如何處理ARP的攻擊技巧

來源:互聯網
上載者:User

   以下是OMG小編為大家收集整理的文章,希望對大家有所協助。

  從原理和應用談解決ARP攻擊的方法:

  很多網吧和商業網路不穩,無故掉線,經濟蒙受了很大的損失。根據情況可以看出這是一種存在於網路中的一種普遍問題。出現此類問題的主要原因就是遭受了ARP攻擊。現在ARP不只是協議的簡寫,還成了掉線的代名詞。由於其變種版本之多,傳播速度之快,很多技術人員和企業對其束手無策。下面就來給大家從原理到應用談一談這方面的話題。希望能夠幫大家解決此類問題,淨化網路環境。

  在區域網路中,通過ARP協議來完成IP地址轉換為第二層物理地址,實現區域網路機器的通訊。ARP協議對網路安全具有重要的意義。這是建立在相互信任的基礎上。如果通過偽造IP地址和MAC地址實現ARP欺騙,將在網路中產生大量的ARP通訊量使網路阻塞、掉線、重新導向、嗅探攻擊。

  我們知道每個主機都用一個ARP快取,存放最近IP地址到MAC硬體地址之間的映射記錄。windows快取中的每一條記錄的存留時間一般為60秒,起始時間從被建立時開始算起。預設情況下,ARP從緩衝中讀取IP-MAC條目,緩衝中的IP-MAC條目是根據ARP響應包動態變化的。因此,只要網路上有ARP響應包發送到本機,即會更新ARP快取中的IP-MAC條目。如:X向Y發送一個自己偽造的ARP應答,而這個應答中的資料發送方IP地址是192.168.1.3(Z的IP地址),MAC地址是DD-DD-DD-DD-DD-DD(Z的真實MAC地址卻是CC-CC-CC-CC-CC-CC,這裡被偽造了)。當Y接收到X偽造的ARP應答,就會更新本地的ARP緩衝(Y可不知道被偽造了)。那麼如果偽造成網關呢?

  Switch上同樣維護著一個動態MAC緩衝,它一般是這樣,首先,交換器內部有一個對應的列表,交換器的連接埠對應MAC地址表Port n <-> Mac記錄著每一個連接埠下面存在那些MAC地址,這個表開始是空的,交換器從來往資料幀中學習。因為MAC-PORT緩衝表是動態更新的,那麼讓整個 Switch的連接埠表都改變,對Switch進行MAC地址欺騙的Flood,不斷髮送大量假MAC地址的資料包,Switch就更新MAC-PORT緩衝,如果能通過這樣的辦法把以前正常的MAC和Port對應的關係破壞了,那麼Switch就會進行泛洪發送給每一個連接埠,讓Switch基本變成一個 HUB,向所有的連接埠發送資料包,要進行嗅探攻擊的目的一樣能夠達到。也將造成Switch MAC-PORT緩衝的崩潰,如下面交換器中日誌所示:

  Internet 192.168.1.4 0000b.cd85.a193 ARPAVlan256

  Internet 192.168.1.5 0000b.cd85.a193 ARPAVlan256

  Internet 192.168.1.6 0000b.cd85.a193 ARPAVlan256

  Internet 192.168.1.7 0000b.cd85.a193 ARPAVlan256

  Internet 192.168.1.8 0000b.cd85.a193 ARPAVlan256

  Internet 192.168.1.9 0000b.cd85.a193 ARPAVlan256

  ARP攻擊時的主要現象

  網上銀行、保密資料的頻繁丟失。當區域網路內某台主機運行ARP欺騙的木馬程式時,會欺騙區域網路內所有主機和路由器,讓所有上網的流量必須經過病毒主機。其他使用者原來直接通過路由器上網現在轉由通過病毒主機上網,切換的時候使用者會斷一次線。切換到病毒主機上網後,如果使用者已經登陸伺服器,那麼病毒主機就會經常偽造斷線的假像,那麼使用者就得重新登入伺服器,這樣病毒主機就可以竊取所有機器的資料了。

  網速時快時慢,極其不穩定,但單機進行光纖資料測試時一切正常。區域網路內頻繁性地區或整體掉線,重啟電腦或網路裝置後恢複正常

  由於ARP欺騙的木馬程式發作的時候會發出大量的資料包導致區域網路通訊擁塞以及其自身處理能力的限制,使用者會感覺上網速度越來越慢。當ARP欺騙的木馬程式停止運行時,使用者會恢複從路由器上網,切換過程中使用者會再次斷線。

  ARP的解決辦法:

  目前來看普遍的解決辦法都是採用雙綁,具體方法:

  先找到正確的 網關 IP 網關物理地址 然後 在用戶端做對網關的arp綁定。

  步驟一:

  尋找本網段的網關地址,比如192.168.1.1,以下以此網關為例。在正常上網時,“開始→運行→cmd→確定”,輸入:arp -a,點斷行符號,查看網關對應的Physical Address。

  比如:網關192.168.1.1 對應0A-0B-0C-0D-0E-0F。

  步驟二:

  編寫一個批次檔rarp.bat,內容如下:

  @echo off

  arp -d

  arp -s 192.168.1.1 0A-0B-0C-0D-0E-0F

  儲存為:rarp.bat。

  步驟三:

  運行批次檔將這個批次檔拖到“windows→開始→程式→啟動”中。

  但雙綁並不能徹底解決ARP問題,IP衝突以及一些ARP變種是不能應對的。

  再有就是採用防ARP的硬體路由,但價格很高,並且不能保證在大量攻擊出現地情況下穩定工作.那麼現在就沒有,有效並能夠徹底的解決辦法了嗎?有的,那就是採用能夠以底層驅動的方式工作的軟體,並全網部署來防範ARP問題.

  此類軟體是通過系統底層核心驅動,以服務及進程並存的形式隨系統啟動並運行,不佔用電腦系統資源。這種方式不同於雙綁。因為它是對通訊中的資料包進行分析與判斷,只有合法的包才可以被允許存取。非法包就被丟棄掉了。也不用擔心電腦會在重啟後建立ARP緩衝列表,因為是以服務與進程相結合的形式 存在於電腦中,當電腦重啟後軟體的防護功能也會隨作業系統自動啟動並工作。

  目前滿足這一要求的並能出色工作的軟體推薦大家選用ARP衛士,此軟體不僅僅解決了ARP問題,同時也擁有內網洪水防護功能與P2P限速功能。

  ARP衛士在系統網路的底層安裝了一個核心驅動,通過這個核心驅動過濾所有的ARP資料包,對每個ARP應答進行判斷,只有符合規則的ARP包,才會被進一步處理.這樣,就實現防禦了電腦被欺騙. 同時,ARP衛士對每一個發送出去的ARP應答都進行檢測,只有符合規則的ARP資料包才會被發送出去,這樣就實現了對發送攻擊的攔截...

  洪水攔截:通過此項設定,可以對規則列表中出現了SYN洪水攻擊、UDP洪水攻擊、ICMP洪水攻擊的機器進行懲罰。當區域網路 內某台電腦所發送的SYN報文、UDP報文、ICMP報文超出此項設定中所規定的上限時,“ARP衛士”用戶端將會按 照預設值對其進行相應懲罰。在懲罰時間內,這台電腦將不會再向網路內發送相應報文。但懲罰不會對已建立 的串連產生影響。

  流量控制:通過此項設定,可以對規則列表中的所有電腦進行廣域網路及區域網路的上傳及下載流量進行限制(即所謂的網路 限速)。滑鼠右鍵單擊“排除機器列表”視窗即可對其中內容進行修改、編輯。存在於“排除機器列表”中的IP地址將不 會受到流量控制的約束。

  ARP Guard(ARP衛士)的確可以從根本上徹底解 決ARP欺騙攻擊所帶來的所有問題。它不僅可以保護電腦不受ARP欺騙攻擊的影響,而且還會對感染了ARP攻擊病毒或欺騙木馬的 病毒源機器進行控制,使其不能對區域網路內其它電腦進行欺騙攻擊。保持網路正常通訊,防止帶有ARP欺騙攻擊的機器對網內計 算機的監聽,使瀏覽網頁、資料轉送時不受ARP欺騙者限制。

  總體來看我覺得這個軟體是目前市面上最好的了。同時線上客服工作也很負責。但有些時候對於網管來說還是不太方便。比如管理端換了IP。那麼下面的用戶端只能重新指向新的IP。再有軟體不能對所有的無盤系統都支援。對LINUX作業系統也不能支援。希望這些能夠儘快被軟體開發商注意並及時更新。好了,說了這麼多,希望能夠給大家解決ARP掉線問題,提供協助。

相關文章

Cloud Intelligence Leading the Digital Future

Alibaba Cloud ACtivate Online Conference, Nov. 20th & 21st, 2019 (UTC+08)

Register Now >

Starter Package

SSD Cloud server and data transfer for only $2.50 a month

Get Started >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。