基于WinPcap 的ARP 欺骗攻击

数据包完全信任， 并不验证收到的数据包中 IP 和 MAC 对应正 确 性 。 这 是 ARP 协 议 的 一 个 重 大 的 漏 洞 。 只 要 是 来 自 局 域 网 内 的 ARP 应 答 分 组 ， 就 会 将 其 中 的 IP-MAC 地 址 记 录 更 新 到 本地 ARP 缓存中， 而 不 进 行 任 何 认 证 ， 这 就 是 ARP 安 全 漏 洞 的本质： 无状态性。 这也是会造成 ARP 欺骗的一个重要原因。
针对上述的漏洞， 局域网中的任何一台主机只要伪造一个 虚 假 的 ARP 请 求 包 并 且 不 停 地 广 播 或 不 停 发 送 应 答 包 （如 果 伪造网关欺骗， 就以广播方式）， 局域网的主机收到请求包或 应 答 包 后 不 加 认 证 地 更 新 自 己 的 ARP 缓 存 。 在 这 个 环 节 上 没 有任何限制， ARP 欺骗就水到渠成了。
1 引言
ARP （地 址 解 析 协 议 ） 是 一 个 标 准 的 TCP/IP 协 议 ， 工 作 在 IP 层 ， 其 功 能 是 实 现 局 域 网 中 主 机 的 IP 地 址 与 硬 件 地 址 （通常称为 MAC 地址） 之间的转换和映射。 ARP 协议在设计之 初并没有过多的考虑协议的安全性， ARP 的工作原理和机制给 网 络 带 来 了 一 类 安 全 问 题— ——ARP 欺 骗 。 利 用 ARP 欺 骗 可 以 实 现 多 种 安 全 攻 击 ， 比 如 冲 突 合 法 的 IP 使 其 无 法 正 常 联 网 ， 从而造成拒绝服务攻击， 监听机器间的通信， 窃取重要的业务 信 息 流 等 。 现 在 ARP 欺 骗 攻 击 已 经 成 为 专 业 化 的 攻 击 手 段 。 对 于 局 域 网 的 安 全 造 成 严 重 的 威 胁 。 检 测 到 ARP 欺 骗 攻 击 是 防 范 其 攻 击 的 基 础 ， 在 抵 御 局 域 网 的 ARP 欺 骗 攻 击 中 起 着 举 足轻重的作用。
if (pcap_findalldevs(&alldevs,errbuf)==-1) { fprintf (stderr,” pcap_findalldevs 出现错误：%s\n”,
errbuf); return -1;
} 获 得 网 卡 函 数 原 型 ： int pcap_findalldevs ( pcap_if_t *all_dev,char *err_buffer)， 参数 all_dev 是 pcap_if_t 类型链表节 点 ， 用 于 返 回 网 卡 信 息 ； 参 数 err_buffer 是 存 储 错 误 信 息 的 缓 冲区地址。 此函数成功运行返回值为 0； 运行失败返回值为-
（1） 高速缓存 漏洞之一来自于存放 IP 地址与硬件 MAC 地址映射关系的 ARP 高 速 缓 存 。 ARP 高 速 缓 存 利 用 动 态 更 新 机 制 及 时 地 淘 汰 过时 IP-MAC 记录， 合理地利用缓存， 提高了查找的效率和缓 存的使用效率。 但是， 这个优点却成了恶意者攻击的帮凶。 虽 然每个 IP-MAC 记录存在都是有生存期的， 但是只要恶意者在 这个记录更新之前改变了这条记录， 那么假的记录就会存储在 缓存， 在这个时间内， 相应的主机就会被欺骗。 （2） ARP 的无状态性 漏 洞 之 二 源 于 ARP 协 议 请 求 和 应 答 机 制 。 ARP 协 议 并 没 有对请求和应答进行必要的限制， 使得局域网中的任何主机都 能够随意发送和接收请求数据包和应答数据包， 而且接收方对
} 此语句的功能是打开目标网卡准备捕获数据包， 函数原型 如下： pcap_t * pcap_open_live ( const char *dev,int len,int pro,int t_m,char *err_buffer) 第一个参数 const char *dev 指的 是 要 打 开 的 网 卡 ， 也 就 是 在上一功能模块中得到的 网 卡 地 址 。 参 数 len 主 要 用 于 数 据 包 的 捕 获 上 ， 默 认 为 65536， 可 以 捕 获 完 整 的 数 据 包 。 pro 指 明 网 卡 是 否 处 于 混 杂 模 式 ， 默 认 情 况 下 值 为 1， 即 处 于 混 在 模 式。 t_m 参数指定读数据的超时 控 制 ， 超 时 以 毫 秒 计 算 。 最 后 一个参数 err_buffer 用于存储错误信息。 设置过滤器所使用的函数。 1） 判断网络类型的函数， 其函数原型为： int pcap_datalink(pcap_t *d) 它的功能是返回主机所在的链路层上的一个适配器， 即链 路 层 的 类 型 ， 如 DLT_EN10MB 指 的 就 是 10M 以 太 网 。 参 数 是 一 个 WinPcap 的 核 心 类 型 ， 内 部 定 义 了 多 个 变 量 ， 是 表 示 WinPcap 句柄的数据结构。 2） 编译过滤条件的函数， 其原型为： int pcap_compile (pcap_t *p,struct bpf_program *prog, char *buffer,int opt,bpf_u_int32 mask) 此函数操作成功返回 0， 操作失 败 则 返 回-1。 参 数 p 表 示 WinPcap 的 一 个 句 柄 ， 参 数 prog 表 示 BPF 的 过 滤 规 则 （NPF 的过滤机制来源于 BPF， 即 BSD Packet Filter）， 参 数 buffer 表 示一个包含布尔表达式的 过 滤 规 则 的 字 符 串 ， 参 数 opt 表 示 优 化， 参数 mask 表示是主机的 IP 地址的掩码。 此函数功能是把 参数 buff 内的过滤规则字符串转化为一个能够被底层协议驱动 （这里主要是 NPF） 所识别和解释的二进制编码。 3） 设置过滤器的函数， 其原型为： int pcap_setfilter(pcap_t *p,struct bpf_program *bp) 此 函 数 功 能 是 设 置 BPF 过 滤 规 则 ， 规 则 由 参 数 p 确 定 。 参 数 p 是 WinPcap 句 柄 ， 参 数 bp 表 示 过 滤 规 则 。 函 数 执 行 成
4 基于 WinPcap 的 ARP 欺骗检测器的设计与实现
4.1 WinPcap 简介及开发环境设置
WinPcap （Windows Packet Capture） 是 Windows 平 台 下 一 个免费、 公共的网络访问系统， 是其他一些安全工具的应用基 础 ， 主 要 由 数 据 包 捕 获 和 过 滤 模 块 NPF、 低 层 网 络 编 程 接 口 packet.dll 和 高 层 编 程 接 口 wpcap.dll 这 部 分 组 成 。 WinPcap 基 于 Libpcap， 它 的 目 的 是 使 一 些 Windows 应 用 程 序 可 以 访 问 网 络底层。 它具有以捕获原始数据包、 过滤、 数据包发送、 网络 通信统计等 4 项基本功能。
检 测 器 利 采 用 VC++6.0 在 WinPcap 开 发 包 基 础 上 开 发 实 现。 其程序流程如图 2 所示。
开始获取网卡列表 否成？ 是打印网卡信息否
否 错误处理
否 成功？
是 打开网卡
否 成功？
是 打开网卡
成功？ 是
编译过滤条件
成功？ 是
捕包分析
结束
错误处理
图 2 ARP 欺骗攻击检测分析流程
（2） project->settings->c/c++下的 Preprocessor definitions 中 填入 WPCAP， 在 link 下的 Object/library modules 下填入 wpcap. lib wsock32.lib。
4.2 核心函数说明
（1） 获得网卡信息列表模块和选择目标网卡模块中所使 用的函数。
图 1 被种植了 “ARP” 欺骗木马的主机的进程信息
80 2010. 19
3 ARP 欺骗的种类和后果
按 ARP 欺 骗 攻 击 所 造 成 的 危 害 和 影 响 网 络 连 接 的 方 式 ， 大致可以将 ARP 欺骗分为如下 4 种：
（1） 假冒网关欺骗其他计算机 有 两 种 实 现 方 式 来 达 到 假 冒 网 管 欺 骗 其 他 计 算 机 的 ARP 欺骗攻击目的。 第 一 种 ， 假 冒 ARP 应 答 包 。 如 果 把 伪 造 的 数 据 包 中 的 以 太网源地址和发送方 MAC 地址伪造成一个根本不存在的地址， 那么整个网络就无法与外网相连。 第 二 种 是 假 冒 ARP 请 求 包 。 这 种 方 式 也 可 以 把 以 太 网 源 地址、 发送方 MAC 地址伪造为不存在的 MAC 地址。 （2） 假冒某台计算机欺骗网关 攻击者冒充其他计算机按照一定的频率不断地向网关发送 假数据包。 这样， 网关的 ARP 缓存对应被欺骗主机的 IP-MAC 条目更新为假的 IP-MAC 信息， 发给正常计算机的数据都发送 给了欺骗方， 使得正常计算机无法收到信息。 这种欺骗方式同 样 可 以 以 假 冒 ARP 请 求 包 或 应 答 包 来 实 现 ， 设 置 方 式 类 似 第 一种方式的数据包构造方式。 （3） 假冒某台计算机欺骗另一台计算机 一般来说， 前两种方式的主要攻击目的是使某个或某些计 算机无法正常上网， 所以， 欺骗方的假数据包在构造过程中可 以 构 造 一 个 根 本 不 存 在 的 源 MAC 地 址 ， 这 样 被 欺 骗 的 主 机 发 送数据包时， 接收方并不能收到。 而这种攻击方式是出于监听 两 台 主 机 间 通 信 的 目 的 ， 典 型 的 攻 击 方 式 是 — ——中 间 人 攻 击 （Man-In-The-Middle）， 通 过 同 时 欺 骗 局 域 网 内 的 两 台 主 机 来 实现。 （4） ARP 泛洪攻击 攻 击 者 利 用 ARP 高 速 缓 存 的 容 量 有 限 以 及 它 的 更 新 机 制 （及 时 删 除 过 时 条 目 ， 创 建 新 条 目 ）， 大 量 伪 造 ARP 请 求 包 和 应答包， 实现洪泛攻击。 一旦发生泛洪攻击， 那么整个局域网 就会处于瘫痪状态。