网安学习笔记 10 ---- ARP欺骗

2023.10.10

注意：在进行安全研究和学习时，请确保遵循相关法律法规并获得授权，以避免非法操作或侵犯他人隐私。这些步骤仅供学习和研究使用，不得用于非法用途。

ARP概述

ARP是什么？

地址解析协议 ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个 TCP/IP协议。

主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息， 以此确定目标的物理地址；

收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。

ARP协议的基本功能

基本功能：通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的进行

局限性：仅能在局域网进行

ARP缓存表

ARP缓存表是个用来储存IP地址和MAC地址的缓冲区，其本质就是一个IP地址-->MAC地址的对应表，表中每一个条目分别记录了网络上其他主机的IP地址和对应的MAC地址。

每一个以太网或令牌环网络适配器都有自己单独的表。当地址解析协议被询问一个已知IP地址节点的MAC地址时， 先在ARP缓存中查看，若存在，就直接返回与之对应的 MAC地址，若不存在，才发送ARP请求向局域网查询。 

ARP常用命令

用于查看缓存中的所有项目

arp -a
arp –g

如果有多个网卡，那么使用arp -a加上接口的IP地址， 就可以只显示与该接口相关的ARP缓存项目 

arp -a ip 

ARP欺骗

ARP欺骗（英语：ARP spoofing），又称ARP毒化（ARP poisoning，网上上多译为ARP病毒）或ARP攻击，是针对以太网地址解析协议（ARP）的一种攻击技术，通过欺骗局域网内访问者PC的网关MAC地址，使访问者PC错以为攻击者更改后的MAC地址是网关的MAC，导致网络不通。此种攻击可让攻击者获取局域网上的数据包甚至可篡改数据包， 且可让网上上特定计算机或所有计算机无法正常连线。 

常见的ARP欺骗手法：

同时对局域网内的一台主机和网关进行ARP欺骗，更改这台主机和网关的ARP缓存表。 

攻击主机PC2发送ARP应答包给被攻击主机PC1和网关，分别修改它们的ARP缓存表, 将它们的ip地址所对应的MAC地址，全修改为攻击主机PC2的MAC地址，这样它们之间数据都被攻击主机PC2截获

ARP断网攻击 

1、获取信息

攻击者	kali IP	192.168.190.128	MAC: 00-0c-29-d4-7c-14
受害者	win7 IP	192.168.190.130	MAC: 00-0c-29-a3-6b-df
网关	IP	192.168.190.2	MAC:00-50-56-e8-01-25

获取win7 ip 

获取kali ip 

利用 arp -a 获取MAC地址 

 

2、查看存活主机 

 方法一：

fping -g <ip>

方法二：

nmap -sn <ip>

 

 3、断网攻击

arpspoof -i eth0 -t <受害者ip> <网关>

4、受害端的变化

①断网

攻击前 

攻击后

②MCA变化

攻击前

攻击后

网关的MAC地址变成了kili的MAC地址

4、允许流量转发

方法一：

将net.ipv4.ip_forward=1的注释去掉，修改完成之后，重启服务

vim /etc/sysctl.conf

 

将net.ipv4.ip_forward=1的注释去掉，修改完成之后，重启服务 

ps：将net.ipv4.ip_forward 设置位为1是启动流量转发，是0禁用 

方法二： 

echo 1 >/proc/sys/net/ipv4/ip_forward

 5、可用操作

①监控对方浏览的网页图片

Ps：只能监控非安全链接的图片

driftnet –i eth0

②监控对方在http网址上输入的文字

ettercap -Tq -i eth0