ARP攻击与欺骗

前言

网络管理员在网络维护阶段需要处理各种各样的故障，出现最多的就是网络通信问题。除物理原因外，这种现象一般是ARP攻击或ARP欺骗导致的。

无论是ARP攻击还是ARP欺骗，它们都是通过伪造ARP应答来实现的

1.1 ARP攻击和ARP欺骗的原理

1.1.1 ARP攻击的原理

一般情况下，ARP攻击的主要目的是使网络无法正常通讯，它主要包括以下两种行为。

1. 攻击主机制造假的ARP应答，并发送给局域网中除被攻击主机之外的所有主机。ARP应答中包含被攻击主机的IP地址和虚假的mac地址。
2. 攻击主机制造假的ARP应答，并发给被攻击主机。ARP应答中包含除被攻击 主机外的所有主机的IP地址和虚假的MAC地址。
3. 只要执行上述ARP攻击中的任意一种，就可以使被攻击主机和其他主机无法通讯。如果希望被攻击主机无法访问互联网，就需要向网关发送或被攻击主机发送虚假的ARP应答。当网关接收到虚假的ARP应答更新ARP条目后，如果网关再发送数据给PC1时，从而导致通讯故障。
4. 某些ARP病毒会向局域网中所有主机发送ARP应答，其中包含网关的IP地址和虚假的MAC地址。局域网中的主机收到ARP应答更新APP表后，就无法和网关正常通讯，从而导致无法访问互联网

1.1.2 ARP欺骗的原理

1. 一般情况下，ARP欺骗并不会使网络无法正常通讯，而是通过冒充网关或其他主机使到达网关的主机流量通过攻击主机进行转发。攻击主机通过转发流量可以对流量进行控制和查看，从而控制流量或得到机密信息。
   2.ARP欺骗发送ARP应答给局域网中其他主机，其中包含网关的IP地址和进行ARP欺骗的主机MAC地址:并且也发送ARP应答给网关，其中包含局域网中所有主机的IP地址和进行ARP欺骗的主机MAC地址(有的软件只发送ARP应答给局域网中的其他主机，并不发送ARP应答欺骗网关)。当局域网中主机和网关收到ARP应答更新ARP表后，主机和网关之间的流量就需要通过攻击主机进行转发。

1.2 ARP攻击应用案例

利用ARP欺骗管理网络（此实验利用长角牛监控机软件）
1.设置监控范围

2.选择监控的IP地址段

3.进行网络管理

4.右键需要攻击的主机，选择手动管理

5.选择IP冲突，禁止与关键主机进行tcp/ip连接并设置关键主机组

6.添加一个IP（可以是主机网关），点击开始即可

7.验证时只需ping主机网关，ping不同及被攻击了

1.3 处理ARP故障

方法一，在客户机上和网关路由器上双向绑定IP-MAC来避免ARP欺骗导致无法上网的问题
方法二，使用ARP防火墙，自动抵御ARP欺骗和ARP攻击

1.4 防御ARP攻击和ARP欺骗并查找攻击主机

1.防御ARP攻击和ARP欺骗
防御ARP攻击和ARP欺骗的最有效方法是进行ARP绑定，即分别在主机和网关进行ARP绑定这样ARP表将不会受到虚假的ARP应答信息的影响而出现网络故障。如果网络中的主机较多进行ARP绑定的工作量十分大，并且主机ARP绑定后重启系统就需要重新绑定，所以，可以使用ARP防火墙自动抵御。

2. 查找进行ARP攻击或ARP欺骗的主机
   当网络出现故障时，可通过ARP协议查到有问题主机的MAC地址，但是如果MAC地址没有记录或攻击者使用的是虚假的MAC地址，那么应该如何找到问题主机呢?
   在网络出现ARP病毒时，可以知道中病毒主机的MAC地址(MAC 地址可能是虚假的)。经查表没有发现对应的主机，这说明ARP病毒可能伪造了-个虚假的MAC地址。这时要查找出问题主机，就要查看交换机的MAC地址表。
   由于交换机学习数据帧中的源MAC地址，因此使用show mac address- -table 命令可查看端口学习到的MAC地址。从MAC地址表中找到问题的MAC地址，从而判断发出此MAC地址数据帧的主机下挂在此端口;再查看下挂交换机的MAC地址表，最终确定-一个端口下所有问题的主机。

总结

如果ARP攻击为单向攻击网关或主机时，这是我们就可以单向绑定ARP，但ARP攻击为双向断开时，就必须要进行双向绑定ARP，即主机和网关做双向捆绑。