【正文】 arp a的輸出 報文格式 IPMAC 映射 [9] 每個網(wǎng)卡都有自己全球唯一的 MAC地址，它們是以 MAC地 址來傳輸以太網(wǎng)數(shù)據(jù)包的，它們不可能識別 IP 包中的 IP 地址，實際上網(wǎng)卡把 收 到的包提交到協(xié)議棧的緩沖，成為鏈路層包，再分離出 IP 層的包，再分離出 TCP ， UDP? 。 包的格式 一個 ARP包是分為兩個部分的，前面一個是物理幀頭或 EtherHeader，后面一個才是 ARP 幀或 ArpFrame[10]。 表 對局域網(wǎng)內(nèi)所有的主機 MAC 地址進行廣播，包括：接收方的 MAC 地址、發(fā)送方 MAC 地址、網(wǎng)絡的類型這里就是以太網(wǎng)默認值為（ 0X0806）。另需填充是發(fā)送方的 MAC地址。 typedef struct { unsigned char eh_dst[MAC_ADDR_LEN]。 //以太網(wǎng)源地址 unsigned short eh_type。//字符指針用來執(zhí)行 ARP 頭部 } ETH_t, *pETH_t。操作碼就是請求和應答，其他 MAC地址和 IP 地址根據(jù)發(fā)送接收的關系來填寫。 (Ⅰ )請求包的填充 比如電腦 MAC 地址為 aaaaaaaaaaaa ， IP 為 需查詢 的 MAC 地址 。 表 ARP 請求包中的 DLC 幀頭 12 字段 長度（ Byte） 填充值 接收方 MAC 6 Ffffffffffff 發(fā)送發(fā) MAC 6 Aaaaaaaaaaaa Ethertype 2 0x0806 接下來是 請求包 的 ARP幀， 由前面的填充包中，知道針對交換式以太網(wǎng) [12]，很多字字段是默認的數(shù)據(jù)如硬件類型等。在不知道接收方 MAC 地址的情況下，對于接收 方 MAC 填入任意值就行，不起作用 ，對于其它的 MAC 地址和 IP 地址按照對應關系填寫， 具體格式如 表 所示 。 bbbbbbbbbbbb dynamic 這 里假設 （ MAC 為 bbbbbbbbbbbb） 這樣 的 ARP緩存中就會多了一條關于我們 的地址映射。這時接收方的 MAC 地址和發(fā)送方的 MAC 地址互換，接收方 MAC 地址為 Bbbbbbbbbbbb，發(fā)送方的 MAC 地址為 Aaaaaaaaaaaa，以太網(wǎng) 類型還為 0x0806，如表 所示。 MAC地址和 IP 地址按照對應關系填寫， 具體格式如 表 所示 。如果按照 ARP的格式來發(fā)送數(shù)據(jù)包，只要信息有效計算機就會根據(jù)包中的內(nèi)容做相應的反應 ，如果操縱網(wǎng)卡設備發(fā)送數(shù)據(jù)和掌握包的格式，便可以做欺騙攻擊。現(xiàn)在存在多臺主機連接在路由器上，這里只是說明網(wǎng)關欺騙技術的基本原理。 所示。 ARP 掃描（ ARP 請求風暴）通訊模式（可能）： 請求 請求 請求 請求 請求 請求 應答 請求 請求 請求 ... 描述： 網(wǎng)絡中出現(xiàn)大量 ARP 請求廣播包，幾乎都是對網(wǎng)段內(nèi)的所有主機進行掃描。 出現(xiàn)原因（可能）： 病毒 程序，偵聽程序，掃描程序。當計算機接收到 ARP應答數(shù)據(jù)包的時候，就會對本地的 ARP 緩存進行更新，將應答中的 IP 和 MAC 地址存儲在 ARP 緩存中。 網(wǎng)關欺騙代碼實現(xiàn) 偽造 ARP包結構 首先，要把構造的數(shù)據(jù)包發(fā)送到整個局域網(wǎng)上，所以接收方的 MAC 地址應該為ffffffffffff，發(fā)送方 MAC地址，可以通過開始 運行 cmdipconfig/all 查詢，以太網(wǎng)類型為 0x0806，物理幀頭的設 置如表 所示。這里采用了一種比較巧妙的方法就是通過全網(wǎng)段掃描的方法，通過 IP 和 NETMASK(子網(wǎng)掩碼 )進行與運算實現(xiàn)得到接收方的 IP地址，從而實現(xiàn)全網(wǎng)的欺騙。 表 ARP 請求包中 ARP 幀 ARP Frame 字段 長度（ byte） 填充值 硬件類型 2 1 上層協(xié)議類型 2 0x0800 6 4 1 自己的 MAC //fakeip 任意值 xxxxxxxxxxxx IP 跟 NETMASK 形成的地址 0 Mac地址長度 1 IP 地址長度 1 操作碼 2 發(fā)送方 Mac 6 發(fā)送方 Ip 4 接受方 Mac 6 接收 Ip 4 填充數(shù)據(jù) 18 18 遍歷整個網(wǎng)絡的實現(xiàn)方法 這段代碼是實現(xiàn)遍歷整個網(wǎng)絡的核 心代碼 ,要把構造的數(shù)據(jù)包發(fā)送到局域網(wǎng)中傳輸，需要知道三個地址 MAC地址， fakeIp 地址， destIP 地址，通過 getselfmac 地址可以得到 MAC 地址，要偽造的 IP地址，通常是已知的，現(xiàn)在要做的就是知道目的 Ip，基本思想就是通過一個全網(wǎng)段遍歷程序來實現(xiàn)全網(wǎng)段掃描。 unsigned long size = ntohl(~mask)。 mask。 nsize。 //構建假的 ARP 請求包，達到本機偽裝成給定的 IP 地址的目的 packet = BuildArpPacket(mac,fakeIp,destIp)。那么只要在一個局域網(wǎng)內(nèi)用一臺服務器來保存網(wǎng)關的 MAC 地址，在進行通信之前，客戶端先與服務器進行連接，把正確的 Mac地址傳給客戶端，然后客戶端與網(wǎng)關進行正常的通信。 系統(tǒng)設計框架 在客戶端，需要填入正確的網(wǎng)關 MAC地址， 而在攻擊存在的條件下，不知道正確的網(wǎng)關 MAC 地址為多少，那么就需要通過在服務器保存的正確的網(wǎng)關 MAC 地址傳給客戶端來保障網(wǎng)關 MAC 地址正確。下圖展示了通過 socket實現(xiàn)客戶機和服務器之間進行通信的結構模型。最后，在通信完成后關閉套接字。 。在編寫相應程序時，只需按照上流程圖，一步一步編寫相關程序。注意，在通信完成后必須關閉套接字，以免一起內(nèi)存不足或者不 可讀的錯誤。 要從多個方面進行分析，其中可行性最為重要。面對復雜多變的局域網(wǎng)環(huán)境，我們需要考慮系統(tǒng)實現(xiàn)的可行性。必須要注意的是，可行性研究的目的不是解決問題，而是確定問題是否值得去解。因此，對研究課題可行性研究實質(zhì)上是要進行一次壓縮簡化了的系統(tǒng)分析和設計的過程。對于底層的接口，因為我們使用的 windows 系統(tǒng)，所以我們可以通過 winpcap 來實現(xiàn)底層的一些操作。 22 （ 2） 經(jīng)濟可行性 這個系統(tǒng)的經(jīng)濟可行性，花費成本主要就是 PC 機開發(fā)程序，基本上沒有其他費用，成本比較廉價。 當然，可行性研究最根本的任務是對以后的工作方針提出建議要求。為此，我先對 ARP 底層協(xié)議進行了詳細的理解，又仔細閱讀和分析有關的材料，解決了目標系統(tǒng)的一些限制和約束，同時也確定了該系統(tǒng)是可行的。以三個模板為系統(tǒng)開發(fā)方向來實現(xiàn)可視化功能，輸入數(shù)據(jù)（需要的各種地址如 IP 地址和 MAC 地址等）、 處理數(shù)據(jù)（主要是抓包分析）、顯示處理數(shù)據(jù)得到的結果，每個模塊都具有可行性，從這為以后的工作奠定了方向基礎，有效的縮短了開發(fā)系統(tǒng)的周期。維護網(wǎng)絡安全（特別是局域網(wǎng)），一項重要技術就是網(wǎng)絡的實時監(jiān)控。通過界面圖形和各類數(shù)據(jù)進行輸入輸出內(nèi)容顯示，使用戶可以監(jiān)測整個局域網(wǎng)網(wǎng)絡的運行和使用狀態(tài)。 首先，我們必須實現(xiàn)可視化，對于大多數(shù)使用者來說，不是專業(yè)的操作人員，而且由于系統(tǒng)涉及到網(wǎng)絡安全的問題，可能給他人造成損害，所以我們需要對其進行 相應的 23 設計區(qū)別。 主要就是基本功能，實現(xiàn)監(jiān)控局域網(wǎng)內(nèi)的 ARP欺騙，該用戶不需要設置相關的配置文件。 2．能夠滿足專業(yè)用戶操作的需求。 系統(tǒng)模型 本系統(tǒng)設計 模型 如圖 所 示框圖所示 [14]。攻擊主機作用產(chǎn)生 ARP 欺騙攻擊（主要是指網(wǎng)關欺騙），監(jiān)測主機主要作用就是監(jiān)測攻擊主機偽造的 MAC 地址。存有正確網(wǎng)關MAC地址的主機則是充當了網(wǎng)絡管理員的角色，對局域 網(wǎng)的網(wǎng)關 MAC 地址進行配置。 24 攻 擊 主 機監(jiān) 測 主 機路 由 器交 換 機存 有 正 確 網(wǎng) 關 M A C 的 主 機同 一 局 域 網(wǎng) 其 他 主 機 圖 設計模型中存有正確網(wǎng)關 MAC地址的主機是監(jiān)測主機中配置文件中配置 MAC地址中的核心，得到正確網(wǎng)關 MAC地址是本系統(tǒng)的核心。 下圖中顯示了本系統(tǒng)中應用的基本的數(shù)據(jù)信息：子網(wǎng)掩碼，本地 IP，本地 MAC 地址，網(wǎng)關 MAC 地址，網(wǎng)關 IP，偽造 MAC 地址，然后通過模塊化的控制方案來實現(xiàn)每項功能。比對方法：可 以通過查看 ARP 緩存里面的數(shù)據(jù)得到實時的網(wǎng)關的 IP 地址和網(wǎng)關的 MAC 地址，確定正確的地址與實時的進行比對，從而得到答案。 綁 定 通 信網(wǎng) 關 I P得 到 正 確 的 網(wǎng) 關 M A C 地 址本 地 I P 圖 得到正確的網(wǎng)關 MAC 地址是保障通信的先決條件。下圖給出了一種得到正確 27 網(wǎng)關 MAC 地址的輔助措施。 輸 入 網(wǎng) 關 I P連 續(xù) 發(fā) 送 構 造 請 求 包 路 由 器發(fā) 送 響 應 包顯 示 正 確 的 M A C 地 址連 續(xù) 極 短 時 間 圖 MAC數(shù)據(jù)信息流結構圖 當攻擊存在時，為了修復網(wǎng)絡采用反攻擊手段，監(jiān)控主機構造含有偽造 MAC 地址的數(shù)據(jù)包發(fā)送給攻擊