Linux之脚本应用实战:利用静态绑定方法防范ARP攻击
ARP攻击原理
- 背景:我们知道在Windows系统下的防火墙,可以抵御外部攻击,其中就包括了ARP攻击;同样的,我们要了解在Linux系统下如何防范ARP攻击,我们就必须了解清楚ARP攻击的原理及其种类,才能有的放矢,做好防范工作。
- ARP工作原理:ARP,即地址解析协议,实现通过IP地址得知其物理地址。以太网 环境为例,为了正确地向目的主机传送报文,必须把目的主机的32位IP地址转换成为48位以太网的地址。这就需要在互连层有一组服务将IP地址转换为相应 物理地址,这组协议就是ARP协议。
- 什么是arp攻击?通过伪造IP地址和MAC地址实现ARP欺骗,能够在网络中产生大量的ARP通信量使网络阻塞,攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目,造成网络中断或中间人攻击。
- 如何判断arp攻击?有机器伪装成了网关的mac,所以浏览受害机器的arp缓存肯定可以发现一台或者多台机器与网关有相同的mac地址。arping ip 查看你网关真实mac地址(结果里面也有部分以假乱真,但我们前提知道哪部分是假的)
Linux系统性通过arposion模拟发起ARP攻击
Linux命令防范ARP攻击
#进攻者发起攻击前,先通过ping命令间接获取IP地址
[root@ ~/test 10:05:04]#ping 192.168.6.146
#经过几秒之后中断ping命令,通过下面命令查看ARP缓存
[root@ ~/test 10:05:29]#arp -a
gateway (192.168.6.2) at 00:50:56:fb:ea:34 [ether] on ens33 #网关真实MAC地址
? (192.168.6.1) at 00:50:56:c0:00:08 [ether] on ens33
? (192.168.6.146) at 00:0c:29:dd:00:64 [ether] on ens33 #目的ip对应真实MAC地址
#在被攻击者主机执行arp -n命令查看ARP缓存信息
#(因为攻击者ping了我们,所以我们可读到对方的ip和mac地址)
[root@lin ~]# arp -a
? (192.168.6.1) at 00:50:56:c0:00:08 [ether] on eth0
? (192.168.6.128) at 00:0c:29:52:a9:d1 [ether] on eth0 #喏,这就是潜在的凶手
? (192.168.6.2) at 00:50:56:fb:ea:34 [ether] on eth0
#攻击者开始发起攻击 (回车后持续发送,ctrl+c终止)
#-i 后接攻击者的网络设备号 若是无线网络 可能是wlan0
#-d 接目标ip地址
#-s 接网关ip
#-t 接目标MAC
#-r 接伪造MAC地址
#-n 接指定发送多少个数据包
arpoison -i ens33 -d 192.168.6.146 -s 192.168.6.2 -t 00:0c:29:dd:00:64 -r 44:44:44:44:44:44
#注意:arpoison需要手动去安装
静态绑定ARP脚本内容
-
被攻击者:需要知道网关正确MAC地址,可以在正常运行情况下通过Ping网关ip得到正确MAC地址。再进行相关绑定
-
命令方式:
# arp -s 后面跟网关IP地址以及真实MAC地址
arp -s 192.168.6.2 00:50:56:fb:ea:34
# arp -a 查看arp缓存出现PERM字段的条目: 说明此条目为静态arp条目
arp -a
#删除静态绑定的方式(一般也要先清空arp缓存再进行绑定)
arp -d 192.168.6.2 00:50:56:fb:ea:34
#觉得手动绑定麻烦,可以有如下两种方式
#其一:启动系统时候自动绑定网关MAC
vi /etc/ethers
输入 :192.168.6.2 00:50:56:fb:ea:34
#保存以后,在/etc/rc.local中增加 arp -f 命令
#也可以用:scan_ip_man.sh ens33 > /etc/ether
#扫描局域网内所有主机的mac地址,保存至这个文件,载运行arp -f绑定所有的ip MAC条目。
#其二:不想系统启动自动配置,但图个方便,使用如下脚本
- 脚本
#!/bin/bash
declare gw=`route -n | grep -e '^0.0.0.0'`
declare gwname=`echo $gw | grep -oe '\w*$'` #网卡名
declare gwip=`echo $gw | grep -oe '[0-9]\{2,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}'` #网卡ip
declare gwmac=`arp -n | grep -e $gwip | grep -oe '[0-9A-F]\{2\}:[0-9A-F]\{2\}:[0-9A-F]\{2\}:[0-9A-
F]\{2\}:[0-9A-F]\{2\}:[0-9A-F]\{2\}'` #网卡MAC地址
echo "switch $gwname arp: $gwip - $gwmac to static"
arp -s $gwip $gwmac #绑定
echo "done, off arp reuqest .."
ifconfig $gwname -arp
echo "all done."