ARP欺骗

实验目的

1. 掌握常见ARP欺骗类型和手段
2. 掌握ARP协议工作原理和格式
3. 掌握防范ARP地址欺骗的方法和措施
4. 掌握Sniffer Pro软件的使用

实验环境

• 硬件

  交换机1 台、路由器1台、计算机数台

• 软件

  Sinffer pro

实验原理

ARP协议

简介

ARP(Address Resolve Protocol)，地址解析协议。

用途：用于寻找和IP 地址相对应的MAC地址。

ARP消息类型：

• ARP request

  即ARP请求分组，用于请求某IP主机的硬件地址。

  广播。

• ARP response

  即ARP响应分组，用于指出某IP主机的硬件地址。

  单播。

ARP报文中各字段的意义

• 硬件类型

  以太网接口类型为1。

• 协议类型

  IP协议类型为080016。

• 操作

  ARP请求分组为1，ARP响应分组为2。

• 硬件地址长度

  MAC地址长度为6BH。

• 协议地址长度

  IP地址长度为4BH。

• 源MAC地址

  发送方的MAC地址。

• 源IP地址

  发送方的IP地址。

• 目的MAC 地址

  ARP 请求分组中该字段没有意义；ARP 响应分组中为接收方的MAC地址。

• 目的IP 地址

  ARP 请求分组中为请求解析的IP 地址；ARP 响应分组中为接收方的IP地址。

ARP欺骗原理

ARP请求分组以广播形式发送，网络上的主机可以自主发送ARP应答消息；

当其他主机收到ARP响应分组时，不会检测该报文的真实性，直接将其记录在本地的MAC地址转换表。

就可以发送伪ARP响应分组，从而篡改本地的MAC地址表。

举例：

攻击者甲通过冒充某IP主机丙，给出错误的物理地址，并向另一主机乙单播一个ARP响应分组，这样乙接收到这个错误的IP与物理地址的映射，更新了ARP缓存表。

之后，主机乙使用ARP缓存表中该项时，则会出现错误。

实验步骤

设置账户

控制面板——用户账户——设置用户名为ligong，并设置密码。

设置FTP站点

控制面板——Internet信息服务——FTP站点——硬件——安全账户——浏览——高级——选中ligong——允许匿名——应用、确定。

禁止网络保护

右击屏幕右下角盾牌，取消Enable Auto Protection。

所用主机说明

我们需要三台主机，分别为甲、乙、丙。

甲为监听并攻击者，乙为Ping命令/FTP命令操作者，丙为IP地址提供者。

甲实现ARP欺骗后，乙无法Ping或无法通过FTP连接丙。

进行ARP欺骗

在甲主机上进行操作。

1. 打开Sniffer Pro，选中本机的网卡，并选中Log Off，点击确定。

2. 点击菜单栏中File中的Log On，登录网卡。

3. 打开菜单栏中display中的Define Filter；

   选中Address选项卡，将Station1和Station2设置为Any（这样将监听网络上的所有消息，个人觉得可以只监听乙和丙）；

   选中Advanced选项卡，选中ARP、IP、IP ARP、TCP、UDP和FTP。

4. 打开菜单栏中Capture中的Start，开始监听。

5. 点击左侧Connection，点击下侧的Objects选项。

6. 在右侧找到乙对丙的ARP信息包，双击，再选择Decode选项，可以看到ARP分组的结构，我们对丙的MAC地址进行修改（右击——Edit）。

7. 打开菜单栏中Tools中的Trace Route，实现ARP欺骗。

结果检验

甲实现ARP欺骗后，乙Ping或通过ftp连接丙则会失败。

因为甲通过广播发出了错误的丙的物理地址，而乙接收到了这个错误的信息，在连接丙时则会使用这个错误的物理地址，造成无法连接。