ARP 攻 防 测 试 报 告

wroxman

感谢版主,谢谢啊

tingfengmanbu

感谢BZ

fieldstream

下载了，学习啦，楼主牛人，佩服

dushengnan

很好的东东  很用心  赞一个

shixiaoxiao201

恩  版主真的很厉害


顶顶定 ~~~

dillisbest

不错哦，谢谢分享！！！

疯狂叛逆

不过..好东西,谢谢LZ了..

挖土机

lz文章写的不错，lz实验用的是h3c的设备吧，h3c和cisco在概念上有一些不同，尤其是dhcp snooping的定义 上，感觉cisco的定义更为贴切一点儿，前阵子也研究了ARP攻击，觉得现在DHCP Snooping+DAI+IPSG就可以防止ARP攻击：

  1. cisco的dhcp snooping只能够防止私自搭建dhcp server，也就是说dhcp snooping的untrust口是不能提供dhcp服务的（不能发送dhcp offer、ack、nak等数据包），dhcp snooping会根据dhcp ACK包中的IP-MAC-Port-Vlan来动态维护一张你上面提到的binding表，这张表为后面的DAI和IPSG提供数据；
  2. cisco的DAI（Dynamic ARP Inspection）根据1中的binding表来检测port的ARP通信数据包，只有满足上面的IP-MAC地址binding的ARP包设备才允许通过，比如你发送一个ARP Reply冒充GW的数据包是不能通过的；
  3. cisco的IPSG（IP Source Guarding）：在2中只是检测所有的ARP数据包是否符合binding中的内容，如果你的PC在修改IP地址后在PC和GW两端建立static ARP绑定，那么不需要ARP仍然可以访问GW，所以说DAI仍然是优缺点的。cisco就提出了IPSG，来检测所有的IP数据包，查看此port出去的IP地址是否符合1中binding数据库中的内容，如果不符合则不允许通过。
理论上有1、2、3这三个接入功能就可以防止ARP攻击，而且DHCP snooping功能能够设置阈值开控制port发送dhcp数据包的频率，DAI功能还可以设置阈值来控制port发送ARP（当然是合法ARP）的频率，这也防止了dhcp 和ARP的dos攻击。
但是h3c和华为的sw好像是混合了这3个概念，个人觉得这三个概念还是分开比较明晰一点儿。

media008

做的不错的

wonder08

%2009/9/26 10:41:57 CLL-HX-RH6506R-1 ARP/5/DUPIP:检测到IP地址172.19.33.80冲突：0
001-6ccc-519f在端口GigabitEthernet2/0/1VLAN85和00e0-fc25-d5ab在端口GigabitEthern
et2/0/1VLAN85
%2009/9/26 10:41:57 CLL-HX-RH6506R-1 ARP/5/DUPIP:检测到IP地址172.19.33.69冲突：0
01f-d0c5-a17f在端口GigabitEthernet2/0/1VLAN85和00e0-fc25-d5ab在端口GigabitEthern
et2/0/1VLAN85
%2009/9/26 10:41:57 CLL-HX-RH6506R-1 ARP/5/DUPIP:检测到IP地址172.19.33.77冲突：0
01d-7dc8-c925在端口GigabitEthernet2/0/1VLAN85和00e0-fc25-d5ab在端口GigabitEthern
et2/0/1VLAN85
%2009/9/26 10:41:57 CLL-HX-RH6506R-1 ARP/5/DUPIP:检测到IP地址172.19.33.198冲突：
00e0-4c79-1476在端口GigabitEthernet2/0/1VLAN85和00e0-fc25-d5ab在端口GigabitEther
net2/0/1VLAN85
%2009/9/26 10:41:57 CLL-HX-RH6506R-1 ARP/5/DUPIP:检测到IP地址172.19.33.85冲突：0
023-4e07-5e26在端口GigabitEthernet2/0/1VLAN85和00e0-fc25-d5ab在端口GigabitEthern
et2/0/1VLAN85
%2009/9/26 10:41:57 CLL-HX-RH6506R-1 ARP/5/DUPIP:检测到IP地址172.19.33.74冲突：0
003-0da1-6a82在端口GigabitEthernet2/0/1VLAN85和00e0-fc25-d5ab在端口GigabitEthern
et2/0/1VLAN85

以上是在H3C 6506核心交换机上抓的LOG！所有的LOG都是这个
正常的网关地址是172.19.33.254 MAC:00e0-fc25-d5a9
但现在这里冲突的是00e0-fc25-d5ab我在6506上查过，所有的用户IP都没有这个IP。
172.19.33.0/24这个网段经常掉网。
。现在很多ARP不直接攻击网关而是直接攻击别人的PC。