遭遇ARP欺骗

遭遇ARP欺骗

故障现象

许多用户反映频繁掉线，局域网与internet链接速度突然变慢甚至断开。重新启动后工作正常，但是工作一段时间以后，故障重现。

初步认为可能是病毒或者木马造成的网络堵塞。

网络环境

单位的网络环境是按照每个楼层划分Vlan，出现故障的Vlan是Vlan7。其他的Vlan内的用户均正常，即出现问题可能是Vlan 7内的用户。

Valn 7网关的IP地址为：192.168.61.202，对应的MAC地址为：00-20-9-c-69-32-3f。

Vlan内的用户使用DHCP的方式获得ＩＰ地址，即动态获取。

故障排除

对出现故障的计算机进行分析：

1.经过检查使用ＤＨＣＰ获取的ＩＰ地址正常，使用ipconfig /release 释放ＩＰ地址以后， 使用ipconfig /renew重新获取IP地址，成功。

2.使用MAC地址解析工具解析ＭＡＣ地址，在命令行模式下输入：

Arp –a

命令行成功执行，如图所示。

3.在没有出现此类故障的计算机上执行Arp –a命令，执行结果如图所示。

经过比较发现，2台计算机解析的网关获取的MAC地址不同。

4.使用局域网查看工具（LanSee）扫描此VLAN下所有用户的IP地址和MAC地址，发现故障机MAC地址为00-01-02-96-A8-24对应的IP是192.168.61.49，用户名为ww，而非正常的网关00-20-9c-69-32-3f。

5.使用ARP将故障机的网关绑定为正常的网关：

arp -s 192.168.61.202 00-20-9c-69-32-3f

6.在故障机上安装“Anti ARP Sniffer”arp检测工具，启用“获取网关MAC地址”和“启用自动防护”功能，可以监测到欺骗源。

一会儿之后，发现有机器正在攻击本台机器，如图所示。

由此可以断定，在Vlan中的ARP欺骗是由MAC地址为00-01-02-96-A8-24的机器发出的。

7.定位到欺骗源以后，找到用户为WW的计算机，拔掉网线，继续监测，“Anti ARP Sniffer”arp检测工具在没有检测到欺骗数据包。

8.将故障机断开网络后，使用防病毒软件对机器进行杀毒，清除木马，完成后接入网络，跟踪监测一段时间之后。在没有发现类似的故障。

欺骗机理

在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。

ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在局域网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，保证通信的顺利进行。

以主机A（192.168.100.1）向主机B（192.168.100.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。

如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问，网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。

ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。

ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在局域网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。

由于 ARP 欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当 ARP 欺骗的木马程序停止运行时，用户会恢复从默认的网关上网，用户重新起动机器就可以回复正常。

MAC地址解析工具——Arp

ARP（地址转换协议）是TCP/IP协议簇中的一个重要协议，通常用来确定对应IP地址的网卡物理地址、查看本地计算机或另一台计算机的ARP高速缓存中的当前内容，以及用来将IP地址和网卡MAC地址进行绑定等。

1. 查看IP-MAC对照表

在系统的ARP高速缓存中，记录了IP与MAC地址的对应数据，如已绑定的IP与MAC地址等，可通过arp -a命令来获得这些信息，如图所示，列出了IP地址与MAC地址的对应信息，其中，“static”表示该数据是静态的，“dynamic”表示为动态数据，动态数据在下次启动时会消失。

按照缺省设置，ARP高速缓存中的项目是动态的，每当发送一个指定地点的数据报且高速缓存中不存在当前项目时，ARP便会自动添加该项目。一旦高速缓存的项目被输入，它们就已经开始走向失效状态。例如，在Windows网络中，如果输入项目后不进一步使用，物理/网络IP地址对就会在2~10分钟内失效。因此，如果ARP高速缓存中项目很少或根本没有时，并不一定是网络故障导致的，通过另一台计算机或路由器的ping命令即可添加。所以，需要通过arp命令查看高速缓存中的内容时，可先试用ping命令测试到该计算机的连通性。

2. 绑定IP与MAC地址

在管理网络时，管理员经常会遇到IP地址冲突的问题。这是因为有些用户乱设IP地址，造成冲突，如果与服务器的IP地址相冲突，还会造成网络故障，其他用户将不能与服务器正确连接等。有些用户为了上网，还会盗用IP地址。为防止IP地址冲突以及IP地址盗用，可以使用ARP命令将IP与MAC地址一一对应起来，这样，只有网卡设置了被绑定的IP地址才可正常使用，从而有效地避免网络故障。

例如，我们要将IP地址192.168.76.1与MAC地址为00-50-56-c0-00-08的网卡进行绑定，可在命令提示符中运行如下命令：

Arp -s 192.168.761  00-50-56-c0-00-08

回车，即可将该IP地址与网卡绑定。然后，运行arp -a命令，即可看到所绑定的IP地址与网卡物理地址信息。

如果想取消IP与MAC地址的绑定，可使用“arp -d IP地址”命令来实现，该命令就是用来删除一个静态项目。例如，要取消192.168.76.1的绑定，可在命令提示符下运行命令：arp -d 192.168.76.1。

 

本文转自wangshujiang51CTO博客，原文链接： http://blog.51cto.com/wangshujiang/42412  ，如需转载请自行联系原作者