ARP协议讲解、ARP攻击（网络执法官）、ARP中间人（Cain）、ARP攻击防御

缺乏、安全感 2022-12-01 01:28 117阅读 0赞

**目录**

1 广播与广播域

2 ARP协议讲解：

ARP攻击或欺骗的原理是：

路由器的工作原理

3 ARP相关命令

Windows平台相关命令

Cisco系统中的ARP命令

4 实验过程（ARP攻击；ARP欺骗）

4.1 ARP攻击(Netrobcop)

4.2 ARP中间人

5 ARP攻击防御

5.1 静态ARP绑定

5.2 ARP防火墙

5.3 硬件级ARP防御

--------------------

# 1 广播与广播域 #

广播：将广播地址做为目的地址的数据帧  
广播域：网络中能接收到同一个广播所有节点的集合，广播域越小越好。交换机隔离不了广播域，而路由器就可以。

MAC地址广播  
广播地址为FF-FF-FF-FF-FF-FF

IP地址广播  
1）255.255.255.255  
2）广播IP地址为IP地址网段的广播地址，如192.168.1.255/24

# 2 ARP协议讲解： #

地址解析协议（英語：**Address Resolution Protocol**，缩写：*ARP*）是一个通过解析网络层地址来找寻数据链路层地址的网络传输*协议*，它在IPv4中极其重要。  
作用：**将IP解析为MAC地址**  
原理：  
       1）发送ARP广播请求  
                    ARP报文内容：  
                    我是10.1.1.1      我的mac：AA  
                    谁是10.1.1.3      你的mac：？  
        2）接收ARP单播应答

## **ARP攻击或欺骗的原理**是： ##

通过发送伪造虚假的ARP报文（广播或单播），来实现的攻击或欺骗！  
  如虚假报文的mac是伪造的不存在的，实现ARP攻击，结果为中断通信/断网！  
  如虚假报文的mac是攻击者自身的mac地址，实现ARP欺骗，结果可以监听、窃取、篡改、控制流量，但不中断通信！

ARP协议**没有验证机制**，所以**容易被arp投毒攻击**

ARP攻击者通过发送虚假伪造的arp报文对受害者进行ARP缓存投毒

ARP攻击只能攻击内网。

## **路由器的工作原理** ##

1.  一个帧到达路由，路由器首先检查目标MAC地址是否自己，如果不是则丢弃，如果是则解封装，并将IP包送到路由器内部
2.  路由器检查IP包头中的目标IP，并匹配路由表，如果匹配失败，则丢弃，并向源IP回馈错误信息，如匹配成功，则将IP包路由到出接口。
3.  封装帧，首先将出接口的MAC地址作为源MAC封装好，然后检查ARP缓存表，检查是否有下一跳的MAC地址，如有，将提取并作为目标MAC地址封装到帧中，如没有，则发送ARP广播请求下一跳的MAC，并获取到对方的mac地址，再记录缓存，并封装帧，最后将帧发送出去。

# 3 ARP相关命令 #

## Windows平台相关命令 ##

> arp -a  ：查看电脑的arp缓存  
> arp -d  ：清楚ARP缓存  
> arp -s  ：ARP绑定

![2020082516242310.png][]

## Cisco系统中的ARP命令 ##

> Router \# show arp                  - 查看ARP缓存表  
> Router \# clean arp-cache       - 清除arp缓存  
> Router(config) \# arp ip-address mac-address arpa        - arp绑定

# 4 实验过程（ARP攻击；ARP欺骗） #

从左到右分别称呼为1号机、2号机、3号机

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70][]

MAC依次为

![20200825185938392.png][]

![20200825185915207.png][]

![20200825185959532.png][]

##  4.1 ARP攻击(Netrobcop)   ![20200825191921967.png][] ##

用的软件下载地址：[http://www.netrobocop.com/][http_www.netrobocop.com]  （网络执法官，一路默认安装即可）

可以看到一号机目前的arp缓存正常  
![20200825190128473.png][]

现在2号机器想干坏事，不想给1号机上网。2号机器安装该软件，然后嘿嘿嘿。  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1][]

![20200825190943758.png][]

今天让1和3不能通信。

![20200825191127258.png][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 2][]

这个时候2号机会告诉别人我的IP是10.1.1.1，导致1号机 会提示IP冲突，但是并不会影响什么，还是可以正常通信。

再来！继续手工管理！  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 3][]

点击开始之后1号机就无法与3号机通信啦！  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 4][]

现在1号机就断网啦。这是为啥呢》？  
![20200825191735851.png][]

因为1号机器的arp缓存被毒化了。

## 4.2 ARP中间人 ##

用工具Cain——“老牌”渗透工具，命名取自《圣经》中关于“Abel（亚伯）与Cain（该隐）”的故事。

> 链接：https://pan.baidu.com/s/1TvmoAmlYLJhaJxNHS7WMtQ   
> 提取码：9jg7

安装完了就这个德行：  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 5][]

点击上面那个框出来的》点击确定  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 6][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 7][]

扫描出所有的MAC。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 8][]

跳到ARP列表去。

![2020082519443831.png][]

![20200825194807151.png][]

添加欺骗列表  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 9][]

![20200825195024202.png][]  
选中点击开始ARP，就开始中间人攻击，Status就变成了Poisoning，被投毒啦  
![20200825195124904.png][]

现在一号机和三号机通信完全没问题，只不过啥都经过了2号机。如果传输过程没有加密，2号机就可以看得清清楚楚。

即2号机就是所谓的 **”中间人“**

看一号机的arp缓存；三号机其实也是一样滴。  
![20200825195556750.png][]

比如Telnet、FTP等密码就会泄露，如果是SSH这种就是安全的。

在3号机**安装telnet 服务**，并在**services.msc里启动**  
![20200825212925981.png][]

然后一号机 telnet 登录3号机  
![20200825213037844.png][]

在2号机就可以瞅到账户密码  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 10][]

![20200825213214443.png][]

![20200825213235267.png][]

那个列表左边的协议其实都不安全：FTP、HTTP ... ...

# 5 ARP攻击防御 #

## 5.1 静态ARP绑定 ##

手工绑定/双向绑定  
  **windows客户机上**：  
*  arp -s 10.1.1.254  00-01-2c-a0-e1-09   
  arp -a  查看ARP缓存表*  
**  路由器上静态绑定：**  
*Router(config)\# arp 10.0.0.95 0013.240a.b219 arpa f0/0*  
优点：配置简单  
缺点：工作量大，维护量大

## 5.2 ARP防火墙 ##

自动绑定静态ARP  
  主动防御  
  优点：简单易用  
  缺点：当开启人数较多时，会增大网络负担

## 5.3 硬件级ARP防御 ##

交换机支持“端口”做动态ARP绑定（配合DHCP服务器）  
  如：

>   conf t  
>   ip dhcp snooping  
>   int range f0/1 - 48                     (思科和锐捷，进入一组端口，1-48号端口)  
>   switch(config-range-if)\#          （批量操作）

或做静态ARP绑定（银行、证券、机密单位）  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 11][]

[2020082516242310.png]: /images/20221123/b2786111f5d545c8acd1b4c2b9d1e071.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70]: /images/20221123/4916ac1564654153a44b521dca8b29db.png
[20200825185938392.png]: /images/20221123/16b53a7104e241f2b146c9bd2d8f5a6d.png
[20200825185915207.png]: /images/20221123/47d19e012e984bbcb663a164513092d8.png
[20200825185959532.png]: /images/20221123/62262544d8744fbd820419b903d286d0.png
[20200825191921967.png]: /images/20221123/5a19f3edae0d4e3f8747b2ad53598252.png
[http_www.netrobocop.com]: http://www.netrobocop.com/
[20200825190128473.png]: /images/20221123/da697fe830fa4d17bd191be9305f9b47.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1]: /images/20221123/fb79e036914c4f7696b818b4b0f1825f.png
[20200825190943758.png]: /images/20221123/f3e8848cca2e437b9c553bb0dbecaea3.png
[20200825191127258.png]: /images/20221123/c623ce55395f4105bdef9089c948e901.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 2]: /images/20221123/3b905eb3496e4afabded6cb6c1d73e22.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 3]: /images/20221123/2e2722ce33304d0ca1747ecc776b9f5c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 4]: /images/20221123/151617e5f9be4f5887eac688c6ef0b7d.png
[20200825191735851.png]: /images/20221123/dd3d64397ed548cb92319c96c2de322f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 5]: /images/20221123/c98e8e470f4b42e09a0e622c4363b316.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 6]: /images/20221123/51f1f8bd1f0f47188fdd542aa1f30197.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 7]: /images/20221123/d7584953b69c43af8e3f9137c5ce54db.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 8]: /images/20221123/fd5a439b51df41999b9fad1eae7754b0.png
[2020082519443831.png]: /images/20221123/a63f652865d1489aa8727c8aa9f7a291.png
[20200825194807151.png]: /images/20221123/a463a5697f7442c0a7fcf09f306b4cf6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 9]: /images/20221123/00c301cb178b446f869e00f64cdcd480.png
[20200825195024202.png]: /images/20221123/200e3b98df194758a4afc710b951ab02.png
[20200825195124904.png]: /images/20221123/13de967d4f974b849ba21b10f6917a0e.png
[20200825195556750.png]: /images/20221123/7b33072c3a12413183235a2c3d5d0893.png
[20200825212925981.png]: /images/20221123/20eb7d6657764c8781f307846a4e30ee.png
[20200825213037844.png]: /images/20221123/dd9a8a1a4b384dba950f5167b82e86f8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 10]: /images/20221123/b098d2f9a3fb48249a8ff48b831e41ac.png
[20200825213214443.png]: /images/20221123/43403b53de7c462eafdba6e6006a6344.png
[20200825213235267.png]: /images/20221123/93ea3cff47434828b9559f9ca7f4c1ee.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 11]: /images/20221123/8ada7b05062040f990c8c03dab875e4f.png