1、黑客攻防技术入门之 ARP 篇ARP（Address Resolution Protocol） ，即地址解析协议。所谓地址解析，也就是将 IP 地址转换为 MAC 地址的过程。在局域网中，任何两台计算机之间进行通信前，都必须知道对方的 MAC 地址，所以 ARP 这个协议就非常重要。但如果该协议被恶意用于对网络进行攻击，会对局域网产生重大影响，甚至导致网络瘫痪。下面就将对 ARP 攻击的原理，类型以及如何用科来对 ARP 攻击进行定位，排除等。ARP 欺骗攻击的类型大致分为两种：一种是对路由器 ARP 表的欺骗，另一种是对内网电脑的网关进行欺骗。对路由器进行 ARP 表的欺骗：对路由器发送一系
2、列错误的内网 MAC 地址，长时间不断发送，冲刷路由器的 ARP 表，使得路由器 ARP 表中都是错误信息，转发数据的时候都发向错误的 MAC 地址，造成正常的电脑无法收取信息，而假冒者可以窃取相关的信息。对内网电脑的网关进行欺骗：主要是通过建立假网关，让被他欺骗的电脑向这个假网管发送数据，而不是通过正常的路由器途径上网，这种欺骗造成的结果就是网络掉线。那么攻击者是如何来进行 ARP 攻击的呢？在这里向大家介绍一款软件，名称为 WinArpAttacker，我们可以用这个来做一下实验。在使用 WinArpAttacker 之前，首先需要安装 Winpcap，用于为应用程序提供访问网络低层的能力
3、的软件。然后我们打开 winarpattacker。其界面如此。在实行攻击之前，我们首先要对整个局域网内的计算机进行扫描，以确定要攻击的主机。单击扫描以后，我们可以看到，整个局域网 192.168.9.0/24 内的所有计算机的 IP 地址、主机名和 MAC 地址都显示出来了。在扫描的时候，打开科来软件我们瞬间捕捉下来了扫描的过程，见下图：双击打开诊断事件，我们观察一下数据包的内容其中 9.66 就是我试验用的主机，可以很明显看到，时间差几乎在 1 微秒，大量持续的扫描在一秒不到的时间内，发送了 254 个 ARP 包进行扫描，最终得出了整个局域网的情况。在平时，我们在诊断中发现有 ARP 请
4、求风暴的时候，可能就是黑客正在利用 ARP 扫描来进行对局域网内主机信息的分析，我们就要当心，及时做好防范措施。在扫描完了之后，我们可以选中其中一台主机，来进行攻击。在这里，笔者设定 flood 是 1000 次，进行攻击后，用科来软件进行分析几乎是在瞬间，完成了攻击，这样的攻击，如果硬件性能不够好，可能会在瞬间崩溃，直至宕机等严重的情况。可以看到，攻击用的 MAC 地址完全是假冒的 01: 01: 01: 01: 01: 01，在科来软件的诊断中，就出现了 ARP 格式违规。查看源 IP 地址就可以找出攻击来源。再尝试禁止网关的攻击。我们可以在数据包中分析：由于不断在误导计算机错误的网关，导
5、致了该计算机的数据转发向了一个虚假的地址，最终导致无法正常上网。最后，我们来尝试下 IP 地址冲突的攻击。从科来软件的诊断功能中，我们可以看到：在几秒钟之内，就出现了 57 次的 IP 地址冲突，在诊断事件中打开详细的数据包内容：我们可以通过解码看到，9.66 不停地再宣告自己在 01: 01: 01: 01: 01: 01 和F0:4D:A2:95:A5:F7,很明显产生了冲突，造成了原本发送向 9.66 的数据可能会被丢弃的这种情况，用户就会感受到网速变慢，甚至无法上网等。更有甚者可以用自己的 MAC 地址来假冒正常用户的 MAC 地址，以达到窃取信息的目的。通过前面的分析，我们大致上了解
6、了，如何用科来软件对 ARP 攻击做出快速的定位分析。那么，当我们查出了攻击来源，受到攻击的机群，我们如何来防御 ARP 攻击呢？1、 我们可以使用 ARP 病毒专杀工具来对 ARP 病毒进行查杀。2、 使用 ARP 防火墙，这也是在企业中比较常用的软件。3、 绑定 MAC 地址。前面两种方法都是通过自动的方式进行的，而绑定 MAC 地址则需要手动来进行，在本机上绑定，我们可以使用 arp -s IP MAC 的命令来进行。而在路由器上的设置则比较简单，大家可以自行去路由器上进行尝试。本文主要介绍了一种入门级的攻击方式，而黑客在进行攻击的时候，会有一整套的流程进行，如何应对他们的攻击，需要我们再深入研究他们的攻击手段，科来软件是一个非常有帮助的工具，通过它来进行分析，能够快速定位到攻击源头以及受害机群，可以及时对问题进行排除，从而避免了大量的损失。
