arp协议详解超经典

arp协议详解超经典内容摘要：

没有规定必须在接收到 arp_echo 后才可以发送响应包 .这样的工具很多 ,我们也可以直接用 snifferpro 抓一个 arp 响应包 ,然后进行修改。 你可以人为地制造 这个包。 可以指定 ARP 包中的源 IP、目标 IP、源 MAC 地址、目标 MAC地址。 这样你就可以通过虚假的 ARP 响应包来修改主机 A上的动态 ARP 缓存达到欺骗的目的。 下面是具体的步骤： 1. 他先研究 这台主机，发现这台主机的漏洞。 2. 根据发现的漏洞使主机 C 当掉，暂时停止工作。 3. 这段时间里，入侵者把自己的 ip 改成 4. 他用工具发一个源 ip 地址为 源 MAC 地址为 BB:BB:BB:BB:BB:BB 的包给主机 A，要求主机 A更新自己的 arp 转换表。 5. 主机更新了 arp 表中关 于主机 C 的 ipmac 对应关系。 6. 防火墙失效了，入侵的 ip 变成合法的 mac 地址，可以 tel 了。 上面就是一个 ARP 的欺骗过程，这是在同网段发生的情况，但是，提醒注意的是，在 B和C 处于不同网段的时候，上面的方法是不起作用的。 不同网段的 ARP 欺骗 起飞网络 汤良华 7 图 3 不同网段之间的 ARP 欺骗 如图 3 所 示 A、 C 位于同一网段而主机 B位于另一网段，三台机器的 ip 地址和硬件地址如下： A: ip 地址 硬件地址 AA:AA:AA:AA:AA:AA B: ip 地址 硬件地址 BB:BB:BB:BB:BB:BB C: ip 地址 硬件地址 CC:CC:CC:CC:CC:CC 在现在的情况下，位于 网段的主机 B如何冒充主机 C欺骗主机 A呢。 显然用上面的办法的话，即使欺骗成功，那么由主机 B和主机 A之间也无法建立 tel 会话，因为路由器 不会把主机 A发给主机 B的包向外转发，路由器会发现地址在 之内。 现在就涉及到另外一种欺骗方式― ICMP 重定向。 把 ARP 欺骗和 ICMP 重定向结合在一起就可以基本实现跨网段欺骗的目的。 什么是 ICMP 重定向呢。 ICMP 重定向报文是 ICMP 控制报文中的一种。 在特定的情况下，当路由器检测到一台机器使用非优化路由的时候，它会向该主机发送一个 ICMP 重定向报文，请求主机改变路由。 路由器也会把初始数据报向它的目的地转发。 我们可以利用 ICMP 重定向报文达到欺骗的目的。 下面是结合 ARP 欺骗和 ICMP 重定向进行攻击的步骤： 1. 为了使自己发出的非法 ip 包能在网络上能够存活长久一点，开始修改 ip 包的生存时间 ttl为下面的过程中可能带来的问题做准备。 把 ttl改成 255. (ttl定义一个 ip 包如果在网络上到不了主机后，在网络上能存活的时间，改长一点在本例中有利于做充足的广播 ) 起飞网络 汤良华 8 2. 下载一个可以自由制作各种包的工具（例如 hping2） 3. 然后和上面一样，寻找主机 C 的漏洞按照这个漏洞当掉主机 C。 4. 在该网络的主机找不到原来的 后，将更新自己的 ARP 对应表。 于是他发送一个原 ip 地址为 硬件地址为 BB:BB:BB:BB:BB:BB 的 ARP 响应包。 5. 好了，现在每台主机都知道了，一个新的 MAC 地址对应 ,一个 ARP 欺骗完成了，但是，每台主机都只会在局域网中找这个地址而根本就不会把发送给 的 ip 包丢给路由。 于是他还得构造一个 ICMP 的重定向广播。 6. 自己定制一个 ICMP 重定向包告诉网络中的主机： 到 的路由最短路径不是局域网，而是路由，请主机重定向你们的路由路径，把所有到 的 ip 包丢给路由。 7. 主机 A 接受这个合理的 ICMP 重定向，于是修改自己的路由路径，把对 的通讯都丢给路由器。 8. 入侵者终于可以在路由外收到来自路由内的主机的 ip 包了，他可以开始 tel 到主机的 23 口。 其实上面的想法只是一种理想话的情况，主机许可接收的 ICMP 重定向包其实有很多的限制条件，这些条件使 ICMP 重定向变的非常困难。 TCP/IP 协议实现中关于主机接收 ICMP 重定向报文主要有下面几条限制： 1. 新路由必须是直达的 2. 重定向包必须来自去往目标的当前路由 3. 重定向包不能通知主机用自己做路由 4. 被改变的路由必须是一条间接路由 由于 有这些限制，所以 ICMP 欺骗实际上很难实现。 但是我们也可以主动的根据上面的思维寻找一些其他的方法。 更为重要的是我们知道了这些欺骗方法的危害性，我们就可以采取相应的防御办法。 ARP 欺骗的防御 知道了 ARP 欺骗的方法和危害，我们给出一些初步的防御方法： 1. 不要把你的网络安全信任关系建立在 ip 地址的基础上或硬件 mac地址基础上，（ rarp同样存在欺骗的问题），理想的关系应该建立在 ip+mac 基础上。 2. 设置静态的 macip 对应表，不要让主机刷新你设定好的转换表。 3. 除非很有必要，否则停止使用 ARP， 将 ARP 做为永久条目保存在对应表中。 在 linux下可以用 ifconfig arp 可以使网卡驱动程序停止使用 ARP。 起飞网络 汤良华 9 4. 使用代理网关发送外出的通讯。 5. 修改系统拒收 ICMP 重定向报 在 linux 下可以通过在防火墙上拒绝 ICMP 重定向报文或者是修改内核选项重新编译内核来拒绝接收 ICMP 重定向报文。 在 win2020 下可以通过防火墙和 IP 策略拒绝接收 ICMP 报文。 4 代理 ARP的应用 代理 ARP 有两大应用 ,一个是有利的就是我们在防火墙实现中常说的透明模式的实现 ,另一个是有害的就是通过它可以达到在交换环境中进行 嗅探的目的 .由此可见同样一种技术被应用于不同的目的 ,效果是不一样的 . 我们先来看交换环境中局域网的嗅探 . 通常在局域网环境中，我们都是通过交换环境的网关上网的。 在交换环境中使用 NetXray或者 NAI Sniffer 一类的嗅探工具除了抓到自己的包以外，是。