找出局域网中的ARP欺骗-阿里云开发者社区

开发者社区> 开发与运维> 正文

找出局域网中的ARP欺骗

简介:
原创文章,转载请保留以下信息
作者:ipist (ipist#126.com) 
来源:[url]http://www.51cto.com[/url]
 
    最近发现还有不少朋友深受ARP欺骗的困扰,在这里简单写上几句,便于大家理
解ARP欺骗,解决ARP欺骗。
 
    ARP欺骗仅存在于局域网中,局域网是依赖MAC地址作为源地址、目的地址来传
输数据帧的。由于网络层通过IP地址传输数据包,因此在局域网传输数据过程中需
要将IP地址转为对应的MAC地址用于数据帧传输,负责这项工作的就是ARP协议。在
IP地址转MAC地址时首先查找本机的ARP缓存,如果找不到请求的目标IP对应的MAC地
址,则广播ARP request包请求解析该IP对应的MAC地址,局域网中所有的设备均能
收到到该广播包,当某设备发现该包的目的IP是自己时,便发送ARP reply包回答对
方自己的MAC地址。局域网中每一个ARP包(无论request、还是reply),都包含源
IP地址、源MAC地址、目的IP地址、目的MAC地址。改变源IP地址、源MAC地址或目的
IP地址、目的MAC地址间的对应关系也就实现了ARP欺骗。而在局域网中任意构造一
个ARP包都可以更新PC端腁RP缓存。这样就导致局域网ARP欺骗很容易实现,检查
ARP欺骗存在的关键也就在于检查ARP缓存中的IP-MAC对应关系是否正确。
 
    实际网络中存在多样的欺骗方式,但都是通过广播精心构造的ARP包来修改PC端
ARP缓存中的IP-MAC对应关系,只是选择了修改“源IP地址、源MAC地址、目的IP地
址、目的MAC地址”其中某项实现欺骗目的。
 
1、PC端:
   如果是windows系统在cmd模式下,执行arp-a,显示当前系统ARP缓存表,检查缓
存中的IP-MAC对应关系是否正确,正常情况下IP-MAC是一一对应的。另外可先使用
arp-d清除当前ARP缓存表,再开始观察是否存在ARP欺骗的情况。
   如果是unix/linux客户端,使用/etc/arp -a检查ARP缓存信息。
 
2、网络设备端:
   通过show arp命令检测ARP缓存信息。
    如果某MAC地址对应多个IP地址,则说明该MAC地址的PC正在广播ARP欺骗包(如
果某设备存在多IP地址,这种情况是正常的)。另一种恶意欺骗是该MAC地址在局域
网中根本就不存在。
 
    还有个比较简单的方法,装个sniffer监听网络中所有ARP包,由于ARP欺骗往往
使用广播形式传播,即使在交换机环境下也明显能监听到某PC端正在狂发ARP包。
 
    下面简单介绍一下ARP欺骗解决方案:
1、PC端,增加IP-MAC绑定,不让局域网中的ARP包轻易修改自己的ARP缓存。
2、网关、路由器端,同PC端一样增加IP-MAC绑定。
3、如果是可网管型交换机,可以在交换机中实现IP-MAC绑定。
   据观察现在的ARP欺骗,往往都是在网关(路由器)与PC端之间实现欺骗,可以
在交换机上设置只允许接网关(路由器)的交换机口允许发送源IP为网关(路由器
)IP的数据帧;设置只允许接网关(路由器)的交换机口允许发送源MAC为网关(路
由器)MAC的数据帧。这样可以有效防止PC端被ARP欺骗,但在网关(路由器)端,
还必须进行IP-MAC一一绑定以防网关(路由器)被欺骗。
 
    本人不善言辞,写的比较乱,不知道大家能否看明白,如有疑问,非常乐意共同
探讨,感谢光临寒舍。

   本文转自ipist 51CTO博客,原文链接:http://blog.51cto.com/ipist/11356,如需转载请自行联系原作者



版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
开发与运维
使用钉钉扫一扫加入圈子
+ 订阅

集结各类场景实战经验,助你开发运维畅行无忧

其他文章