简单的ARP欺骗

简单的ARP欺骗

    

在计算机安全的课程中，攻击是另许多人感兴趣的话题，然而事物的两面性希望大家认真对待，知黑防黑，用来自我防卫。

  我的接触课是在郭振华的网络基础上，他只是介绍了有这样的一种技术，但是却没有细讲，然而却大大的使我产生兴趣。

   郭老师提到了三种方法：1，死亡之拼。2，ARP 欺骗。3，洪水攻击等。

   死亡之拼已经太过时了，系统的权限已经限制了这种方法是成功不了的。下面就从ARP攻击跟大家浅谈一二，水平不高，还望读者多提宝贵意见。

   ARP欺骗的原理简单说就是伪装对方的MAC地址。不过这样太笼统了，今天必须细解一下，其目的是让自己有一个更深的认识，集思广益嘛！

ARP攻击可以在局域网内发挥出巨大的破坏力，可以使欺骗网络内的电脑瞬间掉线或大面积断网，禁止与其他电脑的通讯，监听与网关和其他机器的通讯数据等。攻击者还能利用ARP 欺骗进行批量的挂妈，在局域网中传播大量的木马，另外还可以利用ARP攻击监听局域网内其他电脑的数据，包括coookie等信息，双击连接就可以使用相应的身份进入被攻击者的访问界面，以达到窃取用户机密的目的。

ARP欺骗可以分为两种：一种是对路由器的路由表欺骗，一种是对内网网关的欺骗。第一种欺骗的原理是截获网关数据，它通知一系列错误的内网MAC地址，并按照一定的频率不断出现，使真实的地址信息无法通过更新保存到路由器中，最后路由器的所有数据只能发送给错误的MAC地址，造成正常电脑无法正常工作。

第二种欺骗的原理是伪造网关，就是建立一个假的网关，让被它欺骗的电脑向假的网关发送数据，以达到使真的网关收不到数据，也就是说数据包的传输不是通过真正的路由器途径，所以会造成大面积电脑掉线的现象。

解决的办法是：如果是第一种欺骗的话，只要重新启动路由器即可，网络就能全面恢复。如果是第二种欺骗的话，只能借助于抓包器了，分析真正的MAC地址，或者采用ARP的静态绑定。

绑定ARP的命令是：ARP –S +IP +真实的MAC地址。

还可以单向绑定，方法如下：

将客户机IP，MAC做成批处理文件(*.txt)放在启动中，开始---程序---启动----右点打开----粘贴批处理文件。

典型的采用ARP欺骗的软件有P2P，网络执法官等。首先我们来看使用网络执法官对其内网用户进行ARP 攻击，使被攻击的主机掉线，不能正常上网。

打开网络执法官，选择要攻击的哪个IP地址，在IP上点右键，选择手工管理，然后再选择IP攻击-----》添加关键主机，关键主机就是去要攻击的指定的IP电脑，使用它和指定的IP发生冲突，致使其掉线。注意关键主机IP是网络执法官中提供的IP。填写好攻击频率，想效果明显的话就把频率设置的高点，默认为每秒一次，这样攻击之后，在被攻击的桌面右下角就会出现一个黄色的小三角，提示IP冲突，对方的网络就会断开了，也就达到了攻击的目的。

这就是比较简单的利用工具进行ARP欺骗的攻击方法。

大家不能随便出手，因为许多网管高手很容易就能查出攻击的源头，那样你就吃不了兜着走了。

下面我在这里提供几种找攻击源头的方法：

1，                          能够记得起服务器的IP/MAC地址，查看IP/MAC与原理是否一致。

2，                          利用抓包工具软件查看现有的MAC地址，使用命令：net session /del 断开与自己连接的客户。

我们再来学习一款软件WINARP ATTACKER 进行ARP   强制下线的手段，这就是传说中的洪水攻击（FLOOD）。

   打开洪水攻击软件，点击上方的“SCAN 搜索按扭，然后随便勾选一个IP地址，选择ATTACK  菜单中的第一个 FLOOD洪水攻击，就可以进行洪水攻击了，此时ATTACK按扭会变为灰色不可点状态，点击STOP 按扭则停止攻击，我们还可以查看攻击事件报告。遭到这种攻击后同样会使被攻击者的桌面右下角出现黄色小三角，提示IP冲突，然后对方的网络就断了，这种软件被ARP防火墙拦截的几率较低。

  简单介绍到这，以后有了新的体会再作补充，请大家多多指正。

本文原创地址：shenleigang.blog.51cto.com

     本文转自shenleigang 51CTO博客，原文链接： http://blog.51cto.com/shenleigang/133066 ，如需转载请自行联系原作者