arp代理与欺骗解析

《arp代理与欺骗解析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、代理ARP的应用代理ARP有两大应用,一个是有利的就是我们在防火墙实现中常说的透明模式的实现，另一个是有害的就是通过它可以达到在交换环境中进行嗅探的目的.由此可见同样一种技术被应用于不同的目的，效果是不一样的.我们先来看交换坏境中局域网的嗅探.通常在局域网坏境中，我们都是通过交换环境的网关上网的。在交换环境中使用NetXmy或者NAISniffer一类的嗅探工具除了抓到自己的包以外，是不能看到其他主机的网络通信的。但是我们可以通过利用ARP欺驼可以实现Sniffer的目的。ARP协议是将IP地址解析为M

2、AC地址的协议，局域网中的通信都是基于MAC地址的。图4交换网络中的ARP欺骗如图4所示，三台主机位于一个交换网络的环境中，其中A是网关：A:ip地址192.16&0.1硬件地址AA:AA:AA:AA:AAB:ip地址192.16&0.2硬件地址BB:BB:BB:BB:BBC：ip地址192.168.0.3硬件地址CC:CC:CC:CC:CC在局域网中192.168.0.2和192.168.0.3都是通过网关192.168.0.1±网的，假定攻击者的系统为192.168.0.2,他希望听到192.168

3、.0.3的通信，那么我们就可以利用ARP欺骗实现。这种欺骗的中心原则就是arp代理的应用.主机A是局域网中的代理服务器，局域网中每个节点的向外的通信都要通过它.主机B想要听主机C的通信，它需要先使用ARP欺骗,让主机C认为它就是主机A,这个时候它发一个IP地址为192.168.0.1,物理地址为BB:BB:BB:BB:BB:BB的ARP响应包给主机C,这样主机C会把发往主机A的包发往主机B•同理，还要让网关A相信它就是主机C,向网关A发送一个IP地址为192.168.0.3,物理地址为BB:BB:BB:

4、BB:BB:BB的包.上而这一步的操作和前而的ARP欺骗的原理是一样的，但是还是有问题，过一段时间主机B会发现白己无法上网.所以下面还有一个步骤就是需要在主机B上转发从主机A到主机C的包，并且转发从主机C到主机A的包.现在我们可以看到其实主机B在主机A和主机C的通讯中起到了一个代理的作用，这就是为什么叫做ARP代理的原因.3ARP欺骗我们先复习一下上面所讲的ARP协议的原理。在实现TCP/IP协议的网络环境下，一个ip包走到哪里，耍怎么走是靠路由表定义，但是，当ip包到达该网络后，哪台机器响应这个ip包

5、却是靠该ip包中所包含的硬件mac地址来识别。也就是说，只有机器的硬件mac地址和该ip包中的硬件mac地址相同的机器才会应答这个ip包，因为在网络中，每一台主机都会有发送ip包的时候，所以，在每台主机的内存中，都有一个arp-＞硬件mac的转换表。通常是动态的转换表（该arp表可以手工添加静态条冃）。也就是说，该对应表会被主机在一定的时间间隔后刷新。这个时间间隔就是ARP高速缓存的超时时间。通常主机在发送一个ip包之前，它要到该转换表中寻找和ip包对应的硬件mac地址，如果没有找到，该主机就发送一个A

6、RP广播包，于是，主机刷新自己的ARP缓存。然后发出该ip包。了解这些常识后，现在就可以谈在以太网络屮如何实现ARP欺骗了，可以看看这样一个例子。3.1同一网段的ARP欺骗图2同一网段的arp欺骗如图2所示，三台主机A:ip地址192.16&0.1筱件地址AA:AA:AA:AA:AA:AAB:ip地址192.168.0.2駛件地址BB:BB:BB:BB:BB:BBC:ip地址192」68.0.3硬件地址CC:CC:CC:CC:CC:CC一个位于主机B的入侵者想非法进入主机A,可是这台主机上安装有防火墙。

7、通过收集资料他知道这台主机A的防火墙只对主机C有信任关系(开放23端口(telnet))o而他必须要使用telnet来进入主机A,这个时候他应该如何处理呢？我们这样考虑，入侵者必须让主机A相信主机B就是主机C,如果主机A和主机C之间的信任关系是建立在ip地址之上的。如果单单把主机B的ip地址改的和主机C的一样，那是不能工作的，至少不能可靠地工作。如果你告诉以太网卡设备驱动程序，自己IP是192.168.0.3,那么这只是一种纯粹的竞争关系，并不能达到目标。我们可以先研究C这台机器如果我们能让这台机器暂时

8、当掉，竞争关系就可以解除，这个还是有可能实现的。在机器C当掉的同时,将机器B的ip地址改为192.168.0.3,这样就可以成功的通过23端口telnet到机器A上面，而成功的绕过防火墙的限制。上面的这种想法在下面的情况下是没有作用的，如果主机A和主机C之间的信任关系是建立在硬件地址的基础上。这个时候还需要用ARP欺骗的手段让主机A把自己的ARP缓存中的关于192.168.0.3映射的硬件地址改为主机B的硬件地址。我们可以人为的制造一个ar