ARP路由欺骗并利用

---

一、什么是ARP

ARP协议概述： ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。 计算机通过ARP协议将IP地址转换成MAC地址。

二、ARP欺骗原理

1.每一个主机都会高速缓存存放最近IP地址到MAC地址之间的映射记录。
2.默认情况下，ARP从缓存中读取IP-MAC条目，缓存中的IP-MAC条目是根据ARP响应包动态变化的。
3.只要网络上有ARP响应包发送到本机，即会更新ARP高速缓存中的IP-MAC条目。
4、攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，完成ARP欺骗。

三、ARP欺骗实现，嗅探利用

使用arpspoof实施中间人攻击

攻击者：kali，靶机windows10
利用kali使windows靶机认kali就是网关。
kali:192.168.1.131,windows10:192.168.1.137
用命令arp -a，查看下windows10的网关ip（默认是动态的）
对靶机进行arp欺骗。
arpspoof -t 192.168.1.137 -r 192.168.1.1
选项：
-t #指定欺骗的主机IP地址
-r #指定路由的IP地址
通过重复发arp报，修改对应的arp缓存，实现arp欺骗。如果攻击者一直发就会导致靶机断网。
开启ip转发：echo 1 > /proc/sys/net/ipv4/ip_forward
此时windows10的网关已经变成了kali了。

中间人攻击还原目标机访问的图片

命令：driftnet -i eth0 ，driftnet -i eth0 -a -d photo_get
-a 后台模式：将捕获的图片保存到目录中（不会显示在屏幕上）
-d directory 指定保存图片的路径

中间人攻击抓取目标机访问的URL地址

urlsnarf：url贪吃蛇。snarf（贪婪的吃）
命令：urlsnarf -i eth0

中间人攻击抓取目标机提交的密码

如果抓取内网需配合Arpspoof工具一起使用。
dsniff：图片嗅探，sniff：闻。
命令：dsniff -i eth0 -m #-i 指定嗅探网口，-m 表示启用自动协议检测
看一下dsniff支持哪些协议：vim /usr/lib/x86_64-linux-gnu/dsniff.services
我的文件路径不在这。
用whereis查询下文件存放路径，如果查询运行文件存放地址就用whichis

在shodan找一个ftp服务器或者一个web界面都行。输入密码之后dsniff会自动分析用户和密码。

中间人攻击抓取目标机提交的HTTP明文密码

Ettercap：刚开始只是作为一个网络嗅探器，但在开发过程中，它获得了越来越多的功能，在中间的攻击人方面，是一个强大而又灵活的工具。它支持很多种协议（即使是加密的），包括网络和主机产品特征分析，还有dns欺骗等等。
这里我们来抓取靶机登录物理机的DVWA并进行登录，获得用户名和密码。
在靶机登录之后我们就能检测到对应的用户名和密码。

四、ARP欺骗的防御方式

1.在数据绑定网关的ip和MAC地址为静态（默认为动态），这样攻击者就无法伪造网关。命令：arp -s 网关ip 网关MAC
2.在网关绑定主机的MAC和ip地址，这样攻击者就无法接收到由网关发给靶机的信息。
3.使用ARP防火墙