ARP欺骗所得到的心得（为何称霸局网！）

zxd-5566

局网内的霸道控制\r\n   arp欺骗相信大家都不陌生吧，但有人知道欺骗的这2个字的真实意义吗？呵呵，那arp欺骗发的都是些什么样的arp包呢？arp欺骗该如何防止呢？ arp欺骗对我门有什么有用价值呢？arp欺骗对我门有什么坏处呢？好了和大家说说吧~\r\n    arp欺骗实际就是刷新你本地的arp缓存表，因为arp表一般都是动态的，这就给欺骗者一个好的机会了，他们发的其实就是arp的单播回复，也就是欺骗方主动发起回复来刷新被欺骗方的arp表，你想一想在一个局网里，欺骗者把网关的IP与一个不存在的MAC映射好并且以回复方式发给你，那你的结果会如何呵呵，找不到网关的真实地址了，\r\n注意回复是必须接受的因为协议没有规定要提出请求才会响应，这是一个缺陷哦，它仅仅发给被欺骗者，不信可以抓包看看并且，隐藏了自己的MAC也就是源MAC是个假地址（arp-回复报文的源填的就是个假的）。所以根本发现不了欺骗者，除非利用一些工具来查看出某些网卡此时正处于混乱模式因为从它那里出来的每一个帧的源MAC都不一样，而它自身的MAC没有被发送过。\r\n  \r\n   当你是被欺骗者你接收到了一个不存在的网关MAC时那你就与公网断开了。当你接收到的网关MAC是欺骗者的MAC时，那你就会把数据都指向欺骗者从而欺骗者利用一些密码绣探工具和抓包工具监视到你的明文密码以及你的访问信息。这是十分危险的，欺骗者接到了你门的数据时，它再提交给网关，网关会认为数据就是它发的，它会修改源MAC地址，当然源IP是不会变的，从而网关回应你时根本不会去找你，它会直接提交给欺骗者包过你要与外部建立的TCP连接都会经过欺骗者的MAC，这样的话你所与外部的通信完全是要经过欺骗者的监视，它可以采取任何手段管理你。包过流量限制，从而使其自身称霸整个局网。要防止这样的事arp -s 网关IP  网关MAC  静态捆绑是个很不错的选择。在本机哦！\r\n\r\n   注意ARP欺骗有些利用工具是会发2份请求的，一份发给网关告诉网关，被欺骗的主机IP对应的MAC地址是（一个假的MAC）网关就被欺骗了，从而你起码要等20分钟因为这是一个刷新时间，如果这段时间内欺骗者不发假消息了，你可以得到恢复，但如果持续的话，那估计你一直都上不了就算你在本地arp -s 捆绑了网关与网关自己的MAC，因为网关不知道你的位置，所以它不会发数据给你。这样的话我本必须在网关接口上把下面的主机IP与MAC地址绑定住，让网关不被欺骗，同时要在下面主机上把网关的IP与网关的MAC捆绑在一起。这样做就很安全了，同时防止了更高层的欺骗，如ICMP重定向。\r\n   \r\n    在广网中一般不存在这样的问题，因为大多情况都是PPP 或是PPPOE，PPP根本没有物理地址字段，PPPOE则要看MAC地址，但它也是点对点的，也就是说对方只能看见你，不存在这样的欺骗手段了，最多就是能够把接受者对换一下，很多ADSL用户为了突破电信的限制使多人路由NAT上网，做的就是一个MAC地址克隆把原本接入的PCMAC 克垄到进行PPPOE拨号的设备上。对方首先要进行PPPOE的认证之后才会进行PPP协商的2个阶段LCP NCP！\r\n     \r\n    另外有很多朋友都知道吧，2个MAC地址一样，也能上网并且不会提示冲突，这样是一种错误的方式，你会发现有时你依然会掉线，对方的arp表里会缓存2个IP对应一个MAC的情况这不是关键，关键的地方是交换机的接口设计的时候是不允许同一个MAC地址出现在多个接口的，也就是说MAC表里不会存在2个接口对应一个MAC的情况，这样的做的后果是，交换机MAC表动荡，一会发给第1接口一会发给第2接口。或许 你在同一个交换机的接口下又接了一个交换机，但结果还是一样，2层交换机只认识MAC表，2个接口对应一个MAC将引起MAC动荡使数据时通时不通。建议不要这样使用，以为是突破认证实际无任何意义！\r\n  IP冲突，很多黑软都带有这个功能，原理上来说就是一个IP对应了2个MAC，在你的PC刚开机的时候你的PC会以广播方式告诉大家，我的IP192.168.1.1对应的MAC是BBBB ，这样如果还有个PC也发了一个IP192.168.1.1，MACAAAA\r\n那这个IP就会出现2个MAC了这样的话就会提示有冲突，黑软就是利用了这一点，他发这样的免费ARP给大家，制造IP冲突，但它自己不会提示，说过了，它只是在伪造数据包，所以源地址那里写的根本就是个假的！这是无法解决的，除非那家伙觉得没乐趣了停止使用，但这样对你没有什么影响，只是烦人的提示！只要被更改你的arp缓存就不会存在问题。\r\n   查找这样的欺骗者，我门只能通过抓包手段仔细分析，而且要有以前没混乱时IP与MAC的对应关系，从而一一对照。\r\n记得一点看包流向是看源IP与目标IP，当然经过地址翻译时有所改变，但对用户自己来说是透明的操作。我依然可以\r\n抓到外网的源IP，提示一下源地址转换其实就是转换的我门本身内网的IP为我门的出口地址，当回来的时候，目标的IP\r\n是我门的出口并且端口也是在出口处开放的端口不满足这2个条件的我门就会扔了！所以反向NAT实际上只是固定了一些关系\r\n固定了内部端口与出口端口的关系让出口不改变我门的接口，而后允许可更多的外部地址能访问出口处，从而出口原版的将\r\n数据递交给内网中。大家抓包分析就能发现，其实ping是不带端口的，别人ping不到你内网只是因为没有到内部的路由！\r\n呵呵扯了点题外话！大家看帧的流向是看MAC地址这个东西是每经过一次转发就要改变的。它才是网络的基础！如果有人扰乱\r\n它的流向，那就是一种欺骗以及入侵方式。\r\n  推荐大家的软件密码监听器2.5绿色版，该软件使用了arp欺骗方式让整个局网的数据都投递到欺骗者这里，从而对数据过滤取得明文密码。\r\n同时我门利用它，加上一个P2P网络终结者2.07企业绿色版。就能对整个局网进行管理，结合局网QQ绣探工具！甚至可以管理别人的QQ。（P2P网络终结者选择交换模式就可以实现强制arp代理了！）补充一点，我门是在交换网络，共享的半双工方式已经过时了老套的方法是不能上战场的。\r\n以上工具本人都有网上也有下载的，大家看清楚版本 绿色版否则小心中招。\r\nＩＰ冲突的原理，现在一个局网已经有一个１９２.１６８.１.１的ＩＰ存在了，而我现在又把自己的ＩＰ更改为１９２.１６８.１.１，结果提示了ＩＰ冲突，发生了些什么呢？首先是本机封装一个ＡＲＰ的包格式为：硬件类型　协议类型　硬件地址长度　协议地址长度　操作类型（请求或回应）　发送者ＭＡＣ　发送者ＩＰ（１９２.１６８.１.１更改以后）　想要得到的ＭＡＣ（０.０.０.０没有）　想要得到的ＩＰ（１９２.１６８.１.１我想得到它但要发出去看看网络中是不是已经有了）　以上就是我本机更改ＩＰ时发的　ＡＲＰ包格式．\r\n再这之后我门加上以太帧头，目标是ＦＦＦ的ＭＡＣ地址，源是我本网卡的ＭＡＣ地址（黑软可修改此ＭＡＣ为一个假的所以很难发现），此时我想要得到的ＩＰ已经在网络中存在了如１９２.１６８.１.１　这时，就会提示ＩＰ冲突．为什么，因为你要得到的这个ＩＰ１９２.１６８.１.１对应的ＭＡＣ在网络中还有一个．也就是一ＩＰ对应了２个ＭＡＣ！！注意如果你把ＭＡＣ地址也改为１９２.１６８.１.１所对应的那个ＭＡＣ，那结果是不会提示冲突，因为对方根本不会处理这个ＡＲＰ的免费查询信息了而是忽略了，它根本不知道网络中还存在一个１９２.１６８.１.１因此没有提示冲突．\r\nＩＰ冲突就是这样．\r\ncisco有命令可以完美防止ＡＲＰ欺骗，就是３个．\r\n详细情况请看　http://www.pconline.com.cn/pcjob ... rs/0510/710235.html\r\n内容太多．\r\n\r\n\r\n在这个基础上如果你能让别人认为网关的MAC 是FFFFFFFF。整个局网的PC都在发广播，那后果。就是广播风暴又来了！

dior5566

真的吗 我还不知道呢！

free8729

:rose: 受益不费钱，呵呵