2022年Arp欺骗实现网络准入控制方法研究.docx

《2022年Arp欺骗实现网络准入控制方法研究.docx》由会员分享，可在线阅读，更多相关《2022年Arp欺骗实现网络准入控制方法研究.docx（10页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、精品学习资源技术资料Arp 欺诈实现网络准入把握方法分析北京赛门铁克信息技术有限公司2006 年 08 月欢迎下载精品学习资源版本变更记录版本1.0修订日期2006-8-11修订人叶永军描述初稿欢迎下载精品学习资源目 录第 1 章 ARP 欺诈的原理 11.2A RP 病毒 /A RP 木马工作原理 21.2.1 病毒故障现象 21.2.2 病毒实现原理 31.3A RP 实现网络准入把握的原理3第 2 章 ARP 欺诈的防范措施42.1 防范 A RP 欺诈的重要性 42.2 防范 A RP 的措施 52.2.1 设置静态 Mac 表 52.2.2 应用反 Arp 欺诈技术 5第 3 章 A

2、RP 欺诈实现网络把握的问题53.1 防范 ARP 欺诈与利用 ARP 欺诈的冲突3.2 把握的成效 63.3 对网络的负面影响7第 4 章 ARP 技术的有效运用71.1A RP 协议介绍 16欢迎下载精品学习资源第1 章 ARP 欺诈的原理局域网中，通过 ARP 协议来完成 IP 地址转换为其次层物理地址（即 MAC 地址）的； ARP 协议对网络安全具有重要的意义；通过伪造 IP 地址和 MAC 地址实现 ARP 欺诈，可以实现交换环境下的会话嗅探，第三方会话劫持攻击；不当的 ARP 欺诈可能导致整个局域网的不稳固甚至瘫痪；一些网络治理软件利用ARP 欺诈也可以实现局域网强制接入的把握（

3、如Internet 上流行的“网络执法官”工具）；本文将详细分析 ARP 欺诈的工作原理，给网络可能造成的不稳固因素以及防范措施，并证明接受ARP 欺诈技术实现网络接入把握的局限性；1.1 Arp协议介绍对 Arp 协议和工作原理比较明白的读者可以跳过此章节；ARP 协议是“ Address Resolution Protocol”（地址解读协议）的缩写；在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的；在以太网中，一个主机要和另一个主机进行直接通信，必需要知道目标主机的 MAC 地址；但这个目标 MAC 地址是如何获得的呢？它就是通过地址解读协议获得的；所谓“地址解读”

4、就是主机在发送帧前将目标IP 地址转换成目标MAC 地址的过程； ARP 协议的基本功能就是通过目标设备的IP 地址，查询目标设备的 MAC 地址，以保证通信的顺当进行；每台安装有 TCP/IP 协议的电脑里都有一个 ARP 缓存表，表里的 IP 地址与MAC 地址是一一对应的，如下表所示：主机IP 地址MAC 地址A 192.168.16.1 aa-aa-aa-aa-aa-aaB192.168.16.2 bb-bb-bb-bb-bb-bbC192.168.16.3 cc-cc-cc-cc-cc-cc欢迎下载精品学习资源D 192.168.16.4 dd-dd-dd-dd-dd-dd我们以主机

5、 A（192.168.16.1）向主机 B（192.168.16.2）发送数据为例；当发送数据时，主机A 会在自己的 ARP 缓存表中查找是否有目标IP 地址；假如找到了，也就知道了目标 MAC 地址，直接把目标 MAC 地址写入帧里面发送就可以了；假如在 ARP 缓存表中没有找到相对应的IP 地址，主机 A 就会在网络上发送一个广播，目标 MAC 地址是“ FF.FF.FF.FF.FF.F”F ，这表示向同一网段内的全部主机发出这样的询问：“ 192.168.16.2 的 MAC 地址是什么？”网络上其他主机并不响应ARP 询问，只有主机B 接收到这个帧时，才向主机A 做出这样的回应：“ 1

6、92.168.16.2的 MAC 地址是 bb-bb-bb-bb-bb-bb”；这样，主机A 就知道了主机 B 的 MAC 地址，它就可以向主机 B 发送信息了；同时它仍更新了自己的 ARP 缓存表，下次再向主机 B 发送信息时，直接从 ARP 缓存表里查找就可以了； ARP 缓存表接受了老化机制，在一段时间内假如表中的某一行没有使用，就会被删除，这样可以大大削减ARP 缓存表的长度，加快查询速度；1.2 Arp病毒 /Arp木马工作原理2006 年上半年，在全国大范畴内爆发了一种通过传奇网络玩耍外挂传播的木马病毒，对众多企业、训练、政府单位的网络造成严肃影响；通过Google 搜寻可以查阅更

7、详细的关于该病毒的报道；1.2.1 病毒故障现象当局域网内某台主机运行 ARP 欺诈的木马程序时，会欺诈局域网内全部主机和路由器，让全部上网的流量必需经过病毒主机；其他用户原先直接通过路 由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线；切换到病 毒主机上网后，假如用户已经登陆了传奇服务器，那么病毒主机就会经常伪造 断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了；由于 ARP 欺诈的木马程序发作的时候会发出大量的数据包导致局域网通讯欢迎下载精品学习资源拥塞以及其自身处理才能的限制，用户会感觉上网速度越来越慢；当ARP 欺诈的木马程序停止运行时，用户会复原从路由器

8、上网，切换过程中用户会再断一次线；1.2.2 病毒实现原理从上面介绍的 Arp 协议可以看出， ARP 协议的基础就是信任局域网内全部的人，那么就很简洁实现在以太网上的 ARP 欺诈；攻击者对局域网终端和网关进行欺诈，终端和网关的通信将由攻击者进行中间转发，从而实现会话嗅探和劫持；详细过程如下：对目标 A 进行欺诈， A 去 Ping 主机 C 却发送到了 DD-DD-DD-DD-DD-DD 这个地址上；假如进行欺诈的时候，把C 的 MAC 地址骗为 DD-DD-DD-DD- DD-DD ，于是 A 发送到 C 上的数据包都变成发送给 D 的了；这不正好是D 能够接收到 A 发送的数据包了么，

9、嗅探成功；A 对这个变化一点都没有意识到，但是接下来的事情就让A 产生了怀疑；由于 A 和 C 连接不上了； D 对接收到 A 发送给 C 的数据包可没有转交给 C；做“ man in the middle”，进行 ARP 重定向；打开 D 的 IP 转发功能， A 发送过来的数据包，转发给 C，好比一个路由器一样；D 直接进行整个包的修改转发，捕获到A 发送给 C 的数据包，全部进行修改后再转发给 C，而 C 接收到的数据包完全认为是从A 发送来的；不过， C 发送的数据包又直接传递给 A，假如再次进行对C 的 ARP 欺诈；现在 D 就完全成为 A 与 C 的中间桥梁了，对于 A 和 C

10、之间的通讯就可以了如指掌了；1.3 Arp实现网络准入把握的原理一些网管软件通过Arp 欺诈的方式实现了网络准入把握，其原理与Arp 木马工作原理特殊类似；网管软件通过向局域网终端发送Arp 欺诈数据包，修改网关 IP 地址的 Mac地址应答，由于局域网终端学习到的网关Mac 地址为虚假的 Mac 地址，导致终欢迎下载精品学习资源端发送到网关的通信不会被网关接受，从而不能连接到网关；在以上方式中， 只能把握终端与网关的通信，假如需要把握终端与同网段内其他全部终端的通信，就需要对该被控终端进行更多的 arp 欺诈；也有个别网管软件为了保证把握成效，不仅仅对被控终端进行 arp 欺诈， 仍对全部网

11、段中的正常终端进行欺诈，从而保证被控终端与正常终端双向都不能正常通信；需要想法的是：由于 Arp 地址表会定期刷新，因此必需以确定的频率反复发送 arp 欺诈包，保证把握成效；实际应用中，发送频率通常为秒级，如5-10秒，才能确保压制的成效；第2 章 ARP 欺诈的防范措施2.1 防范 Arp欺诈的重要性ARP 欺诈利用了 Arp 协议完全信任，缺少安全鉴别机制的安全漏洞，给网络治理者带来了很大的挑战； Arp 病毒/木马、“网络执法官”等非法软件的使用，极大地增加了局域网安全隐患，包括：信息泄漏只需要简洁的 arp 欺诈工具和操作步骤（如著名的CAIN 工具，只需要点击两个按钮， sniff

12、er 和 arp欺诈），就可以实现对交换环境中的通信进行嗅探， 包括治理员治理账户口令、用户各种应用（mail 、ftp、web）账户口令、用户通信内容等，导致严肃的信息泄漏，为更严肃的攻击行为供应了条件；Arp 病毒Arp 病毒的主要危害不仅仅表达在病毒本身的目的，比如窃取传奇账号等，更为严肃的是其对网络运行的拒绝服务攻击；一方面，由于ARP 欺诈的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞，另一方面，由于自身处理才能的限制，经常导致攻击者的网络通信中转失败或效能下降，导致正常用户网络中断或者网络速度极慢；欢迎下载精品学习资源“网络执法官”等非法软件的滥用个别用户处于古怪、好玩等

13、目的，下载使用“网络执法官”等非法把握软件，通过 arp 欺诈，可以让任意终端网络连接中断；2.2 防范 Arp的措施2.2.1 设置静态Mac表不要把你的网络安全信任关系建立在 IP 基础上或 MAC 基础上，（ rarp 同样存在欺诈的问题），设置静态的 MAC-IP 对应表，可以杜绝 Arp 欺诈包刷新 Mac 地址表；2.2.2 应用反 Arp欺诈技术针对 arp 木马流行，越来越多的治理者留意到了Arp 欺诈的危害，安全厂商、安全软件开发者也针对这种攻击行为有了相应的解决方案；最常用的 ARP 欺诈拦截技术原理如下： Arp 欺诈的一个重要特点是通过Arp Reply 的高频率发送，

14、刷新用户的 Mac 地址表，而事实上，针对这些Reply 包，用户并没有发送相应的请求包；因此，一个简洁的技术机制可以很好地应对 Arp 欺诈攻击，主机对于接受到的没有请求过的Arp Reply 数据包直接丢弃并告警，就可以实现 Arp 欺诈的防范，并定位进行攻击的攻击源；网关层面，目前主流交换机、路由器厂商的设备具备抗Arp 欺诈攻击的才能，终端上，越来越多的个人防火墙产品（如Symantec）都已经内置了对 Arp 欺诈的防护；一些免费的软件（如Anti ARP Sniffer ）也供应类似的功能；第 3 章 ARP欺诈实现网络把握的问题如前所述，一些网络治理软件可以通过ARP 欺诈的方式

15、对非授权终端进行强制的接入把握，禁止接入网络；但是，该方式存在较大的治理局限性和负面影响，详细分析如下：欢迎下载精品学习资源3.1 防范 ARP欺诈与利用ARP欺诈的冲突如 2.1 章节所述，由于利用 Arp 欺诈导致的攻击、病毒行为将极大的危害整个局域网络的安全，因此必需接受相应的Arp 欺诈防范技术；而要实现网络把握，就确定不能使用Arp 欺诈防范技术，否就将导致把握失效；之所以会由这样的冲突，根本缘由在于该网络把握方式接受的是一种非法的，基于黑客攻击的方式；而这种攻击方式的滥用，将给网络带来更大的危 害；3.2 把握的成效依据其实现原理，可以很简洁懂得其实现的把握成效并不理想；第一，由于

16、 Arp 广播包只能在同一个网段或者VLAN中生效，不能跨网段，更不能跨路由，就极大地影响了该方式的实施成效；必需确保每一个Vlan，每一个远程接入网段内，必需存活一台该软件可治理的设备，由该设备实现 Arp 欺诈功能，从而实现准入把握；因此，很多网络场景，比如远程接入的终端，移动营业厅的终端等，都无法实现接入把握；其次，由于针对 Arp 欺诈防范技术已经比较成熟，终端用户自行设定静态Mac 地址，安装相应的防护软件（如Anti ARP Sniffer），启用防火墙软件（需支持 arp 欺诈防护功能），都可以逃避这种网络接入把握方式；另外，个别软件声称即时被控终端有以上防范措施，仍然能够进行把

17、握，其实现原理是对其他正常的终端进行更大范畴的Arp 欺诈，确保正常终端给受控终端的通信不能正常进行；这种方法一方面要求全部正常终端必需暴露在arp 欺诈攻击的影响下，不能使用任何防护措施，另一方面，该方式对于UDP 等单向及可完成通信的攻击没有成效，也就是说，攻击者感染的蠕虫病毒（如Sql Slammer）在一个 UDP 包中已经包含了整个攻击过程，该数据包会不受把握地发送给全网其他终端，攻击过程并不需要正常终端的回复；欢迎下载精品学习资源3.3 对网络的负面影响为了保证准入把握成效，大量的，高频度的Arp 欺诈包在局域网内传播， 降低了网络的性能；另一方面，当真正的攻击发生或者显现网络故障

18、时，网络中存在大量的攻击包将影响真正问题的定位和修复；第4 章 ARP 技术的有效运用Arp 技术的合理使用也可以对网络治理有合适的帮忙，比如定位非授权终端；一些网管软件通过Arp 的方式扫描全网，可以发觉那些违规计入的终端；使用 Arp 方式而不是 snmp 或者 Ping 的方式，可以有效地发觉那些启用了防火墙的终端；但是这种方式一个负面成效是仍然存在大量的额外的Arp 扫描包， 同样，为了保证发觉的即时性，扫描操作会以高频度反复执行；另外，目前有一些防火墙技术可以禁止这种 Arp 扫描的方式，从而逃避探测；Symantec Sygate安全代理的 Lan Sensor功能也应用了 Arp 发觉的技术，但是与上述方式不同的是，不会增加任何额外流量；终端接入网络时，必定会发送 Arp 广播包，对于安装了 Sygate安全代理的终端，其发送的 Arp 广播报文被适当修改标识（不影响正常使用）；从而，通过部署在同网段的 LanSensor 代理（安全代理的一个功能组件）就可以接受这些广播包，并且识别发送广播包的代理是否安装有 Sygate安全代理；对于未安装 Sygate安全代理的终端，可以实时发觉并同一告警；这种技术在违规终端发觉上即保证了成效，又不会对网络造成任何影响，是 Arp 技术的一个有效运用；欢迎下载