【導(dǎo)讀】IP數(shù)據(jù)包常通過以太網(wǎng)發(fā)送。以太網(wǎng)設(shè)備并不識別32位IP地址：它們是以48位以太網(wǎng)地。因此，IP驅(qū)動器必須把IP目的地址轉(zhuǎn)換成以太網(wǎng)網(wǎng)目的地址。這兩種地址之間存在著某種靜態(tài)的或算法的映射，常常需要查看一張表。ARP工作時，送出一個含有所希望的IP地址的以太網(wǎng)廣播數(shù)據(jù)包。代表該主機的系統(tǒng)，以一個含有IP和以太網(wǎng)地址對的數(shù)據(jù)包作為應(yīng)答。對高速緩存起來，以節(jié)約不必要的ARP通信。如果有一個不被信任的節(jié)點對本地網(wǎng)絡(luò)具有寫訪問許可權(quán)，那么也會有某種風(fēng)險。機器可以發(fā)布虛假的ARP報文并將所有通信都轉(zhuǎn)向它自己，然后它就可以扮演某些機器，ARP機制常常是自動起作用的。ARP映射可以用固件，并且具有自動抑制協(xié)議達到防止干擾的目的。4個八位組表示，在以后的圖中，我們也將遵循這一方式。硬件類型字段指明了發(fā)送方想知道的硬件接口類型，以太網(wǎng)的值為1。協(xié)議類型字段指明了。不變沒有超時，不像高速緩存中的條目要在一定的時間間隔后更新。

　　

【正文】 轉(zhuǎn)發(fā)到 eth1,把目標地址是 DMZ網(wǎng)段服務(wù)器的包轉(zhuǎn)發(fā)到 linux下面用 route命令實現(xiàn) route add dev eth0 route add route add dev eth2 route add dev eth3 起飛網(wǎng)絡(luò) 湯良華 13 (針對 DMZ網(wǎng)段里面的每臺服務(wù)器都要增加一條單獨的路由 ) 現(xiàn)在我們就已經(jīng)實現(xiàn)了一個 簡單的 arp 代理的透明接入 ,當然對應(yīng)于防火墻的 iptables部分要另外配置 ,iptables的配置不在本文范疇之內(nèi) . 小結(jié) 本文介紹了 ARP 協(xié)議以及與其相關(guān)的安全問題。一個重要的安全問題就是 ARP 欺騙，我們講到了同一網(wǎng)段的 ARP 欺騙以及跨網(wǎng)段的 ARP 欺騙和 ICMP 重定向相結(jié)合的方法。由于有這些安全問題的存在，我們給出一些最基本的解決辦法。最后談到了利用代理 ARP 實現(xiàn)在交換網(wǎng)絡(luò)中嗅探和防火墻的透明接入。 有關(guān)更深入的知識請參考 RFC82 RFC81 RFC102 RFC1166以及有關(guān) dugsong 有 關(guān)的網(wǎng)頁： 五 : ARP 協(xié)議 的數(shù)據(jù)結(jié)構(gòu)： typedef struct arphdr { unsigned short arp_hrd。 /* 硬件類型 */ unsigned short arp_pro。 /* 協(xié)議 類型 */ unsigned char arp_hln。 /* 硬件地址長度 */ unsigned char arp_pln。 /* 協(xié)議 地址長度 */ unsigned short arp_op。 /* ARP 操作類型 */ unsigned char arp_sha[6]。 /* 發(fā)送者的硬件地址 */ unsigned long arp_spa。 /* 發(fā)送者的 協(xié)議 地址 */ unsigned char arp_tha[6]。 /* 目標的硬件地址 */ unsigned long arp_tpa。 /* 目標的 協(xié)議 地址 */ }ARPHDR, *PARPHDR。 六 、 IP 地址沖突 我們知道，如果網(wǎng)絡(luò)中存在相同 IP 地址的主機的時候，就會報告出 IP 地址沖突的警告。這是怎么產(chǎn)生的呢？ 比如某主機 B規(guī)定 IP 地址為 ，如果它處于開機狀態(tài)，那么其他機器 A更 改 IP 地址為 就會造成 IP 地址沖突。其原理就是：主機 A在連接網(wǎng)絡(luò)（或更 改IP 地址）的時候就會向網(wǎng)絡(luò)發(fā)送 ARP 包廣播自己的 IP 地址，也就是 free arp。如果網(wǎng)絡(luò)中存在相同 IP 地址的主機 B，那么 B就會通過 ARP 來 reply 該地址，當 A接收到這個 reply后， A就會跳出 IP 地址沖突的警告，當然 B也會有警告。 因此用 ARP 欺騙可以來偽造這個 ARP reply，從而使目標一直遭受 IP 地址沖突警告的困擾。 起飛網(wǎng)絡(luò) 湯良華 14 七 、阻止目標的數(shù)據(jù)包通過網(wǎng)關(guān) 比如在一個局域網(wǎng)內(nèi)通過網(wǎng)關(guān)上網(wǎng)，那么連接外部的計算機上的 ARP 緩存中就存在網(wǎng)關(guān)IPMAC 對應(yīng)記錄。如果，該記錄被更改，那么該計算機向外發(fā) 送的數(shù)據(jù)包總是發(fā)送到了錯誤的網(wǎng)關(guān)硬件地址上，這樣，該計算機就不能夠上網(wǎng)了。 這里也主要是通過 ARP 欺騙進行的。有兩種辦法達到這樣的目的。 向目標發(fā)送偽造的 ARP 應(yīng)答數(shù)據(jù)包，其中發(fā)送方的 IP 地址為網(wǎng)關(guān)的地址，而 MAC 地址則為一個偽造的地址。當目標接收到該 ARP 包，那么就更新自身的 ARP 緩存。如果該欺騙一直持續(xù)下去，那么目標的網(wǎng)關(guān)緩存一直是一個被偽造的錯誤記錄。當然，如果有些了解的人查看 ARP a，就知道問題所在了。 這種方法非常狠，欺騙網(wǎng)關(guān)。向網(wǎng)關(guān)發(fā)送偽造的 ARP 應(yīng)答數(shù)據(jù)包，其中發(fā)送方的 IP 地址為目標的 IP 地址，而 MAC 地址則為一個偽造的地址。這樣，網(wǎng)關(guān)上的目標 ARP 記錄就是一個錯誤的，網(wǎng)關(guān)發(fā)送給目標的數(shù)據(jù)報都是使用了錯誤的 MAC 地址。這種情況下，目標能夠發(fā)送數(shù)據(jù)到網(wǎng)關(guān)，卻不能接收到網(wǎng)關(guān)的任何數(shù)據(jù)。同時，目標自己查看 ARP a 卻看不出任何問題來。 八 、通過 ARP檢測混雜模式節(jié)點 在混雜模式中，網(wǎng)卡進行包過濾不同于普通模式。本來在普通模式下，只有本地地址的數(shù)據(jù)包或者廣播（多播等）才會被網(wǎng)卡提交給系統(tǒng)核心，否則的話，這些數(shù)據(jù)包就直接被網(wǎng)卡拋棄?，F(xiàn)在，混合模式讓所有經(jīng)過的數(shù)據(jù)包都傳遞給 系統(tǒng)核心，然后被 sniffer 等程序利用。 通過特殊設(shè)計的 ARP 請求可以用來在一定程度上檢測處于混雜模式的節(jié)點，比如對網(wǎng)絡(luò)中的每個節(jié)點都發(fā)送 MAC 地址為 FFFFFFFFFFFE的 ARP 請求。對于網(wǎng)卡來說這不是一個廣播地址（ FFFFFFFFFFFF），所以處于普通模式的節(jié)點就會直接拋棄該數(shù)據(jù)包，但是多數(shù)操作系統(tǒng)核心都認為這是一個廣播地址，如果有一般的 sniffer 程序存在，并設(shè)置網(wǎng)卡為混雜模式，那么系統(tǒng)核心就會作出應(yīng)答，這樣就可以判斷這些節(jié)點是否存在嗅探器了。 可以查看，很多基于 ARP 的攻擊都是通過 ARP 欺騙實現(xiàn)的。至于 ARP 欺騙的防范，還是盡可能使用靜態(tài)的 ARP。對于 WIN，使用 arp s 來進行靜態(tài) ARP 的設(shè)置。當然，如果能夠完全使用靜態(tài)的 IP+MAC 對應(yīng)，就更好了，因為靜態(tài)的 ARP 緩存只是相對的。 當然，可以有一些方法來實現(xiàn) ARP 欺騙的檢測。設(shè)置一個 ARP 的嗅探器，其中維護著一個本地網(wǎng)絡(luò)的 IPMAC 地址的靜態(tài)對應(yīng)表，查看所有經(jīng)過的 ARP 數(shù)據(jù)，并檢查其中的 IPMAC對應(yīng)關(guān)系，如果捕獲的 IPMAC 對應(yīng)關(guān)系和維護的靜態(tài)對應(yīng)關(guān)系對應(yīng)不上，那么就表明是一個欺騙的 ARP 數(shù)據(jù)包 了。 一個 ARP 數(shù)據(jù)包發(fā)送程序源代碼和編譯好的 EXE 程序可以參考 ARPSender 程序。注意：需要先安裝 WinPcap