ARP以及如何防范ARP欺骗技术

ARP攻击
你是否还在为计算机连接正常，却无法打开网页；或者计算机网络出现频繁断线，同时网速变得非常慢，这些都可能是网络中存在ARP欺骗攻击所表现出来的网络现象。
很多病毒、木马都会利用ARP攻击的方式来达到窃取用户信息、弹挂马/广告网页、传播扩散自身等各种目的。不仅会造成联网不稳定，引发用户无法上网，或者 企业断网导致重大生产事故，而且利用ARP攻击可进一步实施中间人攻击，以此非法获取到例如游戏、网银、文件服务等系统的帐号和口令，对被攻击者造成利益 上的重大损失，因此ARP欺骗攻击是一种非常恶劣的网络攻击行为。
如何更有效的来防范ARP攻击？把预防ARP攻击的工作做好才是重中之中。
因为我们知道，连我们平时最熟知的杀毒软件、防火墙都挡不住ARP 欺骗攻击。主要是由于ARP欺骗攻击的木马程序，通常会伪装成常用软件的一部分被下载并被激活，或者作为网页的一部分自动传送到浏览者的电脑上并被激活， 或者通过U盘、移动硬盘等方式进入网络。由于木马程序的形态特征都在不断变化和升级，杀毒软件也只是个摆设而已。
如何预防ARP攻击？
1.首先要做到把你的网络安全信任关系建立在IP+MAC基础上，利用Mocha BSM中网络拓扑发现之后所有IP-MAC信息，将信息自动的录入到对照表中，如下图。


有了Mocha BSM，省去了登录一台台的主机，用自己的眼睛一个个去查看MAC地址的情景。
设置完静态的IP-MAC对照表，不要让主机随意刷新你设定好的对照表。
2.管理员定期轮询，检查主机上的ARP缓存。
当出现配置变更，变更的信息会在变更表中显示，如下图。


客户端IP和MAC信息通过Mocha BSM这种方式的绑定，可以有效的确保正确的MAC地址不被篡改，可以保障数据流向正确，不经过第三者，从而保证通讯数据安全、保证网络畅通、保证通讯数据不受第三者控制、防范欺骗终端用户和ARP泛洪攻击，保护网络资源。
隐患险于明火，防范重于泰山————做好预防ARP的工作才最为重要。

专家防止局域网ARP协议欺骗

本文对ARP欺骗，提出几点加强安全的措施。网关是东道国或环境是基于Linux / BSD的的。

第一，前提的理论

在“一个好人委屈，而不是让一个坏的原则， ”我现在谈论的一些想法和理论。首先，我们将发送给ARP协议欺骗数据包将是一个恶意程序自动发送正常的TCP / IP网络是不会这样的错误包发送。这种假设，如果嫌疑人没有启动销毁过程，它是正常的网络环境，或环境中， ARP协议的网络是正常的，如果我们能启动嫌疑人在刑事诉讼程序第一次开始，发现他的罪行，处理赃物，使人们在所有的不可抵赖性，如前所述，前面网络正常 的时候证据是可信和可依靠的。好吧，那么我们谈论如何时，他发现在第一的犯罪活动。

ARP协议的原则欺骗如下：

假设这样一个网络，那么，集线器的3机

主机主机HostC之一

A是位于：的IP ： 192.168.10.1的MAC ： AA型AA型AA型AA型AA型机管局

B是位于：的IP ： 192.168.10.2的MAC ：体一BB一BB一BB一BB一BB

C是位于：的IP ： 192.168.10.3的MAC ：循环循环循环循环循环循环

在正常情况下ç ： \ ARP协议一

接口： 192.168.10.1接口0x1000003

互联网地址物理地址类型

192.168.10.3的CC -的CC -的CC -的CC -的CC -连铸动态

现在假设开始刑事欺骗主机ARP协议：

A到B发送伪造的ARP协议自身的反应，反应中的数据的IP地址，发件人是192.168.10.3 （ C的IP地址） ， MAC地址的DD - DD -双刀盘差异差异差异差异（ C的这应该是MAC地址的CC -连铸循环循环循环循环，这里是一个伪造） 。 A到B伪造的，当收到ARP协议的反应，我们将更新本地ARP高速缓存（甲无法判断这是否是伪造的） 。事实上，但不知道从B发送回来，在这里只有阿192.168.10.3 （ C的IP地址）和无效的差异差异差异差异差异差异MAC地址，也没有相关的犯罪证据向B ，河公顷，使犯罪分子将莱西。

一部是ARP高速缓存的更新：

ç ： \ “ ARP协议一

接口： 192.168.10.1接口0x1000003

互联网地址物理地址类型

192.168.10.3差异差异差异差异差异差异动态

这是不小的问题。局域网络基础上的IP地址是不容谈判的，但根据MAC地址的传递时间。 192.168.10.3现在在A的MAC地址发生了变化的MAC地址不存在。现在开始192.168.10.3平提交的MAC地址卡的DD - DD -双刀盘差异差异差异差异，其结果是什么呢？互联网接入，一个不能平碳！ ！

因此，局域网中一台机器反复向其他机器，特别是向网关，发送这样无效假冒ARP协议响应数据包， NND ，严重堵塞在网络上开始了！网吧管理员的噩梦开始了。我的目标和任务是第一次，抓住他。但早先的声明罪犯一样完美的使用以太网的缺陷，以掩盖他们的罪行。 但事实上，上述方法已经离开的线索。尽管， ARP协议数据包主机没有留下地址，但是，对ARP包带有以太网帧，但主机包含源地址。此外，在正常情况下，以太网的帧，标题中的MAC地址的源/目的地 址和帧应在ARP协议的信息包匹配，因此对ARP包是正确的。如果不正确，肯定是伪造的封装，可以提醒！但是，如果比赛中，这并不一定意味着正确的可能伪 造这样一个步骤已经考虑到，并伪造出符合格式，但内容的数据包地址解析协议假。然而，这并不重要，只要网关本王有一个部分，所有的MAC地址的信用卡数据 库，如果苹果不匹配数据库中的数据也是伪造的数据包地址解析协议。也提醒手中的罪犯。

其次，预防措施

1 。 DHCP服务器的设置（在建议建立网关的DHCP ，因为人数的CPU ，以及ARP欺骗攻击一般总是第一个网关，我们希望让他第一次攻击网关，网关，因为有监测程序，网关地址建议选择192.168.10.2 ，在192.168.10.1留空，如果犯罪程序这么笨，让他地址栏和空中袭击） ，和所有客户端的IP地址和主机有关的信息，才能取得在这里网关，网关这里开幕DHCP服务，但给每个信用卡，唯一的具有约束力的固定IP地址。必须保持 网络的机器的IP / MAC的一个映射。这是客户端的DHCP地址，但每次开机是相同的IP地址。

2 。陆委会建立一个数据库，以网吧的所有网卡的MAC地址记录，每个MAC和知识产权，所有的地理位置到数据库，以便查询记录及时。

3 。网关机器关闭ARP协议动态刷新过程中，使用静态路由，这种情况下，即使嫌疑人使用ARP欺骗网关，这个网关是没有用的，确保主机安全。

网关建立静态IP / MAC的捆绑起来：的/ etc /醚文件，其中包含正确的IP / Mac的信件格式如下：

192.168.2.32 8时00分04秒电子邮件：本B0 ： 24:47

然后的/ etc / rc.d / rc.local最后添加：

ARP协议口才能生效

4 。网关监听网络安全。网关TCPDUMP使用上述程序截取每个ARP协议包，得到一个脚本分析软件分析这些ARP协议的协议。 ARP协议欺骗攻击的包一般有以下特点的两个，以满足一个包可以被看作是攻击警察：第一以太网包头源地址，目的地地址和ARP协议包不匹配的地址协议。或 者， ARP协议和发送数据包的目的地地址是不是自己的数据库网络卡的MAC ， MAC或网络数据库有自己的MAC / IP协议不相符。所有这些首先向警方报案，调查这些数据包（以太网数据包）源地址（可能是伪造的） ，或多或少知道自己的电脑中的攻击。

5 。偷偷来的机器，看看是否使用故意或任何释放什么木马了。如果是后者，悄悄地，他要寻找的借口恺，掏出电缆（而不是关闭，特别是看该计划的使命Win98下） ，看看目前使用的机械和创纪录的业绩，看是否是在这次袭击中。

Vista应对网络执法官及ARP欺骗攻击

很多学校、公司的内部网络里面经常有一些不道德的人用ARP欺骗软件攻击别人，让很多人掉线，甚至让整个网络都瘫痪。针对这个问题，大家可以采取如下的办法。

　　介绍一个防火墙：Outpost Firewall。它可以防护“P2P终结者”等局域网软件，效果超好，还能查出局域网哪台机在使用，功能强大，占用资源少，可以评分5个星。

　　点击此处下载Outpost Firewall

　　其实，类似网络管理这种软件都是利用arp欺骗达到目的的。其原理就是使电脑无法找到网关的MAC地址。那么ARP欺骗到底是怎么回事呢？

　　首先给大家说说什么是ARP。ARP（Address Resolution Protocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。

　　ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC层，也就是相当于OSI的第二层）的MAC地址。

　　ARP原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则 广播A一个 ARP请求报文（携带主机A的IP地址Ia——物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只 有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使 用这个MAC地址发送数据（由网卡附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。

　　ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的 IP和MAC 地址存储在ARP缓存中。因此，当局域网中的某台机器B向A发送一个自己伪造的ARP应答，而如果这个应答是B冒充C伪造来的，即IP地址为C的IP，而 MAC地址是伪造的，则当A接收到B伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来C的IP地址没有变，而它的MAC地址已经不是原来那个 了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这 样就会造成网络不通，导致A不能Ping通C！这就是一个简单的ARP欺骗。

　　解决方法归纳起来有以下方法：

　　1. 使用VLAN

　　只要你的PC和P2P终结者软件不在同一个VLAN里, 他就拿你没办法.

　　2. 使用双向IP/MAC绑定

　　在PC上绑定你的出口路由器的MAC地址, P2P终结者软件不能对你进行ARP欺骗, 自然也没法管你, 不过只是PC绑路由的MAC还不安全, 因为P2P终结者软件可以欺骗路由, 所以最好的解决办法是使用PC, 路由上双向IP/MAC绑定, 就是说, 在PC上绑定出路路由的MAC地址, 在路由上绑定PC的IP和MAC地址, 这样要求路由要支持IP/MAC绑定, 比如HIPER路由器.

　　3. 使用IP/MAC地址盗用+IP/MAC绑定

　　索性你把自己的MAC地址和IP地址改成和运行P2P终结者软件者一样的IP和MAC, 看他如何管理, 这是一个两败俱伤的办法, 改动中要有一些小技巧, 否则会报IP冲突. 要先改MAC地址, 再改IP, 这样一来WINDOWS就不报IP冲突了(windows傻吧))), 做到这一步还没有完, 最好你在PC上吧路由的MAC地址也绑定, 这样一来P2P终结者欺骗路由也白费力气了.

　　屏蔽网络执法官的解决方式

　　利用Look N Stop防火墙，防止arp欺骗

　　1.阻止网络执法官控制

　　网络执法官是利用的ARp欺骗的来达到控制目的的。

　　ARP协议用来解析IP与MAC的对应关系，所以用下列方法可以实现抗拒网络执法官的控制。如果你的机器不准备与局域网中的机器通讯，那么可以使用下述方法：

A.在“互联网过滤”里面有一条“ARP : Authorize all ARP packets”规则，在这个规则前面打上禁止标志；

　　B.但这个规则默认会把网关的信息也禁止了，处理的办法是把网关的MAC地址（通常网关是固定的）放在这条规则的“目标”区，在“以太网：地址 ”里选择“不等于”，并把网关的MAC地址填写在那时；把自己的MAC地址放在“来源”区，在“以太网：地址”里选择“不等于”。

　　C.在最后一条“All other packet”里，修改这条规则的“目标”区，在“以太网：地址”里选择“不等于”，MAC地址里填FF:FF:FF:FF:FF:FF；把自己的MAC地址放在“来源”区，在“以太网：地址”里选择“不等于”。其它不改动。

　　这样网络执法官就无能为力了。此方法适用于不与局域网中其它机器通讯，且网关地址是固定的情况下。

　　如果你的机器需要与局域网中的机器通讯，仅需要摆脱网络执法官的控制，那么下述方法更简单实用（此方法与防火墙无关）：

　　进入命令行状态，运行“ARP -s 网关IP 网关MAC”就可以了，想获得网关的MAC，只要Ping一下网关，然后用Arp -a命令查看，就可以得到网关的IP与MAC的对应。此方法应该更具通用性，而且当网关地址可变时也很好操作，重复一次“ARP -s 网关IP 网关MAC”就行了。此命令作用是建立静态的ARP解析表。

　　另外，听说op防火墙也可以阻止，这个还没有试过。

　　防止P2P终结者的攻击

　　1：第一种方法就是修改自己的MAC地址，下面就是修改方法：

　　在"开始"菜单的"运行"中输入regedit，打开注册表编辑器，展开注册表到：HKEY_LOCAL_MACHINE\System \CurrentControlSet\Control\Class\{4D36E9E}子键，在子键下的0000，0001，0002等分支中查找 DriverDesc（如果你有一块以上的网卡，就有0001，0002......在这里保存了有关你的网卡的信息，其中的DriverDesc内容就 是网卡的信息描述， 比如我的网卡是Intel 210 41 based Ethernet Controller），在这里假设你的网卡在0000子键。在0000子键下添加一个字符串，命名为"NetworkAddress"，键值为修改后的 MAC地址，要求为连续的12个16进制数。然后在"0000"子键下的NDI\params中新建一项名为NetworkAddress的子键，在该子 键下添加名为"default"的字符串，键值为修改后的MAC地址。

　　在NetworkAddress的子键下继续建立名为"ParamDesc"的字符串，其作用为指定Network Address的描述，其值可为"MAC Address"。这样以后打开网络邻居的"属性"，双击相应的网卡就会发现有一个"高级"设置，其下存在MACAddress的选项，它就是你在注册表 中加入的新项"NetworkAddress"，以后只要在此修改MAC地址就可以了。关闭注册表，重新启动，你的网卡地址已改。打开网络邻居的属性，双 击相应网卡项会发现有一个MAC Address的高级设置项，用于直接修改MAC地址。

　　2：第二种方法就是修改IP到MAC的映射就可使P2P攻击的ARP欺骗失效，就隔开突破它的限制。方法就是在cmd下用ARP -a命令得到网关的MAC地址，最后用ARP -s IP 网卡MAC地址命令把网关的IP地址和它的MAC地址映射起来就可以了。

　　Vista和XP系统：只要用arp命令绑定自己MAC和路由MAC就行了，如：

　　arp -s 自己IP 自己MAC

　　arp -s 路由IP 路由MAC

　　最好都绑定一下，只绑定路由的话，出了IP冲突就上不去了，别人照样能T你下线，如果绑定了自己的话，IP冲突了也能上网。

　　Windows 9x/2000就需要软件了，搜索一下anti arp sniffer就行了，设置好路由IP,mac 。不过XP和Vista系统也可以安装这个软件，可以清楚的看到谁想T你下线或者想限制你。当然，这样的系统还建议更换成Vista或者XP，只要上面设 置一下，p2p终结者就报废了。

　　Vista和XP系统在cmd状态输入： arp -a

　　如果路由IP 还有自己IP最后面状态是static，那么就表示绑定成功

　　arp -d

　　绑定之前也最好输入一下，删除非法绑定。

　　看到这些，大家都明白了吧，其实都不难的。