《局域网apr攻击好的解决方法》由会员分享，可在线阅读，更多相关《局域网apr攻击好的解决方法（8页珍藏版）》请在金锄头文库上搜索。
1、局域网 APR 攻击好的解决方法发送部门:包头职业技术学院网络中心发布日期: 2008 年 9月 3 号在校园网上网，常遇到掉线、断网、连接不了服务器的现象。很多老师都对此抱怨不止。于是，我在网上查到的相关资料，是有关 ARP 掉线的研究，拿来和大家分享下。中招现象：掉线。解决 ARP 攻击的方法： 【故障原因】 局域网内有人使用 ARP 欺骗的木马程序（比如：传奇盗号的软件，某些传奇外挂中也被恶意加载了此程序）。 【故障原理】 要了解故障原理，我们先来了解一下 ARP 协议。 在局域网中，通过 ARP 协议来完成 IP 地址转换为第二层物理地址（即 MAC地址）的。ARP 协议对网络安全具有
2、重要的意义。通过伪造 IP 地址和 MAC 地址实现 ARP 欺骗，能够在网络中产生大量的 ARP 通信量使网络阻塞。 ARP 协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的 MAC 地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的 MAC 地址。但这个目标 MAC 地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标 IP 地址转换成目标 MAC 地址的过程。ARP 协议的基本功能就是通过目标设备的 IP 地址，查询目标设备的
3、MAC 地址，以保证通信的顺利进行。 每台安装有 TCP/IP 协议的电脑里都有一个 ARP 缓存表，表里的 IP 地址与MAC 地址是一一对应的，如下表所示。 主机 IP 地址 MAC 地址 A 192.168.16.1 aa-aa-aa-aa-aa-aa B 192.168.16.2 bb-bb-bb-bb-bb-bb C 192.168.16.3 cc-cc-cc-cc-cc-cc D 192.168.16.4 dd-dd-dd-dd-dd-dd 我们以主机 A（192.168.16.1）向主机 B（192.168.16.2）发送数据为例。当发送数据时，主机 A 会在自己的 ARP 缓存
4、表中寻找是否有目标 IP 地址。如果找到了，也就知道了目标 MAC 地址，直接把目标 MAC 地址写入帧里面发送就可以了；如果在 ARP 缓存表中没有找到相对应的 IP 地址，主机 A 就会在网络上发送一个广播，目标 MAC 地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2 的 MAC 地址是什么？”网络上其他主机并不响应 ARP 询问，只有主机 B 接收到这个帧时，才向主机 A 做出这样的回应：“192.168.16.2 的 MAC 地址是 bb-bb-bb-bb-bb-bb”。这样，主机 A 就知道了主机 B 的 MAC
5、地址，它就可以向主机 B 发送信息了。同时它还更新了自己的 ARP 缓存表，下次再向主机 B 发送信息时，直接从 ARP 缓存表里查找就可以了。ARP 缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少 ARP 缓存表的长度，加快查询速度。 从上面可以看出，ARP 协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的 ARP 欺骗。对目标 A 进行欺骗，A 去 Ping 主机 C 却发送到了 DD-DD-DD-DD-DD-DD 这个地址上。如果进行欺骗的时候，把 C 的 MAC 地址骗为 DD-DD-DD-DD-DD-DD，于是 A 发送到 C
6、 上的数据包都变成发送给 D 的了。这不正好是 D 能够接收到 A 发送的数据包了么，嗅探成功。 A 对这个变化一点都没有意识到，但是接下来的事情就让 A 产生了怀疑。因为 A 和 C 连接不上了。D 对接收到 A 发送给 C 的数据包可没有转交给 C。 做“man in the middle”，进行 ARP 重定向。打开 D 的 IP 转发功能，A 发送过来的数据包，转发给 C，好比一个路由器一样。不过，假如 D 发送 ICMP 重定向的话就中断了整个计划。 D 直接进行整个包的修改转发，捕获到 A 发送给 C 的数据包，全部进行修改后再转发给 C，而 C 接收到的数据包完全认为是从 A 发
7、送来的。不过，C 发送的数据包又直接传递给 A，倘若再次进行对 C 的 ARP 欺骗。现在 D 就完全成为 A与 C 的中间桥梁了，对于 A 和 C 之间的通讯就可以了如指掌了。【故障现象】 当局域网内某台主机运行 ARP 欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上，切换的时候用户会断一次线。 切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。 由于 ARP 欺骗的木马程序发作的时候会发出大量的数据包导致局
8、域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当 ARP 欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。 【HiPER 用户快速发现 ARP 欺骗木马】 在路由器的“系统历史记录”中看到大量如下的信息（440 以后的路由器软件版本中才有此提示）： MAC Chged 10.128.103.124 MAC Old 00:01:6c:36:d1:7f MAC New 00:05:5d:60:c7:18 这个消息代表了用户的 MAC 地址发生了变化，在 ARP 欺骗木马开始运行的时候，局域网所有主机的 MAC 地址更新为病毒主机的 MAC 地址（即
9、所有信息的MAC New 地址都一致为病毒主机的 MAC 地址），同时在路由器的“用户统计”中看到所有用户的 MAC 地址信息都一样。 如果是在路由器的“系统历史记录”中看到大量 MAC Old 地址都一致，则说明局域网内曾经出现过 ARP 欺骗（ARP 欺骗的木马程序停止运行时，主机在路由器上恢复其真实的 MAC 地址）。 【在局域网内查找病毒主机】 在上面我们已经知道了使用 ARP 欺骗木马的主机的 MAC 地址，那么我们就可以使用 NBTSCAN（下载地址：http:/ (http:/ NBTSCAN 可以取到 PC 的真实 IP 地址和 MAC 地址，如果有”传奇木马”在做怪，可以找到
10、装有木马的 PC 的 IP/和 MAC 地址。 命令：“nbtscan -r 192.168.16.0/24”（搜索整个 192.168.16.0/24 网段, 即 192.168.16.1-192.168.16.254）；或“nbtscan 192.168.16.25-137”搜索 192.168.16.25-137 网段，即 192.168.16.25-192.168.16.137。输出结果第一列是 IP 地址，最后一列是 MAC 地址。 NBTSCAN 的使用范例： 假设查找一台 MAC 地址为“000d870d585f”的病毒主机。 1）将压缩包中的 nbtscan.exe 和 cyg
11、win1.dll 解压缩放到 c:下。 2）在 Windows 开始运行打开，输入 cmd（windows98 输入“command”），在出现的 DOS 窗口中输入：C: btscan -r 192.168.16.1/24（这里需要根据用户实际网段输入），回车。 C:Documents and SettingsALANC: btscan -r 192.168.16.1/24 Warning: -r option not supported under Windows. Running without it. Doing NBT name scan for addresses from 192
12、.168.16.1/24 IP address NetBIOS Name Server User MAC address -192.168.16.0 Sendto failed: Cannot assign requested address 192.168.16.50 SERVER 00-e0-4c-4d-96-c6 192.168.16.111 LLF ADMINISTRATOR 00-22-55-66-77-88 192.168.16.121 UTT-HIPER 00-0d-87-26-7d-78 192.168.16.175 JC 00-07-95-e0-7c-d7 192.168.1
13、6.223 test123 test123 00-0d-87-0d-58-5f 3）通过查询 IP-MAC 对应表，查出“000d870d585f”的病毒主机的 IP 地址为“192.168.16.223”。 【解决思路】：1、不要把你的网络安全信任关系建立在 IP 基础上或 MAC 基础上，（rarp 同样存在欺骗的问题），理想的关系应该建立在 IP+MAC 基础上。 2、设置静态的 MACIP 对应表，不要让主机刷新你设定好的转换表。 3、除非很有必要，否则停止使用 ARP，将 ARP 做为永久条目保存在对应表中。 4、使用 ARP 服务器。通过该服务器查找自己的 ARP 转换表来响应其他
14、机器的ARP 广播。确保这台 ARP 服务器不被黑。 5、使用“proxy“代理 IP 的传输。 6、使用硬件屏蔽主机。设置好你的路由，确保 IP 地址能到达合法的路径。（静态配置路由 ARP 条目），注意，使用交换集线器和网桥无法阻止 ARP 欺骗。7、管理员定期用响应的 IP 包中获得一个 rarp 请求，然后检查 ARP 响应的真实性。 8、管理员定期轮询，检查主机上的 ARP 缓存。 9、使用防火墙连续监控网络。注意有使用 SNMP 的情况下，ARP 的欺骗有可能导致陷阱包丢失。 【HiPER 用户的解决方案】 建议用户采用双向绑定的方法解决并且防止 ARP 欺骗。 1、在 PC 上绑
15、定路由器的 IP 和 MAC 地址： 1）首先，获得路由器的内网的 MAC 地址（例如 HiPER 网关地址192.168.16.254 的 MAC 地址为 0022aa0022aa 局域网端口 MAC 地址）。 2）编写一个批处理文件 rarp.bat 内容如下： echo off arp -d arp -s 192.168.16.254 00-22-aa-00-22-aa 将文件中的网关 IP 地址和 MAC 地址更改为您自己的网关 IP 地址和 MAC 地址即可。 将这个批处理软件拖到“windows-开始-程序-启动”中。ARP 病毒专杀工具ARP 病毒专杀工具：http:/ (http:/ ARP 病毒专杀工具，不管是否有中毒，请务必下载下来杀一杀。下载后解压缩，运行包内 TSC.exe 文件，不要关让它一直运行完，最后查看report 文档便知是否中毒。2、Arp 病毒专杀防御工具 Antiarp下载地址：http:/ (http:/
