【文章內(nèi)容簡介】 對目標造成麻煩，7 使某些服務被暫停甚至 無響應 ，都屬于拒絕服務攻擊。 “ 攻擊者 ” 進行拒絕服務攻擊，實際上讓 服務器 實現(xiàn)兩種效果：一是迫使服務器的 緩沖區(qū) 滿，不接收新的請求；二是使用 IP 欺騙，迫使服務器把合法用戶的連接復位，影響合法用戶的連接 。 ARP 溢出攻擊：令網(wǎng)絡設備的協(xié)議棧受到破壞， 究其原因是因為這是由于網(wǎng)絡協(xié)議本身的安全缺陷造成的 。 ARP 泛洪攻擊不是以盜取用戶數(shù)據(jù)為目的，它是以破壞網(wǎng)絡為目的，屬于損人不利己的行為。 ARP 掃描攻擊 攻擊 者 向局域網(wǎng)內(nèi)的所有主機發(fā)送 ARP 請求，從而獲得正在運行主機的 IP 和MAC 地址映射。攻擊 者 通過 ARP 掃描獲得所要攻擊主機的 地址信息， 從而 利用這些地址偽造針對性報文進行 網(wǎng)絡監(jiān)聽 和 盜取用戶數(shù)據(jù) 等 隱蔽式攻擊。 IP 地址沖突 ARP 攻擊者 會做出 局域網(wǎng) 內(nèi) 有 IP 地址沖突 的假象。 因為這個不符合 唯一性 的 要求，受害 者 主機會 不斷向被攻擊主機 彈出警告。大量的攻擊數(shù)據(jù)包能令受害者耗費大量的 網(wǎng)絡和 系統(tǒng)資源。 事例：某公司安裝了防護軟件，遇到 ARP 攻擊會彈出報警。一次某人將其主機的IP 地址更改成了以 .254 結尾。結果公司內(nèi)所有的電腦都彈出了被 ARP 攻擊的警告。經(jīng)分析可能是由于主機發(fā)現(xiàn)局域網(wǎng)上有兩臺網(wǎng)關，將其視為 ARP 攻擊而作了報警。 分為單播型和廣播型的 IP 地址沖突 。 虛擬主機攻擊 攻擊者通過在網(wǎng)絡內(nèi)構建虛擬網(wǎng)卡，將自己虛擬成網(wǎng)絡內(nèi)的一臺主機，擁有虛擬的物理地址和 IP 地址，會對應其他主機發(fā)送過來的 ARP 請求返回一個包含虛擬 MAC 地址和 IP 地址的 ARP 響應，并且自己也會發(fā)送 ARP 請求。虛擬主機攻擊會占用局域網(wǎng)內(nèi)的 IP 地址資源，使得正常運行的主機發(fā)生 IP 地址沖突，并且大量的虛擬主機攻擊會使局域網(wǎng)內(nèi)的主機無法正常獲得 IP 地址。 5 ARP 常用防護措施 要做到 ARP 的防護，需要從上面說到的三 個相關的設備 (稱作網(wǎng)元 )開始研究。 8 圖 51 網(wǎng)元設備 主機端 手動綁定 ARP 表 在本機的命令提示符中，首先將原有的 ARP 緩存清除： arp –d 圖 52 清空 ARP 表 (清空后查看，只剩下網(wǎng)關的映射 ) 接著手動添加靜態(tài)的 ARP 映射： arp s 00aa0062c608 9 圖 53 添加靜態(tài) ARP 表項 手動綁定靜態(tài)的 ARP 表，最為節(jié)省成本，但是配置麻煩，因為主機可能需要通信的目標很多，不可能每一個通信過的主機都要綁定。而 且容易失效，若局域網(wǎng)使用 DHCP動態(tài)分配 IP 地址，那么每次斷開網(wǎng)線或者重啟電腦，就需要重新綁定。在范圍上，我們只能做到本機上的 ARP 防御，如果網(wǎng)關遭到欺騙就無能為力了，所以需要其他方法的結合來完善。 安裝 ARP 防護軟件 這里簡單的說，就是每臺主機不停的發(fā)送正確的 ARP 廣播，來告訴其他主機自己的 IP 和 MAC 地址的綁定關系。 也有不少缺點，若攻擊的 ARP 報文頻率上升，錯誤的不斷覆蓋正確的映射，大量消耗帶寬，主機 ARP 表更新頻繁，容易掉線。 一般來說， 一臺計算機安裝比較好的防火墻軟件后 ， 可以顯著的 防 范這臺計算機被ARP 欺騙，并能檢測出感染主機的 MAC 地址 [4]。如果防火墻軟件被安裝在感染主機上時，它可以 阻止感染主機對外發(fā)起 ARP 攻擊。但是防火墻軟件不是殺毒軟件，不具備查殺 ARP 病毒的能力。但是我們可以 手動利用軟件 查看 ARP 病毒的運行的進程，將其在硬盤上定位，找到并將其殺查。 10 圖 54 ARP 防火墻 查看到發(fā)送攻擊數(shù)據(jù)的進程的 ID 號，雙擊此數(shù)據(jù)即可查看進程的詳細信息： 圖 55 查看病毒路徑 找到進程路徑之后，選擇清除動作，終止進程，刪除病毒文件。 交換機端 ARP 防御 在交換機上綁定各個主機正確的 IP 和 MAC 地址，之后收到 ARP 報文時，會對其進行檢查，若符合則轉發(fā)，若不符合則丟棄。我們這里要做的是如何建立真實的 ARP表。 交換機上手動綁定 在端口上設置安全地址和 ARP CHECK。這種方法成本低，但是顯然工作量大而且不方便維護，同時無法適應動態(tài)環(huán)境，如 DHCP。 cisco(config)arp arpa 動態(tài) ARP 檢查 (DAI) Dynamic ARP Inspection 配置 DAI 之后，交換機就會跟 DHCP 進行互動， DHCP 的詳細信息會經(jīng)過交換機，交換機獲得其 IP 和 MAC 地址的映射。也就是說，交換機可以自動化的進行綁定，適用11 于動態(tài)環(huán)境。 具體配置命令如下： 步驟一： 配置 DHCP snooping con t ip dhcp snooping //開啟 dhcp snooping int f 0/1 ip dhcp snooping trust //設置上連口為信任端口（注意：缺省所有端口都是不信任端口）。只有此接口連接的服務器發(fā) 出的 DHCP 響應報 文 才能夠被轉發(fā)。 exit int f 0/2 ip verify source portsecurity //配置 dhcp snooping 地址綁定 exit int f 0/3 ip verify source portsecurity //配置 dhcp snooping 地址綁定 步驟二： 配置 DAI ip arp inspection //啟用全局的 DAI ip arp inspection vlan 2 //啟用 vlan2 的 DAI 報文檢查功能 ip arp inspection vlan 3 //啟用 vlan3 的 DAI 報文檢查功能 交換機手動綁定網(wǎng)關 原理同上，將網(wǎng)關的 IP 和 MAC 地址綁定，若攻擊者發(fā)送一個虛假 ARP，交換機對照自己的表項，發(fā)現(xiàn)不同則將其丟棄。用于防冒充網(wǎng)關攻擊 網(wǎng)關端 ARP 防御 網(wǎng)關綁定主機的 ARP 表 現(xiàn)在有很多路由器提供 IP /MAC 綁定功能，你可以將內(nèi)網(wǎng)的電腦的 IP 與其 MAC地址綁定在一起，使路由器對沒有綁定的 IP /MAC 進行分析，當內(nèi)網(wǎng)有 ARP 欺騙攻擊的時候，其偽造 ARP 報文向路由器發(fā)送消息，這時候由于偽造的 IP/MAC 映射關系并不在路由器的 IP /MAC 綁定列表里面，路由器會拒絕這類消息，將其丟棄。 缺點是工作量大維護不方便，只能防欺騙網(wǎng)關攻擊，不適應 DHCP 環(huán)境。 使用具有 ARP 防護功能的路由器 這類路由器中提到的 ARP防護功能，其實它的原理就是定期的發(fā)送自己正確的 ARP 信息。以普通小型的，圖形界面配置的路由器為例，首先打開瀏覽器輸入路由器 IP 地12 址，進入登陸管理頁面，在管理頁面的選項欄中選擇 “ 防火墻配置 ” —— “ 防 止 ARP病毒攻擊 ” ，再根據(jù) 具體 網(wǎng)絡情況輸入防止 ARP 病毒攻擊每秒發(fā)送的幀 。 設置 ARP 服務器 公司可在局域網(wǎng)內(nèi)設置一臺保存著局域網(wǎng)內(nèi)所有可信任范圍內(nèi)主機的 MAC 地址和IP 地址的映射關系的機器，作為 ARP 服務器。局域網(wǎng)內(nèi)有主機請求查詢 ARP，這臺服務器通過查詢存在自己的 ARP 緩存的靜態(tài)記錄，然后響應這些請求。我們還可以設置局域網(wǎng)內(nèi)部其他主機只使用來自 ARP 服務器的 ARP 響應。 ARP 泛洪攻擊的防御 利用交換機的 ARP 流量和端口的限速功能。 6 ARP 攻擊和防御演示 圖 61 實驗拓 撲圖 ARP 欺騙主機 攻擊軟件使用 ，抓包軟件使用的是 Wireshark。 我們想通過更改所有機器到網(wǎng)關的 MAC 地址，來實現(xiàn)攻擊。使用我們自己定義的13 錯誤的廣播報文，來廣播錯誤的網(wǎng)關 MAC 地址。 為了實驗方便，我們將虛擬機 和路由器接口 的 MAC 地址手動更改為容易識別的地址，更改方式如下： 圖 62 路由器修改接口 MAC 地址 圖 63 主機 網(wǎng)卡地址選項 在配置 —— 高級選項卡中，找到網(wǎng)絡地址項，設定值。之后可以在命令提示符中查看 MAC 地址是否變化。 圖 64 查看 MAC 地址 打開攻擊軟件 ，并掃描局域網(wǎng) ： 14 圖 65 WinArpAttacker 界面 首先我現(xiàn)在的網(wǎng)絡狀態(tài)是正常的。 圖 66 查看 ARP 項