Arp欺骗断网/获取流量演练

前言

ARP协议

        在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。MAC地址就是ARP协议获得的。其实就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。所以说从某种意义上讲ARP协议是工作在更低于IP协议的协议层。这也是为什么ARP欺骗更能够让人在神不知鬼不觉的情况下出现网络故障，危害会很隐蔽。

ARP欺骗原理

        ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。

当局域网中一台机器，反复向其他机器，特别是向网关，发送这样无效假冒的ARP应答信息包时，严重的网络堵塞就会开始。由于网关MAC地址错误，所以从网络中计算机发来的数据无法正常发到网关，自然无法正常上网。这就造成了无法访问外网的问题，由于很多时候网关还控制着我们的局域网LAN上网，所以这时我们的LAN访问也就出现问题了。

复现过程

攻击机：172.16.20.78

目标机：172.16.20.105

一、断网攻击

1、可以使用nmap命令寻找存活主机，且查看**.105是可以正常上网的；

2、开始断网攻击；

arpspoof -i 网卡 -t 目标IP 网关

若kali中找不到arpspoof，则需要下载；

apt-get install dsniff ssldump

3、输入命令使主机**.105断网

arpspoof -i eth0 -t 172.16.20.105 172.16.20.1

4、停止使用工具后，目标主机恢复网络

二、利用arpspoof工具和driftnet工具进行ARP欺骗（截获图片）

1、在进行ARP欺骗前，得先打开攻击主机的IP转发功能，linux因为系统安全考虑，是不支持IP转发的，其配置文件写在/proc/sys/net/ipv4的ip_forward中。默认为0，接下来修改为1。

echo 1 > /proc/sys/net/ipv4/ip_forward

2、相同的方法对目标主机**.105发起Arp欺骗；用目标机ping百度依旧可以ping通；

arpspoof -i eth0 -t 172.16.20.105 172.16.20.1

3、此时，物理机和网关通信的数据包都会流经虚拟机，那么可以在虚拟机中利用driftnet工具，可以捕获物理机正在浏览的图片。在虚拟机中打开driftnet。

若没有driftnet就下载

apt-get install driftnet

因为我的目标及是centos没法浏览图片，但是原理是一样的

更多安全分享，请关注【安全info】微信公众号！