ARP攻击方式总结及其防御

ARP攻击方式总结及其防御

1. ARP DDOS攻击

2. ARP 返回数据包欺骗

3. ARP 请求欺骗

4. ARP全网请求欺骗

5. ARP中间人欺骗

6. ARPIP地址冲突

7. ARP网关欺骗

8．ARP 交换机端口转发欺骗(最厉害,就是幻境网盾skiller的攻击方法) 在此我特意奉献给大家，还有些ARP的应用就靠大家去发现了,就不在大家面前说道了,后面我也把一些常见的防护方法说一下,各位也讨论下。

Arp –ddos攻击

其实就是连续大量发送正常ARP 请求包,耗费主机带宽,这种攻击在局域网里面意义不算太大,例如ADSL猫,发送ARP 请求,几分终就会让它死掉,这种数据包是属于正常包,不会被ARP防火墙和交换机过滤掉。

此解决方法,在一些交换机中做流量限制,我也不会做,不知道可行性,个人认为防护难度A++++

ARP 返回数据包欺骗

这种欺骗是最常见的一种欺骗,就是向主机发送ARP返回数据包,这种包把IP做成网关地址,发送端的物理地址是自己的或伪造的,让对方电脑的IP--MAC地址表出现错误,当IP报文把这个硬件地址添到数据中发送就会出现找不到正确的物理出口地址。

这种的防护比较简单,用ARP -S 绑定网关,还有就是用ARP 防火墙,不过这种欺骗可能会被路由器发送的正确的地址给覆盖掉。

ARP 请求欺骗

ARP 请求欺骗也是比较常见的,他是ARP的请求协议，在目的IP和MAC 地址上都没错误,错误是请求者的MAC地址有问题,并不真的 .这种欺骗和返回欺骗仅OP值不同。

防护办法和上面那种一样。

ARP全网请求欺骗

这种欺骗是请求欺骗和返回欺骗的更进一步延伸,原理就是把以太帧头的目标地址改成FF-FF-FF-FF-FF-FF就是广播到所有主机,源地址IP地址或是网关IP地址,物理地址是假的MAC地址，切记在目的IP中，是192.168.1.255组播地址。

这种防护方法和上面相同,网络执法管一类软件的全网阻断功能就是用这种方法实现。

ARP中间人欺骗

这种欺骗是在交换机下面进行的,有人说交换环境下面数据流是安全的,下面这种攻击方式就是针对交换机。

大概的流程是这样的,A B C三台电脑,A 和 C进行正常通讯,B发起中间攻击,B首先发送ARP欺骗告诉A我B就是C,然后告诉C我B就是A.这样A和C之间的数据传输过程就被B完全给查看到了,说起来有点罗唆,这种欺骗也要做一个数据转发机制,不然A和C之间的通讯就会断掉,如P2P 终结者就是这类欺骗。

ARPIP地址冲突

IP地址冲突也是ARP 数据包造成的,他就是把以太网帧头地址广播,包里面的源IP地址和目的IP地址是一样,这种包是很常见的,有可能大家都不知道,每次你PC开机的时候他都会把自己IP地址广播一下,看下有没有计算机使用相同IP地址,这种广播给它定义成“免费ARP”。

这种广播直接用ARP防火墙就可以过滤掉.其实这种包也不会造成断网,只是老弹出烦人的对话框,象长角牛网络监控就有一种是发送这样的一种包。

ARP网关欺骗

这种欺骗是从另一种欺骗方法的延伸，假如客户端做了网关静态绑定，安装了ARP防火墙你不能对它做欺骗，无法对它断开互连网，那我们就对网关进行ARP欺骗。例如A是客户端，B是服务器。A做了防护，并你想阻断他上互联网，那么我们对B做A的欺骗，就是把B认为是台电脑，一直给他发送A的虚假地址，这种包要连续不断的，数据量要大些。

ARP 交换机欺骗{skiller}

这种攻击方法是近两年来才有的,现在给你们讲出来就比较简单,以前从没见过这种攻击方法,原理讲起来可能比较难懂,防护起来很麻烦,你要是攻击我，现在我至少是没办法。

原理就是改变了交换机的转发列表。

ARP 交换机欺骗攻击思路

交换机是根据以太网ARP协议的源地址目地址帧头来进行转发的,例如A在交换机的1号口,网关在3号口,交换机就按A发送的目的地址从3号口出去,为什么会这样,是因为交换机内部维护着一个动态的地址列表,里面有MAC地址和物理端口的对照表,如果这个表是静态不知道这种攻击

是否会生效。

首先我实施的方法是这样的,a,b,c三台PC.攻击者是C.假如我想阻断B主机,在C者电脑上发送B到A的ARP 地址请求包,这个包是连续不断的,然后B被阻断,为什么会这样那,B的请求数据是能发送出去的,他回的数据包就会被交换机转到C电脑上,三次握手链接建立不成功,网络就会被阻断,我们可以按着这个思路做很多事情,这里就不一一举例了,我好饿不写了吃饭。

看到这里,各位朋友有点茫然，其实呢很简单，用风云防火墙是一明智的选择，上述各类欺骗正常途径都要先知道你的IP及MAC，开启风云的安全模式后只会响应网关的请求，对于局域网其它主机来说就象不存在，对方要ping 你要ARP扫描你都是枉然，扫不到你认为不存在也就谈不上攻击了，当然你不开启风云的主动防御的话会还是会被上面的ARP网关欺骗这种方式攻击成功，所以我的建议是对于现有我所知道的攻击软件来说，开启风云的ARP防护，开启安全模式，开启主动防御，调到最高，开启IP 冲突保护，都可以成功防范！！！！至于再静态绑定网关在开启主动防御的同时就没有必要了,因为风云的主防会最快每秒发60个请求包至网关,通过网关回应随时更新缓存,手工静绑了也会变为动态.有人会说，那skiller 呢，呵呵，在风云的主动防御下对低频率攻击有效果，高强度下目前任何软件都无法有效防御。