畢業(yè)設(shè)計(jì)——arp病毒分析及防護(hù)措施-全文預(yù)覽
【正文】 t（單播） 已知 IP ZZZ 的 MAC Hello IP ZZZ！ I have IP XXX and my MAC is YYY. 假冒中間人 欺騙主機(jī)（ MAC 為 MMM）上啟用包轉(zhuǎn)發(fā) 向主機(jī) AAA 發(fā)假冒 ARP Reply： AAA， I have IP BBB and my MAC is MMM， 向主機(jī) BBB 發(fā)假冒 ARP Reply： BBB， I have IP AAA and my MAC is MMM 由于 ARP Cache 的老化機(jī)制，有時(shí)還需要做周期性連續(xù)欺騙。同時(shí)需要注意的是， ARP協(xié)議只使用于本網(wǎng)絡(luò)。該過(guò)程需要經(jīng)過(guò)下面的步驟： 應(yīng)用程序構(gòu)造數(shù)據(jù)包，該示例是產(chǎn)生 ICMP包，被提交給內(nèi)核（網(wǎng)絡(luò)驅(qū)動(dòng)程序）； 內(nèi)核檢查是否能夠轉(zhuǎn)化該 IP 地址為 MAC 地址，也就是在本地的 ARP緩存中查看 IPMAC對(duì)應(yīng)表； 如果存在該 IPMAC 對(duì)應(yīng)關(guān)系，那么跳到步驟 9；如果不存在該 IPMAC 對(duì)應(yīng)關(guān)系，那么接續(xù)下面的步驟； 內(nèi)核進(jìn)行 ARP廣播，目的地的 MAC地址是 FFFFFFFFFFFF， ARP命令 類型為 REQUEST（ 1），其中包含有自己的 MAC地址； 當(dāng) ARP請(qǐng)求后，就發(fā)送一個(gè) ARP的 REPLY（ 2）命令，其中包含自己的 MAC地址； 本地獲得 主機(jī)的 IPMAC地址對(duì)應(yīng)關(guān)系，并保存到 ARP緩存中； 內(nèi)核將把 IP轉(zhuǎn)化為 MAC地址，然后封裝在以太網(wǎng)頭結(jié)構(gòu)中，再把數(shù)據(jù)發(fā)送出去； 使用 arpa命令就可以查看本地的 ARP緩存內(nèi)容，所以，執(zhí)行一個(gè)本地的 PING命令后，ARP 緩存就會(huì)存在一個(gè)目的 IP 的記錄 了。 為了解釋 ARP 協(xié)議的作用，就必須理解數(shù)據(jù)在網(wǎng)絡(luò)上的傳輸過(guò)程。/*發(fā)送者的硬件地址 */ unsignedlongarp_spa。/*協(xié)議類型 */ unsignedchararp_hln。內(nèi)核（如驅(qū)動(dòng)）必須知道目的端的硬件地址才能發(fā)送數(shù)據(jù)。 D 直接進(jìn)行整個(gè)包的修改轉(zhuǎn)發(fā)，捕獲到 A 發(fā)送給 C 的數(shù)據(jù)包，全部進(jìn)行修改后再轉(zhuǎn)發(fā)給 C，而 C 接收到的數(shù)據(jù)包完全認(rèn)為是從 A 發(fā)送來(lái)的。 D 對(duì)接收到 A 發(fā)送給 C 的數(shù)據(jù)包可沒(méi)有轉(zhuǎn)交給 C。如果進(jìn)行欺騙的時(shí)候，把 C 的 MAC 地址騙為 040404040404，于是 A 發(fā)送到 C 上的數(shù)據(jù)包都變成發(fā)送給 D 的了。同時(shí)它還更新了自己的 ARP 緩存表，下次再向主機(jī) B發(fā)送信息時(shí)，直接從 ARP 緩存表里查找就可以了。 主機(jī) IP 地址 MAC 地址 A 010101010101 B 020202020202 C 030303030303 D 040404040404 我們以主機(jī) A()向主機(jī) B()發(fā)送數(shù)據(jù)為例。但這個(gè)目標(biāo) MAC 地址是如何獲得的呢？它就是通過(guò)地址解析協(xié)議獲得的。通過(guò)偽造 IP 地址和 MAC 地址實(shí)現(xiàn) ARP 欺騙，能夠在網(wǎng)絡(luò)中產(chǎn)生大量的 ARP 通信量使網(wǎng)絡(luò)阻塞。該木馬發(fā)作時(shí)除了會(huì)導(dǎo)致同一局域網(wǎng)內(nèi)的其他用戶上網(wǎng)出現(xiàn)時(shí)斷時(shí)續(xù)的現(xiàn)象外，還會(huì)竊取用戶密碼。比如客戶端狀態(tài)頻頻變紅，用戶頻繁斷網(wǎng)， IE 瀏覽器頻繁出錯(cuò)，以及一些常用軟件出現(xiàn)故障等。 三、 ARP 病毒的解決方案。 二 、 ARP 協(xié)議的工作原理。 一、 1 引言 近期國(guó)內(nèi)很多網(wǎng)吧和 我們 學(xué)校的局域網(wǎng)爆發(fā)一種新的 “ARP 欺騙 ”木馬病毒（ Address Resolution Protocol 地址解析協(xié)議），病毒發(fā)作時(shí)其癥狀表現(xiàn)為計(jì)算機(jī)網(wǎng)絡(luò)連接正常，能登陸成功卻無(wú)法打開(kāi)網(wǎng)頁(yè)；或由于 ARP 欺騙的木馬程序（病毒）發(fā)作時(shí)發(fā)出大量的數(shù)據(jù)包，導(dǎo)致網(wǎng)絡(luò)運(yùn)行不穩(wěn)定，頻繁斷網(wǎng)、 IE 瀏覽器頻繁出錯(cuò)以及一些常用軟件出現(xiàn)故障等問(wèn)題， 使用局域網(wǎng)時(shí)會(huì)突然掉線，過(guò)一段時(shí)間后又會(huì)恢復(fù)正常。 ARP 欺騙木馬只需成功感染一臺(tái)電 腦，就可能導(dǎo)致整個(gè)局域網(wǎng)都無(wú)法上網(wǎng)，嚴(yán)重的甚至可能帶來(lái)整個(gè)網(wǎng)絡(luò)的癱瘓。ARP 協(xié)議對(duì)網(wǎng)絡(luò)安全具有重要的意義。在以太網(wǎng)中，一個(gè)主機(jī)要和另一個(gè)主機(jī)進(jìn)行直接通信，必須要知道目標(biāo)主機(jī)的 MAC 地址。每臺(tái)安裝有 TCP/IP 協(xié)議的電腦里都有一個(gè) ARP 緩存表，表里的 IP 地址與 MAC 地址是一一對(duì)應(yīng)的，如下表所示。這樣，主機(jī) A 就知道了主機(jī) B 的 MAC 地址，它就可以向主機(jī) B 發(fā)送信息了。對(duì)目標(biāo) A 進(jìn)行欺騙， A 去 Ping 主機(jī) C 卻發(fā)送到了 04040404040
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1