ARP欺骗攻击（1）

1.1ARP协议简介
ARP是地址解析协议的缩写，地址解析协议的基本功能就是在主机发送数据之前将目标IP转换成MAC地址，完成网络地址到物理地址的映射，以保证两台主机能够正常通信。

ARP欺骗原理
ARP协议最初设计的目的是为了方便传输数据，设计该协议的前提实在网络绝对安全的情况下，但ARP也存在缺陷，ARP协议的主要缺陷如下：

1. 由于主机不知道通信对方的MAC地址，所以才需要ARP广播请求获取。当在广播请求时，攻击者就可以伪装ARP应答，冒充真正要通信的主机，以假乱真。
2. ARP是无状态的，这就表示主机可以自由的发送ARP应答包，即使主机未收到查询，并且任何ARP响应都是合法的，许多主机会收到为请求的ARP应答包。
3. 一台主机的IP被缓存在另一台主机中，他就会被当做一台可信任的主机。而计算机没有提供检验IP到MAC地址是否正确的机制。当主机接收到一个ARP应答后，主机不在考虑IP到MAC地址的真实性和有效性，而是直接将应答包中的MAC地址与对应的IP地址替换掉原有的ARP缓存表的相关信息。

ARP缓存表
任何一台主机安装了TCP/IP协议都会有ARP缓存表，该表保存了这个网络（局域网）中各主机的IP对应的MAC地址，ARP缓存表能够有效地保证数据传输的一对一特性。在Windows中可以使用arp-a命令来查看缓存表，静态类型的ARP缓存表可以使用arp-s命令，清空ARP缓存表可以使用arp-d命令，删除单个条目使用arp-dip。
1.2ARP攻击
ARP攻击并不少见，而且威力巨大。有时候攻击者在入侵目标站点时，由于安全措施很到位，并不能获取权限，恰好服务器只放了一个网站，无法旁注，这时攻击者可能就通过C段ARP嗅探攻击，继续入侵指定的目标网站，C段攻击也可以看作是另类的“旁注”。

所谓C段注入，就是指同一网关下的主机ARP嗅探，在嗅探出敏感数据后，继续实施对目标网站的渗透。比如，攻击者的目标网站为“www.secbug.org”，服务器地址为：192.168.1.8，在无法直接渗透目标服务器时，攻击者就可能去入侵与192.168.1.8在同一网关下的服务器，一般是192.168.1.xxx，也就是C段IP，在得到服务器权限后，对目标主机实施ARP嗅探攻击（一般嗅探敏感数据为FTP密码、Admin Pass等）。

Cain & Abel是由Oxidit开发的一个针对Microsoft操作系统的口令恢复工具，其功能十分强大，可以进行网络嗅探、网络欺骗、破解加密口令、显示缓存口令和分析路由协议等，Cain可谓是内网渗透的一把利器。
接下来，我们以192.168. 195.129为例，学习Cain的嗅探功能。本机的I P为192. 168.195.130,打开Cain,主界面为

使用Cain唤探数据的第一步就是激活唤探器，可以单击 激活嗅探器。在第一次激活嗅探器时，Cain会弹出嗅探的配置选项，在此可以配置抓包网卡、协议等选项，
在“Sniffer”选项卡中送择网卡，如果服务器有多块网卡，此处将会一一显示。

可以从图中看出Cain提供了很多选项卡，下面是一些比较常用的，也比较重要的模块。
①在Filters and ports 选项卡中可以选择嗅探的端口，有一些端口是不需要嗅探的，可以将其去除，Cain可嗅探的服务非常多，如图

②在ARP ( Arp Poison Routing )选项卡中可以配置协造IP地址、MAC地址以及ARP缓存项时间，如图

③在HTTP Fields选项卡中可以选择嗅探的HTTP字段，在嗅探web应用程序时，经常会配置此选项卡。