ARP攻击简单介绍

1161443011

ARP协议是以太网等数据链路层的基础协议，负责完成IP地址到硬件地址的映射。工作过程简述如下：

1、当主机或者网络设备需要解析一个IP地址对应的MAC地址时，会广播发送ARP请求报文。

2、主机或者网络设备接收到ARP请求后，会进行应答。同时，根据请求发送者的IP地址和MAC地址的对应关系建立ARP表项。

3、发起请求的主机或者网络设备接收到应答后，同样会将应答报文中发送者的IP地址和MAC地址的映射关系记录下来，生成ARP表项。

从ARP工作机制可以看出，ARP协议简单易用，但是却没有任何安全机制，攻击者可以发送伪造ARP报文对网络进行攻击。伪造ARP报文具有如下特点：

Ø 伪造的ARP报文中源MAC地址/目的MAC地址和以太网帧封装中的源MAC地址/目的MAC地址不一致。

Ø 伪造的ARP报文中源IP地址和源MAC地址的映射关系不是合法用户真实的映射关系。

Ø 目前主要的ARP攻击方式有如下几类：

Ø 仿冒网关攻击

Ø 仿冒用户攻击（欺骗网关或者其他主机）

Ø 泛洪攻击

1. 仿冒网关攻击

主机A仿冒网关向主机B发送了伪造的网关ARP报文，导致主机B的ARP表中记录了错误的网关地址映射关系，从而正常的数据不能被网关接收。

仿冒网关攻击是一种比较常见的攻击方式，如果攻击源发送的是广播ARP报文，或者根据其自身所掌握的局域网内主机的信息依次地发送攻击报文，就可能会导致整个局域网通信的中断，是ARP攻击中影响较为严重的一种。

2. 仿冒用户攻击

(1)欺骗网关

主机A仿冒主机B向网关发送了伪造的ARP报文，导致网关的ARP表中记录了错误的主机B地址映射关系，从而正常的数据报文不能正确地被主机B接收。

(2) 欺骗其他用户

主机A仿冒主机B向主机C发送了伪造的ARP报文，导致主机C的ARP表中记录了错误的主机B地址映射关系，从而正常的数据报文不能正确地被主机B接收。

3. ARP泛洪攻击

网络设备在处理ARP报文时需要占用系统资源，同时因为系统内存和查找ARP表效率的要求，一般网络设备会限制ARP表的大小。攻击者就利用这一点，通过伪造大量源IP地址变化的ARP报文，使设备ARP表溢出，合法用户的ARP报文不能生成有效的ARP表项，导致正常通信中断。

另外，通过向设备发送大量目标IP地址不能解析的IP报文，使设备反复地对目标IP地址进行解析，导致CPU负荷过重，也是泛洪攻击的一种。

1.1.3  ARP攻击的危害

ARP攻击是一种非常恶劣的网络攻击行为：

会造成网络不稳定，引发用户无法上网或者企业断网导致重大生产事故。

利用ARP攻击可进一步实施攻击，非法获取游戏、网银、文件服务等系统的帐号和口令，使被攻击者造成利益上的重大损失。

     

    HCNP培训机构 HCIE培训中心 HCIE认证培训

助教：马季

内容摘自《ARP攻击防范技术白皮书》

ie-lab网络实验室针对思科认证，ccie，ccna，ccnp认证，华为认证等课程！ 授课经验丰富，师资力量雄厚！ 通过网络报名所有课程6折起！咨询微信13126705344，电话同步！