ARP攻击记录

前言：计算机网络实验arp分析，突然就对它的可靠性产生了一丢丢怀疑，局域网下broadcast广播，中间人攻击是很容易理解的。

一、理论知识

1. Address Resolution Protocol

地址解析协议，即ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。

2. arp请求步骤：

• 主机发送信息，将包含目标IP地址的ARP请求广播到局域网络上的所有主机，并接收返回消息，以此确定目标的mac地址；
• 收到返回消息后将该IP地址和mac地址存入本机ARP缓存中。
• 在局域网的任意一台主机中，都有一个ARP缓存表，里面保存本机已知的此局域网中各主机和路由器的IP地址和MAC地址的对照关系。不需要下次继续请求，ARP缓存表的生命周期是有期限的。

3. arp攻击原理：

• 地址解析协议是建立在网络中各个主机互信的基础上的：

• 局域网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存；

• 攻击者就可以向某一主机发送伪ARP应答报文，使其发送的信息无法到达预期的主机或到达错误的主机，这就构成了一个ARP欺骗。

备注：ARP在IPv4中网络层是必不可少的协议，但是，在IPv6协议中已经不再使用，已经被NDP替代。

刚入手很难找到一个互信的局域网，而且这种攻击不能随便对别人发起，emm，最合适的方法就是瞄准爸妈居家办公的电脑，悄咪咪尝试攻击！（太孝了）
哈哈哈，还是用虚拟机里的kali和Ubuntu吧，记得保存一下快照防止改崩了！！！

二、ARP的用法

ARP就是一个地址解析协议，通过已知设备的IP地址，来查询目标设备的MAC地址。

ARP的用法，常用的是查询显示、添加记录、删除记录这三个功能。

ARP -s inet_addr eth_addr [if_addr]
ARP -d inet_addr [if_addr]
ARP -a [inet_addr] [-N if_addr] [-v]

1. ARP -a查看自己的arp缓存表

物理地址就是MAC地址，数据链路层使用。

类型是目标设备选择的连接方式，可以在手机连接WiFi时很简单的选择，静态mac地址和动态mac地址。
静态是手机出厂时分配的，动态时每次随机的——也许是为了防止蹭网被拉入黑名单？（bushi）

2. arp-d 清空

直接输入arp -d, 现在的就清空了。
但是你会发现，清完以后，再查看，还有。
其实是因为这个过程中，网络连接还是在交互mac的，可以断开网络连接试试。

3. arp-s 插入

ARP -s IP地址 MAC地址
arp -s 192.128.1.10 aa-aa-aa-aa-aa-00

物理机上失败了，是权限的问题吗？去虚拟机root试试。

kali给我说，这个物理地址是无效的，太不给面子了，我用的是它的示例好吧。

三、 arp攻击

ARP攻击狭义上指的就是断网，使网络无法正常通信。
攻击主机制造假的arp回复,并发送给被攻击的主机,使其无法获得上正确的mac地址。

1. 准备好肉机
   Ubuntu ifconfig查看网络ip地址。
   
2. 打开kali的ettercap
   
3. 扫描完成后点击host list
   
4. 发现了相同的IP地址，顺便获得了mac地址。
5. IP v4，ARP攻击，选择第一个。
   第二个NDP是IP v6的地址解析。
   
6. MITM Attack复选框
   

ARP欺骗前，在MITM Attack–“Arp Poisoning"弹出的复选框中勾选了"Sniff remote connections”。
同时，复选框中还有另一个选项：“Only poison one-way”。
这两者是单向欺骗和双向欺骗的区别。

假设局域网中有AB两台机器，A是路由器，B是局域网主机。B发送请求经过A，到达互联网上某台服务器；服务器处理请求后，发出的响应通过A返回到B。现在局域网中出现了中间人C。

单向欺骗的情景：中间人C选择了ettercap中MITM菜单下的"Only poison one-way"选项，所有从主机B发出的请求都会先由C转发，经过A到达互联网上的服务器；但是，服务器发回的响应还是正常的通过A发回给B，并不会被C截获。

双向欺骗的情景：中间人C选择了"Sniff remote connections."那么，B发出的请求会经由C转发到服务器；而服务器发出的响应，会先到达C，然后到达B。

这里我们选择双向欺骗。

7. 选择ok，已经攻击成功了。去Ubuntu查看，无法上网，arp -a 查看arp缓存表
   
   和kali的mac地址一样了。
   

四、 arp欺骗

ARP欺骗区别于断网攻击，不是使网络无法正常通信；
而是通过冒充网关或其他主机使得到达网关或主机的流量通过攻击进行转发。
可以达到被动攻击的窃密……

五、下一步

用arpspoof来进行对目标机的断网攻击

用driftnet 获取目标机的浏览图片
用bettercap获取登陆页面的账号密码