遇到ARP欺骗攻击，咋整？别慌！这3招教制服它！

遇到ARP欺骗攻击，咋整？别慌！这3招教制服它！

攻击简介

如图1-1所示，局域网中UserA、UserB、UserC等用户通过Switch接入连接到Gateway访问Internet。

图1-1 ARP欺骗攻击组网

正常情况下，UserA、UserB、UserC上线之后，通过相互之间交互ARP报文，UserA、UserB、UserC和Gateway上都会创建相应的ARP表项。此时，如果有攻击者Attacker通过在广播域内发送伪造的ARP报文，篡改Gateway或者UserA、UserB、UserC上的ARP表项，Attacker可以轻而易举地窃取UserA、UserB、UserC的信息或者阻碍UserA、UserB、UserC正常访问网络。

现象描述

局域网内用户时通时断，无法正常上网。网络设备会经常脱管，网关设备会打印大量地址冲突的告警。

定位思路

定位手段	命令	适用版本形态
查看日志信息	display logbuffer	V100R006C05版本以及之后版本

交换机做网关，如果攻击源发送假冒网关的ARP报文经过网关交换机时，报文会上送交换机的CPU处理，交换机在检测到网关冲突的同时记录日志.
执行命令display logbuffer查看日志信息。日志信息如下所示，其中MacAddress代表攻击者的MAC地址.

ARP/4/ARP_DUPLICATE_IPADDR:Received an ARP packet with a duplicate IP address from the interface. (IpAddress=[IPADDR], InterfaceName=[STRING], MacAddress=[STRING])

根据日志信息记录的攻击者的MAC地址查找MAC地址表，从而获取到攻击源所在的端口，通过网络进一步排查，进一步定位出攻击源，查看是否中毒所致。

交换机做网关，如果攻击源发送假冒网关的ARP报文不经过网关交换机，直接在交换机的下游转发到用户，则需要在下层网络排查。例如，可以在终端上使用报文解析工具（比如wireshark）解析网关回应的ARP报文，如果解析出来的MAC地址不是网关的MAC地址，则代表终端遭遇攻击，其中解析出来的MAC地址即为攻击者MAC地址。如果解析出来的mac是网关的MAC地址，但是IP不是网关IP，则是模拟网关的MAC攻击，接入交换机上应该会有MAC漂移，根据漂移端口排查攻击源。

问题根因

1、终端中毒。

2、攻击者将主机地址设为网关地址。

处理步骤

方法	优点	缺点
配置黑名单	基于黑名单丢弃上送CPU的报文	需先查到攻击源
配置黑洞MAC	丢弃该攻击源发的所有报文，包括转发的报文	需先查到攻击源
配置防网关冲突攻击功能	收到具有相同源MAC地址的报文直接丢弃	需本设备做网关

方法一： 可以在用户允许的情况下，直接在交换机上配置黑名单过滤攻击源的源MAC地址。

[HUAWEI] acl 4444
[HUAWEI-acl-L2-4444] rule permit l2-protocol arp source-mac 1-1-1
[HUAWEI-acl-L2-4444] quit
[HUAWEI] cpu-defend policy policy1
[HUAWEI-cpu-defend-policy-policy1] blacklist 1 acl 4444

接下来应用防攻击策略policy1，关于防攻击策略的应用，请参见3.1 应用防攻击策略。

方法二： 更严厉的惩罚措施可以将攻击者的MAC配置成黑洞MAC，彻底不让该攻击者上网。

[HUAWEI] mac-address blackhole 1-1-1 vlan 3

方法三： 可以在交换机上配置防网关冲突功能（该功能要求交换机必须做网关），ARP网关冲突防攻击功能使能后，系统生成ARP防攻击表项，在后续一段时间内对收到具有相同源MAC地址的报文直接丢弃，这样可以防止与网关地址冲突的ARP报文在VLAN内广播。

文章来源于网上，如有侵权请联系博主删除

黑客&网络安全如何学习

如果你也对网路安全技术感兴趣，但是又没有合适的学习资源，我可以把私藏的网安学习资料免费共享给你们，来看看有哪些东西。

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我们和网安大厂360共同研发的的网安视频教程，内容涵盖了入门必备的操作系统、计算机网络和编程语言等初级知识，而且包含了中级的各种渗透技术，并且还有后期的CTF对抗、区块链安全等高阶技术。总共200多节视频，100多本网安电子书，最新学习路线图和工具安装包都有，不用担心学不全。

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源