针对设备转发表的攻击

 

为了合理有限的转发数据，网络设备上一般都建立一些寄存器表项，比如MAC地址表，ARP表，路由
表，快速转发表，以及一些基于更多报文头字段的表格，比如多层交换表，流项目表等。这些表结构都存
储在设备本地的内存中，或者芯片的片上内存中，数量有限。如果一个攻击者通过发送合适的数据报，促
使设备建立大量的此类表格，就会使设备的存储结构消耗尽，从而不能正常的转发数据或崩溃。
　　下面针对几种常见的表项，介绍其攻击原理：

 

• 针对mac地址表的攻击

MAC地址表一般存在于以太网交换机上，以太网通过分析接收到的数据幀的目的MAC地址，来查本地
的MAC地址表，然后作出合适的转发决定。
　　这些MAC地址表一般是通过学习获取的，交换机在接收到一个数据幀后，有一个学习的过程，该过程
是这样的：
a) 提取数据幀的源MAC地址和接收到该数据幀的端口号；
b) 查MAC地址表，看该MAC地址是否存在，以及对应的端口是否符合；
c) 如果该MAC地址在本地MAC地址表中不存在，则创建一个MAC地址表项；
d) 如果存在，但对应的出端口跟接收到该数据幀的端口不符，则更新该表；
e) 如果存在，且端口符合，则进行下一步处理。
　　分析这个过程可以看出，如果一个攻击者向一台交换机发送大量源MAC地址不同的数据幀，则该交换
机就可能把自己本地的MAC地址表学满。一旦MAC地址表溢出，则交换机就不能继续学习正确的MAC表
项，结果是可能产生大量的网络冗余数据，甚至可能使交换机崩溃。而构造一些源MAC地址不同的数据
幀，是非常容易的事情。

 

• 针对ARP表的攻击

ARP表是IP地址和MAC地址的映射关系表，任何实现了IP协议栈的设备，一般情况下都通过该表维护
IP地址和MAC地址的对应关系，这是为了避免ARP解析而造成的广播数据报文对网络造成冲击。ARP表的
建立一般情况下是通过二个途径：
　　1、 主动解析，如果一台计算机想与另外一台不知道MAC地址的计算机通信，则该计算机主动发ARP
请求，通过ARP协议建立（前提是这两台计算机位于同一个IP子网上）；
　　2、 被动请求，如果一台计算机接收到了一台计算机的ARP请求，则首先在本地建立请求计算机的IP地
址和MAC地址的对应表。
　　因此，如果一个攻击者通过变换不同的IP地址和MAC地址，向同一台设备，比如三层交换机发送大量
的ARP请求，则被攻击设备可能会因为ARP缓存溢出而崩溃。
　　针对ARP表项，还有一个可能的攻击就是误导计算机建立正确的ARP表。根据ARP协议，如果一台计
算机接收到了一个ARP请求报文，在满足下列两个条件的情况下，该计算机会用ARP请求报文中的源IP地址
和源MAC地址更新自己的ARP缓存：
　　1、 如果发起该ARP请求的IP地址在自己本地的ARP缓存中；
　　2、 请求的目标IP地址不是自己的。
　　可以举一个例子说明这个过程，假设有三台计算机A，B，C，其中B已经正确建立了A和C计算机的
ARP表项。假设A是攻击者，此时，A发出一个ARP请求报文，该请求报文这样构造：
　　1、 源IP地址是C的IP地址，源MAC地址是A的MAC地址；
　　2、 请求的目标IP地址是A的IP地址。
　　这样计算机B在收到这个ARP请求报文后（ARP请求是广播报文，网络上所有设备都能收到），发现B
的ARP表项已经在自己的缓存中，但MAC地址与收到的请求的源MAC地址不符，于是根据ARP协议，使用
ARP请求的源MAC地址（即A的MAC地址）更新自己的ARP表。
　　这样B的ARP混存中就存在这样的错误ARP表项：C的IP地址跟A的MAC地址对应。这样的结果是，B发
给C的数据都被计算机A接收到。

 

最后欢迎大家访问我的个人网站：1024s

​​​​​​​