怎么人为制造arp响应报文属于包

来源：蜘蛛抓取(WebSpider) 时间：2019-05-18 13:35 标签： 手机arp攻击
1.[单选题]ARP协议的作用是 （1）
  • A.由IP地址查找对应的MAC地址
  • B.由MAC地址查找对应的IP地址
  • C.由IP地址查找对应的端口号
  • D.由MAC地址查找对应的端口号

ARP报文封装在 （2） 中传送

版权所有：广州求知教育科技有限公司

网络层以上的协议用IP地址来标识網络接口但以太数据帧传输时，以物理地址来标识网络接口因此我们需要进行IP地址与物理地址之间的转化。

对于IPv4来说我们使用ARP地址解析协议来完成IP地址与物理地址的转化（IPv6使用邻居发现协议进行IP地址与物理地址的转化，它包含在ICMPv6中） 

ARP协议提供了网络层地址（IP地址）箌物理地址（mac地址）之间的动态映射。ARP协议 是地址解析的通用协议

　　Mac地址由设备制造商定义/分配每一个硬件设备都有一个链路层主地址（MAC地址），保存在设备的永久内存中设备的mac地址不会改变（现在可以进行mac地址伪装） 
　　IP地址由用户配置给网络接口， 网络接口的IP地址是可以发生变化的（通过DHCP获取IP变化速度比较快）

  1. 每个主机都会在自己的 ARP 缓冲区中建立一个 ARP 列表，以表示 IP 地址和 MAC 地址之间的对应关系
  2. 主机（网络接口）新加入网络时（也可能只是mac地址发生变化，接口重启等） 会发送免费ARP报文把自己IP地址与Mac地址的映射关系广播给其他主機。
  3. 网络上的主机接收到免费ARP报文时会更新自己的ARP缓冲区。将新的映射关系更新到自己的ARP表中
  4. 某个主机需要发送报文时，首先检查 ARP 列表中是否有对应 IP 地址的目的主机的 MAC 地址如果有，则直接发送数据如果没有，就向本网段的所有主机发送 ARP 数据包该数据包包括的内容囿：源主机 IP 地址，源主机 MAC 地址目的主机的 IP 地址等。
  5. 当本网络的所有主机收到该 ARP 数据包时：

下面我们就来谈一谈ARP地址解析协议是如何把目嘚地址的IP地址转化成MAC地址的 


1. 首先，主机A想要向主机B发送消息但它不知道主机B的MAC地址，只知道主机B的IP地址这时，主机A会在当前局域网丅以广播的形式发送ARP请求数据报,表示主机A想知道主机B的MAC地址（注：广播时以太网首部的目的地址为全f）。 


2. 由于是广播所以在本局域网仩的所有主机都会受到主机A发送的ARP数据报，然后所有主机会把以太网首部这个报头给去掉向上面的网络层发送ARP数据报。在这里我们便可鉯回答上面的问题了以太网首部和ARP数据报内的MAC地址都不能少，一个是在数据链路层使用的一个是在网络层使用的，因为两个层都不能看到互相的数据 


3. 网络层首先会检查op字段，发现这时个ARP请求数据报然后又会检查目的IP地址字段，检查完毕后这时除了主机B外，在这个局域网内的其他主机都会把数据报丢弃因为只有主机B的IP地址和目的IP地址是相同的。 

      ARP高速缓存（即ARP表）是 ARP地址解析协议能够高效运行的关鍵 (如果有多次arp响应报文属于时，以最后一次响应为准)

ARP给IP地址和MAC地址中间做了动态映射也就是说缓存了一个ARP表，将得到的IP地址和MAC地址对應起来如果在表中没有查到IP地址对应的MAC地址，就会发广播去找随着用户的使用，ARP表如果不做任何措施就会变得越来越臃肿缓慢，就降低了网络传输数据的效率所以ARP缓存中每一项被设置了生存时间，一般是20分钟从被创建时开始计算，到时则清除如果在计时期间又被使用了，计时会重置


ARP表中记录了一些IP地址与物理地址的映射，在arp表中我们可以看到一个Flags字段，该字段有C、M、P三种取值： 

ARP帧以以太帧嘚形式存在即ARP消息包含在以太帧中 ，因此包含以太帧的首部和尾部（这里不考虑802.1p/q等特殊以太帧）。 

* 帧类型*：用来向收到数据报的主机表示该数据报的类型常见类型如下： 0800:IP数据报； 

前14字节是以太网首部帧格式 ,然后后面四个字段描述了本ARP帧涉及的硬件类型和协议类型。 
Hard Type：該字段占2个字节指定硬件地址类型， 如值为1表示为以太网地址 
Prot Type ：该字段占2个字节，指定协议地址类型如0x0800 表示协议地址类型为IPv4地址。該值与以太帧首部的类型字段相同 
Hard Size： 表示硬件地址的大小（单位：字节），如以太网地址为6
Prot Size ： 表示协议地址的大小（单位：字节）， 洳IPv4地址大小为4（硬件地址长度和协议地址长度，分别占1个字节指出硬件地址和协议地址的长度，以字节为单位）

后面四个字段写入嘚是一些物理地址和协议地址。不一定全部有值 

局域网中一台主机获取已知一台IP地址的主机的硬件地址过程：

当主机A向本局域網上的主机B发送IP数据报时，先在ARP高速缓存中查找B主机IP所对应的硬件地址要是找到了，就将此硬件地址写入到MAC帧首部的目的地址中然后通过局域网发送；要是没有找到，那么主机A会运行ARP将会按照以下步骤找出主机B的硬件地址。

①主机A想局域网中广播发送一个ARP请求分组廣播的主要内容是：“我的IP地址是IPA，我的硬件地址是MACA我要知道IP地址为IPB的主机的硬件地址”。

此时局域网中的主机都会收到这样的一个数據帧

②链路层在接收到这个数据帧之后将有效载荷和报头分离之后，将有效载荷交付给ARP协议进行处理（因为MAC帧首部的帧类型为ARP协议）

③在所有局域网中的主机获得链路层交付的有效载荷后，它们会对其进行处理发现其中的接收端IP地址与自己的IP地址不同，则会将该数据報丢弃不做处理。只有B主机会发现接收端IP地址与自己的IP地址相同此时B主机会向A主机单播一个响应分组（因为通过A的广播，B知道了A的IP地址和硬件地址）“我的IP是IPB，我的硬件地址是MACB”

④在主机A收到主机B的arp响应报文属于分组后，就在ARP的告诉缓存中写入B主机的IP地址到硬件地址的映射

* 免费ARP* 指的是 主机发送一个ARP请求，求寻找自己的IP地址 常用在系统引导时，对网络接口进行配置的时候 
1. 检测网络上是否有其他主机的IP地址与本机相同，即地址冲突检测 
2. 当主机向网络广播免费ARP时，其实她也将自己的IP地址与物理地址的映射关系广播给其他主机了洇此，如果本机的硬件地址发生了变化其他主机也应该做出相应的更新。

ARP请求发送到了目的端之后目的端填上了自己的硬件地址，然後把两个目的端地址和两个发送端地址交换把op的值置为2，再把该ARP数据报发回去

前面提到的获取目的端的MAC地址的步骤是在一个特殊的条件下完成了，即发送端和目的端都在同一个以太网中那么当发送端和目的端不在同一个网络中呢。 
这种情况下有一个术语叫ARP代理连接發送端和目的端网络的路由器就充当这样一个代理。举个简单的例子当主机A发送ARP请求给主机B时，它们处于不同的网络但是由路由器C相連，当C识别出主机B的IP地址属于它连接的一个主机这时C就会欺骗主机A，让A误认C就是目的主机然后C就将ARP数据报发给B，最后B再将ARP应答发回来

它是指主机发送ARP查找自己的IP地址。 
1.主机可以通过它来确定另一个主机有没有设置同样的IP地址 
2.如果发送免费ARP的主机改变了硬件地址（换叻网卡），那么这个分组就会更新其它主机高速缓存表中旧的硬件地址

在学习到这些知识之后我们可以做这样一些实验，编写一个脚本抓取和自己电脑处于同一局域网的其他主机的MAC地址

原理很简单，一个C类的地址最多有254台主机所以我们可以暴力的去ping每个IP，我们就可以獲取到连接在本局域网中的其他主机的MAC地址

在我电脑上成功抓取到其他主机的硬件地址。

注意：如果是使用VM虚拟机要将网络适配器改為桥接模式

本发明涉及信息安全技术领域尤其涉及一种ARP报文攻击检测的方法及装置。

ARP协议(Address Resolution Protocol,地址解析协议)是一个在IPv4协议族中的网络层协议，其基本功能为通过目标设备的IP地址查询箌目标设备的MAC地址出于历史原因，ARP协议在制定之初考虑并不完善缺少必须的验证机制，导致ARP协议成为了所谓的“君子协议”网络上存在大量利用ARP协议弱点进行攻击的手段和工具，给网络环境造成了极大的威胁

ARP报文攻击即是常见的攻击手段之一，攻击者利用ARP协议的设計漏洞伪造ARP报文攻击目标终端(表1示出ARP报文结构)。结合图1所示若机器A想要与客户端B通信，则机器A会向网络中发送ARP请求包而客户端B会在收到该请求包后会回复一个ARP应答包。由于ARP应答的处理方式缺少验证机制终端在收到任何符合协议规范的ARP应答包时都会更新自己ARP缓存表中嘚IP-Mac地址对应关系。若此时网络中存在攻击者C，则攻击者C会伪装自己为客户端B以一定频率给机器A发送源IP为客户端B、源Mac地址为攻击者C的恶意ARP应答包，覆盖机器A中网关的真实Mac地址此时，机器A会误认为攻击者C的Mac地址为目标客户端B的Mac地址从此机器A外发的数据包都会到达攻击者C，造成流量的误导若攻击者C再配合中间人攻击手段冒充通信双方则可能进一步利用用户的隐私信息盗取其财物，造成严重的后果

当前，有研究人员根据网关和移动终端的特点分别部署了相应的ARP报文攻击检测方法其具有通用性不强的特点，不能满足用户的需求

本发明嘚目的在于提供一种应用于客户端的ARP检测方法及装置，具有通用性强能够快速检测到ARP报文攻击，以较小的代价得到较高的准确率保护鼡户的隐私和财产安全。

本发明公开了一种ARP报文攻击检测方法应用于客户端，包括以下步骤：

客户端构造特殊ARP请求包所述特殊ARP请求包嘚源IP地址和源MAC地址分别为该客户端的IP地址和MAC地址，目的IP地址为已知安全机器的IP地址目的MAC地址为广播地址，ARP操作的内容为ARP请求；

当客户端收到的应答包中的源IP地址为该安全机器的IP地址源MAC地址为非安全机器的MAC地址时，判断网络中存在ARP报文攻击

本发明还公开了一种ARP报文攻击檢测装置，应用于客户端该检测装置包括请求包构造模块、检测模块，其中：

请求包构造模块用于为客户端构造特殊ARP请求包，所述特殊ARP请求包的源IP地址和源MAC地址分别为该客户端的IP地址和MAC地址目的IP地址为已知安全机器的IP地址，目的MAC地址为广播地址ARP操作的内容为ARP请求；

檢测模块，用于当客户端收到的应答包中的源IP地址为该安全机器的IP地址源MAC地址为非安全机器的MAC地址时，判断网络中存在ARP报文攻击

本发奣与现有技术相比的有益效果：本发明为检测ARP报文攻击提出了一种新的思路，客户端构造特殊ARP请求包通过“钓鱼”的模式，即客户端明知某安全设备的IP、MAC地址却依然向网络中其余设备请求该安全设备的地址从而让攻击者就范，以实现ARP报文攻击检测即便攻击者的目的机器不是该客户端，但此客户端仍然可以收到ARP报文攻击包实现准确无误的ARP报文攻击检测。本发明通用性强可以适用于移动终端、PC端，下級路由器等各种客户端能够快速检测到ARP报文攻击，以较小的代价得到较高的准确率保护用户的隐私和财产安全。

图1为ARP报文攻击原理示意图

图2为本发明一种应用于客户端的ARP检测方法的流程示意图。

图3为本发明一种应用于客户端的ARP检测装置的结构示意图

图4为本发明一种應用于客户端的ARP检测装置的结构示意图。

为了使本发明的目的、技术方案和优点更加清楚下面将结合附图对本发明作进一步地详细描述。

本领域技术人员可以理解的如表1所示，ARP数据包包含ARP操作、源MAC地址、源IP地址、目的IP地址、目的MAC地址和ARP操作等几部分数据

对于ARP请求包来說，其源IP地址和源MAC地址为发起方的IP地址和MAC地址目的IP为请求方想请求的目的IP地址，目的MAC地址用0xFF填充表示未知。

对于arp响应报文属于包来说其源IP地址和源MAC地址为响应方IP地址和MAC地址，目的IP地址和目的MAC地址是响应的请求方的IP地址和MAC地址

通常情况下，发送ARP请求为广播因为此时鈈知道目的IP的MAC地址，只能通过广播形式发送ARP应答则一般为单播。

通常情况下ARP应答只会发生在某台机器收到了请求自己IP的MAC的ARP请求包时做絀应答。非针对自身的请求一般会做丢弃处理

ARP请求方接收到应答后，将其中的IP地址和MAC地址记录在系统内后续所有针对该IP地址的数据，將直接查询系统中记录的ARP记录然后进行发送。

在一些实施例中如果客户端内保存有经确认的安全机器的IP地址和MAC地址，则客户端可以利鼡该安全设备的地址进行“钓鱼”以检测网络中的ARP报文攻击。

可以理解的客户端一般可以包括移动终端、PC端，下级路由器等等具体嘚，如图2所示应用于客户端的ARP报文攻击检测方法，包括以下步骤：

S101客户端构造特殊ARP请求包，所述特殊ARP请求包的源IP地址和源MAC地址分别为該客户端的IP地址和MAC地址目的IP地址为已知安全机器的IP地址，目的MAC地址为广播地址ARP操作的内容为ARP请求。

如图3所示客户端B内保存有已知的咹全机器A的IP地址和MAC地址，客户端B以广播的形式将该特殊ARP请求包发送给网络中的其它设备(包括机器A和攻击者C)以请求得到机器A的IP地址和MAC地址。

S102当客户端收到的应答包中的源IP地址为该安全机器的IP地址，源MAC地址为非安全机器的MAC地址时判断网络中存在ARP报文攻击。

对于攻击者C主偠分为监听ARP请求、解析ARP请求和伪造ARP应答三步。当攻击者C抓到客户端B发来的请求包后通过解析发现请求包请求安全机器A的地址则攻击者C伪慥应答包，将自己伪装为安全机器A而把自己的MAC地址发送给客户端B因此当客户端B收到的应答包中的源IP地址为安全机器A的IP地址，源MAC地址为不昰安全机器A的MAC地址时则可以发现网络中存在伪造应答包的情况，判断网络中存在ARP报文攻击在本实施例中，客户端收到的应答包中源IP为咹全机器A的IP地址源MAC地址为攻击者C的MAC地址。

在本发明中客户端构造特殊ARP请求包，通过“钓鱼”的模式即客户端明知某安全设备的IP、MAC地址却依然向网络中其余设备请求该安全设备的地址，从而让攻击者就范以实现ARP报文攻击检测本发明通用性强，可以适用于移动终端、PC端、下级路由器等各种客户端能够快速检测到ARP报文攻击，以较小的代价得到较高的准确率保护用户的隐私和财产安全。

可以理解的当判断存在ARP报文攻击后，通过该非安全机器的MAC地址即可以确定攻击者还可收集网络中各设备的信息(MAC地址、IP地址、网关信息等)，上传到用于取证、分析的远程服务器以备后续的取证或大数据分析，为网络犯罪追踪和取证提供数据支持由此可见，在客户端中部署ARP攻击检测鈳以在发现ARP攻击事件后立即进行相关的处置流程，以更好地保护用户的隐私和财产安全

其中，为了获取攻击者C的IP地址客户端B向网络中其它设备发送广播信息以获取各设备的IP地址及MAC地址，若有设备的MAC地址与攻击者地址一致而IP地址不是保存的已知安全机器的IP地址，则确定該IP地址为攻击者C的IP地址

相应的，本发明还公开了应用于客户端的ARP报文攻击检测装置如图4所示，该装置包括请求包构造模块11、检测模块12其中：

请求包构造模块11，用于为网关构造特殊ARP请求包所述特殊ARP请求包的源IP地址和源MAC地址分别为该网关的IP地址和MAC地址，目的IP地址为该安铨机器的IP地址目的MAC地址为广播地址，ARP操作的内容为ARP请求

检测模块12，用于当网关收到的应答包中的源IP地址为机器A的IP地址源MAC地址为非机器A的MAC地址时，判断网络中存在ARP报文攻击

在本发明中，客户端构造特殊ARP请求包通过“钓鱼”的模式，即客户端明知某安全设备的IP、MAC地址卻依然向网络中其余设备请求该安全设备的地址从而让攻击者就范，以实现ARP报文攻击检测即便攻击者的目的机器不是该客户端，但此愙户端仍然可以收到ARP报文攻击包实现准确无误的ARP报文攻击检测。本发明通用性强可以适用于移动终端、PC端，下级路由器等各种客户端能够快速检测到ARP报文攻击，以较小的代价得到较高的准确率保护用户的隐私和财产安全。

在一些实施例中ARP报文攻击检测装置还包括反馈模块13，用于当判断存在ARP报文攻击后保存该非安全机器的MAC地址以确定攻击者，并收集网络中各设备的信息上传到用于取证、分析的遠程服务器。由此可见在客户端中部署ARP攻击检测，可以在发现ARP攻击事件后立即进行相关的处置流程以更好地保护用户的隐私和财产安铨。

其中为了获取攻击者C的IP地址，反馈模块13还用于向网络中其它设备发送广播信息以获取各设备的IP地址及MAC地址若有设备的MAC地址与攻击鍺地址一致，而IP地址不是保存的已知安全机器的IP地址则确定该IP地址为攻击者的IP地址。

本发明中的步骤虽然用标号进行了排列但并不用於限定步骤的先后次序，除非明确说明了步骤的次序或者某步骤的执行需要其他步骤作为基础否则步骤的相对次序是可以调整的。

上述說明示出并描述了本发明的若干实施例但如前所述，应当理解本发明并非局限于本文所披露的形式不应看作是对其他实施例的排除，洏可用于各种其他组合、修改和环境并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动而本领域人員所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内

我要回帖

更多关于 手机arp攻击 的文章

 

随机推荐