ARP 攻击与防护完全手册

yaya200054

最近在论坛上经常看到关于ARP 病毒的问题，于是在Google 上搜索ARP 关键字，啊哦！\r\n结果出来N 多关于这类问题的讨论。呵呵，俺的求知欲很强：），想再学习ARP 下相关知识，\r\n所以对目前网络中常见的ARP 问题进行了一个总结。现在将其贴出来，希望和大家一起讨\r\n论！\r\n1. ARP 概念\r\n咱们谈ARP 之前，还是先要知道ARP 的概念和工作原理，理解了原理知识，才能更好去面\r\n对和分析处理问题。\r\n1.1 ARP 概念知识\r\nARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，\r\n在本层和硬件接口联系，同时对上层提供服务。\r\nIP 数据包常通过以太网发送，以太网设备并不识别32 位IP 地址，它们是以48 位以太网地\r\n址传输以太网数据包。因此，必须把IP 目的地址转换成以太网目的地址。在以太网中，一\r\n个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC 地址。但这个目标MAC\r\n地址是如何获得的呢？它就是通过地址解析协议获得的。ARP 协议用于将网络中的IP 地址\r\n解析为的硬件地址（MAC 地址），以保证通信的顺利进行。\r\n1.2 ARP 工作原理：\r\nl 首先，每台主机都会在自己的ARP 缓冲区中建立一个 ARP 列表，以表示IP 地址和MAC\r\n地址的对应关系。\r\nl 当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP 列表中是否存\r\n在该 IP 地址对应的MAC 地址，如果有﹐就直接将数据包发送到这个MAC 地址；如果\r\n没有，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的MAC 地址。\r\n此ARP 请求数据包里包括源主机的IP 地址、硬件地址、以及目的主机的IP 地址。\r\nl 网络中所有的主机收到这个ARP 请求后，会检查数据包中的目的IP 是否和自己的IP\r\n地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC 地址\r\n和IP 地址添加到自己的ARP 列表中，如果ARP 表中已经存在该IP 的信息，则将其覆\r\n盖，然后给源主机发送一个 ARP 响应数据包，告诉对方自己是它需要查找的MAC 地址；\r\nl 源主机收到这个ARP 响应数据包后，将得到的目的主机的IP 地址和MAC 地址添加到\r\n自己的ARP 列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP 响\r\n应数据包，表示ARP 查询失败。\r\n例如：A 的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA\r\nB 的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB\r\n根据上面的所讲的原理，我们简单说明这个过程：A 要和B 通讯，A 就需要知道B 的以太网\r\n地址，于是A 发送一个ARP 请求广播（谁是192.168.10.2 ，请告诉192.168.10.1），当B\r\n收到该广播，就检查自己，结果发现和自己的一致，然后就向A 发送一个ARP 单播应答\r\n（192.168.10.2 在BB-BB-BB-BB-BB-BB）。\r\n1.3 ARP 通讯模式\r\n通讯模式（Pattern Analysis）：在网络分析中，通讯模式的分析是很重要的，不同的协议\r\n和不同的应用都会有不同的通讯模式。更有些时候，相同的协议在不同的企业应用中也会出\r\n现不同的通讯模式。ARP 在正常情况下的通讯模式应该是：请求 -> 应答 -> 请求 -> 应答，\r\n也就是应该一问一答。\r\n2. 常见ARP 攻击类型\r\n个人认为常见的ARP 攻击为两种类型：ARP 扫描和ARP 欺骗。\r\n2.1 ARP 扫描（ARP 请求风暴）\r\n通讯模式（可能）：\r\n请求 -> 请求 -> 请求 -> 请求 -> 请求 -> 请求 -> 应答 -> 请求 -> 请求 -> 请求...\r\n描述：\r\n网络中出现大量ARP 请求广播包，几乎都是对网段内的所有主机进行扫描。大量的ARP 请求\r\n广播可能会占用网络带宽资源；ARP 扫描一般为ARP 攻击的前奏。\r\n出现原因（可能）：\r\nü 病毒程序，侦听程序，扫描程序。\r\nü 如果网络分析软件部署正确，可能是我们只镜像了交换机上的部分端口，所以大量ARP\r\n请求是来自与非镜像口连接的其它主机发出的；\r\nü 如果部署不正确，这些ARP 请求广播包是来自和交换机相连的其它主机。\r\n2.2 ARP 欺骗\r\nARP 协议并不只在发送了ARP 请求才接收ARP 应答。当计算机接收到ARP 应答数据包的时\r\n候，就会对本地的ARP 缓存进行更新，将应答中的IP 和MAC 地址存储在ARP 缓存中。所\r\n以在网络中，有人发送一个自己伪造的ARP 应答，网络可能就会出现问题。这可能就是协\r\n议设计者当初没考虑到的！\r\n2.2.1 欺骗原理\r\n假设一个网络环境中，网内有三台主机，分别为主机A、B、C。主机详细信息如下描述：\r\nA 的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA\r\nB 的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB\r\nC 的地址为：IP：192.168.10.3 MAC: CC-CC-CC-CC-CC-CC\r\n正常情况下A 和C 之间进行通讯，但是此时B 向A 发送一个自己伪造的ARP 应答，而这个\r\n应答中的数据为发送方IP 地址是192.168.10.3 （ C 的IP 地址）， MAC 地址是\r\nBB-BB-BB-BB-BB-BB（C 的MAC 地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当\r\nA 接收到B 伪造的ARP 应答，就会更新本地的ARP 缓存（A 被欺骗了），这时B 就伪装成C\r\n了。同时，B 同样向C 发送一个ARP 应答，应答包中发送方IP 地址四192.168.10.1（A 的\r\nIP 地址），MAC 地址是BB-BB-BB-BB-BB-BB（A的MAC 地址本来应该是AA-AA-AA-AA-AA-AA），\r\n当C 收到B 伪造的ARP 应答，也会更新本地ARP 缓存（C 也被欺骗了），这时B 就伪装成\r\n了A。这样主机A 和C 都被主机B 欺骗，A 和C 之间通讯的数据都经过了B。主机B 完全可\r\n以知道他们之间说的什么：）。这就是典型的ARP 欺骗过程。\r\n注意：一般情况下，ARP 欺骗的某一方应该是网关。\r\n2.2.2 两种情况\r\nARP 欺骗存在两种情况：一种是欺骗主机作为“中间人”，被欺骗主机的数据都经过它中转\r\n一次，这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据；另一种让被欺骗主机直接\r\n断网。\r\nl 窃取数据（嗅探）\r\n通讯模式：\r\n应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 请求 -> 应答 -> 应答 ->请求->应答...\r\n描述：\r\n这种情况就属于我们上面所说的典型的ARP 欺骗，欺骗主机向被欺骗主机发送大量伪造的\r\nARP 应答包进行欺骗，当通讯双方被欺骗成功后，自己作为了一个“中间人“的身份。此时\r\n被欺骗的主机双方还能正常通讯，只不过在通讯过程中被欺骗者“窃听”了。\r\n出现原因（可能）：\r\nü 木马病毒\r\nü 嗅探\r\nü 人为欺骗\r\nl 导致断网\r\n通讯模式：\r\n应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 应答 -> 请求…\r\n描述：\r\n这类情况就是在ARP 欺骗过程中，欺骗者只欺骗了其中一方，如B 欺骗了A，但是同时B\r\n没有对C 进行欺骗，这样A 实质上是在和B 通讯，所以A 就不能和C 通讯了，另外一种情\r\n况还可能就是欺骗者伪造一个不存在地址进行欺骗。\r\n对于伪造地址进行的欺骗，在排查上比较有难度，这里最好是借用TAP 设备（呵呵，这个\r\n东东好像有点贵勒），分别捕获单向数据流进行分析！\r\n出现原因（可能）：\r\nü 木马病毒\r\nü 人为破坏\r\nü 一些网管软件的控制功能\r\n3. 常用的防护方法\r\n搜索网上，目前对于ARP 攻击防护问题出现最多是绑定IP 和MAC 和使用ARP 防护软件，\r\n也出现了具有ARP 防护功能的路由器。呵呵，我们来了解下这三种方法。\r\n3.1 静态绑定\r\n最常用的方法就是做IP 和MAC 静态绑定，在网内把主机和网关都做IP 和MAC 绑定。\r\n欺骗是通过ARP 的动态实时的规则欺骗内网机器，所以我们把ARP 全部设置为静态可以解\r\n决对内网PC 的欺骗，同时在网关也要进行IP 和MAC 的静态绑定，这样双向绑定才比较保\r\n险。\r\n方法：对每台主机进行IP 和MAC 地址静态绑定。\r\n通过命令，arp -s 可以实现 “arp –s IP MAC 地址 ”。\r\n例如：“arp –s 192.168.10.1 AA-AA-AA-AA-AA-AA”。\r\n如果设置成功会在PC 上面通过执行 arp -a 可以看到相关的提示：\r\nInternet Address Physical Address Type\r\n192.168.10.1 AA-AA-AA-AA-AA-AA static(静态)\r\n一般不绑定,在动态的情况下：\r\nInternet Address Physical Address Type\r\n192.168.10.1 AA-AA-AA-AA-AA-AA dynamic(动态)\r\n说明：对于网络中有很多主机，500 台，1000 台...，如果我们这样每一台都去做静态绑定，\r\n工作量是非常大的。。。。，这种静态绑定，在电脑每次重起后，都必须重新在绑定，虽然也可\r\n以做一个批处理文件，但是还是比较麻烦的！\r\n3.2 使用ARP 防护软件\r\n目前关于ARP 类的防护软件出的比较多了，大家使用比较常用的ARP 工具主要是欣向ARP\r\n工具，Antiarp 等。它们除了本身来检测出ARP 攻击外，防护的工作原理是一定频率向网络\r\n广播正确的ARP 信息。我们还是来简单说下这两个小工具。\r\n3.2.1 欣向ARP 工具\r\n俺使用了该工具，它有5 个功能：\r\nl IP/MAC 清单\r\n选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。\r\nIP/MAC 扫描。这里会扫描目前网络中所有的机器的IP 与MAC 地址。请在内网运行正常时\r\n扫描，因为这个表格将作为对之后ARP 的参照。\r\n之后的功能都需要这个表格的支持，如果出现提示无法获取IP 或MAC 时，就说明这里的表\r\n格里面没有相应的数据。\r\nl ARP 欺骗检测\r\n这个功能会一直检测内网是否有PC 冒充表格内的IP。你可以把主要的IP 设到检测表格里\r\n面，例如，路由器，电影服务器，等需要内网机器访问的机器IP。\r\n(补充)“ARP 欺骗记录”表如何理解：\r\n“Time”：发现问题时的时间；\r\n“sender”：发送欺骗信息的IP 或MAC；\r\n“Repeat”：欺诈信息发送的次数；\r\n“ARP info”：是指发送欺骗信息的具体内容.如下面例子：\r\ntime sender Repeat ARP info\r\n22:22:22 192.168.1.22 1433 192.168.1.1 is at 00:0e:03:22:02:e8\r\n这条信息的意思是：在22:22:22 的时间,检测到由192.168.1.22 发出的欺骗信息，已经发\r\n送了1433 次，他发送的欺骗信息的内容是：192.168.1.1 的MAC 地址是00:0e:03:22:02:e8。\r\n打开检测功能，如果出现针对表内IP 的欺骗，会出现提示。可以按照提示查到内网的ARP\r\n欺骗的根源。提示一句，任何机器都可以冒充其他机器发送IP 与MAC，所以即使提示出某\r\n个IP 或MAC 在发送欺骗信息，也未必是100％的准确。所有请不要以暴力解决某些问题。\r\nl 主动维护\r\n这个功能可以直接解决ARP 欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内\r\n不停的广播制定的IP 的正确的MAC 地址。\r\n“制定维护对象”的表格里面就是设置需要保护的IP。发包频率就是每秒发送多少个正确\r\n的包给网络内所有机器。强烈建议尽量少的广播IP，尽量少的广播频率。一般设置1 次就\r\n可以，如果没有绑定IP 的情况下，出现ARP 欺骗，可以设置到50－100 次，如果还有掉线\r\n可以设置更高，即可以实现快速解决ARP 欺骗的问题。但是想真正解决ARP 问题，还是请\r\n参照上面绑定方法。\r\nl 欣向路由器日志\r\n收集欣向路由器的系统日志，等功能。\r\nl 抓包\r\n类似于网络分析软件的抓包，保存格式是.cap。\r\n3.2.1 Antiarp\r\n这个软件界面比较简单，以下为我收集该软件的使用方法。\r\n1、填入网关IP 地址，点击［获取网关地址］将会显示出网关的MAC 地址。点击[自动防护]\r\n即可保护当前网卡与该网关的通信不会被第三方监听。注意：如出现ARP 欺骗提示，这说明\r\n攻击者发送了ARP 欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的\r\nMAC 地址，利用MAC 地址扫描器可以找出IP 对应的MAC 地址.\r\n2、IP 地址冲突\r\n如频繁的出现IP 地址冲突，这说明攻击者频繁发送ARP 欺骗数据包，才会出现IP 冲突的警\r\n告，利用Anti ARP Sniffer 可以防止此类攻击。\r\n3、您需要知道冲突的MAC 地址，Windows 会记录这些错误。查看具体方法如下：\r\n右击[我的电脑]--[管理]--点击[事件查看器]--点击[系统]--查看来源为[TcpIP]---双击\r\n事件可以看到显示地址发生冲突，并记录了该MAC 地址，请复制该MAC 地址并填入Anti ARP\r\nSniffer 的本地MAC 地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，\r\n为了使MAC 地址生效请禁用本地网卡然后再启用网卡，在CMD 命令行中输入Ipconfig /all，\r\n查看当前MAC 地址是否与本地MAC地址输入框中的MAC地址相符，如果更改失败请与我联系。\r\n如果成功将不再会显示地址冲突。\r\n注意:如果您想恢复默认MAC 地址,请点击[恢复默认],为了使MAC 地址生效请禁用本地网卡\r\n然后再启用网卡。\r\n3.3 具有ARP 防护功能的路由器\r\n这类路由器以前听说的很少，对于这类路由器中提到的ARP 防护功能，其实它的原理就是\r\n定期的发送自己正确的ARP 信息。但是路由器的这种功能对于真正意义上的攻击，是不能\r\n解决的。\r\nARP 的最常见的特征就是掉线，一般情况下不需要处理一定时间内可以回复正常上网，因为\r\nARP 欺骗是有老化时间的，过了老化时间就会自动的回复正常。现在大多数路由器都会在很\r\n短时间内不停广播自己的正确ARP 信息，使受骗的主机回复正常。但是如果出现攻击性ARP\r\n欺骗(其实就是时间很短的量很大的欺骗ARP，1 秒有个几百上千的)，它是不断的发起ARP\r\n欺骗包来阻止内网机器上网，即使路由器不断广播正确的包也会被他大量的错误信息给淹\r\n没。\r\n可能你会有疑问：我们也可以发送比欺骗者更多更快正确的ARP 信息啊？如果攻击者每秒\r\n发送1000 个ARP 欺骗包，那我们就每秒发送1500 个正确的ARP 信息！\r\n面对上面的疑问，我们仔细想想，如果网络拓扑很大，网络中接了很多网络设备和主机，大\r\n量的设备都去处理这些广播信息，那网络使用起来好不爽，再说了会影响到我们工作和学习。\r\nARP 广播会造成网络资源的浪费和占用。如果该网络出了问题，我们抓包分析，数据包中也\r\n会出现很多这类ARP 广播包，对分析也会造成一定的影响。\r\n呵呵，不知不觉说这么多，上面会可能会有说的不正确和不够的地方，希望大家多多讨论。

glovers

好像没有一个完全处理arp的方法，上次我们这里出现arp病毒也是重装了一些发包多的电脑。

shengbaojun

感谢楼主分享,学习了！

gzhw1017

很详细，先收下，谢谢了！

rzmzhiming

先收下，谢谢了！

cookietao

thank you very much