浅述局域网ARP攻击及防御措施.docVIP

浅述局域网ARP攻击及防御措施 　　[摘 要]众所周知，在局域网中，一台主机要和另一台主机进行通信，必须要知道目标主机的IP地址，但是最终负责在局域网中传送数据的网卡等物理设备是不识别IP地址的，只能识别其硬件地址即MAC地址。MAC地址是48位的，通常表示为12个16进制数，每2个16进制数之间用“-”或者冒号隔开，如：00-0B-2F-13-1A-23就是一个MAC地址。每一块网卡都有其全球唯一的MAC地址，网卡之间发送数据，只能根据对方网卡的MAC地址进行发送，这时就需要一个将高层数据包中的IP地址转换成低层MAC地址的协议，而这个重要的任务将由ARP协议完成。 　　中图分类号：TF089 文献标识码：A 文章编号：1009-914X（2015）33-0158-01 　　一、ARP协议 　　ARP全称为Address Resolution Protocol，地址解析协议。所谓“地址解析”就是主机在发送数据包前将目标主机IP地址转换成目标主机MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 这时就涉及到一个问题，一个局域网中的电脑少则几台，多则上百台，这么多的电脑之间，如何能准确的记住对方电脑网卡的MAC地址，以便数据的发送呢 这就涉及到了另外一个概念，ARP缓存表。在局域网的任何一台主机中，都有一个ARP缓存表，该表中保存这网络中各个电脑的IP地址和MAC地址的对照关系。当这台主机向同局域网中另外的主机发送数据的时候，会根据ARP缓存表里的对应关系进行发送。 　　二、ARP攻击原理分析 　　ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。ARP病毒造成网络瘫痪的原因可以分为对路由器ARP表的欺骗，和对内网PC的网关欺骗两种。第一种必须先截获网关数据。它使路由器就收到一系列错误的内网MAC地址，并按照一定的频率不断更新学习进行，使真实的地址信息无法通过更新保存在路由器中，造成的PC主机无法正常收到回应信息。第二种是通过交换机的MAC地址学习机制，当局域网内某台主机已经感染ARP欺骗的木马程序，就会欺骗局域网内所有主机和路由器，让所有上网的流量都必须经过病毒主机。 　　三、网络故障现象 　　如果你发现经常网络掉线，或者发现自己的网站所有页面都被挂马，但到服务器上，查看页面源代码，却找不到挂马代码，局域网内的计算机出现外部网站访问速度缓慢，甚至无法打开的现象，然后它过一会儿掉一次线来骗取别的机器的帐户密码之类的现象，客户端用户频繁出现断网并发现IP冲突。最严重的时候出现部分生产楼网络瘫痪。就要考虑到是否自己机器或者同一IP段中其他机器是否中了ARP病毒。除了装ARP防火墙以外，还可以通过绑定网关的IP和MAC来预防一下。这个方法在局域网中比较适用。 　　四、病毒源主机查找 　　在开始不能上网的计算机上运行arp ?Ca，说明：10.216.96.3是网关地址，后面的00-00-0c-07-0a-01是网关的物理地址。此物理地址默认情况下是不会发生改变的，如果发现物理地址不是此地址说明自己已经受到了arp病毒的攻击 。 　　查找过程： 　　1、执行arp ?Ca 列出了： 　　10.216.96.18 00-0F-EA-11-00-5E 　　10.216.96.3 00-0F-EA-11-00-5E （网关） 　　由于之前我们已经知道网关的正确物理地址是00-00-0c-07-0a-01，此时却变成了00-0F-EA-11-00-5E，说明10.216.96.18正在利用arp进行欺骗，冒充网关。 　　2、执行arp ?Cd 清除ARP列表信息。重新运行arp ?Ca看数据类表的可疑IP地址是否存在，不存在说明此IP地址正常；存在，说明该机器肯定有ARP病毒。 　　3、使用tracert命令 　　在任意一台受影响的主机上，在DOS命令窗口下运行如下命令：tracert 61.135.179.148（外网IP地址）。假定设置的缺省网关为10.8.6.1，在跟踪一个外网地址时，第一跳却是10.8.6.186，那么，10.8.6.186就是病毒源。 　　五、调查结论 　　通过以上查找分析，局域网内有计算机感染ARP病毒，中毒的机器的网卡不断发送虚假的ARP数据包，告诉网内其他计算机网关的MAC地址是中毒机器的MAC地址，是其他计算机将本来发送网关的数据发送到中毒机器上，导致整个局域网都无法上网，严重乃至整个网络的瘫痪。我们知道局域网中的数据流向是：网关→本机； 如果网络有ARP欺骗之后，数据的流向是：网关→攻击者→本机，因此攻