的或算法的映射，常常需要查看一张表。地址解析协议(Address Resolution Protocol，ARP)就是用来确定这些映射的协议（见图1）。 　　图1 以太网上的ARP报文格式 　　图1是一个用作IP到以太网地址转换的ARP报文的例子。在图中每一行为32位，也就是4个八位组表示，在以后的图中，我们也将遵循这一方式。 　　硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1。协议类型字段指明了发送方提供的高层协议类型，IP为0806（16进制）。硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用。操作字段用来表示这个报文的目的，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4。 　　当发出ARP请求时，发送方填好发送方首部和发送方IP地址，还要填写目标IP地址。当目标机器收到这个ARP广播包时，就会在响应报文中填上自己的48位主机地址。 　　ARP工作时，送出一个含有所希望的IP地址的以太网广播数据包。目的地主机，或另一个代表该主机的系统，以一个含有IP和以太网地址对的数据包作为应答。发送者将这个地址对高速缓存起来，以节约不必要的ARP通信。 　　ARP协议默认情况下是信任网络内的所有节点，并且任意节点都可以进行广播。这样，就给ARP协议带来了一个从根本上无法解决的缺陷：如果有一个不被信任的节点对本地网络具有写访问许可权，那么也会有某种风险。这样一台机器可以发布虚假的ARP报文并将所有通信都转向它自己，然后它就可以扮演某些机器，或者顺便对数据流进行简单的修改。并且，ARP机制常常是自动起作用的。 　　 　　2 ARP攻击及ARP欺骗的实现原理 　　在实现TCP/IP协议的网络环境下，一个ip包走到哪里，要怎么走是靠路由表定义，但是，当ip包到达该网络后，哪台机器响应这个ip包却是靠该ip包中所包含的硬件mac地址来识别。也就是说，只有机器的硬件mac地址和该ip包中的硬件mac地址相同的机器才会应答这个ip包，因为在网络中，每一台主机都会有发送ip包的时候，所以，在每台主机的内存中，都有一个 arp-- 硬件mac 的转换表。通常是动态的转换表（该arp表可以手工添加静态条目）。也就是说，该对应表会被主机在一定的时间间隔后刷新。这个时间间隔就是ARP高速缓存的超时时间。 　　通常主机在发送一个ip包之前，它要到该转换表中寻找和ip包对应的硬件mac地址，如果没有找到，该主机就发送一个ARP广播包，于是，主机刷新自己的ARP缓存。然后发出该ip包。 　　我们可以人为的制造一个arp_reply的响应包,发送给想要欺骗的主机,这是可以实现的,因为协议并没有规定必须在接收到arp_echo后才可以发送响应包.这样的工具很多,我们也可以直接用snifferpro抓一个arp响应包,然后进行修改。指定ARP包中的源IP、目标IP、源MAC地址、目标MAC地址。这样就可以通过虚假的ARP响应包来修改主机A上的动态ARP缓存达到欺骗的目的。 　　攻击者在网络里不断告诉（欺骗）其它计算机：“我是网关，你们要上网要先通过我这里”。这时所有计算机都会被它欺骗了，信息都不到达正确的网关，而是到达了攻击者那里。你就完全上不了网。 　　并且，如果攻击者同时告诉（欺骗）网关：“我是某计算机、所有发送给这台电脑的信息请发给我”。“某计算机”是不断变化的，代表网络中里面的所有计算机，这样它就可以窃取你的各种账号口令。 　　因为arp表中的记录一段时间后就会重新刷新，这样也可以解释校园网时好时断的现象了，这是因为arp欺骗一次你就断网了，但时间一到或者正确的网关给你正确信息的时候，你又能上网了。这个过程每切换一次你就断网一次。 　　了解这些常识后，现在就可以谈在以太网络中如何实现ARP攻击及进行ARP欺骗了，可以看看这样一个例子。 　　如图2所示，三台主机： 　　图2 同一网段的arp欺骗 　　A: ip地址 192.168.0.1 硬件地址 AA:AA:AA:AA:AA:AA 　　B: ip地址