工作原理
举例:现在有两台处于同一局域网的主机A、B。
现在主机A要和主机B通信,那么根据上面的介绍可以知道,主机A仅有主机B的IP地址是不可以通信的,还要知道主机B的MAC地址,下面介绍主机A是如何通过ARP协议获取主机B的MAC地址的:
- 第1步:根据主机A上的路由表内容,IP确定用于访问主机B的转发IP地址是192.168.1.2。然后A主机在自己的本地ARP缓存中检查主机B的匹配MAC地址。
- 第2步:如果主机A在ARP缓存中没有找到映射,它将询问192.168.1.2的硬件地址,从而将ARP请求帧广播到本地网络上的所有主机。源主机A的IP地址和MAC地址都包括在ARP请求中。本地网络上的每台主机都接收到ARP请求并且检查是否与自己的IP地址匹配。如果主机发现请求的IP地址与自己的IP地址不匹配,它将丢弃ARP请求
- 第3步:主机B确定ARP请求中的IP地址与自己的IP地址匹配,则将主机A的IP地址和MAC地址映射添加到本地ARP缓存中。
- 第4步:主机B将包含其MAC地址的ARP回复消息直接发送回主机A。
- 第5步:当主机A收到从主机B发来的ARP回复消息时,会用主机B的IP和MAC地址映射更新ARP缓存。本机缓存是有生存期的,生存期结束后,将再次重复上面的过程。主机B的MAC地址一旦确定,主机A就能向主机B发送IP通信了。
了解ARP协议的工作原理后可以分析出其存在一个严重的安全问题:
在ARP回复时,发送请求包的主机A并不会验证ARP回复包的真实性,也就是不能判断回复主机A的是不是主机B。由此引出一个局域网攻击方式ARP欺骗。
ARP欺骗
举例:
- 1.主机A要和主机C通信,主机A发出ARP包询问谁是192.168.1.3?请回复192.168.1.1。
- 2.这时主机B在疯狂的向主机A回复,我是192.168.1.3,我的地址是0A-11-22-33-44-02。
- 3.由于ARP协议不会验证回复者的身份,造成主机A错误的将192.168.1.3的MAC映射为0A-11-22-33-44-02。
ARP欺骗验证
实验环境:Windows 10:192.168.42.130
kali:192.168.42.129
目标机IP地址及网关
kali的网卡及IP地址,确保两个主机再同一个网段下
欺骗目标主机,让其认为kali就是网关,目标主机IP在前,网关IP地址在后,不停得告诉目标主机我是网关我是网关
arpspoof -t 192.168.42.130 -i eth0 192.168.42.2
欺骗网关,让网关认为kali是目标主机
arpspoof -t 192.168.42.2 -i eth0 192.168.42.130
ARP缓存表中kali的MAC地址
欺骗前
欺骗后
此时目标断网
然后开启kali中间人转发功能
echo 1 > /proc/sys/net/ipv4/ip_forward
再使用driftnet,可以抓取目标主机访问的图片
攻击成功
关闭中间人转发功能
echo 0 > /proc/sys/net/ipv4/ip_forward