基于ARP欺騙的網(wǎng)絡(luò)監(jiān)聽原理及實(shí)現(xiàn)

1、基于ARP欺騙的網(wǎng)絡(luò)監(jiān)聽原理及實(shí)現(xiàn)    隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的高速發(fā)展,網(wǎng)絡(luò)正日益成為政治、經(jīng)濟(jì)、文化、生活中不可缺少的一部分.在它給人們的生活、學(xué)習(xí)、工作帶來前所未有的方便和機(jī)遇的同時(shí)ssbbww. com,由于www.ddd tt. com網(wǎng)絡(luò)自身固有的不安全性,網(wǎng)絡(luò)安全問題也越來越引起人們的關(guān)注.所謂網(wǎng)絡(luò)監(jiān)聽,即將網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)捕獲并進(jìn)行分析的行為.網(wǎng)絡(luò)監(jiān)聽在協(xié)助網(wǎng)絡(luò)管理員監(jiān)測(cè)網(wǎng)絡(luò)傳輸數(shù)據(jù),排除網(wǎng)絡(luò)故障等方面具有十分重要的作用.然而,網(wǎng)絡(luò)監(jiān)聽也給網(wǎng)絡(luò)的安全帶來了極大的隱患,許多8ttt8的網(wǎng)絡(luò)入侵往往www.8 t t t8. com都伴隨著以太

2、網(wǎng)內(nèi)網(wǎng)絡(luò)監(jiān)聽行為,從而造成口令失竊,敏感數(shù)據(jù)被截獲等連鎖性安全代寫論文2網(wǎng)絡(luò)監(jiān)聽的原理運(yùn)行網(wǎng)絡(luò)監(jiān)聽程序的主機(jī)要實(shí)現(xiàn)網(wǎng)絡(luò)監(jiān)聽必須ssbbww. c om滿足兩個(gè)條件:其一,是該主機(jī)的網(wǎng)卡必須ssbbww. c om工作在混雜模式下;其二,是傳輸?shù)臄?shù)據(jù)包能夠SSBBww到達(dá)該主機(jī).根據(jù)連接的網(wǎng)絡(luò)設(shè)備不同,以太網(wǎng)分為共享式以太網(wǎng)和交換式以太網(wǎng).2.1共享式以太網(wǎng)在共享式以太網(wǎng)中,由于www.ddd tt. com是基于廣播的方式來發(fā)送數(shù)據(jù)的,所以8ttt8數(shù)包會(huì)被發(fā)送到連在一起的所有8 tt 的主機(jī)(圖1所示ssBbww).因此www.8 t tt8. com,只要運(yùn)行了網(wǎng)絡(luò)監(jiān)聽程序的主機(jī)的網(wǎng)卡處在

3、混雜模式下就可以實(shí)施網(wǎng)絡(luò)監(jiān)聽了.所以8ttt8,在共享式以太網(wǎng)中實(shí)施網(wǎng)絡(luò)監(jiān)聽還是很容易Dddtt將數(shù)據(jù)報(bào)發(fā)送到相應(yīng)端口上.所以8ttt8,即使監(jiān)聽主機(jī)的網(wǎng)卡設(shè)置成混雜模式,也不能接收到傳給其他主機(jī)的數(shù)據(jù)幀.因此www.8 t tt8. com,在交換式網(wǎng)絡(luò)中實(shí)施網(wǎng)絡(luò)監(jiān)聽的關(guān)鍵,就是要使發(fā)送給其他主機(jī)的數(shù)據(jù)幀能夠SSBBww到達(dá)運(yùn)行了網(wǎng)絡(luò)監(jiān)聽程序的主機(jī).在交換式以太網(wǎng)中最常見ssbbww的方式是利用www.8 t t t8. comARP欺騙的中間8 tt 源主機(jī)的ARP表沒有目的IP和目的MAC的映射,則通過廣播的方式發(fā)送ARP請(qǐng)求.只有具有此目的IP的主機(jī)才會(huì)對(duì)這個(gè)廣ARP請(qǐng)求作出反應(yīng),向源

4、主機(jī)發(fā)送一個(gè)包含其MAC地址的ARP應(yīng)答報(bào)文.ARP協(xié)議是一個(gè)無狀態(tài)www .ddd Tt. com的協(xié)議.一旦8ttt8收到ARP應(yīng)答就會(huì)對(duì)其高速緩存中存放的IP地址到物理地址映射記錄進(jìn)行更新,而不會(huì)關(guān)心之前是否發(fā)出過ARP請(qǐng)求.ARP欺騙的核心就是www.8 t t t8. com中間人攻擊進(jìn)行監(jiān)聽的原理利用www.8 t t t8. comARP欺騙進(jìn)行監(jiān)聽其實(shí)就是要實(shí)現(xiàn)中間人攻擊,它是利用www.8 t t t8. comARP欺騙進(jìn)行攻擊的主要方式之一.其原理是使進(jìn)行監(jiān)聽的主機(jī)插入S到被監(jiān)聽主機(jī)與其它8ttt8網(wǎng)絡(luò)主機(jī)之間,使進(jìn)行監(jiān)聽的主機(jī)成為被監(jiān)聽主機(jī)與其它8ttt8網(wǎng)絡(luò)主機(jī)通信的

5、中繼.在這種情況8 tt t 8. com下,其他網(wǎng)絡(luò)主機(jī)發(fā)往被監(jiān)聽主機(jī)的信息和被監(jiān)聽主機(jī)發(fā)往其他網(wǎng)絡(luò)主機(jī)的信息都必須ssbbww. c om經(jīng)過ssbbww進(jìn)行網(wǎng)絡(luò)監(jiān)聽的主機(jī).這樣,進(jìn)行網(wǎng)絡(luò)監(jiān)聽的主機(jī)就很容易Dddtt對(duì)被監(jiān)聽主機(jī)進(jìn)行網(wǎng)絡(luò)監(jiān)聽了.如圖2所示ssBbww,C為進(jìn)行網(wǎng)絡(luò)監(jiān)聽的主機(jī),A為被監(jiān)聽主機(jī),B為網(wǎng)絡(luò)中的任一其他(1) C向A發(fā)送ARP應(yīng)答報(bào)文,A修改ARP高速緩沖,使B的IP地址與C的MAC地址相對(duì),如果8 tt A向B發(fā)送信息,根據(jù)A高速緩沖中的IP-MAC映射,信息實(shí)際8ttt8上是被發(fā)送到了C,再由C轉(zhuǎn)發(fā)到B;同理,從B發(fā)送到A的信息也將會(huì)被C轉(zhuǎn)發(fā)一次.此時(shí),A與B之

6、間的通信已經(jīng)被C完全8 t tt8. com監(jiān)控.如果8 tt 運(yùn)行了網(wǎng)絡(luò)監(jiān)聽程序的主機(jī)C的網(wǎng)卡又工作在混雜模式下,那么8ttt8,主機(jī)C就滿足了前面所提到的實(shí)現(xiàn)網(wǎng)絡(luò)監(jiān)聽的兩個(gè)條件,可以對(duì)A與B間的通信進(jìn)行監(jiān)聽了.3利用www.8 t t t8. comARP欺騙的網(wǎng)絡(luò)監(jiān)聽實(shí)現(xiàn)的程序設(shè)計(jì)3.1程序總體設(shè)計(jì)程序的總體設(shè)計(jì)思想就是:首先要實(shí)現(xiàn)中間人攻擊,使實(shí)施監(jiān)聽主機(jī)成為被監(jiān)聽主機(jī)之間的中繼,然后分析接收到的數(shù)據(jù)包,根據(jù)自行約定的標(biāo)志確定監(jiān)聽的開始,再根據(jù)用戶的需要sSbBwW.cOm對(duì)監(jiān)聽到的數(shù)據(jù)包作出相應(yīng)的操作.因此www.8 t tt8. com,該程序需要sSbBwW.cOm實(shí)現(xiàn)的主要功能

7、有兩個(gè):(1)根據(jù)中間人攻擊原理實(shí)現(xiàn)ARP欺騙;(2)處理8tTt8接收到的數(shù)據(jù)包,根據(jù)用戶的輸入,完成相應(yīng)的功能.分別建立函數(shù)ArpCheatApplication和使用帶參數(shù)的main函數(shù)作為dddtt主函數(shù).主函數(shù)的功能主要是初始化網(wǎng)卡以及一些8 tt 全局變量,并使用函數(shù)CreateThread來建立新線程,實(shí)現(xiàn)對(duì)ArpCheatApplication等子函數(shù)的調(diào)用,完成相應(yīng)的功能.main的算法如下:int main(int argc, char *argv) /帶參數(shù)的main函數(shù)聲明部分,定義變量;if (argc!=3) return 0; /參數(shù)輸入錯(cuò)誤,返回0/取得參數(shù)Se

8、rverSideIP<-inet_addr(argv1); /第二個(gè)命令行參數(shù)代表Server端的IPClientSideIP<-inet_addr(argv2); /第三個(gè)命令行參數(shù)代表Client端的IP使用InitAdapter函數(shù)初始化網(wǎng)卡;使用自定義函數(shù)GetMACAddr函數(shù)取得Server端和Client端的MAC地址;/使用CreateThread函數(shù)生成實(shí)現(xiàn)ARP欺騙的新線程i=1;CreateThread(NULL, 0, ArpCheatApplication, &i, 0, 0); /實(shí)現(xiàn)對(duì)Server端的ARP欺騙i=2;CreateThread(

9、NULL, 0, ArpCheatApplication, &i, 0, 0); /實(shí)現(xiàn)對(duì)Client端的ARP欺騙/使用CreateThread函數(shù)生成處理8tTt8接收到的數(shù)據(jù)包的新線程CreateThread(0, 0, AnalysePacketsApplication, NULL, 0, 0);/使用CreateThread函數(shù)生成處理8tTt8用戶輸入的新線程CreateThread(0, 0, CustomerApplication, NULL, 0, 0);./其他所需的操作使用PacketFreePacket和PacketCloseAdapter函數(shù)釋放資源;retu

10、rn 0;上面算法中使用到的GetMACAddr函數(shù)是一個(gè)自定義的用來根據(jù)目標(biāo)IP獲得ssbbww相應(yīng)MAC地址的函,其代碼如下:BOOL GetMACAddr(DWORD DestIP, char *pMAC)DWORD dwRet;ULONG ulLen=6, pulMac2;dwRet=SendARP(DestIP, 0, pulMac, &ulLen); /調(diào)用SDK函數(shù)來獲取目標(biāo)IP的MAC地址if(dwRet=NO_ERROR) /判斷是否找到了目標(biāo)IP相應(yīng)的MACmemcpy(pMAC, pulMac, 6);return TRUE;else return FALSE;

11、/如果8 tt 沒有找到目標(biāo)IP相應(yīng)的MAC,則返回FALSE基于ARP欺騙的網(wǎng)絡(luò)監(jiān)聽原理及實(shí)現(xiàn)|有關(guān)計(jì)算機(jī)網(wǎng)絡(luò)的論文資料人攻擊的分析可知,函數(shù)ArpCheatApplication要實(shí)現(xiàn)的功能有兩個(gè)(如圖2,假定A為ServerSide,B為ClientSide):C告訴ServerSide,ClientSide的MAC是ownmac;C告訴ClientSide,ServerSide的MAC是ownmac.函數(shù)ArpCheatApplication的流程圖如圖3所示ssBbww8tTt8收到的數(shù)據(jù)包,通過篩選只分析不屬于自己的TCP包,然后根據(jù)用戶的輸入,完成各種功能.其流程如圖4所示ssB

12、bww.圖4AnalysePacketsApplication流程圖Fig.4AnalysePacketsApplication flow chart對(duì)圖4有:(1)對(duì)接收到的數(shù)據(jù)包需要sSbBwW.cOm進(jìn)行以下篩選,其中continue代表跳出當(dāng)前的數(shù)據(jù)包篩選,重新讀入新數(shù)據(jù)包進(jìn)行篩選./不處理8tTt8監(jiān)聽主機(jī)本身發(fā)送和轉(zhuǎn)發(fā)的數(shù)據(jù)包if(memcmp(TCPPacket->ehhdr.SourceMAC, OwnMAC, 6)=0) continue;/不處理8tTt8目的IP為監(jiān)聽主機(jī)本身的數(shù)據(jù)包for(i=0; i<TotalIP; i+) /TotalIP為監(jiān)聽主機(jī)所擁

13、有的所有8 tt IP數(shù)目if(TCPPacket->iphdr.destIP=OwnIP i) break; /判斷目的IP是否為監(jiān)聽主機(jī)的某一IP717第4期向昕等:基于ARP欺騙的網(wǎng)絡(luò)監(jiān)聽原理及實(shí)現(xiàn)if(i !=TotalIP) continue;/檢查是否IP包,以太網(wǎng)首部中IP包的類型代碼為十六進(jìn)制的0800if(TCPPacket->ehhdr.EthernetType !=htons(0x0800) continue;/檢查是否TCP包if(TCPPacket->to !=IPPROTO_TCP) continue;(2)設(shè)置開始劫持的標(biāo)志有多

14、種選擇,在這里假設(shè)捕獲到一個(gè)從ClientSide -> ServerSide的純ack后才開始劫持,即檢查TCP首部中的6個(gè)標(biāo)志位是否為010000,函數(shù)IsACKPacket就是用來判斷一個(gè)據(jù)包是不是只有ACK標(biāo)志的,代碼如下:BOOL IsACKPacket(unsigned char flag) /flag代表TCP首部的標(biāo)志位int i, j=1;for(i=0 ; i<4; i+)if(flag & j) return FALSE; /判斷標(biāo)志位低4位是否為1,有為1的,則返回falsej <<=1;if(! (flag & 0x10) return FALSE; /判斷ACK位是否為0,為0則返回falseif(flag & 0x20) return FALSE; /判斷最高位標(biāo)志位的最高位是否為1,為1則返回falsereturn TRUE; /4結(jié)束語事物都有兩面性,網(wǎng)絡(luò)監(jiān)聽也是8tt t 8. com這樣.我