ARP协议

目录

ARP

ARP数据包的封装 

免费ARP

ARP代理

ARP欺骗

ARP欺骗的实现

ARP欺骗的危害

ARP欺骗的防御

RARP


ARP

当一个局域网中有很多台主机时,假如PC1要和PC2通信,但是PC1只知道PC2的ip地址,而不知道PC2的MAC地址,那么PC1将数据包发给交换机进行ARP广播,询问IP地址对应的MAC地址是哪个,此时局域网中的所有主机都会受到ARP请求,但是PC3,PC4收到数据包之后,发现这个IP地址不属于自己,就会把包丢弃。而PC2收到了数据包之后,发现这个IP地址是自己的,就会发一个ARP单播回应包,告诉他这个IP地址对应的MAC地址。此时,在PC1内就会有一个ARP缓存表,在交换机内部也有会一个CAM表,这就是ARP协议(Address Resolution Protocol)

主机通信需要查找ARP表,交换机通信需要查找CAM表,而路由器通信需要查找Route表

  • ARP表: ip <--> MAC地址   (存储在主机、路由器的ARP缓存表中)
  • CAM表:MAC地址 <--> 端口 (存储在交换机的CAM缓存表中)
  • Route表: route <--> 端口 (存储在路由器的Route表中)

查看ARP信息: arp  -a 
清除ARP信息: arp  -d 
arp静态绑定:      arp  -s  ip  mac 

ARP数据包的封装 

硬件类型字段表示硬件地址的类型.它的值为1即表示以太网
协议类型字段表示的协议类型.它的值为 0x0800 即表示 IP 地址
硬件地址长度和协议地址长度分别指硬件地址和协议地址的长度,以字节为单位.对于以太网上 IP 地址的 ARP 请求或应答来说,它们的值分别为 6 和 4
操作字段op出四种操作类型,它们是 ARP 请求(值为1)、ARP 应答(值为 2 )、RARP 请求(值为 3 )和 RARP 应答(值为 4 )
接下来的四个字段是发送端的mac址、发送端的ip址、目的端的mac址和目的端的ip址.
 

免费ARP

免费ARP主要是用来进行地址的冲突性检测,当为某台主机配置完IP地址后,此设备会连续发送两次免费ARP,如果无回应,说明不存在地址冲突。免费ARP还有一个作用是刷新同网段内其他终端的ARP缓存表

ARP代理

ARP代理的工作原理:R1和R3虽然属于不同的广播域,R1要和R3进行通信,R1发出ARP请求广播包,请求获得R3的MAC地址。由于路由器不会转发广播包,因此ARP请求只能到达路由器,不能到达R3。当在路由器上启用ARP代理后,路由器会查看ARP请求,发现IP地址192.168.20.1属于它连接的另一个网络,因此路由器用自己的接口MAC地址代替R3的MAC地址,向R1发送了一个ARP应答。R1收到ARP应答后,会认为R3的MAC地址就是R2的MAC地址,而不会感知到ARP代理的存在。proxy ARP应该使用在主机没有配置默认网关或没有任何路由策略的网络上 (windows系统不配网关与不同网段通信的话,直接不发送数据包,Linux会发送)

ARP欺骗

假设内网中有下列几台主机:

主机IPMAC
A192.168.1.1aa:aa:aa:aa:aa:aa
B192.168.1.2bb:bb:bb:bb:bb:bb
C192.168.1.3cc:cc:cc:cc:cc:cc

在同一局域网内,主机A和B想要通信,于是主机A就会向整个局域网广播ARP请求,请求B主机的ip(192.168.1.2)对应的MAC地址。正常情况下,B和C都会收到整个ARP请求。B看到目标ip地址是自己,于是会回一个ARP回复包,告诉A主机IP 192.168.1.2对应的MAC地址 bb:bb:bb:bb:bb:bb。C看到目标ip地址不是自己,则丢弃整个数据包。
但是,事情并没有想象的那么美好!C是黑客,他想监听A和B之间通信的流量包。他收到这个请求后,也向A回复ARP回复包,并且大量的回复ARP回复包。于是A将会收到B和C回复的ARP回复包。由于ARP回复包遵循后到优先原则。C大量回复的ARP回复包会把B回复的数据包给覆盖了。所以A最终会相信C的ARP回复包。认为192.168.1.2对应的MAC地址是cc:cc:cc:cc:cc:cc。
同理,C也会用同样的手段去欺骗B。
这样,A就会认为C是B,B会认为C是A。于是,他们两之间通信的数据包都会发送给C。

那么,现在C就可以对A和B之间的数据流量做手脚了!

而如果C是欺骗A和路由器或者B和路由器,那么,C将可截获A和B访问外网的所有流量了!这是非常可怕的

ARP欺骗的实现

在arp欺骗之前,先开启流量转发,不然将直接导致被攻击者断网!

echo 1 > /proc/sys/net/ipv4/ip_forward       #开启流量转发

arpspoof 

aspspoof是kali下一款命令行进行ARP欺骗的工具,操作简单

arpspoof -i eth0  -t 192.168.10.10  192.168.10.254  #第二个ip是网关的ip

ettercap

ettercap是Kali下一款用于ARP欺骗的工具,可以图形化操作也可以命令行

ettercap -G   #图形化操作
ettercap -i eth0 -Tq  -M  arp:remote  //192.168.10.10//  //192.168.10.254//   #命令行操作,两个ip地址可以互换

bettercap

bettercap是ettercap的继承者,功能强大。传送门——>Bettercap2.X版本的使用

driftnet 

driftnet是kali下能抓取流经网卡的图片和链接。和ARP欺骗工具进行结合,可以探测局域网内其他用户流量中的图片

driftnet  -b  -i  eth0  查看图片
-b  捕获到新的图片时发出嘟嘟声
-i  interface     选择监听接口
-f  file   读取一个指定pcap数据包中的图片
-p  不让所监听的接口使用混杂模式
-a  后台模式:将捕获的图片保存到目录中(不会显示在屏幕上)
-m number 指定保存图片数的数目
-d directory  指定保存图片的路径
-x prefix  指定保存图片的前缀名

urlsnarf 

urlsnarf是kali下能抓取流经指定网卡80端口、8080端口或3128的数据,也就是流经的http协议,和arp欺骗工具结合可以探测局域网内其他用户浏览过的网站

urlsnarf -i eth0  

ARP欺骗的危害

  • 断网攻击,直接把截获的数据包丢弃
  • 限速,断网攻击很容易被发现,很多黑客会对同一个局域网内的其他用户进行限速,这样,黑客自己上网的速度就快了
  • 窃取隐私,如果截取的数据是通过明文传输的,那么,就可以看到账号密码等东西。常见的明文传输的协议有HTTP、FTP、Telnet、POP3、SMTP等

ARP欺骗的防御

网络设备

支持DAI(Dynamic ARP Inspection)动态ARP监测的交换机或无线路由器

  • 交换机记录每个接口对应的IP地址和MAC地址,即 port<->mac<->ip,生成DAI监测表
  • 交换机监测每个接口发送过来的ARP回应包,根据DAI表判断是否违规,若违规则丢弃此数据包并对接口进行惩罚

但是事实上,大部分能支持这种动态ARP监测技术的交换机或者路由器,基本都是企业级的产品。即便是企业级交换机,具备局域网安全防御功能的设备,价格都要高出不少。所以很多中小型企业或者校园网,基本都愿意买不具备这种功能的产品,因为能通网就行,至于是否安全,这不是他们考虑的问题

用户端

对于普通用户,陌生网络不要随意接入。其次,用户的电脑或者手机上安装360卫士,腾讯电脑管家等安全产品

RARP

RARP:反向地址转换协议(RARP:Reverse Address Resolution Protocol) 反向地址转换协议(RARP),将MAC地址转换成IP地址,允许局域网的物理机器从网关服务器的 ARP 表或者缓存上请求其 IP 地址。

 

 

已标记关键词 清除标记
©️2020 CSDN 皮肤主题: Age of Ai 设计师:meimeiellie 返回首页
实付 19.90元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值