实验4 网络执法官的应用

实验4 网络执法官的使用3. 1网络执法官原理1. 网络执法官的原理：是利用的ARP欺骗使被攻击的电脑无法上网，其原理就是使该电脑无法找到网关的MAC地址。

首先给大家说说什么是ARP,ARP（Address Resolution Protocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。

从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。

ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC层，也就是相当于OSI的第二层）的MAC地址。

2. ARP原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。

如果未找到，则广播A一个ARP请求报文（携带主机A的IP地址Ia——物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb。

网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。

其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。

接着使用这个MAC地址发送数据（由网卡附加MAC地址）。

因此，本地高速缓存的这个ARP表是本将IP映射到以太网本地ARPARP协议并不只在发送了ARP请求才接收ARP应答。

当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP 和MAC地址存储在ARP缓存中。

因此，当局域网中的某台机器B向A发送一个自己伪造的ARP应答，而如果这个应答是B冒充C伪造来的，即IP地址为C的IP，而MAC地址是伪造的，则当A接收到B伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来C的IP地址没有变，而它的MAC地址已经不是原来那个了。

由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。

所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC 地址，这样就会造成网络不通，导致A不能Ping通C！这就是一个简单的ARP欺骗。

网络执法官利用的就是这个原理！知道了它的原理，再突破它的防线就易多了。

3.3. 2 功能介绍"网络执法官"是一款局域网管理辅助软件，采用网络底层协议，能穿透各客户端防火墙对网络中的每一台主机（本文中主机指各种计算机、交换机等配有IP 的网络设备）进行监控；采用网卡地址（MAC）识别用户，可靠性高；软件本身占用网络资源少，对网络没有不良影响。

在网内任一台主机上运行即可有效监控所有本机连接到的网络（支持多网段监控），主要功能如下：1.实时记录上线用户并存档备查网络中任一台主机，开机即会被本软件实时检测并记录其网卡地址、所用的IP、上线时间、下线时间等信息，该信息自动永久保存，可供查询，查询可依各种条件进行，并支持模糊查询。

利用此功能，管理员随时可以知道当前或以前任一时刻任一台主机是否开机、开机多长时间，使用的是哪一个IP、主机名等重要信息；或任一台主机的开机历史。

2.自动侦测未登记主机接入并报警管理员登记完或软件自动检测到所有合法的主机后，可在软件中作出设定，拒绝所有未登记的主机接入网络。

一旦有未登记主机接入，软件会自动将其MAC、IP、主机名、上下线时段等信息作永久记录，并可采用声音、向指定主机发消息等多种方式报警，还可以根据管理员的设定，自动对该主机采取IP冲突、与关键主机隔离、与网络中所有其它主机隔离等控制措施。

3.检测网内所有代理服务器及路由器大多数局域网都存在个别用户采用代理服务器或路由器方式私自扩展网络的问题。

本软件可检测出局域网中所有存在的代理服务器和路由器（检测所有路由器的功能仅适用于企业版），帮助管理员杜绝私自扩展网络的行为。

4.限定各主机的IP，防止IP盗用管理员可对每台主机指定一个IP或一段IP，当该主机被擅自更改IP，超出范围时，软件会判定其为"非法用户"，自动采用管理员事先指定的方式对其进行控制，并将其MAC、IP、主机名作记久记录备查。

管理员可事先指定对非法用户实行IP冲突、与关键主机隔离、与其它所有主机隔离等管理方式。

5.限定各主机的连接时段管理员可指定每台主机在每天中允许与网络连接的时段或不允许与网络连接的时段（可指定两个时段，如允许每天8:30-12:00和13:30-5:00与网络连接），并可指定每一用户是否被允许在每个周六、周日与网络连接。

对违反规定的用户，软件判其为非法用户，自动记录并采用管理员事先指定的方式进行管理。

管理方式同样可为IP冲突、与关键主机隔离、与其它所有主机隔离等。

6.保护指定IP,禁止普通用户使用管理员可设定最多64个IP或IP段，称为“保护IP”，这些IP将禁止普通用户使用（关键主机可使用）；若某设定权限的用户使用了“保护IP”，将会作为非法用户被管理。

依据管理员的不同设定,可以拓展本软件的其它功能，实时监控整个局域网，并自动对非法用户进行管理，可将非法用户与网络中某些主机或整个网络隔离，而且无论局域网中的主机运行何种防火墙，都不能逃避监控，也不会引发防火墙警告，提高了网络安全性。

管理员只需依据实际情况，设置各主机的权限及违反权限后的管理方式，即可实现某些具体的功能，如禁止某些主机在指定的时段访问外网或彻底禁止某些主机访问外网；保护网络中关键主机，只允许指定的主机访问等等。

3.3. 3 基本操作步骤一、运行环境1.网络环境本软件能适用于各种局域网，兼容各种集线器、服务器及大部分交换机，但在某些打开了“三层交换”功能的交换网络中将不能正常监控，本软件也不能跨网由器、代理服务器、网关等设备监控另一局域网。

2.硬件环境以用户数为255的网络为例，建议运行本软件的机器不低于以下配置：PIII800 CPU，128M内存，100M网卡（市面上常见为10M/100M自适应网卡，通常运行于100M状态）。

如监控更多用户，需相应提高机器配置。

3.软件环境本软件支持微软公司Windows9x各版本、Windows2000各版本、WindowsXP 各版本。

推荐采用Windows2000操作系统，并建议不要同时在机器上运行大型服务程序，尤其是占用大量网络带宽的程序，以免造成监控延时。

4.其它建议不要将本软件运行于代理服务器、网关等多网卡机器。

由于本软件总不会拒绝各用户与自已的连接，运行于代理服务器或网关时，本身又连接局域网与外网，因此将不能令非法用户与外网阻隔开。

二运行机制本软件以各主机的网卡号来识别用户，通过收发底层数据包来监控用户，占用网络资源极少；在软件刚启动的前90秒内，有数量较多的数据包收发，并会占用较多的CPU资源，属正常现象。

本软件以用户权限为核心，管理员设置各用户权限后，软件即依各用户的权限进行自动管理。

为保证管理员对用户的正常管理，及防止非法用户利用本软件攻击管理员，除了禁止管理“友邻主机”外，本软还设置了“友邻用户”相互发现机制，即同一局域网中，所有运行本软件的用户（友邻用户）都可以相互发现（参见名词解释“友邻用户”）。

注意，本软件2.0以前版本（包括专用检测版）不能检测到2.0以后版本，只有运行2.0以后版本，才能发现所有的友邻用户。

本软件还采用了分级机制，同一局域网中，低级别的用户将自动停止运行本软件。

总的来说，注册用户级别高于未注册用户，某些新版本的级别高于以前版本。

最新的注册版本，总是拥有最高级别。

三关键词主机——在本软件及本说明中，主机指所有带有IP、能够被本软件检测到的计算机、交换机、路由器等网络设备。

关键主机——由管理员指定，一般为网关或代理服务器、数据服务器、WEB 服务器等。

管理员将指定的IP存入“关键主机”后，可令非法用户仅断开与关键主机的连接而不断开与其它主机的连接，一般用于保护网络中的服务器或令用户仅与外网隔离。

系统只保存一份关键主机列表，即所有用户的关键主机是相同的。

友邻用户——为叙述方便，同一局域网中，其他也在运行本软件的用户称为“友邻用户”。

友邻用户在“用户列表”中会加上桔红色头像以与普通用户区别。

对管理员而言，应当避免网络中存在其他友邻用户。

同时，为防非法用户利用本软件攻击管理员，对友邻用户的各种管理都无效。

锁定——管理员可快速指定某些用户暂时断开与关键主机或全部主机的连接，称之为“锁定”。

可以双击“用户列表”中某用户的“锁”列或在右键菜单的“锁定/解锁”项中改变该用户的锁定状态。

此项功能一般用于学校机房或网吧。

“锁定”的优先级高于用户权限，即既使用户参数为合法，对其“锁定”仍有效。

为防非法用户利用本软件攻击管理员，对友邻用户的“锁定”无效。

手工管理——通过“用户列表”的右键菜单的“手工管理”项，管理员可以临时令某用户产生IP冲突或断开连接，一般用于测试本软件的管理功能。

手工管理拥有最高优先级，即对任何可管理的用户实施“手工管理”，都会立即生效。

为防非法用户利用本软件攻击管理员，禁止对友邻用户采用“手工管理”。

默认权限——“默认权限”可由管理员指定，当软件检测到新用户时，为自动为其赋予默认权限。

初次安装软件，默认权限的缺省值是“可用任意IP、时段连接”，可以在主菜单“设置”/“默认权限”中调整默认权限。

如果已检测到所有用户，并且想禁止新用户接入，可将默认权限设为“发现该用户与网络连接即进行管理”。

临时权限——为快速解除对所有用户的某项限制，管理员可以主菜单“设置”/“临时权限”中设定临时权限。

连接——本软件及说明文件中所提到的“用户与网络的连接”指底层上的连接，并非指用户浏览网页等操作。

对于硬件设备正常的局域网用户，开机即与网络连接。

四操作方法1 软件安装流程软件可以安装在硬盘的任一盘符上，建议将本软件运行于Windows2000下，并以Administrator身份启动软件。

软件的安装步骤：双击网络执法官.exe文件出现欢迎界面,如下图所示（图1.1）图1.1单击“下一步”出现选取目的地址该安装程序将安装“网络执法官V2.85”到哪个目录中，2 主要操作流程1)软件自动检测到用户并赋予默认权限软件初次运行时，无用户记录，会将所有检测到的网卡作为新用户并赋予默认权限。

安装好之后，就可以开始对软件进行使用，在桌面上有一个“网络执法官”图标，点击就进入软件界面，最开始时打开软件时选择监控范围，如图所示：可用的IP及子网掩码框中是本机的IP地址，指定监控范围（IP地址）输入你要控制IP地址范围，在这里输入的多网段可对多网段进行监控。

完成之后，单击“添加/修改“按钮，在所选定的监控网段：在下列表格中显示刚选择的“本地IP”、“扫描范围”和“所属网卡”。

单击“确定“2)管理员根据实际需要修改各用户权限管理员可以在主菜单“用户”／“设定权限”中修改用户权限，也可以在主界面“用户列表”的右键菜单中选择“设定权限”修改用户权限。