【文章內(nèi)容簡介】 中獲得的發(fā)送方的MAC 地址和發(fā)送方IP 地址，并將其作為目標主機的MAC 地址與IP 地址，并將它自己的MAC地址與IP 地址作為發(fā)送方信息。(6)目標主機刷新自己的ARP 緩存：作為一種最優(yōu)化的方法，目標主機將會向自己的ARP 緩存中添加源主機的MAC 地址與IP 地址，這是為目標主機為后續(xù)操做做準備。(7)目標主機發(fā)送ARP 應答信息：目標主機發(fā)送的ARP 應答信息是專門向源主機單播發(fā)送的，因為已經(jīng)沒有必要再發(fā)送廣播信息了。(8)源主機處理ARP 應答信息：源主機對接收到的ARP 應答信息進行處理，將發(fā)送端(目的主機)的MAC 地址作為目標主機的數(shù)據(jù)鏈路層地址，并發(fā)送IP 數(shù)據(jù)包。(9) 源主機刷新自己的ARP 緩存：源主機用接收到的ARP 應答信息刷新自己的ARP 緩存，以便以后再與該目標主機通信。ARP 協(xié)議是一種相對簡單的請求/應答協(xié)議。源主機通過目標主機的IP 地址發(fā)送ARP 請求，目標主機向源主機回送ARP 應答信息告知目標主機的MAC 地址。ARP 緩存的使用和自動更新緩存信息的應用大大增強了地址解析的效率，這也是為什么將其列入ARP 協(xié)議特征的重要原因。 ARP 信息的格式用 ARP 協(xié)議進行地址解析是通過在源主機與目的主機之間互換信息來完成的。在其他協(xié)議中，地址解析的每一步所涉及的信息都包含在其他協(xié)議的信息格式中。ARP 信息的格式相對較簡單，其中有用于描述信息類型的信息，還有關(guān)于通信雙方IP 地址與MAC 地址的信息，為方便不同長度地址的存放，特意為IP地址與MAC 地址劃分了不同長度的地址空間。ARP 的信息格式如下：硬件類型協(xié)議類型硬件地址長度協(xié)議長度操作字段發(fā)送方硬件地址(字節(jié)03)發(fā)送方硬件地址(字節(jié)45)發(fā)送方IP 地址(字節(jié)01)發(fā)送方IP 地址(字節(jié)23)目的硬件地址(字節(jié)01)目的方硬件地址(字節(jié)25)目的方IP 地址(字節(jié)03) ARP 信息格式下面用一個圖表來說明ARP 信息中各部分所代表的內(nèi)容：表 ARP 信息說明字段 名大小屬 性硬件類型2字節(jié)發(fā)送方想知道的硬件接口類型，以太網(wǎng)的值為 1。協(xié)議類型2字節(jié)協(xié)議類型是硬件類型的補充，描述了 IP 地址的類型，并指明發(fā)送方提供的高層協(xié)議類型。對于IPv4 網(wǎng)絡(luò)來說，IP 值為0800(16 進制)。硬件地址長度1字節(jié)定義硬件地址的長度，對以太網(wǎng)或其他以 IEEE802 作為標準的網(wǎng)絡(luò)的MAC 地址來說，值為6。協(xié)議長度1字節(jié)指明高層協(xié)議地址的長度，對于 IPv4 地址來說值為4。操作字段2字節(jié)定義 ARP 信息的屬性，ARP 請求為1，ARP 應答為2，RARP 請求為3，RARP 應答為4。發(fā)送方硬件地址變長發(fā)送方的硬件地址發(fā)送方 IP 地址變長發(fā)送方的 IP 地址目的硬件地址變長目的主機的硬件地址目的 IP 地址變長目的主機的 IP 地址當 ARP 數(shù)據(jù)包構(gòu)造完成后，將其向下傳遞到數(shù)據(jù)鏈路層，然后發(fā)送出去。整個ARP 數(shù)據(jù)包作為有效載荷在網(wǎng)絡(luò)中傳輸。由于地址字段的信息是變長的，因此整個ARP 數(shù)據(jù)包的大小是可變的。但其實一個完整的ARP 數(shù)據(jù)包是非常小的。 ARP 緩存ARP 協(xié)議是一種動態(tài)地址解析協(xié)議，也就是說每進行一次地址解析都要求在網(wǎng)絡(luò)上互換地址信息。雖說ARP 信息包并不大，但如果每一個IP 數(shù)據(jù)包在網(wǎng)絡(luò)上的每一跳都這樣做，網(wǎng)絡(luò)上的壓力將會達到無法預料的大。那么，相對于簡單的直接映射來說，這種方法既耗費資源又浪費時間?？偟膩碚f，ARP 請求信息包發(fā)送出去后，網(wǎng)絡(luò)上的每臺主機都要把接收到的信息與自己比較一下，看是否與之匹配。動態(tài)地址解析方法效率問題的總體解決方案就是引入地址緩存。另外，為了降低網(wǎng)絡(luò)交通的壓力，地址緩存也保證了地址解析所耗費的時間非常少。這也是地址緩存功能從一開始就被寫入ARP 協(xié)議的重要原因。ARP 緩存以表的形式保存映射的IP 地址與MAC 地址對，網(wǎng)絡(luò)中的每個設(shè)備管理其自己的ARP 緩存表。有兩種方式向ARP 緩存表中寫入數(shù)據(jù)：(1)靜態(tài)ARP 緩存：在進行動態(tài)解析時人工向ARP 緩存表中添加記錄信息，并在緩存中永久保存。靜態(tài)記錄一般由ARP 管理軟件進行管理。(2)動態(tài)ARP 緩存：該方式在經(jīng)過ARP 地址解析后，IP 地址與MAC 地址對由軟件自動填寫入ARP 地址緩存中。他們在ARP 地址緩存中僅保存一段時間，之后便從中刪除。一個設(shè)備的 ARP 緩存中包括動態(tài)和靜態(tài)的記錄，每種記錄方式都有其優(yōu)點與缺點。但在大多數(shù)情況下使用動態(tài)ARP 緩存記錄，因為它是自動添加，而且不會牽涉管理員的經(jīng)歷。在規(guī)范網(wǎng)絡(luò)中，靜態(tài) ARP 緩存記錄得到很好的應用，但這種方法的缺點就是需要人工添加記錄，并且一旦MAC 地址或IP 地址有變更需要人工修改。每條靜態(tài)記錄都會占據(jù)緩存表的空間，因此，緩存表中靜態(tài)記錄數(shù)量有限，不能使用太多靜態(tài)記錄。動態(tài)記錄是自動添加進緩存的，不需要人工添加和人工服務(wù)。但動態(tài)記錄不可能永遠保存在緩存中，因為隨著網(wǎng)絡(luò)情況的變化，保存在緩存中的靜態(tài)記錄會因無效而失去作用。假設(shè)主機 A 的ARP 緩存中保存著另一網(wǎng)絡(luò)主機B 的動態(tài)映射，如果動態(tài)記錄永遠保存在緩存表中，下列情況就會發(fā)生：(1)主機的硬件發(fā)生改變：若主機B 更換了網(wǎng)卡，由于記錄中的MAC 地址不會再出現(xiàn)，主機A 的ARP 緩存中保存的動態(tài)映射信息變?yōu)闊o效。(2)主機的IP 地址發(fā)生改變：如果設(shè)備B 的IP 地址發(fā)生了改變，保存在設(shè)備A 中的映射記錄也會變?yōu)闊o效。(3)設(shè)備被移除：如果設(shè)備B 從網(wǎng)絡(luò)中移除，設(shè)備A 不需要再向它發(fā)送信息，但映射記錄仍舊保存在設(shè)備A 的地址緩存中，這樣不僅浪費緩存空間，而且還會在設(shè)備A 查詢緩存表時耗費時間。為了避免這些問題的出現(xiàn)，將動態(tài)地址記錄設(shè)置一定的生存周期，一般為10 分鐘或20 分鐘。規(guī)定時間過后，記錄自動從緩存中刪除，下次再通信就需要刷新緩存。相對于靜態(tài)記錄，這種方法在效率上僅存在微乎其微的差距，每10分鐘或20 分鐘發(fā)送兩個28 字節(jié)的信息對網(wǎng)絡(luò)幾乎沒有任何影響。如果主機 A 初次開始地址解析時發(fā)送一個標準的ARP 申請，在網(wǎng)絡(luò)中每個接收到申請信息的主機都需要刷新自己的ARP 緩存記錄。然而，第三方設(shè)備不必為設(shè)備A 創(chuàng)建新的緩存記錄。從對主機 A 進行地址解析的角度來說，為主機A 創(chuàng)建新的緩存記錄可以為以后的通信提供方便，但這意味著網(wǎng)絡(luò)中所有設(shè)備的ARP 緩存表會很快被其他主機的地址解析信息填滿。有些主機可能會創(chuàng)建這樣的緩存記錄，但一定會把這些記錄設(shè)置好有效期，以避免緩存表被填滿。 代理 ARP在同一網(wǎng)絡(luò)中連接的設(shè)備通過ARP 協(xié)議進行通信。網(wǎng)絡(luò)中的每臺主機都可以向其他主機發(fā)送單播或廣播信息。通常情況下，如果主機A 和主機B 被路由器分開，主機A 就不能與主機B 直接通信。他們會通過數(shù)據(jù)鏈路層先向路由器傳輸信息，根據(jù)IP 地址經(jīng)過兩跳到達主機B。與一般情況不同的是，有些網(wǎng)絡(luò)是由兩個網(wǎng)絡(luò)通過路由器連接組成的，兩個網(wǎng)絡(luò)具有相同的IP 地址段和子網(wǎng)掩碼。也就是說，主機A 和主機B 在數(shù)據(jù)鏈路層分別處于不同的局域網(wǎng)，但卻具有相同的IP 地址段。因此，當發(fā)送IP 數(shù)據(jù)包時，主機A 與主機B 都認為對方和自己處于同一個局域網(wǎng)。如果主機A 要向主機B 發(fā)送數(shù)據(jù)包，可它的地址緩存中并沒有主機B 的MAC 地址，則主機A 只好進行地址解析。但實際上主機B 與主機A 并不在同一個局域網(wǎng)中，連接兩個網(wǎng)絡(luò)的路由器并不會自動將主機A 的廣播發(fā)給主機B 所在的網(wǎng)絡(luò)，主機B 也不回接收到來自主機A 的請求，因此主機A 不會接到包含主機B 的MAC 地址的回復。對這種情況所作的 ARP 的改進稱作ARP 代理。架在兩個局域網(wǎng)之間的路由器用來代表主機B 回復主機A 的廣播，它告之主機A 的并不是主機B 的MAC地址，即主機A 不可能直接與主機B 通信。而路由器告訴主機A 的是路由器本身的MAC 地址。如果主機A 想與主機B 通信，主機A 先向路由器發(fā)送信息。反過來的過程也是一樣的。路由器并不自動轉(zhuǎn)發(fā)ARP 廣播，它只作為一個ARP代理設(shè)備。ARP 代理的優(yōu)勢就是允許通信雙方可以處于不同的局域網(wǎng)。當它也有缺點，首先，它增加了復雜度。其次，如果兩個有相同IP 地址段的網(wǎng)絡(luò)中間出現(xiàn)多個路由器，那么問題就會升級。ARP 代理同樣會帶來潛在的安全問題。因此，ARP代理應該被重新規(guī)劃設(shè)計，并盡可能在兩個局域網(wǎng)中架設(shè)一個路由器。 ARP 欺騙 ARP 欺騙原理當IP 數(shù)據(jù)報準備發(fā)送時，由數(shù)據(jù)鏈路層將它封裝入以太網(wǎng)數(shù)據(jù)幀，然后才能在以太網(wǎng)中傳送。然而在封裝過程中，數(shù)據(jù)鏈路層并不知道以太網(wǎng)數(shù)據(jù)幀頭中目的主機的MAC 地址。唯一的信息是IP 數(shù)據(jù)報頭中的目的主機的IP 地址。為了找到與目的主機IP 地址相對應的MAC 地址，根據(jù)地址解析協(xié)議(ARP)，源主機會以廣播的形式發(fā)送一個ARP 請求以太網(wǎng)數(shù)據(jù)幀給以太網(wǎng)上的每一個主機。ARP 請求數(shù)據(jù)幀中包含目的主機的IP 地址，只有具有此IP 地址的主機收到這份廣播報文后，才會向源主機回送一個包含其MAC 地址的ARP 應答。并且為了盡量減少廣播ARP 請求的次數(shù)，每個主機都有一個ARP 緩存，這個緩存存放了最近的IP 地址與MAC 地址之間的映射記錄。主機每隔一定時間或者當收到ARP應答，就會用新的地址映射對更新ARP 緩存。因為ARP 是一個無狀態(tài)協(xié)議，所以對于大多數(shù)操作系統(tǒng)來說，如果收到一個ARP 應答，它們不管自己是否在此之前曾經(jīng)發(fā)出ARP 請求，都會更新自己的ARP 緩存。這就為系統(tǒng)安全留下了很大的隱患。ARP 欺騙的核心思想就是向目標主機發(fā)送偽造的ARP 應答，并使目標主機根據(jù)應答中偽造的IP 地址與MAC 地址之間的映射對，更新目標主機ARP 緩存。假設(shè)S 代表源主機，即將要被欺騙的主機；D 代表目的主機，源主機S 本來是向它發(fā)送數(shù)據(jù)的；A 代表攻擊者主機，進行ARP 欺騙。假設(shè)主機A 已知主機D 的IP 地址，于是它暫時將自己的IP 地址改為主機D 的IP 地址。當源主機S 想要向主機D 發(fā)送數(shù)據(jù)時，假設(shè)目前其ARP 緩存中沒有關(guān)于目的主機D 的記錄，那么它首先在局域網(wǎng)中廣播包含主機D 的IP 地址的ARP 請求。但此時攻擊者主機A 具有與目的主機D 相同的IP 地址，于是分別來自攻擊者主機A 與目的主機D的ARP 響應報文將相繼到達源主機S。此時，攻擊者主機A 是否能夠欺騙成功就取決于源主機S 的操作系統(tǒng)處理重復ARP 響應報文的機制。不妨假設(shè)該機制總是用后到達的ARP 響應中的地址對刷新緩存中的內(nèi)容。那么如果攻擊者主機A 控制自己的ARP 響應晚于目的主機D 的ARP 響應到達源主機S，源主機S 就會將如下偽造映射：將目的主機D 的IP 地址對應攻擊者主機A 的MAC 地址，保存在自己的ARP 緩存中。在這個記錄過期之前，凡是源主機S 發(fā)送給目的主機D 的數(shù)據(jù)實際上都將發(fā)送給攻擊者主機A，而源主機S 卻毫不察覺?；蛘吖粽咧鳈CA 在上述過程中，利用其它方法直接抑制來自目的主機D 的ARP 應答將是一個更有效的方法而不用依賴于不同操作系統(tǒng)的處理機制。進一步分析，攻擊者主機A 可不依賴于上述過程，直接在底層偽造ARP 響應報文來達到同樣的欺騙目的。 ARP 欺騙的攻擊方式ARP 攻擊發(fā)生時，攻擊者利用地址解析協(xié)議本身的運行機制發(fā)動攻擊行為。包括進行對主機發(fā)動IP 沖突攻擊、數(shù)據(jù)包轟炸，切斷局域網(wǎng)上任何一臺主機的網(wǎng)絡(luò)連接等[9]。ARP 欺騙的攻擊方式有如下幾種：(1)中間人攻擊：中間人攻擊就是攻擊者將自己插入兩個目標主機通信路徑之間，使它如同兩個目標主機通信路徑上的一個中繼，這樣攻擊者就可以監(jiān)聽兩個目標主機之間的通信。其過程如下：C 侵染目標主機A 與B 的ARP 緩存，使得當A 向B 發(fā)送數(shù)據(jù)時，使用的是B 的IP 地址與C 的MAC 地址，并且當B 向A 發(fā)送數(shù)據(jù)時，使用的是A 的IP 地址與C 的MAC 地址。因此，所有A 與B 之間的通信數(shù)據(jù)都將經(jīng)過C，再由C 轉(zhuǎn)發(fā)給它們。如果攻擊者對一個目標主機與它所在的局域網(wǎng)的路由器實施中間人攻擊，那么攻擊者就可以竊取網(wǎng)絡(luò)上與這個目標主機之間的全部通信數(shù)據(jù)，并且可以對數(shù)據(jù)進行竄改和偽造。但動態(tài)映射對存在過期的問題，而且主機A 與B 之間也會進行正常的ARP 數(shù)據(jù)包交互。要解決這個問題，主機C 可以選擇比較小的時間間隔持續(xù)發(fā)送偽造的數(shù)據(jù)包，這樣就可以使主機A 與B 之間的通信一直中斷。(2)IP 地址沖突[9]：主機發(fā)送更改的ARP 報文，將偽裝的MAC 地址映射到目標主機的IP 地址，制造出局域網(wǎng)上有另一臺主機與受害主機共享一個IP 地址的假象，系統(tǒng)會檢測到兩個不同的MAC 地址對應同一個IP 地址，由于違反了唯一性要求，出現(xiàn)了IP 地址沖突，受害主機會自動向用戶彈出警告對話框。最終導致被攻擊主機無