網絡安全與局域網ＡＲＰ地址欺騙攻擊

高喜龍

【摘 要】ARP協議存在很多漏洞，ARP地址欺騙將會給局域網的安全帶來很多威脅。利用命令行法、工具軟件法或sniffer抓包嗅探法可定位ARP地址欺騙攻擊者。使用靜態的IP-MAC地址解析、ARP服務器或第三層交換技術等方法可防御ARP地址欺騙的攻擊。

【關鍵詞】ARP協議ARP地址欺騙

ARP，全稱Address Resolution Protocol，它是“地址解析協議的縮寫。MAC地址是固化在網卡上串行EEPROM中的物理地址，是由48比特長(6字節)，16進制的數字組成，0~23位是由廠家自己分配，24~47位叫做組織唯一標志符，是識別LAN(局域網)節點的標識。

一、ARP地址欺騙攻擊者的定位

利用ARP協議的漏洞，攻擊者對整個局域網的安全造成威脅，那么，怎樣才能快速檢測并定位出局域網中的哪些機器在進行ARP地址欺騙攻擊呢?面對著局域網中成百臺電腦，一個一個地檢測顯然不是好辦法。其實，我們只要利用ARP病毒的基本原理：發送偽造的ARP欺騙廣播，中毒電腦自身偽裝成網關的特性，就可以快速鎖定中毒電腦。可以設想用程序來實現以下功能：在網絡正常的時候，牢牢記住正確網關的IP地址和MAC地址，并且實時監控來自全網的ARP數據包，當發現有某個ARP數據包廣播，其IP地址是正確網關的IP地址，但是其MAC地址竟然是其他電腦的MAC地址的時候，這時，無疑是發生了ARP欺騙。對此可疑MAC地址報警，再根據網絡正常時候的IP一MAC地址對照表查詢該電腦，定位出其IP地址，這樣就定位出攻擊者了。

下面再介紹幾種不同的檢測ARP地址欺騙攻擊的方法。

1.命令行法

在CMD命令提示窗口中利用系統自帶的ARP命令即可完成。當局域網中發生ARP欺騙的時候，攻擊者會向全網不停地發送ARP欺騙廣播，這時局域網中的其他電腦就會動態更新自身的ARP緩存表，將網關的MAC地址記錄成攻擊者本身的MAC地址，此時，我們只要在其受影響的電腦中使用“ARP -a”命令查詢一下當前網關的MAC地址，就可知道攻擊者的MAC地址。我們輸入“ARP -a'，命令后的返回信息如下：

Internet Address 00-50-56-e6-49-56 Physical Address Type 192.168.0. dynamic。

由于當前電腦的ARP表是錯誤的記錄，因此，該MAC地址不是真正網關的MAC地址，而是攻擊者的MAC地址。這時，再根據網絡正常時，全網的IP-MA C地址對照表，查找攻擊者的IP地址就可以了[4]。由此可見，在網絡正常的時候，保存一個全網電腦的IP-MA C地址對照表是多么的重要。可以使用nbtscan工具掃描全網段的IP地址和MAC地址，保存下來，以備后用。

2.工具軟件法

現在網上有很多ARP病毒定位工具，其中做得較好的是Anti ARP Sniffer(現在已更名為ARP防火墻)。利用此類軟件，我們可以輕松地找到ARP攻擊者的MAC地址。然后，我們再根據欺騙機的MAC地址，對比查找全網的IP-MA C地址對照表，即可快速定位出攻擊者。

3.Sniffer抓包嗅探法

當局域網中有ARP地址欺騙時，往往伴隨著大量的ARP欺騙廣播數據包，這時，流量檢測機制應該能夠很好地檢測出網絡的異常舉動，利用Ethereal之類的抓包工具找出大量發送ARP廣播包的機器，這基本上就可以當作攻擊者進行處理。

以上3種方法有時需要結合使用，互相印證，這樣可以快速、準確地將ARP地址欺騙攻擊者找出來。找到攻擊者后，即可利用殺毒軟件或手動將攻擊程序刪除。

二、ARP地址欺騙攻擊的防御及其解決辦法

1.使用靜態的I P-MAC地址解析

針對ARP地址欺騙攻擊的網絡特性，我們可以使用靜態的IP-MA C地址解析，主機的IP-MA C地址映射表由手工維護，輸人后不再動態更新。即便網絡中有ARP攻擊者在發送欺騙的ARP數據包，其他電腦也不會修改自身的ARP緩存表，數據包始終發送給正確的接收者。這種防御方法中常用的是“雙向綁定法”。雙向綁定法，顧名思義，就是要在兩端綁定IP-MA C地址，其中一端是在路由器(或交換機)中，把所有PC的IP-MA C輸入到一個靜態表中，這叫路由器IP-MA C綁定。另一端是局域網中的每個客戶機，在客戶端設置網關的靜態ARP信息，這叫PC機IP-MA C綁定。除此之外，很多交換機和路由器廠商也推出了各自的防御ARP病毒的軟硬產品，如：華為的FIX AR 18-6X 系列全千兆以太網路由器就可以實現局域網中的ARP病毒免疫，該路由器提供MAC和IP地址綁定功能，可以根據用戶的配置，在特定的IP地址和MAC地址之間形成關聯關系。對于聲稱從這個IP地址發送的報文，如果其MAC地址不是指定關系對中的地址，路由器將予以丟棄，這是避免IP地址假冒攻擊的一種方式。

2.使用ARP服務器

通過ARP服務器查找自己的ARP轉換表來響應其他機器的ARP廣播，但必須確保這臺ARP服務器不被黑客攻擊。

3.使用其他交換方式

現在，基于IP地址變換進行路由的第三層交換機逐漸被采用，第三層交換技術用的是IP路由交換協議。以往的MAC地址和ARP協議已經不起作用，因而ARP欺騙攻擊在這種交換環境下不起作用。該方法的缺點是這種交換機價格普遍比較昂貴。

出現ARP地址欺騙攻擊的解決辦法如下：

第一步：記住網關的正確IP地址和MAC地址，為以后的IP-MAC綁定做準備，也方便以后查找病毒主機。網關MAC的獲取，一是可以向單位的網管人員詢問;二是在機器正常上網時進行查詢，記下網關IP地址和MAC地址，方法如下：打開“命令提示符”窗口，在提示符后鍵入：ipconfig/al(l用此命令先查詢網關的IP地址)，然后再鍵入：arp-a(用來顯示ARP高速緩存中所有項目)，如果并未列出網關IP地址與MAC地址的對應項，那就先ping一下網關IP地址，再顯示ARP高速緩存內容就能看到網關的IP-MAC對應項了。第二步：發現網關MAC地址有沖突后，可先用arp-d命令先清除ARP高速緩存的內容，然后再用arp-a命令查看網關IP-MAC項目是否正確。如果病毒不斷攻擊網關，那就要靜態綁定網關的IP-MAC。例如：網關IP地址為10.1.4.254，MAC地址為00-08-20-8b-68-0a，先用arp-d命令清除ARP高速緩存的內容，再在命令提示符后鍵入：arp-s10.1.4.254 00-08-20-8b-68-0a，這樣網關IP地址和MAC地址就被靜態綁定了。如果用戶安裝了瑞星防火墻，也可以通過防火墻提供的“設置-詳細設置-ARP靜態規則”中進行靜態綁定，或是在文章最開始的防火墻提示中選擇正確的MAC地址后點擊“添加到ARP靜態表中”。第三步：如果病毒不斷攻擊網關致使網關的IP-MAC的靜態綁定都無法操作，那就應該先找到病毒主機，使其斷網殺毒，才能保證網段內其它機器正常上網操作。

三、結束語

由于ARP協議制定時間比較早，當時對這些協議的缺陷考慮不周，使得ARP攻擊的破壞性比較大，但其也有局限性，比如ARP攻擊只局限在本地網絡環境中。最根本的解決措施就是使用IPv6協議，因為在IPv6協議定義了鄰機發現協議(NDP)，把ARP納人NDP并運行于因特網控制報文協議(ICMP)上，使ARP更具有一般性，包括更多的內容。

參考文獻：

[1]專家解讀APR病毒.http ; //security. ccidnet. com/.

[2]馬軍，王巖.ARP協議攻擊及其解決方案.信息安全，2006，22(5-3)：70-77.

(作者單位：遼寧省安全科學研究院）