【正文】 最終達(dá)到防范 ARP攻擊的目的。 第二、 通過計(jì)算機(jī)測試 ARP攻擊和防御，理論聯(lián)系實(shí)際，找到 ARP攻擊防御的方法。 第三、 通過計(jì)算機(jī)測試，對問題進(jìn)行深入分析，最后完成對論文的撰寫工作。文章的創(chuàng)新點(diǎn)在于 描述了 在大型公眾上網(wǎng)環(huán)境中以 多手段相結(jié) 合 ，進(jìn)行整體 防御來應(yīng)對 ARP攻擊 。 本章通過我國目前的網(wǎng)絡(luò)安全問題引入了本文主要研究的課題，介紹了課題研究背景，闡述了課題的研究目的以及意義 。本章首先 從理論上研究了 ARP攻擊的原理 ，詳細(xì)介紹 ARP協(xié)議概念、 ARP幀結(jié)構(gòu)、以及其他相關(guān)概念 ， 最后論證了 ARP協(xié)議缺陷是 ARP攻擊癥結(jié)所在 ，并將 ARP攻擊程序結(jié)構(gòu)進(jìn)行了分析。本章通過 ARP攻擊的特點(diǎn)對其分類，并對每一類攻擊進(jìn)行了詳細(xì)的闡述，歸納總結(jié)出了 ARP攻擊的危害性，為下文實(shí)驗(yàn)背景做鋪墊。本章 通過計(jì)算機(jī)演示 ARP攻擊和防御，提出問題，并加以分析和驗(yàn)證。并對防御策略進(jìn)行了推廣和拓展?？偨Y(jié)了本文所做的各項(xiàng)工作，找出了實(shí)驗(yàn)當(dāng)中存在的不足。 7 第二章 ARP 攻擊原理 ARP工作原理 ARP 協(xié)議簡介 [6] ARP（ Address Resolution Protocol）地址解析協(xié)議用于將計(jì)算機(jī)的網(wǎng)絡(luò)地址（ IP 地址 32 位 ）轉(zhuǎn)化為物理地址（ MAC 地址 48 位） [RFC826]。內(nèi)核（如驅(qū)動(dòng)）必須知道目的端的硬件地址才能發(fā)送數(shù)據(jù)。 ARP 協(xié)議原理 [6] 在 TCP/IP 協(xié)議中，每一個(gè)網(wǎng)絡(luò)結(jié)點(diǎn)是用 IP 地址標(biāo)識(shí)的， IP 地址是一個(gè)邏輯地址。因此，必須建立 IP地址與 MAC 地址 之間的對應(yīng)（映射）關(guān)系， ARP 協(xié)議就是為完成這個(gè)工作而設(shè)計(jì)的。 ARP 分組格式 [7] RFC826 2 定義了 ARP 分組的格式，在以太網(wǎng)上使用的 ARP 分組格式見圖 21。 2 詳見網(wǎng)站： 8 圖 21 ARP 的分組格式 （ 1）以太網(wǎng)首部：以太網(wǎng)首部包括以太網(wǎng)目的地址、以太網(wǎng)源地址和幀類型三部分，以太網(wǎng)目的地址是通信目的端的 MAC 地址 3，長度為 48 位，目的地址為全 1是廣播地址，這時(shí)，電纜上的所有以太接口都要接收此數(shù)據(jù)并進(jìn)行處理。幀類型表示以太網(wǎng)首部所攜帶數(shù)據(jù)的類型，如果是 IP 幀則為 0x0800，如果是 ARP 幀則為 0x0806。其中 ARP 首部包括硬件類型、協(xié)議類型、硬件地址長度、協(xié)議地址長度和操作碼五部分，硬件類型字段值為 1 表示是以太網(wǎng)地址，協(xié)議類型字段值為 0x8000 表示 IP 地址，硬件地址長度為6 表示是以太網(wǎng)硬件地址，協(xié)議地址長度字段值為 4 表示是 IP 地址，操作碼指出了ARP 操作的四種類型，其中 ARP 請求值為 1， ARP 應(yīng)答值為 2， RARP 請求和應(yīng)答分別人 3 和 4（可參見 RARP 協(xié)議的相關(guān)資料，本文不進(jìn)行介紹）； ARP 數(shù)據(jù)部分包括了發(fā)送 方硬件地址、發(fā)送方 IP 地址、目的硬件地址和目的 IP 地址，它們根據(jù)不同情況進(jìn)行填充， ARP 請求包填充除目的硬件地址以外的所有數(shù)據(jù)，而 ARP 應(yīng)答數(shù)據(jù)則填充全部數(shù)據(jù)。 ARP協(xié)議是 “Address Resolution 3 MAC（ Media Access Control 或者 Medium Access Control）地址，意譯為媒體訪問控制，或稱為物理地址、硬件地址，用來定義網(wǎng)絡(luò)設(shè)備的位置。因此一個(gè)主機(jī)會(huì)有一個(gè) MAC 地址，而每個(gè)網(wǎng)絡(luò)位置會(huì)有一個(gè)專屬于它的 IP 地址。位于 OSI網(wǎng)絡(luò)七層模型中的第二層 —數(shù)據(jù)鏈路層。在以太網(wǎng)中，一個(gè)主機(jī)要和另一個(gè)主機(jī)進(jìn)行直接通信，必須要知道目標(biāo)主機(jī)的 MAC地址。 Inter上常用到 DNS域名解析是將 IP地址與域名對應(yīng)起來，而數(shù)據(jù)鏈接層的 “ MAC地址解析 ” 原理與 DNS相似，其實(shí)就是將網(wǎng)卡的 MAC硬件地址與 IP地址對應(yīng)，整個(gè)“ MAC地址解析 ” 的過程其實(shí)就是主機(jī)在發(fā)送幀前將目標(biāo) IP地址轉(zhuǎn)換成目標(biāo) MAC地址的過程。 圖 23 互聯(lián)網(wǎng)名字解析協(xié)議原理 在圖 23所示的互聯(lián)網(wǎng)名字解析方法中，每臺(tái)使用 TCP/IP協(xié)議上網(wǎng)的電腦內(nèi)部都有一個(gè) ARP緩存表，表里的 IP地址與 MAC地址是一一對應(yīng)的。高速緩存中每一項(xiàng)的生存時(shí)間一般默認(rèn)為 2 0分鐘（可通過注冊表修改），緩存的起始時(shí)間從被創(chuàng)建時(shí)開始算起。 圖 24 ARP緩存表 10 更新 ARP 表 回答MAC:bbbbbbbbbbbb 發(fā)送廣播包 需要知道 B 的 MAC A 需要連接 B B的 MAC 地址是否在 ARP 表中 連接bbbbbbbbbbbb 讀取 ARP 表 舉例說明 IPMAC地址表轉(zhuǎn)換工作原理。 主機(jī) IP地址 MAC地址 A aaaaaaaaaaaa B bbbbbbbbbbbb C cccccccccccc D dddddddddddd 表 21 IP地址與 MAC地址對應(yīng)表 根據(jù)表 21的配置，以主機(jī) A（ ）向主機(jī) B（ ）發(fā)送數(shù)據(jù)為例 ， 整個(gè) ARP查詢過程如圖 25所示 。 從圖 25中可以發(fā)現(xiàn)， ARP協(xié)議存在一個(gè)重大的缺陷：每臺(tái)主機(jī)的 ARP表的更新是信任廣播域內(nèi)所有機(jī)器的回應(yīng)包，也就是在說在 ARP協(xié)議中，接受回應(yīng)幀的主機(jī)無法驗(yàn)證回應(yīng)包的真?zhèn)巍? 4 11 更新 ARP 表 回答： MAC:cccccccccccc 發(fā)送廣播包 需要知道 B 的 MAC A 需要連接 B B的 MAC 地址是否在ARP 表中 連接 :cccccccccccc bbbbbbbbbbbb 讀取 ARP 表 在表 25所示環(huán)境，對目標(biāo) A進(jìn)行欺騙。結(jié)果 ， A去 Ping主機(jī)Ｂ卻發(fā)送到了 “ cccccccccccc” 這個(gè)地址上。如此一來 C能夠接收到 A發(fā)送的數(shù)據(jù)楨，數(shù)據(jù)楨的截獲成功。所以，如果要保持 A上的錯(cuò)誤信息， C接下來要做的就是一直連續(xù)不斷地向 A和 B發(fā)送虛假的 ARP 響應(yīng)數(shù)據(jù)幀，讓 A的 ARP緩存中保持被篡改了的 映射表項(xiàng)。這種攻擊最多也 12 就造成 A 與 B 之間連接中斷，無法造成更大危害。 ARP攻擊程序結(jié)構(gòu) [12] 隨著互聯(lián)網(wǎng)的發(fā)展， ARP 攻擊已經(jīng)從早期簡單模式，即發(fā)送 ARP 回應(yīng)包使收欺騙機(jī)器無法上網(wǎng)發(fā)展到不只是對 ARP 協(xié)議層的攻擊。 圖 27 ARP 攻擊的結(jié)構(gòu)框架圖 整個(gè)攻擊的結(jié)構(gòu)如圖 27 所示，所有 ARP 類攻擊的核心原理是 ARP 協(xié)議 MAC地址欺騙。然后便可以與各種攻擊方式相互結(jié)合，達(dá)到數(shù)據(jù)篡改、數(shù)據(jù)監(jiān)聽、停止服務(wù)攻擊，以及病毒掛載的目的。 13 圖 31 仿冒 網(wǎng)關(guān)攻擊示意圖 仿冒網(wǎng)關(guān)攻擊是一種比較常見的攻擊方式，如果攻擊源發(fā)送的是廣播 ARP 報(bào)文，或者根據(jù)其自身所掌握的局域網(wǎng)內(nèi)主機(jī)的信息依次地發(fā)送攻擊報(bào)文，就可能會(huì)導(dǎo)致整個(gè)局域網(wǎng)通信的中斷，是 ARP 攻擊中影響較為嚴(yán)重的一種。 圖 32 欺騙網(wǎng)關(guān)攻擊 14 (2) 欺騙其他用戶 如圖 33 所示，主機(jī) A 仿冒主機(jī) B 向主機(jī) C 發(fā)送了偽造的 ARP 報(bào)文，導(dǎo)致主機(jī)C 的 ARP 表中記錄了錯(cuò)誤的主機(jī) B 地址映射關(guān)系，從而正常的數(shù)據(jù)報(bào)文不能正確地被主機(jī) B 接收。攻擊者就利用這一點(diǎn)，通過偽造大量源 IP 地址變化的 ARP 報(bào)文，使設(shè)備 ARP 表溢出，合法用戶的 ARP 報(bào)文不能生成有效的 ARP 表項(xiàng)，導(dǎo)致正常通信中斷。 ARP攻擊的危害 [15] ARP 欺騙不同于通常攻擊可造成的巨大破壞。實(shí)際上他的危害還不僅僅如此，一般來說 IP 地址的沖突我們可以通過多種方法和手段來避免，而 ARP 協(xié)議工作在更低層，隱蔽性更高。而且很多黑客工具，可以隨時(shí)發(fā)送 ARP 欺騙數(shù)據(jù)包和 ARP 恢復(fù)數(shù)據(jù)包，這樣就可以實(shí)現(xiàn)在一臺(tái)普通計(jì)算機(jī)上通過發(fā)送 ARP 數(shù)據(jù)包的方法來控制網(wǎng)絡(luò)中任何一臺(tái)計(jì)算機(jī)的網(wǎng)絡(luò)連接截獲其通訊數(shù)據(jù)并可做篡改以加 5 泛洪（ Flooding）是交換機(jī)和網(wǎng)橋使用的一種數(shù)據(jù)流傳遞技術(shù)，將某個(gè)接口收到的數(shù)據(jù)流從除該接口之外的所有接口發(fā)送出去。這點(diǎn)在以前是不可能的，因?yàn)槠胀ㄓ?jì)算機(jī)沒有管理權(quán)限來控制網(wǎng)關(guān)所以說。歸納 ARP欺騙類攻擊的危害性如下： (1)攻擊點(diǎn)范圍廣：不需要攻占具體服務(wù)器，在不獲得目標(biāo)主機(jī)的權(quán)限的條件下，只要在網(wǎng)絡(luò)環(huán)境的任何一個(gè)點(diǎn)上安放一臺(tái)“肉機(jī)”便可以感染整個(gè)網(wǎng)段； (2)攻擊非常隱蔽：不需要改動(dòng)任何目標(biāo)主機(jī)的頁面或者是配置 ,在網(wǎng)絡(luò)傳輸?shù)倪^ 程中間直接插入病毒的代碼； (3)發(fā)覺困難 ：如沒有機(jī)房網(wǎng)絡(luò)管理人員協(xié)助協(xié)查，服務(wù)器系統(tǒng)管理員光靠系統(tǒng)日志無法在短時(shí)間內(nèi)找到攻擊源； (4)恢復(fù)復(fù)雜：網(wǎng)站管理員即時(shí)發(fā)現(xiàn)被攻擊后，但是從系統(tǒng)層面上無法自己清除； (5)攻擊手段變化多樣：黑客可以最大化的