03 攻防实验三：ARP断网攻击

影响范围

同一局域网下所有终端设备

实验目的

了解 ARP 断网攻击的危害

实验环境

两台虚拟机即可，一台作为攻击，一台作为靶机。这里我使用的是 ENSP，方便对数据包进行分析

网络拓扑

这里搭建了一个简单的网络，最上方为网关路由器，中间部分为交换机，左侧为Kali主机，右边为靶机，在这里我将 IP 地址及 MAC 地址全部显示到屏幕上，方便后续查看

实验步骤

1. 切换管理员账户

sudo su

2. 扫描网段 IP 使用情况

fping -g 192.168.10.0/24

方式一：全部扫描

alive 为该网段现在使用的 IP 地址，剩余部分为未使用地址

方式二：快速扫描

该网段现在使用的 IP 地址

nmap -v -n -sp 192.168.10.0/24

3. 检查 dsniff 工具是否安装

arpspoof 是一款进行arp欺骗的工具，攻击者通过毒化受害者arp缓存，将网关mac替换为攻击者mac，然后攻击者可截获受害者发送和收到的数据包，可获取受害者账户、密码等相关敏感信息

arpspoof 是 ARP 欺骗工具，可以污染用户终端的 ARP 缓存表，截取终端设备的信息，同时它存在于 dsniff 工具库下

apt-get install dsniff

4. 攻击格式及结果

arpspoof  -i   网卡名称  -t 目标ip   网关

 网卡名称可以通过 ifconfig 插看，我这里是 eth0 

 靶机 ARP 缓存表

攻击后的 ARP 缓存表

 7. 数据抓包

为更加深入了解数据包发生了什么，我们可以抓包来看看发生了什么

 靶机 ARP 缓存表

这里主要看黄色报文，而图片中的为 ARP 响应报文，箭头所指上边两行为源 MAC 地址、源 IP 地址，下边两行为目标 MAC 和目标 IP 地址

 

 攻击后的靶机 ARP 缓存表

我们看这个缓存包，这个包是目标靶机实际收到的 ARP 响应包，我们发现，源 IP没有发生改变，但是源 MAC 地址发生了改变，然后我们就发现无法上网，提示网络超时，这就是所谓的 ARP 断网攻击。

 这种情况下，靶机用户只会觉得是网络出现故障，可能会插拔网线。但实际上网络根本没有出现故障，而是因为用户终端设备 ARP 缓存表出现污染，导致本该发向网关路由器的数据包转发到了攻击者的电脑上，而终端设备一般不会自动转发数据包，所以会出现网络中断。

总结

这个网络是主要是为了更方便分析数据包的变化，如果想要实现该实验，可以直接使用两台虚拟机进行操作，无需使用 ENSP，如果想使用 ENSP 来完成操作的，建议私聊。

最后，这个实验具有一定的危害性，请谨慎操作，避免造成不必要的损失