論文：arp欺騙及icmp攻擊技術(shù)分析-全文預(yù)覽
【正文】 作”，在“安全措施”頁(yè)中設(shè)置為“阻止”。針對(duì)連接的DoS攻擊不能通過(guò)打補(bǔ)丁的方式加以解決，通過(guò)過(guò)濾適當(dāng)?shù)腎CMP消息類(lèi)型，一般防火墻可以阻止此類(lèi)攻擊。針對(duì)的網(wǎng)絡(luò)連接的IP設(shè)備，因?yàn)樗褂昧撕戏ǖ腎CMP消息。當(dāng)攻擊目標(biāo)的各項(xiàng)性能指標(biāo)不高時(shí)，如CPU速度低，內(nèi)存小或者網(wǎng)絡(luò)帶寬小，這種攻擊效果是明顯的。Pingflood、pong、echok、flushot、fraggle和bloop是常用的ICMP攻擊工具。 ICMP攻擊及欺騙技術(shù)使用ICMP攻擊的原理實(shí)際上就是通過(guò)Pign大理的數(shù)據(jù)包使得計(jì)算機(jī)的CPU使用率居高不下而崩潰，一般情況下黑客通常在一個(gè)時(shí)段內(nèi)連續(xù)向計(jì)算機(jī)發(fā)出大量的請(qǐng)求而導(dǎo)致CUP占用率太高而死機(jī)。③ 當(dāng)數(shù)據(jù)包分片，但卻沒(méi)有給接收端足夠的分片，接收端分片裝超時(shí)會(huì)發(fā)送分片組裝超時(shí)的ICMP數(shù)據(jù)報(bào)。這此錯(cuò)誤報(bào)文并不是主動(dòng)發(fā)送的，而是由于錯(cuò)誤，根據(jù)協(xié)議自動(dòng)產(chǎn)生。向目的系統(tǒng)發(fā)送時(shí)間戳（Type=13）報(bào)文，請(qǐng)求返回目的系統(tǒng)的時(shí)間，可以獲得目標(biāo)系統(tǒng)所在的時(shí)區(qū)。在這里我們利用ICMP協(xié)議的不同類(lèi)型可以搜集目標(biāo)主機(jī)的很多信息： (1) 網(wǎng)絡(luò)Ping掃射，尋找活動(dòng)主機(jī)獲取一個(gè)真實(shí)網(wǎng)絡(luò)的最基本步驟之一是在某一個(gè)IP地址和網(wǎng)絡(luò)塊范圍內(nèi)執(zhí)行一輪自動(dòng)Ping掃射，以確定某個(gè)具體的系統(tǒng)是否存活。下表列出了部分ICMP消息中類(lèi)型和代碼的組合： 表31 ICMP消息類(lèi)型和代碼組合類(lèi)型代碼描述00回應(yīng)應(yīng)答（Ping，與類(lèi)型8的Ping請(qǐng)求一起使用）30～15目的不可達(dá)40源端被關(guān)閉（基本流控制）50～3重定向80回應(yīng)請(qǐng)求（Ping請(qǐng)求，與類(lèi)型0的Ping應(yīng)答一起使用）90路由器請(qǐng)求（與類(lèi)型10一起使用）100路由器請(qǐng)求（與類(lèi)型9一起使用）110～1超時(shí)120～1參數(shù)問(wèn)題130時(shí)間戳請(qǐng)求（與類(lèi)型14一起使用）140時(shí)間戳應(yīng)答（與類(lèi)型13一起使用）170地址掩碼請(qǐng)求（與類(lèi)型18一起使用）180地址掩碼應(yīng)答（與類(lèi)型17一起使用） 使用ICMP協(xié)議搜集信息ICMP的使用者主要是路由器,接收者為IP數(shù)據(jù)報(bào)的源發(fā)主機(jī)端,但也可以由主機(jī)向一個(gè)特定的目的主機(jī)發(fā)出查詢(xún)報(bào)文。圖31 ICMP保溫的兩級(jí)封裝從上圖中可以看出ICMP消息格式為IP頭加上自己的消息包，簡(jiǎn)單的說(shuō)就是：IP Header + ICMP Message，ICMP Message=Type（1）+Code（1）+CheckSum（2）+others每個(gè)ICMP報(bào)文都以相同的3個(gè)字段開(kāi)始：1個(gè)16位校驗(yàn)和字段用來(lái)識(shí)別報(bào)文，1個(gè)8位的代碼（CODE）字段提供有關(guān)報(bào)文類(lèi)型的進(jìn)一步信息，1個(gè)16位驗(yàn)證字段。 ICMP的消息格式和代碼組合像其它所有的通信業(yè)務(wù)一樣，ICMP報(bào)文是放在一個(gè)IP數(shù)據(jù)報(bào)的數(shù)據(jù)部分中傳送的。(3) 當(dāng)網(wǎng)關(guān)發(fā)現(xiàn)并能夠引導(dǎo)主機(jī)在更短的路由上發(fā)送數(shù)據(jù)報(bào)時(shí)。引進(jìn)ICMP協(xié)議還可以獲得網(wǎng)絡(luò)通不通、主機(jī)是否可達(dá)、路由是否可用等網(wǎng)絡(luò)本身的消息，幫助網(wǎng)絡(luò)管理員了解網(wǎng)絡(luò)狀況。但是，IP通信過(guò)程中總會(huì)碰上各種各樣的原因?qū)е峦ㄐ攀。热纾耗康牡刂凡徽_。比如我們經(jīng)常用的用于檢查網(wǎng)絡(luò)通不通的Ping命令，這個(gè)“Ping”的過(guò)程實(shí)際上就是ICMP協(xié)議的過(guò)程。它是TCP/IP協(xié)議族的一個(gè)子協(xié)議，用于在IP主機(jī)、路由器之間傳遞控制消息。3 ICMP協(xié)議的概述對(duì)于TCP/IP協(xié)議我們一定非常熟悉，但是對(duì)ICMP協(xié)議可能不是太了解。如圖24所示：圖24 ARP綁定、修改、刪除注意：(1) 進(jìn)行綁定置前要確認(rèn)ARP表是正確的。如圖23所示：圖23 ARP靜態(tài)綁定設(shè)置對(duì)于這個(gè)靜態(tài)ARP映射表，您可以進(jìn)行修改、刪除、取消綁定等操作。如果確認(rèn)這個(gè)表是正確的（如果所有的計(jì)算機(jī)都可以正常上網(wǎng)，MAC地址沒(méi)有重復(fù)，這個(gè)表般就沒(méi)有錯(cuò)了，如果計(jì)算機(jī)中了ARP病毒，可以檢查這個(gè)ARP表看MAC地址有沒(méi)有相同的，若有相同的，則這些主機(jī)都不能正常訪問(wèn)網(wǎng)絡(luò)，要檢查這些主機(jī)，使用DOS命令行的arp – d命令清除主機(jī)的ARP表），可以選擇某個(gè)條目后面的“綁定”操作進(jìn)行單獨(dú)的MAC地址綁定，也可以通過(guò)點(diǎn)擊“全部綁定”把ARP表中的所有條目綁定。(2) 默認(rèn)情況下ARP綁定功能是關(guān)閉的，首先要啟用ARP綁定功能，打開(kāi)路由器的管理界面，選擇“MAC地址綁定”。注意有使用SNMP的情況下，ARP的欺騙有可能導(dǎo)致陷阱包丟失。（靜態(tài)由ARP條目），注意，使用交換線(xiàn)器和網(wǎng)橋無(wú)法阻止ARP欺騙。確保這臺(tái)ARP服務(wù)器不被黑。 解決思路(1) 不要把你的網(wǎng)絡(luò)安全信任關(guān)系建立在IP基礎(chǔ)上或MAC基礎(chǔ)上，（rarp同樣存在欺騙的問(wèn)題），理想的關(guān)系應(yīng)該建立在IP+MAC基礎(chǔ)上。其他用戶(hù)原來(lái)直接通過(guò)路由器上網(wǎng)現(xiàn)在轉(zhuǎn)由通過(guò)病毒主機(jī)上網(wǎng)，切換的時(shí)候用戶(hù)會(huì)斷一次線(xiàn)。D直接進(jìn)行整個(gè)包的修改轉(zhuǎn)發(fā)，捕獲到A發(fā)送給C的數(shù)據(jù)包，全部進(jìn)行修改后再轉(zhuǎn)發(fā)給C，而C接收到的數(shù)據(jù)包完全認(rèn)為是從A發(fā)送來(lái)的。D對(duì)接收到A發(fā)送給C的數(shù)據(jù)包可沒(méi)有轉(zhuǎn)交給C。如果進(jìn)行欺騙的時(shí)候，把C的MAC地址騙為00e04cb095f3，于是A發(fā)送到C上的數(shù)據(jù)包都變成發(fā)送給D的了。同時(shí)它還更新了自己的ARP緩存表，下次再向主機(jī)B發(fā)送信息時(shí)，直接從ARP緩存表里查找就可以了。 解決ARP攻擊的方法舉一個(gè)簡(jiǎn)單的ARP欺騙的例子：每臺(tái)安裝有TCP/IP協(xié)議的電腦里都有一個(gè)ARP緩存表，表里的IP地址與MAC地址是一一對(duì)應(yīng)的，如圖11所示：主機(jī)IP地址MAC地址A192．168．0．200105caaaab7B192．168．0．500908181fc1aC192．168．0．6000aebe9d0bdD192．168．0．900e04cb095f3
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1