当前位置：首页 > 范文大全 > 实用文>ARP欺骗防护实现方式介绍

ARP欺骗防护实现方式介绍

2023-02-11 08:10:56 收藏本文下载本文

“灵犀一指”通过精心收集，向本站投稿了6篇ARP欺骗防护实现方式介绍，下面是小编给各位读者分享的ARP欺骗防护实现方式介绍，欢迎大家分享。

ARP欺骗防护实现方式介绍

篇1：ARP欺骗防护实现方式介绍

从现在的网络连接通畅de方式来看，ARP欺骗分为二种，一种是对路由器ARP表de欺骗；另一种是对内网PCde网关欺骗。第一种ARP欺骗de原理是 ——截获网关数据。它通知路由器一系列错误de内网MAC地址，并按照一定de频率不断进行，使真实de地址信息无法通过更新保存在路由器中，结果路由器 de所有数据只能发送给错误deMAC地址，造成正常PC无法收到信息。第二种ARP欺骗de原理是——伪造网关。它de原理是建立假网关，让被它欺骗 dePC向假网关发数据，而不是通过正常de路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。

基于以上两种ARP欺骗de方式，我公司在上海电信外高桥数据中心采用独立网段加上双向绑定de方法设立了防ARP欺骗攻击专区，拓朴结构示意图如下：

ARP欺骗攻击防护实现方式:

外部防护

1、此防护区域使用独立计算机网关，从电信路由层以独立VLANde物理结构方式接入，与其他非防护区域服务器完全隔离

内部防护

2、防护专区中心交换机以机柜为单位划分VLAN，保证机柜之间无法直接通信，防止机柜之间deARP 欺骗攻击。防护专区中心交换机进行 IP段—MAC---交换机端口配对绑定，服务器只能在指定交换机机柜和指定交换机端口使用,防止内部ARP攻击机截获网关数据，进行欺骗攻击。

3、机柜交换机进行 IP—MAC—交换机端口配对绑定，服务器只能在指定交换机端口使用，防止内部ARP攻击机发送虚假IP 地址，虚假MAC地址，伪造网关，进行欺骗攻击。

4、机柜交换机进行网关IP—网关MAC 静态绑定，为机柜内部服务器提供静态de网关MaC地址解析。

ARP欺骗攻击防护de实现方式介绍就为大家介绍完了，希望大家已经掌握了。

篇2：实现讲解对目标进行ARP欺骗

以太网内的嗅探sniff对于网络安全来说并不是什么好事，虽然对于网络管理员能够跟踪数据包并且发现网络问题，但是如果被破坏者利用的话，就对整个网络构成严重的安全威胁，

ARP缓存表假设这样一个网络：

E cellSpacing=0 borderColorDark=#ffffff cellPadding=2 width=400 align=left borderColorLight=black border=1>

——————————

| HUB |

——————————

HostA HostB HostC

其中：

A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA

B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB

C的地址为：IP：192.168.10.3 MAC: CC-CC-CC-CC-CC-CC

假设B是属于一个嗅探爱好者的，比如A机器的ARP缓存：

C:\>arp -a Interface: 192.168.10.1 on Interface 0x1000003 Internet Address Physical Address Type 192.168.10.3 CC-CC-CC-CC-CC-CC dynamic

这是192.168.10.1机器上的ARP缓存表，假设，A进行一次ping 192.168.10.3操作，PING主机C，会查询本地的ARP缓存表，找到C的IP地址的MAC地址，那么就会进行数据传输，目的地就是C 的MAC地址。如果A中没有C的ARP记录，那么A首先要广播一次ARP请求，当C接收到A 的请求后就发送一个应答，应答中包含有C的MAC地址，然后A接收到C的应答，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据（由网卡附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。

集线器网络(Hub-Based)

很多网络都是用Hub进行连接的。数据包经过Hub传输到其他计算机的时候，Hub只是简单地把这个数据包广播到Hub的所有端口上。这就是上面举例中的一种网络结构。

现在A需要发送TCP数据包给C。首先，A需要检查本地的ARP 缓存表，查看是否有IP为192.168.10.3即C的ARP记录，如果没有那么A将要广播一个ARP请求，当C接收到这个请求后，就作出应答，然后A更新自己的ARP缓存表。并获得与C的IP相对应的MAC地址。这时就传输这个TCP数据包，Ethernet帧中就包含了C的MAC地址。当数据包传输到HUB的时候，HUB直接把整个数据包广播到所有的端口，然后C就能够接收到A发送的数据包。

正因为HUB把数据广播到所有的端口，所以计算机B也能够收到A发送给C的数据包。这正是达到了B嗅探的目的。因此，Hub-Based的网络基本没有安全可言，嗅探在这样的网络中非常容易。

交换网络（Switched Lan）

交换机用来代替HUB，正是为了能够解决HUB的几个安全问题，其中就是能够来解决嗅探问题。Switch不是把数据包进行端口广播，它将通过自己的ARP缓存来决定数据包传输到那个端口上。因此，在交换网络上，如果把上面例子中的HUB换为Switch，B就不会接收到A发送给C的数据包，即便设置网卡为混杂模式，也不能进行嗅探。

ARP欺骗（ARP spoofing）

ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，在上面的假设网络中，B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3（C的IP地址），MAC地址是DD-DD-DD-DD-DD-DD（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A可不知道被伪造了）。现在A机器的ARP缓存更新了：

C:\>arp -a Interface: 192.168.10.1 on Interface 0x1000003 Internet Address Physical Address Type 192.168.10.3 DD-DD-DD-DD-DD-DD dynamic

这可不是小事，

局域网的网络流通可不是根据IP地址进行，而是按照MAC地址进行传输。现在192.168.10.3的MAC地址在A上被改变成一个本不存在的MAC地址。现在A开始Ping 192.168.10.3，网卡递交的MAC地址是DD-DD-DD-DD-DD-DD，结果是什么呢？网络不通，A根本不能Ping通C！！这就是一个简单的ARP欺骗。

我们来实现这样的ARP欺骗。这里需要使用一个WinPcap提供的API和驱动，winpcap是一个伟大而且开放的项目。Windows环境下的nmap、snort、windump都是使用的winpcap。

// ARP Sender

#include “stdafx.h”

#include “Mac.h” //GetMacAddr，我写的把字符串转换为MAC地址的函数，就不列在这里了

#include

#define EPT_IP 0x0800

#define EPT_ARP 0x0806

#define EPT_RARP 0x8035

#define ARP_HARDWARE 0x0001

#define ARP_REQUEST 0x0001

#define ARP_REPLY 0x0002

#define Max_Num_Adapter 10

#pragma pack(push, 1)

typedef struct ehhdr

{

unsigned char eh_dst[6];

unsigned char eh_src[6];

unsigned short eh_type;

}EHHDR, *PEHHDR;

typedef struct arphdr

{

unsigned short arp_hrd;

unsigned short arp_pro;

unsigned char arp_hln;

unsigned char arp_pln;

unsigned short arp_op;

unsigned char arp_sha[6];

unsigned long arp_spa;

unsigned char arp_tha[6];

unsigned long arp_tpa;

}ARPHDR, *PARPHDR;

typedef struct arpPacket

{

EHHDR ehhdr;

ARPHDR arphdr;

} ARPPACKET, *PARPPACKET;

#pragma pack(pop)

int main(int argc, char* argv[])

{

static char AdapterList[Max_Num_Adapter][1024];

char szPacketBuf[600];

char MacAddr[6];

LPADAPTER lpAdapter;

LPPACKET lpPacket;

WCHAR AdapterName[2048];

WCHAR *temp,*temp1;

ARPPACKET ARPPacket;

ULONG AdapterLength = 1024;

int AdapterNum = 0;

int nRetCode, i;###NextPage###

[1] [2] [3] 下一页

篇3：新的挂马方式ARP欺骗

网页挂马最难的就是传播了，小网站易入侵但是访问人数不多，收获的肉鸡也就不是很多，因此，一种新的挂马方式开始流行――局域网ARP欺骗挂马，只要局域网内一台机子中招了，它就可以在内网传播含有木马的网页，捕获的肉鸡就会成几何增长。局域网ARP欺骗挂马的好处

网页挂马最难的就是传播了，小网站易入侵但是访问人数不多，收获的肉鸡也就不是很多。因此，一种新的挂马方式开始流行――局域网ARP欺骗挂马，只要局域网内一台机子中招了，它就可以在内网传播含有木马的网页，捕获的肉鸡就会成几何增长。

局域网ARP欺骗挂马的好处如下：无需入侵网站，只要你的主机处于局域网中即可，这是它最大的优点;收获的肉鸡多多，短时间内可以收获数十台甚至上百台肉鸡，类似网吧这样由上百台电脑组成的局域网是最好的挂马场所;局域网内的用户访问任何网站都会中我们的木马。看了上面的介绍，各位是不是已经蠢蠢欲动了?

第一步：配置木马服务端

我们以“黑洞”木马为例。运行“黑洞”木马的Client.exe文件，进入Client.exe的主界面后，点击“文件→创建DLL插入版本服务端程序”，

进入服务端程序的创建界面后，首先勾选“Win NT//XP/下隐藏服务端文件、注册表、进程和服务”，然后切换到“连接选项”标签，在“主机”一栏中填入本机的公网IP地址，端口可以保持默认的“”。最后在“连接密码”处填入用来连接对方的密码，例如123456(图1)。设置完成后点击“生成”按钮，将木马服务端保存为muma.exe。

500)this.width=500“ title=”点击这里用新窗口浏览图片“ />

填写密码

第二步：生成网页木马

既然是挂马，那当然缺不了网页木马了。这里我们用“MS07-33网马生成器”为例。运行“MS07-33网马生成器”，在“网马地址”文本框中输入木马所在路径，由于等会我们要自行架设Http服务，所以这里应该填入“192.168.0.2/muma.exe“，其中192.168.0.2是本机在局域网中的IP地址。点击“生成网马”按钮即可生成网马hackll.htm(图2)。

500)this.width=500” title=“点击这里用新窗口浏览图片” />

点击“生成网马”

篇4：影响网络通畅ARP欺骗的方式和原理

从影响网络连接通畅的方式来看，ARP 欺骗大概可以分为两种，一种是对路由器ARP表的欺骗，这种方法可以破坏系统的ARP缓存表，从而组成内外IP地址的混乱。另一种是对局域网里面计算机的网关欺骗，让内网计算机系统的数据报通过假网关来发送。

第一种ARP 欺骗的原理是截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行地址的更换，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，从而造成计算机访问精心构建的网络陷阱。

第二种ARP 欺骗的原理是伪造网关。它的原理是建立假网关，让被它欺骗的计算机向假网关发数据，而不是通过正常的路由器途径上网。在用户的角度看来，就是上不了网了以及网络掉线了，这样会给用户造成系统网关出错的假象。

如何利用“ARP 欺骗”入侵

要进行ARP 欺骗入侵只需要一个前提条件，就是进行入侵的计算机和被攻击的计算机要在一个局域网的网段中。由于ARP 欺骗是通过数据包进行欺骗的，所以在进行操作以前要在本地计算机安装一个驱动程序WinPcap(图1)。

打开系统的命令提示符命令，并切换到利用工具所在的目录，接着执行利用工具命令：arpspoof.exe /n，然后会生成一个文本文件，

现在打开这个文本文件后按照自己的需求进行编辑，比如可以将“Hack by cooldiyer”改为“该系统已经被我成功入侵!”(图2)。

在命令提示符窗口输入命令：ArpSpoof 192.168.1.6 192.168.1.3 80 2 1 /r job.txt，其中192.168.1.6表示入侵计算机的IP地址，192.168.1.3表示被侵计算机的IP地址，80表示用于欺骗的远程端口。

后面的相关参数设置，用户应该根据自己网络网关的实际类型(例如有些网关地址为192.168.0.1有些则是192.168.110.1)情况进行设置。当准确键入以上命令后回车，程序就可以进行ARP 欺骗攻击(图3)。当其他用户访问这台服务器的80端口后，从浏览器看到的就是我们文本文件中的内容。

刚才只是利用ARP 欺骗进行了网站攻击，现在利用另一款欺骗工具进行木马传播。在命令提示符窗口查看ARP 欺骗工具zxarps.exe的使用方法，然后键入命令：zxarps.exe -idx 0 -ip 192.168.1.7-192.168.1.255 -port 80 -insert “

篇5：新的挂马方式 ARP欺骗挂马称雄局域网

网页挂马最难的就是传播了，小网站易入侵但是访问人数不多，收获的肉鸡也就不是很多，因此，一种新的挂马方式开始流行――局域网ARP欺骗挂马，只要局域网内一台机子中招了，它就可以在内网传播含有木马的网页，捕获的肉鸡就会成几何增长。

第一步：配置木马服务端

我们以“黑洞”木马为例。运行“黑洞”木马的Client.exe文件，进入Client.exe的主界面后，点击“文件→创建DLL插入版本服务端程序”。

进入服务端程序的创建界面后，首先勾选“Win NT//XP/下隐藏服务端文件、注册表、进程和服务”，然后切换到“连接选项”标签，在“主机”一栏中填入本机的公网IP地址，端口可以保持默认的“”。最后在“连接密码”处填入用来连接对方的密码，例如123456。设置完成后点击“生成”按钮，将木马服务端保存为muma.exe。

填写密码

第二步：生成网页木马

第三步：开启本机Http服务

要让局域网中的其他主机能够访问到我们的网马，就要开启本机的Http服务。下载baby web server，这是一款简单的Web服务器软件，下载后直接运行，在其主界面中点击“服务→设置”，

将“网页目录”设置为网页木马所在的地方，例如C盘根目录“C:“。点“确定”回主界面，然后再点“Start”按钮开启本机的Http服务。记得要将木马服务端和网页木马放到C盘根目录。

按钮开启本机的Http服务

第四步：局域网挂马

最后该请我们的主角出场了，就是上文中提到的小工具，这个工具叫zxARPs，是一个通过ARP欺骗实现局域网挂马的工具。在使用zxARPs前我们要安装WinPcap，它是网络底层驱动包，没有它zxARPs就运行不了。

安装好后将zxARPs放到任意目录，然后运行“命令提示符”，进入zxARPs所在的目录，然后输入命令：zxARPs.exe -idx 0 -ip 192.168.0.1-192.168.0.255 -port 80 -insert ”

安装好后将zxARPs放到任意目录，然后运行“命令提示符”，进入zxARPs所在的目录，然后输入命令：zxARPs.exe -idx 0 -ip 192.168.0.1-192.168.0.255 -port 80 -insert “”。回车后挂马就成功了。

从现在开始，局域网中的用户无论访问什么网站，都会运行我们的网页木马，因为zxARPs在用户打开网页的同时已经将挂马代码插入到正常网页中

ARP挂马防范技巧

从上文可见zxARPs的功能真的十分强大，但它毕竟是基于ARP欺骗原理的，只要局域网内的主机能够抵御ARP欺骗攻击，就可以完全无视zxARPs的挂马方法。

网管将局域网内所有的主机的IP地址和MAC地址进行绑定即可搞定。我们也可以下载“360ARP防火墙”来抵御ARP欺骗攻击(下载地址www2.cpcw.com/bzsoft)，安装完成后点击界面上的“开启”按钮就可以让它保护我们免受ARP欺骗的攻击了。这时如果有人对你的主机进行ARP欺骗攻击，我们在可以点击“记录”按钮，查看攻击者的IP地址。

篇6：局域网ARP欺骗挂马方式详细讲解漏洞预警

网页挂马最难的就是传播了，小网站易入侵但是访问人数不多，收获的肉鸡也就不是很多，因此，一种新的挂马方式开始流行――局域网ARP欺骗挂马，只要局域网内一台机子中招了，它就可以在内网传播含有木马的网页，捕获的肉鸡就会成几何增长。 th7.cn

第一步：配置木马服务端第七城市

我们以“黑洞”木马为例。运行“黑洞”木马的Client.exe文件，进入Client.exe的主界面后，点击“文件→创建DLL插入版本服务端程序”。

th7.cn

进入服务端程序的创建界面后，首先勾选“Win NT/2000/XP/2003下隐藏服务端文件、注册表、进程和服务”，然后切换到“连接选项”标签，在“主机”一栏中填入本机的公网IP地址，端口可以保持默认的“2007”。最后在“连接密码”处填入用来连接对方的密码，例如123456(图1)。设置完成后点击“生成”按钮，将木马服务端保存为muma.exe。 th7.cn

th7.cn

填写密码第七城市

第二步：生成网页木马th7.cn

既然是挂马，那当然缺不了网页木马了。这里我们用“MS07-33网马生成器”为例。运行“MS07-33网马生成器”，在“网马地址”文本框中输入木马所在路径，由于等会我们要自行架设H

ttp服务，所以这里应该填入“192.168.0.2/muma.exe“，其中192.168.0.2是本机在局域网中的IP地址。点击“生成网马”按钮即可生成网马hackll.htm(图2)。

点击“生成网马” 第七城市

第三步：开启本机Http服务

要让局域网中的其他主机能够访问到我们的网马，就要开启本机的Http服务，

下载baby web server，这是一款简单的Web服务器软件，下载后直接运行，在其主界面中点击“服务→设置”。

将“网页目录”设置为网页木马所在的地方，例如C盘根目录“C:“。点“确定”回主界面，然后再点“Start”按钮开启本机的Http服务(图3)。记得要将木马服务端和网页木马放到C盘根目录。第七城市

按钮开启本机的Http服务 th7.cn

第四步：局域网挂马

最后该请我们的主角出场了，就是上文中提到的小工具，这个工具叫zxARPs，是一个通过ARP欺骗实现局域网挂马的工具。在使用zxARPs前我们要安装WinPcap，它是网络底层驱动包，没有它zxARPs就运行不了。第七城市

安装好后将zxARPs放到任意目录，然后运行“命令提示符”，进入zxARPs所在的目录，然后输入命令：zxARPs.exe -idx 0 -ip 192.168.0.1-192.168.0.255 -port 80 -insert "

从现在开始，局域网中的用户无论访问什么网站，都会运行我们的网页木马，因为zxARPs在用户打开网页的同时已经将挂马代码插入到正常网页中了。

th7.cn

ARP挂马防范技巧

从上文可见zxARPs的功能真的十分强大，但它毕竟是基于ARP欺骗原理的，只要局域网内的主机能够抵御ARP欺骗攻击，就可以完全无视zxARPs的挂马方法。 th7.cn

网管将局域网内所有的主机的IP地址和MAC地址进行绑定即可搞定。我们也可以下载“360ARP防火墙”来抵御ARP欺骗攻击(下载地址www2.cpcw.com/bzsoft)，安装完成后点击界面上的“开启”按钮就可以让它保护我们免受ARP欺骗的攻击了(图4)。这时如果有人对你的主机进行ARP欺骗攻击，我们在可以点击“记录”按钮，查看攻击者的IP地址。

开启ARP保护

【ARP欺骗防护实现方式介绍】相关文章：