day14、3 - ARP攻击或欺骗实验

一、ARP攻击

1.ARP攻击工具及理论

• 使用的工具：网络执法官----Netrobocop（还有很多工具，这里只是举例说明）
• 工具的使用：内置扫描指定IP范围内所有的活跃主机的功能；可以针对某一个主机进行IP冲突
• IP冲突攻击的原理：使用ARP协议一直在局域网内发送ARP广播请求，内容是：我的IP是xxx（受害者IP），我的MAC地址为xxx（受害者MAC），谁是xxx，你的MAC地址为？攻击对象收到后解封装发现此报文中的IP地址与自己的IP地址一样，所以会一直显示IP冲突的提示，实际上只是虚假的冲突。其他主机收到后没有影响
• 禁止与关键主机组/所有主机进行TCP/IP连接原理：设置好禁止通信的对象IP或这几禁止与所有主机通信，当受害者想要与设置好的对象通信时会发送ARP广播请求，这时攻击者会发送虚假ARP单播应答报文给受害者主机，受害者则收到一个虚假的ARP应答和虚假的MAC地址，无论受害者想要与谁通信，攻击者都会说我就是谁谁谁，伪造一个MAC，那么受害者主机就无法与任何设置好的对象IP主机通信

2.搭建环境

• 一台winxp主机，IP为10.1.1.1，作为受害者1；一台win2003主机，IP为10.1.1.2，作为受害者2；一台win7主机，IP为10.1.1.3，作为攻击者。将三天主机都连接到同一个局域网中，即连接同一个交换机比如vmnet1。
• 在win7主机上下载网络执法官软件

3.攻击步骤

• 正常情况下，受害者1和受害者2的主机在未相互通过信时，双方的主机上是没有ARP缓存的

  arp -a    #用来查看本机上的ARP缓存
  

  

• 当受害者1ping受害者2时，受害者1的主机上会形成ARP缓存记录受害者2的MAC地址，而此时受害者2的主机上也会在ARP缓存中记录受害者1的MAC地址。因为受害者1发送ARP广播请求中含有1的MAC和IP，所以受害者2收到后会记录下来

  

• 现在攻击者打开软件网络执法官，现在不知道同网段下有哪些主机在线，所以需要进行扫描：设置扫描范围–点击添加–点击确定即可开始扫描网段内存活的主机

  

• 扫描结果如下：

  

• 右键你想要攻击的主机–手工管理：可以选择要攻击的手段。

  1. 选择对10.1.1.1受害者1进行IP冲突攻击（管理频率：每秒钟发的伪造的包的数量）

     

     只要点击开始，就会一直发伪造包，受害者1的主机遭受攻击后如图：

     

     10.1受害者1还是可以正常与别人通信，只是会一直显示IP冲突提示，就是一个简简单单的小恶搞

  2. 选择禁止与所有主机进行TCP/IP连接，即阻止10.1受害者1的主机与局域网内的任何主机进行通信

     

二、ARP欺骗

1.ARP欺骗工具

• cain：不光有ARP欺骗的该功能，还内置扫描功能和抓包功能，且抓完的包中的内容可以分类直接显示出来

  这里只演示windows系统的一款软件，kali上的工具更好用，后面会系统学习

2.欺骗步骤

1）扫描

• 环境和上述环境一致，在攻击者的电脑上安装Cain软件，打开软件

  

• 点击configure选择抓PC上哪个网卡的进出的数据包，点击确定

  

• 点开Sniffer—在下方空白处右键—点击Scan Mac addresses–设置扫描的IP范围

  

• 结果如图所示

  

2）ARP欺骗

• 因为要对扫描出来的目标IP主机进行ARP欺骗，所以需要选择下方的ARP选项—再点击上方空白处—再点击加号键添加ARP欺骗列表—选择要截取哪两个主机之间的通信

  

• 此时选中添加的欺骗列表，点击左上角的符号，开始ARP欺骗，下方状态就会显示Poisoning表示开始对这两个主机投毒

  

• 此时受害者双方虽然可以正常通信，但是查看ARP缓存表可以得到知，此时受害者1本地的ARP缓存中受害者2的MAC地址已经改为攻击者的MAC地址；受害者2本地ARP缓存中受害者1的MAC地址也已经改为攻击者的MAC地址，即双方通信都会经过攻击者

  

• 此时如果受害者双方通信，且通信内容没有加密，就及其危险。比如现在受害者1要使用telnet服务远程控制受害者2，当受害者1输入telnet远程控制账号和密码时，攻击者可以通过Cain软件自带的抓包功能（Cain抓取到的包会自动获取到当中的有用的内容，直接点击相应的选项可以直接查看）获取通信内容。

  

  右侧即各种需要账号密码登录验证的服务，只要双方通信，以明文的方式传输了账号和密码，都可以选择相应的服务，查看账号和密码