《資訊保安與攻擊防範》課程論文

——ARP的欺騙原理和攻防

ARP協議是什麼

ARP（AddressResolutionProtocol），即地址解析協議。其基本功能通過目標裝置的IP地址，查詢目標裝置的MAC地址，以保證通訊的順利進行。它是IPv4中網路層必不可少的協議，不過在IPv6中已不在適用，並被NDP（鄰居發現協議）所代替。

基本功能

在乙太網協議中規定，同一區域網中的一臺主機要和另一臺主機進行自己通訊，必須知道目標主機的MAC地址。而在TCP/IP協議中，網路層和傳輸層之關心目標主機的IP地址。這就導致在乙太網中使用IP協議時，資料鏈路層的乙太網協議接到上層IP協議提供資料中，只包含目的主機

原理

在每檯安裝有TCP/IP協議的電腦或路由器中都會有一個

注：上表是我的UbuntuGnome 14.04LTS主機上的ARP快取表。為了破解閃訊，我們是通過網絡卡建立的區域網，共享的網路，所以是wlan0，而不是eth0.附上終端截圖。

以主機A（192.168.137.88）向主機B（192.168.137.89）傳送資料為例。當傳送資料時，主機A會在自己的ARP快取表中尋找是否有IP地址。如果找到了，也就知道目標MAC地址為（28:d2:44:84:85:85），直接把目標MAC地址寫入幀裡面傳送就可以了；如果ARP快取表中沒有找到相應的IP地址，主機A會在網路上傳送一個廣播（ARPrequest），目的MAC地址上是（FF.FF.FF.FF.FF.FF）,這表示向同一網段內的所有主機發出這樣的詢問：“192.168.137.89的MAC地址是什麼？”。網路上其它主機並不會響應ARP詢問，只有主機B接收到這個幀時，才對主機A做出這樣的迴應（ARPresponse）：“192.168.137.89的MAC地址是（28:d2:44:84:85:85）”。這樣，主機A就是到主機B的MAC地址，它就可以向主機B傳送資訊了。同時它還更新了自己的ARP快取表，下次在向主機B傳送資訊時，直接從ARP快取表裡面查詢就行了。ARP快取表採用了老化機制，在一段時間內如果表中的某一行沒有使用，就會被刪除，這樣可以大大減少ARP快取表的長度，加速查詢速度。

ARP欺騙原理

主機A（192.168.137.88），主機B（192.168.137.89），閘道器G（192.168.137.69）；在同一區域網，主機A和主機通過閘道器G互相通訊，就好像A和B互相寫信，而G是郵局負責傳遞。C不會知道A和B說了些什麼。但事實沒有那麼安全，在ARP快取機制存在一個缺陷，就是當請求主機收到ARP應答包之後，不會去驗證自己是否向對方主機發送過ARP請求包，就直接把這個返回包中的IP地址與MAC地址的對應關係儲存到ARP快取表中，之前原有的IP對應關係會被覆蓋。

現在有一個主機C，它告訴主機A自己是主機G（主機C向主機A傳送構造好的返回包，源IP為主機G（192.168.137.69），源MAC為主機C自己的MAC地址）。這樣在主機A的ARP快取表中，留下的錯誤的資訊，閘道器G的IP對應來主機C的MAC地址。

主機C欺騙完主機A後，它又告訴閘道器G，它就是主機A（主機C向閘道器G傳送構造好的返回包，源IP為主機A（192.168.137.88），源MAC地址為主機C的MAC地址）。

這樣主機B發給主機A的資料包，先給了閘道器G，閘道器G卻沒有發給A，轉而發給了主機C。而主機A發給主機B，本要先給閘道器G發，但直接發給來主機C。

ARP攻擊實戰

環境：主機0：UbuntuGnome 14.04 LTS（64bit）

虛擬A：WindowsXP（32bit）（關閉了防火牆）

虛擬B：KaliLinux 1.0.9a（64bit）

在開始之前檢視ARP快取表

現在arp快取表還是正確的。

虛擬A（192.168.1.137）是被攻擊主機，虛擬B（192.168.1.108）是攻擊的主機。

但在進行arp欺騙之前必須要開啟IP轉發，否者當欺騙成功之後，攻擊目標會斷網，這樣會被發覺。執行命令echo1 > /proc/sys/net/ipv4/ip_forward

現在已經成功開啟來IP轉發，那我們開始ARP欺騙攻擊

向目標192.168.1.137傳送返回包，包的內容：

源IP：192.168.1.1

源MAC：08:00:27:c3:7c:31

現在來看被攻擊的目標主機虛擬A的ARP快取表

為了方便比較，上面的是第一次的ARP快取表表，也是對的ARP快取表。下面是攻擊過後的ARP快取表，可以明顯看出閘道器（192.168.1.1）的MAC地址改變了，變成了攻擊者虛擬B（192.168.1.108）的MAC地址。

攻擊成功。在附上全屏截圖

ARP欺騙的危害

ARP欺騙可以造成內部網路的混亂，讓某些被欺騙的Server無法正常訪問內外網路，使閘道器無法和客戶端正常通訊。實際上他的危害還不僅僅如此，一般來說IP地址的衝突我們可以通過多種方法和手段來避免，而ARP協議工作在更低層，隱蔽性更高。系統並不會判斷ARP快取的正確與否，無法像IP地址衝突那樣給出提示。而且很多黑客工具例如網路剪刀手等，可以隨時傳送ARP欺騙資料包和ARP恢復資料包，這樣就可以實現在一臺Server上通過傳送ARP資料包的方法來控制網路中任何一臺Server的網路鏈路，甚至還可以直接對閘道器進行攻擊，讓所有連線網路的計算機都無法正常上網。

ARP防禦

在Windows可以使用antiarp進行防禦，這是一個國產防禦軟體。

在Linux下使用arping命令向閘道器發ARP請求包，就可以得到正確的MAC地址了，還有arpoison和Libnet也可以，當它們是什麼實現的就不是很清楚了。