ARP欺骗类病毒的防御

摘 要:利用TCP/IP协议安全漏洞进行欺骗攻击的事件经常发生,攻击者利用ARP欺骗进行拒绝怎么写作攻击(DoS)或中间人攻击,造成网络通信中断或数据被截取和窜改,严重影响网络的安全.本文通过ARP协议原理分析揭示ARP协议欺骗,并对ARP病毒攻击提出一套有效可行的防犯措施和解决办法.

关 键 词:ARP协议ARP欺骗ARP病毒

1引言

ARP欺骗具有隐蔽性、随机性的特点,在Inter上随处可下载的ARP欺骗工具使ARP欺骗更加普遍.利用ARP欺骗的在局域网中广泛传播,给网络安全运行带来巨大隐患,是局域网安全的首要威胁.利用ARP协议的缺陷,像大规模爆发的流行性感冒一样,造成网络时断时续,无法正常上网.

2ARP协议概述

ARP协议全称为AddressResolutionProtocol,即地址解析协议,是TCP/IP协议栈中的基础协议之一,工作于OSI模型的第二层,在本层和硬件接口间进行联系,同时为上层(网络层)提供怎么写作.是将IP地址与网络物理地址一一对应的协议,负责IP地址和网卡实际地址(MAC)之间的转换.也就是将网络层地址解析为数据链路层的MAC地址.在以太网中,一个网络设备要和另一个网络设备进行直接的通信,除了知道目标设备的IP地址外,还要知道目标设备的MAC地址.ARP协议的基本功能就是通过目标设备的IP地址,查询目标设备的MAC地址,以保证通讯的顺利进行.当一个网络设备需要和另一个网络设备通信时,它首先把目标设备的IP地址与自己子网掩码进行“与”操作,以判断目标设备与自己是否位于同一网段内,如果目标设备与源设备在同一网段内,则源设备以第二层广播的形式发送ARP请求报文,在ARP请求报文中包含了源设备与目标设备的IP地址.如果目标设备与源设备不在同一网段,则源设备首先把IP分组发向自己的缺省网关,由缺省网关对该分组进行转发.

3ARP协议的缺陷

主机ARP列表是基于高速缓存动态更新的.由于正常的主机间的MAC地址刷新都是有时限的,这样恶意用户如果在下次交换之前成功地修改了被欺骗机器上的地址缓存,就可以进行检测冒或拒绝怎么写作攻击.可以随意发送ARP应答分组.由于ARP协议是无状态的,任何主机即使在没有请求的时候也可以做出应答.因此任何时候发送ARP应答.只要应答分组是有效的,接收到ARP应答分组的主机就无条件地根据应答分组的内容刷新本机高速缓存.

4ARP的主要攻击类型

ARP期骗是指利用ARP协议的漏洞,通过向目标设备主机发送虚检测的ARP报文,达到监听或者截获目标主机数据的攻击手段.

4.1冒充主机欺骗网关

攻击主机C发出一个报文,其中源MAC地址为MACC,源IP地址为IPA.这样任何发往主机A的报文都会被发往攻击主机C.网关无法与真实主机A直接通信.

4.2冒充网关欺骗主机

在主动攻击中,攻击者C主动向A发送ARP应答数据包,告诉A,B(网关)的IP地址所对应的MAC地址是CC-CC-CC-CC-CC-CC,从而使得A修改自己的ARP列表,把B的IP地址对应的MAC地址修改为攻击者C的MAC地址.同时,攻击者C也主动向B发送ARP应答数据包,告诉B,A的IP地址所对应的MAC地址是CC-CC-CC-CC-CC-CC,使B修改自己的ARP列表,把A的IP地址对应的MAC地址修改为攻击者C的MAC地址.

A←→B之间的通信形式变成A←→C←→B,实现了中间人攻击.在被动攻击中,攻击者C只在A或者B发送ARP请求数据包时,延时一段时间发送应答数据包,使得自己的应答包在正确的应答包之后到达,防止自己修改的相应主机的ARP列表被正确的应答包再次修改.那么主机A发往网关B的报文都会被发往攻击主机C,造成主机A突然断网.

5ARP欺骗防范和解决方案

5.1手动防御

防御ARP欺骗的简单方法是网络管理员分别在主机和路由器上静态绑定地址映射.通过arp-s命令,在PC上绑定网关的MAC和IP地址,这样可以防御冒充网关欺骗主机的ARP欺骗.另一种手动防御方法是在局域网中增加VLAN的数目,减少VLAN中的主机数量.局域网管理员可以根据本单位的网络拓扑结构划分若干个VLAN,这样既能够在发生ARP攻击时减少所影响的网络范围,又能够在发生ARP攻击时便于定位出现的网段和具体的主机.缺点同样是增加了网络维护的复杂度,也无法自动适应网络的动态变化.

5.2使用ARP怎么写作器

在局域网内部的设置一台机器作为ASP怎么写作器,专门保存并且维护网络内的所有主机的IP地址与MAC地址映射记录,使其他计算机的ARP配置只接受来自ARP怎么写作器的ARP响应.当有ARP请求时该怎么写作器通过查阅自己缓存的静态记录并以被查询主机的名义响应ARP局域网内部的请求,从而防止了ARP欺骗攻击的发生.但是这个方法也有不足,首先要保证ARP怎么写作器不被攻击,确保ARP怎么写作器的安全,其次要保证主机只接受指定ARP怎么写作器的ARP响应报文.如何做到这一点,目前还是比较困难的.

5.3ARP欺骗的解决措施

某计算机所处网段的路由IP地址为xx.xx.xx.1,本机地址为xx.xx.xx.8,在计算机上DOS命令行中运行arp-a后输出如下:

C:\DocumentsandSettings\Administrator>arp-a

Interface:xx.xx.xx.8---0x10003

InterAddressPhysicalAddressType

xx.xx.xx.100-01-02-03-04-05dynamic

其中,00-01-02-03-04-05就是路由器xx.xx.xx.1对应的MAC地址,类型为动态,因此可被改变.正常情况下,xx.xx.xx.1和00-01-02-03-04-05始终对应.被攻击后,重复使用该命令查看,就会发现该MAC已经被替换成攻击机器的MAC,而且攻击机器的MAC地址和真正的网关MAC地址会出现交替现象.

6结语

通过以上方法解决ARP病毒对于局域网的欺骗攻击是比较有效果的.但是由于ARP病毒版本在不断更新升级中,所以仍会给局域网用户带来新的冲击与危害.因此有必要提前做好局域网ARP病毒的防范工作,使得ARP病毒的危害减少到最小程度.在网络安全领域,没有任何一种技术手段可以解决所有的问题,对于各种类型的网络攻击,经常查看当前的网络状态,对网络活动进行分析、监控、采取积极、主动的防御行动是保证网络安全和畅通的重要方法.网络管理员应当密切检查网络,不断提高自身的技术水平,确保网络安全的正常运行.