[計算機軟件及應(yīng)用]網(wǎng)絡(luò)協(xié)議-資料下載頁
2025-01-19 17:39本頁面
【正文】 P報文，若發(fā)現(xiàn)報文中請求的目的 IP就是自己的 IP， 則將自己的 MAC地址填寫到 ARP報文中，發(fā)回給請求方。 ARP不要求每次發(fā)送 IP數(shù)據(jù)報時都發(fā)送請求 ,每臺主機會保存一個硬件地址的 ARP高速緩存。 接收請求的主機在回答請求的同時要保存發(fā)送請求主機的硬件地址。 無盤工作站啟動時需要反向地址解析。 ARP地址表 ? 進入 DOS窗口，執(zhí)行 ARP命令 ? ARP a 查看 ARP地址表 ? ARP s [IP地址 ] [MAC地址 ] 添加靜態(tài)地址項 ? arp d 將 arp緩存中的內(nèi)容刪空 ? ARP協(xié)議是沒有身份驗證機制的，局域網(wǎng)內(nèi)任何主機都可以隨意偽造 ARP數(shù)據(jù)包， ARP協(xié)議設(shè)計天生就存在嚴重缺陷。 ARP欺騙原理 ?假設(shè)局域網(wǎng)內(nèi)有以下三臺主機 ,其中 GW指網(wǎng)關(guān)，主機名、 IP地址、 MAC地址分別如下： 主機名 IP地址 MAC地址 GW 010101010101 PC02 020202020202 PC03 030303030303 ?主機 PC03被 ARP木馬所控制 ? 主機 PC03實施 ARP欺騙攻擊，它首先向 PC02發(fā)送了一個ARP數(shù)據(jù)包，作用相當于告訴 PC02： “ 我是 ，我的 MAC地址是 030303030303”，接著他也向 GW發(fā)送了一個 ARP數(shù)據(jù)包，作用相當于告訴 GW： “ 我是，我的 MAC地址是 030303030303” ? 主機 PC02與 GW之間的數(shù)據(jù)流向，以及它們各自的 ARP緩存表就變成如下圖所示： PC02的 ARP地址表： 030303030303 GW的 ARP地址表： 030303030303 ? ARP欺騙之后，主機 PC02與 GW之間的所有網(wǎng)絡(luò)數(shù)據(jù)都將流經(jīng) PC03， 即 PC03已經(jīng)掌控了它們之間的數(shù)據(jù)通訊。 ARP病毒 ? ARP地址欺騙類病毒（以下簡稱 ARP病毒）是一類特殊的病毒，該病毒一般屬于木馬 (Trojan)病毒，不具備主動傳播的特性。但是由于其發(fā)作的時候會向全網(wǎng)發(fā)送偽造的 ARP數(shù)據(jù)包，干擾全網(wǎng)的運行，因此它的危害比一些蠕蟲還要嚴重得多。 ? ARP病毒發(fā)作時的現(xiàn)象 :網(wǎng)絡(luò)掉線，但網(wǎng)絡(luò)連接正常，內(nèi)網(wǎng)的部分 PC機不能上網(wǎng)，或者所有電腦不能上網(wǎng)，無法打開網(wǎng)頁或打開網(wǎng)頁慢，局域網(wǎng)時斷時續(xù)并且網(wǎng)速較慢等 ? ARP病毒的目的主要是：竊取數(shù)據(jù)（盜號等）、篡改數(shù)據(jù)（掛馬等）。 ? 傳奇木馬（ Trojan/） 具有這樣的特性，該木馬一般通過傳奇外掛、網(wǎng)頁木馬等方式使局域網(wǎng)中的某臺電腦中毒，中毒電腦便可嗅探到整個局域網(wǎng)發(fā)送的所有數(shù)據(jù)包，該木馬破解了《傳奇》 游戲 的數(shù)據(jù)包加密算法，通過截獲局域網(wǎng)中的數(shù)據(jù)包，分析數(shù)據(jù)包中的用戶隱私信息，盜取用戶的游戲帳號和密碼。在解析這些封包之后，再將它們發(fā)送到真正的網(wǎng)關(guān)。 當局域網(wǎng)內(nèi)某臺主機運行 ARP欺騙的木馬程序時，會欺騙局域網(wǎng)內(nèi)所有主機和路由器，讓所有上網(wǎng)的流量必須經(jīng)過病毒主機。其他用戶原來直接通過路由器上網(wǎng)現(xiàn)在轉(zhuǎn)由通過病毒主機上網(wǎng)，切換的時候用戶會斷一次線。 切換到病毒主機上網(wǎng)后，如果用戶已經(jīng)登陸了傳奇服務(wù)器，那么病毒主機就會經(jīng)常偽造斷線的假像，那么用戶就得重新登錄傳奇服務(wù)器，這樣病毒主機就可以盜號了。 由于 ARP欺騙的木馬程序發(fā)作的時候會發(fā)出大量的數(shù)據(jù)包導致局域網(wǎng)通訊擁塞以及其自身處理能力的限制，用戶會感覺上網(wǎng)速度越來越慢。當 ARP欺騙的木馬程序停止運行時，用戶會恢復從路由器上網(wǎng)，切換過程中用戶會再斷一次線。 此起彼伏的瞬間掉線或大面積的斷網(wǎng)大都是 ARP欺騙在作怪。 ARP欺騙攻擊已經(jīng)成了網(wǎng)管員的心腹大患。 從影響網(wǎng)絡(luò)連接通暢的方式來看， ARP欺騙分為二種，一種是 對路由器 ARP表的欺騙 ；另一種 是對內(nèi)網(wǎng) PC的網(wǎng)關(guān)欺騙 。 第一種 ARP欺騙的原理是 ——截獲網(wǎng)關(guān)數(shù)據(jù) 。它通知路由器一系列錯誤的內(nèi)網(wǎng) MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在路由器中，結(jié)果路由器的所有數(shù)據(jù)只能發(fā)送給錯誤的 MAC地址，造成正常 PC無法收到信息。 第二種 ARP欺騙的原理是 ——偽造網(wǎng)關(guān) 。它的原理是建立假網(wǎng)關(guān)，讓被它欺騙的 PC向假網(wǎng)關(guān)發(fā)數(shù)據(jù)，而不是通過正常的路由器途徑上網(wǎng)。在 PC看來，就是上不了網(wǎng)了，“網(wǎng)絡(luò)掉線了”。 ARP欺騙木馬的中毒現(xiàn)象表現(xiàn)為：使用局域網(wǎng)時會突然掉線，過一段時間后又會恢復正常。比如客戶端狀態(tài)頻頻變紅，用戶頻繁斷網(wǎng)， IE瀏覽器頻繁出錯，以及一些常用軟件出現(xiàn)故障等。如果局域網(wǎng)中是通過身份認證上網(wǎng)的，會突然出現(xiàn)認證，但不能上網(wǎng)的現(xiàn)象（無法 ping通網(wǎng)關(guān)），重啟機器或在 MSDOS窗口下運行命令 arp d后，又可恢復上網(wǎng)。 ARP欺騙木馬只需成功感染一臺電腦，就可能導致整個局域網(wǎng)都無法上網(wǎng)，嚴重的甚至可能帶來整個網(wǎng)絡(luò)的癱瘓。該木馬發(fā)作時除了會導致同一局域網(wǎng)內(nèi)的其他用戶上網(wǎng)出現(xiàn)時斷時續(xù)的現(xiàn)象外，還會竊取用戶密碼。如盜取 密碼、盜取各種網(wǎng)絡(luò)游戲密碼和賬號去做金錢交易，盜竊網(wǎng)上銀行賬號來做非法交易活動等，這是木馬的慣用伎倆，給用戶造成了很大的不便和巨大的經(jīng)濟損失。 ARP 攻擊的防護 最常用的方法就是做 IP和 MAC靜態(tài)綁定，在網(wǎng)內(nèi)把主機和網(wǎng)關(guān)都做 IP和 MAC綁定。 欺騙是通過 ARP的動態(tài)實時的規(guī)則欺騙內(nèi)網(wǎng)機器，所以我們把 ARP全部設(shè)置為靜態(tài)可以解決對內(nèi)網(wǎng) PC的欺騙，同時在網(wǎng)關(guān)也要進行 IP和 MAC的靜態(tài)綁定，這樣雙向綁定才比較保險。 通過命令， arp s可以實現(xiàn) “ arp –s IP MAC地址 ”。 設(shè)置成功會在 PC上面通過執(zhí)行 arp a 可以看到相關(guān)的提示： Inter Address Physical Address Type AAAAAAAAAAAA static(靜態(tài) ) 一般不綁定 ,在動態(tài)的情況下： Inter Address Physical Address Type AAAAAAAAAAAA dynamic(動態(tài) )
教學課件相關(guān)推薦
鄂ICP備17016276號-1