浅谈局域网中arp攻击与防御.doc

《浅谈局域网中arp攻击与防御.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、浅谈局域网中ARP攻击与防御【摘要】本文针对校园网用户和机房，对在局域网屮频繁发生的ARP欺骗原理进行了分析和介绍，通过伪造TP地址和MAC地址实现ARP欺骗能够在局域网中产生大量的ARP通信量造成局域网阻塞，从而使网络受阻。本文主要讲解ARP攻击的原理以及如何防御ARP攻击的方法，加强安全防范措施以达到局域网安全的冃的。【关键词】ARP攻击；防御；网络安全1.引言最近学校机房的网络很不稳定，经常出现瞬间大面积的掉线现象，严重影响学生上机质量，经过多方排除（对系统进行重装、杀毒，对交换机、路由器和服务器等都进行了排查）最后确定是AR

2、P的问题。这种病毒是一种利用计算机病毒使计算机网络无法正常运行的计算机攻击手段。如何防范ARP的网络攻击己成为确保局域网的网络畅通的很重要事情。2.ARP协议及工作原理ARP：AddressResolutionProtocol地址解析协议,是TCP/IP协议集屮的链路层的协议。在局域网屮网络屮实际传输的是“帧”，帧里面是目标主机的MAC地址，在以太网中一个主机要和另一个主机直接通信，必须要知道目标主机的MAC地址，但这个目标MAC地址如何获得的呢？它就是通过地址解析协议获得的，所谓“地址解析协议”就是主机在发送帧前将FI标IP地址转

3、换成Fl标MAC地址的过程。ARP协议的基木功能就是通过目标设备的IP地址查询目标设备的MAC地址，以保证通信的顺利进行。ARP工作原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则广播A一个ARP请求报文（携带主机A的IP地址la——物理地址Pa）,请求IP地址为lb的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地

4、的ARP缓存。接着使用这个MAC地址发送数据（由网卡附加MAC地址）。因此，木地高速缓存的这个ARP表是木地网络流通的基础，而且这个缓存是动态的。然而一些非法入侵者和黑客利用各种技术手段，篡改和伪造IP地址和MAC地址，在网络中产生大量的通信量使网络阻塞或者通过中间人进行ARP重定和攻击，以达到非法入侵和获取他人信息的目的。这种网络入侵方式叫做ARP欺骗，它是近来网络入侵攻击的一个重要形式，也是造成局域网瘫痪的原因，严重威胁着网络信息的安全。1.ARP欺骗和攻击方式ARP欺骗是黑客常用的攻击手段之一，ARP欺骗木马只需成功感染一台电

5、脑，就可能导致整个局域网都无法上网，严重的甚至可能带来整个网络的瘫痪。该木马发作时除了会导致同一局域网内的其他用户上网出现时断时续的现象外，还会窃取用户密码。如盗取QQ密码、盗取各种网络游戏密码和账号去做金钱交易，盗窃网上银行账号來做非法交易活动等，这是木马的惯用伎俩，给用户造成了很大的不便和巨人的经济损失。ARP欺骗分为三种：一种对路由器ARP表的欺骗；第二种是对内网PC的网关欺骗；第三种是将数据指导向不存在的地址。下面简单介绍一下前两种欺骗的原理：第一种ARP欺骗原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并

6、按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路山器中，结果路山器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关，它的原理是建立假的网关，让被它欺骗的PC向假的网关发送数据，而不是通过正常的路由器途径上网。那么PC就上不了网，也就是所谓的掉线。一般来说，ARP欺骗攻击的后果非常严重，ARP欺骗木马的中毒现象表现为：使用局域网时会突然掉线，过一段时间后又会恢复正常。比如客户端状态频频变红，用户频繁断网，IE浏览器频繁出错，以及一些常用软件出现故障等。如果局域网屮是通过身

7、份认证上网的，会突然出现可认证,但不能上网的现象（无法ping通网关），重启机器或在MS-DOS窗口下运行命令atp-d后，又可恢复上网。有些网络管理员对此不甚了解，出现故障时，认为PC没有问题，交换机没掉线的“本事”，而且如果第一种ARP欺骗发生时，只要重启路由器，网络就能全面恢复，那问题一定是在路由器了。为此，宽带路由器背了不少“黑锅”。下面举个实例说明ARP攻击过程：当一个入侵者想非法进入公司的数据服务器而这台主机的防火墙只对192.0.0.4（假设）这个IP开放23口（telnet）,攻击者无法入侵192.0.0.4所以他采

8、用ARP欺骗。(1)他先研究192.0.0.4这台主机，发现这台机器使用一个洪水数据包就可以让其死机。(2)于是他送一个洪水数据包给192.0.0.4的139端口，于是这机器应包而死机。(3)这时主机发送到192.0.0.4将无法被机