乖乖小网安-网络安全之ARP初探

大学方向有很多不确定，朝着兴趣方面硬干…

---

实验环境：
主机：mac OS
虚拟机软件：VMware Fusion 12.1.2 (17964953)
安装系统：win server 2003、win xp
网卡模式：NET模式
上网环境：内网互相能ping通外网可以上网

一、网络安全实验室拓扑搭建

#arp -a,查询系统中缓存的ARP表。ARP表用来维护IP地址与MAC地址的一一对应。
arp -a 

二、ARP欺骗攻击原理与实战

---

基于TCP/IP协议栈实现通信

1960年代美国国防部组建了军事网-阿帕网（APRANET ），TCP/IP协议栈则是运 行在阿帕网上的协议栈；
• 接入阿帕网的设备，都需要安装TCP/IP协议栈才能实现联网；
• 以美国军方为代表的TCP/IP，最终凭借前期优势在市场上战胜其他标准；
• 我们现在的电脑和手机等，默认都安装了TCP/IP协议栈，以此实现上网通信。
• IP和MAC地址都用于唯一标识通信设备，IP地址在网络层IP协议中定义，是逻辑 地址可修改；MAC地址在链路层Ethernet协议中定义，是物理地址不可修改；
• IP地址占32bit，采用十进制记录，例如192.168.1.1；MAC地址占48bit，采用冒 号分十六进制，例如 a8:c1:63:c7:e4:14；
• 电脑之间在进行数据通信时，数据包需同时携带IP和MAC地址，好比我们在寄 快递时，快递单需同时填写电话号码和收件地址。

ARP协议用于实现IP和MAC地址的映射绑定
• ARP（Address Resolution Protocol）即地址解析协议，用于实现从 IP 地址到 MAC 地址的映射，即询问目标IP对应的MAC地址。

• 我们看到PC1和PC2进行了一次ARP请求和回复过程，通过这个一问一答，PC1 具备了PC2的MAC地址信息。
• 在真正进行通信之前，PC1会将PC2的MAC放入本地的【ARP缓存表】，表里面 放置了IP和MAC地址的映射信息，例如 IP2<->MAC2，好比通讯录。

• 后续PC1与PC2进行通信时，就会先查找本地的这个【ARP缓存表】，电脑上可以 通过命令 [arp -a] 来查看；
• 既然是缓存表，所以这个表有时效性，可被刷新更新，重启电脑需要重建。

ARP欺骗攻击

• ARP请求采用广播方式，局域网中所有主机都“知晓”这个信息，即一对多；ARP 回复采用单播方式，即一对一方式；
• 无论是ARP请求包，还是ARP回复包，都可以通过软件和工具进行伪造。
ARP欺骗攻击
• 电脑通信需要查找ARP表（ip-mac)，而交换机通信需要查找CAM表(mac-port）；
• 同一局域网内，攻击者可以根据主机的ARP广播请求监听其IP和MAC信息。
ARP欺骗攻击
• PC3（Hacker）在监听之后，发起了ARP回复包：我就是PC2（IP2-MAC3）；
• 这个ARP回复包就是典型的ARP欺骗包， PC3明明是IP3对应MAC3。
ARP欺骗攻击
• PC1收到两个ARP回应包，内容分别如下：
• ③我是PC2，我的IP地址是IP2，我的MAC地址是MAC2；
• ③我是PC2，我的IP地址是IP2，我的MAC地址是MAC3；
• ARP缓存表采用「后到优先」原则，新的回复会覆盖旧的回复，类似通讯录。

ARP欺骗攻击实战
win server 2003 作为攻击者安装arp欺骗工具
win xp 作为被攻击者

扫描目标机

添加目标主机和网关

获取win xp网站登陆密码

知乎杰哥