黑客利用ARP协议进行侦查和攻击手法（非常详细）零基础入门到精通，收藏这一篇就够了

最新推荐文章于 2024-09-18 21:43:57 发布

Python_chichi

最新推荐文章于 2024-09-18 21:43:57 发布

阅读量894

点赞数 13

分类专栏：互联网程序员 web安全文章标签： php 网络服务器

本文链接：https://blog.csdn.net/Javachichi/article/details/140837777

版权

互联网同时被 3 个专栏收录

945 篇文章 117 订阅

订阅专栏

程序员

881 篇文章 36 订阅

订阅专栏

web安全

209 篇文章 4 订阅

订阅专栏

part1

点击上方蓝字关注我们

1.摘要

本文主要探讨了黑客利用ARP协议进行侦查和实施攻击的原理和攻击手法以及全面的防御策略。文章首先介绍了ARP协议的工作机制，随后详细分析了攻击者如何利用ARP协议的漏洞进行网络探测和中间人攻击。通过具体案例和图示，清晰地展示了攻击的实施过程和潜在影响。

2.ARP攻击原理

地址解析协议（通常称为 ARP）用于以太网上，将 IP 地址分配给全球唯一的 MAC 地址。这样，当一个新系统进入网络时，它的MAC地址就会被分配一个网络上IP地址范围内的IP地址。通过这种方法，网关、路由器和交换机等网络设备知道哪台机器拥有哪个 IP 地址，并可以将其发往该 IP 地址的流量路由到正确的物理机器（MAC 地址）。

如果攻击者了解 ARP，他们就可以利用 ARP 协议来查找网络上的系统，甚至通过中间人攻击来模仿和获取对特定系统流量的访问权限。以下是ARP协议工作原理图:

上图描绘了ARP协议工作原理的两个主要步骤:

(1).ARP请求广播(ARP request is broadcast)

System A 需要找到 IP 地址为 141.23.56.23 的设备的物理地址（MAC 地址）。
System A 向网络中的所有设备广播一个 ARP 请求。
请求内容为：“寻找 IP 地址为 141.23.56.23 的设备的物理地址”。
这个请求被发送到网络中的所有设备，包括 System B 和其他中间设备。

(2).ARP回复单播(ARP reply is unicast)

拥有目标 IP 地址 (141.23.56.23) 的设备 (System B) 识别出这个请求是针对自己的。
System B 回复一个 ARP 应答，包含其物理地址 A4:6E:F4:59:83:AB。
这个回复是单播的，也就是直接发送给请求者 System A，而不是广播给所有设备。

这个过程使得 System A 能够获得 System B 的 MAC 地址，从而在数据链路层进行通信。这是网络通信中非常基础和重要的一个过程，因为在以太网中，虽然 IP 地址用于逻辑寻址，但实际的数据传输还是需要使用物理地址（MAC 地址）。

3.ARP基础命令

arp 命令在 Windows 和 Linux 系统中都有。有了它，就可以发现 arp 表的内容，甚至可以操作该表。

在Windows中,输入:

> arp -a

命令返回结果如下图:

如上所示，Windows操作系统显示arp表的内容。该表包含 IP 地址、物理或 MAC 地址以及类型。

与Windows类似, 在Linux中输入arp -a时, Linux显示arp表, 但不指定是静态还是动态绑定类型,如图:

当使用 -v 选项输入 arp 时，Linux会以更好的格式化信息显示相同的信息，并包含指示使用 IP 地址的类别的标志掩码。如图:

4.Wireshark中的ARP数据包

利用Wireshark打开一个抓包文件或实时抓包,只需在过滤器窗口中输入“arp”一词，就可以在 Wireshark 中查看 arp 数据包，如下所示:

当点击单个数据包时，就可以进一步分析该数据包。展开地址解析协议字段，可以看到发送方和目标 IP 和 MAC 地址, 如图:

5.黑客如何利用ARP进行侦查

由于ARP协议没有身份验证，因此黑客可以轻松地利用这个“功能”来发现网络上的所有系统。当尝试攻击局域网 (LAN) 上的另一个系统时，或者当你已经攻破了网络上的一个普通用户账户，想要转向网络上更有价值的目标（如数据库服务器）时也可能派上用场。

黑客有很多工具可以用来发现网络上的系统。这些工具会发送无故ARP请求（gratuitous ARP request），而系统会回应其IP地址和MAC地址。例如，在Kali系统中，有一个工具叫做netdiscover。

输入:netdiscover -h命令可以查看该工具的所有命令参数, 如图:

从上图中了解到,可以使用 -r 选项来扫描网络上的一系列 IP 地址,命令如下:

netdiscover -r 192.168.100.0/24

以下是命令执行后的结果:

正如上面所看到的，netdiscover 能够枚举网络上的每个系统及其 IP 地址、MAC 地址和网络接口 (NIC) 供应商。

6.ARP漏洞利用

ARP协议还可以被用来实施中间人（Man-in-the-Middle，MiTM）攻击。请记住，IP地址是通过ARP协议分配给物理接口（MAC地址）的。攻击者可以发送无故ARP请求，使得他们的计算机被指定为目标试图访问的特定IP地址的位置，从而将自己置于目标和预期服务器之间。这种技术被称为ARP欺骗（arpspoofing）。通过这种方式，攻击者可以窃听目标的网络流量，甚至篡改这些流量。

原理如下图: