ARP欺骗防范与追踪.pdf

《ARP欺骗防范与追踪.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、科技信息0IT论坛oSCIENCE&TECHNOLOGYINFORMATION2012年第5期ARP欺骗防范与追踪李苏丰(中国矿业大学计算机学院江苏徐州221116)【摘要】论述了ARP欺骗的特征，分析了ARP欺骗产生的原理，并根据长期的实践经验，总结了一套ARP欺骗防范与追踪的策略。【关键词】ARP欺骗；局域网；MAC地址0引言2．2．3ARP泛洪这是一种比较危险的攻击，攻击者伪造大量虚假源MAC和源IPARP协议．又称地址解析协议．简单说就是通过IP地址来查询目信息报文．向局域网内所有主机和网关进行广播．目的就是令局域网标主机的MAC地址ARP协议在以太网主机通信中发挥至关重要

2、的内部的主机或网关找不到正确的通信对象．甚至直接用虚假地址信息作用。然而，事物都有两面性，如果ARP协议被黑客利用．通过伪造IP占满网关ARP缓存空间．造成用户无法正常上网同时网络设备CPU地址和MAC地址实施ARP欺骗．将会在网络中产生大量ARP通信居高不下，缓存空间被大量占用。由于影响到了网络设备．攻击者自己流量从而使网络发生壅塞．或者通过实施“ManInTheMiddle"进行上网的效率也很低．这是一种典型的损人不利己行为ARP重定向和嗅探攻击我校网络核心层为思科6500系列三层交换2．2．4基于ARP的DoS机，分布层和接人层采用思科和瑞捷交换机．IP地址采取静态分配。本这

3、是新出现的一种攻击方式．DoS又称拒绝服务攻击．当大量的篇所讨论的ARP防治策略．即是在此种网络环境下归纳的连接请求被发送到一台主机时．由于该主机的处理能力有限．不能为1ARP欺骗现象正常用户提供服务．便出现拒绝服务这个过程中如果使用ARP来隐藏自己．被攻击主机日志上就不会出现真实的IP纪录。攻击的同时，在局域网内．攻击源主机不断发送ARP欺骗报文．即以假冒的网也不会影响到本机卡物理地址向同一子网的其他主机发送ARP报文．甚至假冒该子网网关物理地址蒙骗其他主机．诱使其他主机经由该病毒主机上网。真3ARP欺骗鉴定方法网关向假网关的切换．会导致网内用户断网当攻击源主机断电或离3．1检查

4、网内感染“ARP欺骗”木马病毒的计算机线，网内其它主机自动重新搜索真网关．这个过程又会导致用户断一在“命令提示符”下输入并执行“ipconfig”命令，记录网关IP地址．次网。所以某子网内．只要存在一台或多台这样的攻击源主机．就会使即“DefaultGateway”对应的值．例如“192．168．18．1”。然后执行“arp—a”其他主机上网断断续续．严重时将致使整个网络陷于瘫痪上述现象命令查看自己网关MAC地址．如若变成和内网一机器MAC地址相即是一种典型ARP欺骗．除了影响网络运行效率．攻击者也会趁机窃同．可据此断定内网有机器中了ARP网关欺骗型病毒本操作前提是取网内用户的帐号

5、和密码。因为发送的是ARP报文．具有一定的隐秘知道网关的正确MAC地址．可在正常上网主机上．使用“arp—a”命令性，如果侵占系统资源不是很大，又无防病毒软件监控．一般用户不易查看网关MAC地址．通过对比查看网关MAC地址是否被修改。察觉3．2查看ARP表2ARP欺骗分析用三层设备接人校园网的单位．网管可以检查其三层设备上的ARP表如果有多个IP对应同一个MAC．则此MAC对应的计算机很2．1原理简析可能中了木马病毒可通过下连二层交换机的转发表查到此MAC对局域网内某主机运行ARP欺骗程序时．会诱骗局域网内所有主应的交换机端口．从而定位有问题的计算机机和路由器．使上网流量必须经由该

6、病毒主机。原来通过路由器上网的用户现在转由病毒主机．这个切换的会致使用户断线切换到病毒4ARP欺骗防范策略主机上网后．如果用户已经登陆了传奇服务器．病毒主机会不断制造4．1清空ARP缓存断线的假象，用户就得重新登录．病毒主机就可以趁机实施盗号行为。点击“开始”按钮一>选择“运行”一>输入“arp—d'->点击“确定”按ARP欺骗木马程序发作会发送大量数据包．从而导致局域网通讯拥钮．然后重新尝试上网．如能恢复正常．则说明此次掉线可能是受ARP塞，受自身处理能力的限制，用户会感觉网速越来越慢。ARP欺骗木马欺骗所致程序停止运行．用户会恢复从路由器上网．该切换则会导致用户再次4-2个人主

7、机ARP绑定断网。通过执行“arp—s210．31．197．9400—03—6b一7f-ed一02”．临时绑定2．2欺骗方式主机IP与MAC地址2．2．1一般冒充欺骗或者，通过建立一批处理文件，绑定IP和MAC。方法如下：这是一种比较常见的攻击，通过发送伪造的ARP包来实施欺骗。@echooff根据欺骗者实施欺骗时所处的立场，可分为三种情况：冒充网关欺骗arp-d主机、冒充主机欺骗网关、冒充主机欺骗其他主机。在冒充网关欺骗arp-sIPMAC中，欺骗者定时且频繁的对本