【ARP攻擊的技術(shù)原理及防范措施探究5000字（論文）】

ARP攻擊的技術(shù)原理及防范措施研究目錄TOC\o"1-2"\h\u15466ARP攻擊的技術(shù)原理及防范措施研究 1586一.引言 122478二.ARP工作原理 2130662.1.以太網(wǎng)中的ARP協(xié)議簡(jiǎn)介 2231502.2.ARP協(xié)議原理 25037三.利用虛擬機(jī)進(jìn)行ARP過(guò)濾測(cè)試 624623.1.測(cè)試環(huán)境搭建 6294243.2.功能測(cè)試 912743.3測(cè)試報(bào)告和總結(jié) 115771四.總結(jié)和展望 1213758參考文獻(xiàn) 13摘要：ARP協(xié)議負(fù)責(zé)實(shí)現(xiàn)IP地址到網(wǎng)絡(luò)接口硬件地址的映射，是計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行的基礎(chǔ)協(xié)議之一，它最早運(yùn)行在可信局域網(wǎng)之上。而今，局域網(wǎng)已經(jīng)不再是可信網(wǎng)絡(luò)，因而，ARP運(yùn)行中出現(xiàn)了一些不安全因素。目前在網(wǎng)絡(luò)上已經(jīng)出現(xiàn)了很多利用ARP協(xié)議進(jìn)行黑客攻擊的行為，給網(wǎng)絡(luò)安全造成了很大的影響，本文將對(duì)這一問(wèn)題給出一個(gè)全面深刻的剖析，并給出一個(gè)有效的解決方案。關(guān)鍵詞：ARP；虛擬機(jī)；ARP過(guò)濾一.引言ARP協(xié)議是一個(gè)基礎(chǔ)協(xié)議，它的應(yīng)用非常廣泛。ARP由IP層復(fù)用，用于解析局域網(wǎng)內(nèi)任意合法第3層協(xié)議地址和第2層硬件地址之間的映射關(guān)系。ARP協(xié)議工作在局域網(wǎng)中，早期的協(xié)議設(shè)計(jì)者認(rèn)為局域網(wǎng)是可信賴(lài)的，同時(shí)為了考慮傳輸效率，沒(méi)有加入安全機(jī)制?，F(xiàn)在的網(wǎng)絡(luò)規(guī)模已經(jīng)今非昔比，局域網(wǎng)已經(jīng)不再是原始意義上的局域網(wǎng)絡(luò)，但ARP協(xié)議仍然扮演著同樣重要的角色，攻擊者正是利用了這一特點(diǎn)，利用該協(xié)議實(shí)現(xiàn)攻擊目的。ARP欺騙攻擊通過(guò)偽造IP地址和MAC地址映射來(lái)實(shí)現(xiàn)，它造成目標(biāo)主機(jī)ARP高速緩存信息錯(cuò)誤，從而影響網(wǎng)絡(luò)通信、實(shí)施網(wǎng)絡(luò)欺騙。二.ARP工作原理2.1.以太網(wǎng)中的ARP協(xié)議簡(jiǎn)介IEEE的802標(biāo)準(zhǔn)委員會(huì)和802項(xiàng)目組定義了兩種主要的LAN傳輸方法—以太網(wǎng)和令牌環(huán)網(wǎng)。以太網(wǎng)在IEEE8023規(guī)范中被定義為L(zhǎng)AN標(biāo)準(zhǔn)，令牌環(huán)網(wǎng)則在IEEE802.5規(guī)范中定義。這兩種方法的使用范圍都很廣泛，本文的研究針對(duì)以太網(wǎng)進(jìn)行。以太網(wǎng)利用了總線和星形拓?fù)浣Y(jié)構(gòu)的優(yōu)點(diǎn)，采用了CSMA/CD技術(shù)，網(wǎng)絡(luò)上想要發(fā)送幀的結(jié)點(diǎn)與另外的結(jié)點(diǎn)競(jìng)爭(zhēng)資源，沒(méi)有哪個(gè)結(jié)點(diǎn)的優(yōu)先級(jí)比其他結(jié)點(diǎn)高，幀按照物理地址查找其特定的目標(biāo)，以太網(wǎng)通過(guò)一個(gè)廣播信道向所有結(jié)點(diǎn)發(fā)送數(shù)據(jù)，處于同一廣播域的結(jié)點(diǎn)都會(huì)收到該數(shù)據(jù)。雖然每臺(tái)主機(jī)都由一個(gè)IP地址，但是IP地址是運(yùn)行TCP/IP協(xié)議機(jī)器的通用標(biāo)識(shí)，IP地址自身不能使報(bào)文到達(dá)其目的地，數(shù)據(jù)傳輸必須依靠網(wǎng)絡(luò)適配器唯一的硬件地址，該地址也被稱(chēng)為MAC地址或者數(shù)據(jù)鏈路地址，該地址通常在網(wǎng)絡(luò)適配器生產(chǎn)廠家唯一編址，具有全球唯一性。以太網(wǎng)中的硬件地址采用48位長(zhǎng)度表示，ARP協(xié)議為IP地址到對(duì)應(yīng)的硬件地址之間提供動(dòng)態(tài)映射，因此，擔(dān)負(fù)IP地址和硬件地址轉(zhuǎn)換的ARP協(xié)議具有非常重要的地位。2.2.ARP協(xié)議原理ARP協(xié)議起初是為DEC/Intel/Xerox的10兆以太網(wǎng)設(shè)計(jì)的，現(xiàn)在己允許用在其它類(lèi)型的網(wǎng)絡(luò)上。當(dāng)來(lái)自上層的數(shù)據(jù)要發(fā)送時(shí)，需要知道目標(biāo)主機(jī)的硬件地址，這時(shí)就需要通過(guò)IP地址找到相應(yīng)的硬件地址，網(wǎng)絡(luò)接口輸出函數(shù)會(huì)調(diào)用ARP協(xié)議進(jìn)行ARP解析。ARP解析函數(shù)發(fā)送ARP請(qǐng)求(作為廣播包發(fā)送)，目標(biāo)主機(jī)收到ARP請(qǐng)求后發(fā)送ARP應(yīng)答(作為單播包發(fā)送)，當(dāng)發(fā)送主機(jī)收到ARP應(yīng)答后就可發(fā)送數(shù)據(jù)。為了避免頻繁發(fā)送ARP請(qǐng)求和應(yīng)答，實(shí)現(xiàn)時(shí)在主機(jī)中都會(huì)有一個(gè)ARP高速緩存用來(lái)存放己經(jīng)解析成功的ARP信息，所以通常數(shù)據(jù)發(fā)送前先查找ARP高速緩存，找不到時(shí)才會(huì)發(fā)送ARP請(qǐng)求。1．ARP分組格式RFC826定義了ARP分組的格式，在以太網(wǎng)上使用的ARP分組格式見(jiàn)圖2-1。該分組由以太網(wǎng)首部和以太網(wǎng)ARP字段兩部分組成。圖2-1以太網(wǎng)A丑P分組格式(1)以太網(wǎng)首部:以太網(wǎng)首部包括以太網(wǎng)目的地址、以太網(wǎng)源地址和幀類(lèi)型三部分，以太網(wǎng)目的地址是通信目的端的MAC地址，長(zhǎng)度為48位，目的地址為全1則是廣播地址，這時(shí)，電纜上的所有以太接口都要接收此數(shù)據(jù)并進(jìn)行處理。以太網(wǎng)源地址是通信源端的MAC地址，長(zhǎng)度為48位。幀類(lèi)型表示以太網(wǎng)首部所攜帶數(shù)據(jù)的類(lèi)型，如果是IP幀則為ox0800，如果是ARP幀則為0x0806。(2)以太網(wǎng)ARP字段:包括ARP首部和ARP數(shù)據(jù)兩部分。其中ARP首部包括硬件類(lèi)型、協(xié)議類(lèi)型、硬件地址長(zhǎng)度、協(xié)議地址長(zhǎng)度和操作碼五部分，硬件類(lèi)型字段值為1表示是以太網(wǎng)地址，協(xié)議類(lèi)型字段值為ox0800表示IP地址，硬件地址長(zhǎng)度為6表示是以太網(wǎng)硬件地址，協(xié)議地址長(zhǎng)度字段值為4表示是IP地址，操作碼指出了ARP操作的四種類(lèi)型，其中ARP請(qǐng)求值為1，ARP應(yīng)答值為2，RARP請(qǐng)求和應(yīng)答分別人3和4(可參見(jiàn)RARP協(xié)議的相關(guān)資料，本文不進(jìn)行介紹)；ARP數(shù)據(jù)部分包括了發(fā)送方硬件地址、發(fā)送方IP地址、目的硬件地址和目的IP地址，它們根據(jù)不同情況進(jìn)行填充，ARP請(qǐng)求包填充除目的硬件地址以外的所有數(shù)據(jù)，而ARP應(yīng)答數(shù)據(jù)則填充全部數(shù)據(jù)。2.ARP發(fā)包和收包流程(1)發(fā)包①當(dāng)網(wǎng)絡(luò)層往下傳來(lái)一個(gè)包，路由選擇將確定該包下一跳的協(xié)議地址(目的主機(jī)的IP地址)，為了正確發(fā)送該數(shù)據(jù)包，必須知道目的主機(jī)的硬件地址，這時(shí)就需要進(jìn)行IP地址到MAC地址的解析，為此需要發(fā)送ARP請(qǐng)求，即發(fā)送一個(gè)幀類(lèi)型字段為0xO806的以太網(wǎng)包，該包中以太網(wǎng)目的地址全為1(ARP請(qǐng)求以廣播形式發(fā)送)，除了目的硬件地址外全部填充，其中以太網(wǎng)源地址、發(fā)送者硬件地址和發(fā)送者IP地址填充本機(jī)的信息，ARP操作碼填充1，協(xié)議地址長(zhǎng)度填充4，硬件地址長(zhǎng)度填充6，目的IP地址填充路由確定的下一跳協(xié)議地址，目的硬件地址的值是想要得到的值。ARP請(qǐng)求包會(huì)被廣播到所有在以太網(wǎng)電纜上的主機(jī)，如果目的主機(jī)得到該ARP請(qǐng)求包則會(huì)發(fā)送一個(gè)ARP應(yīng)答包，如果一定時(shí)間沒(méi)有收到ARP應(yīng)答包，則會(huì)繼續(xù)發(fā)送若干次，如果還沒(méi)有收到應(yīng)答包，則認(rèn)為該主機(jī)不可達(dá)到，停止發(fā)送ARP請(qǐng)求。為了提高通信效率，通常主機(jī)中會(huì)保存已經(jīng)解析到的IP和MAC地址的映射，通常稱(chēng)之為ARP高速緩存。它保存了IF索引(物理接口索引)、IP和MAC地址的映射，以及該映射的類(lèi)型信息等，類(lèi)型有4種可能的值，值2意味著表項(xiàng)是無(wú)效的，值3意味著映射是動(dòng)態(tài)的(表項(xiàng)可能改變)，值4說(shuō)明是靜態(tài)項(xiàng)(表項(xiàng)不變化)，值1意味著不是上面的任何一種情況。動(dòng)態(tài)表項(xiàng)有一定的生存期，動(dòng)態(tài)ARP表項(xiàng)如果在一定時(shí)間沒(méi)有被使用，則會(huì)因超時(shí)被刪除，如果在生存期內(nèi)被使用，則生存期會(huì)被重置為最大值。通常，在數(shù)據(jù)發(fā)送前先會(huì)查找ARP高速緩存尋找相應(yīng)的MAC地址，如果沒(méi)有找到才會(huì)發(fā)送相應(yīng)的ARP請(qǐng)求。②免費(fèi)ARP主機(jī)在啟動(dòng)時(shí)會(huì)主動(dòng)發(fā)送一個(gè)ARP請(qǐng)求包，該包中發(fā)送端的協(xié)議地址和目的端的協(xié)議地址一致。免費(fèi)ARP包可以檢測(cè)在以太網(wǎng)中是否存在IP地址沖突，可以使其他機(jī)器更新其相應(yīng)信息，使得網(wǎng)絡(luò)通信快速恢復(fù)。如果發(fā)送免費(fèi)ARP的主機(jī)正好改變了硬件地址(有可能是更換網(wǎng)絡(luò)適配器，然后重新啟動(dòng))，那么這個(gè)免費(fèi)ARP就可以使其它主機(jī)ARP高速緩存中舊的硬件地址進(jìn)行相應(yīng)的更新。(2)收包①當(dāng)接口收到ARP請(qǐng)求包后會(huì)進(jìn)行檢查，檢查該包的硬件地址類(lèi)型及長(zhǎng)度和協(xié)議地址類(lèi)型及長(zhǎng)度是不是符合本接口，如果符合，那么在ARP高速緩存中查找發(fā)送者IP地址相關(guān)的映射，如果找到一個(gè)相符的表項(xiàng)，那么更新此表項(xiàng)(覆蓋原來(lái)的硬件地址為新的硬件地址)。②判斷本機(jī)是不是通信的目標(biāo)主機(jī)，如果是，并且沒(méi)有進(jìn)行過(guò)①中的更新，那么更新ARP高速緩存。③如果收到的是一個(gè)ARP請(qǐng)求，那么生成一個(gè)相應(yīng)的ARP應(yīng)答包，并且將這個(gè)ARP應(yīng)答包發(fā)送給對(duì)方，ARP應(yīng)答包以單播的形式發(fā)送，它填充了ARP包中的所有內(nèi)容。三.利用虛擬機(jī)進(jìn)行ARP過(guò)濾測(cè)試3.1.測(cè)試環(huán)境搭建驅(qū)動(dòng)程序運(yùn)行在內(nèi)核模式下，擁有操作系統(tǒng)的最高權(quán)限，在用戶(hù)模式下的各種保護(hù)措施，在內(nèi)核模式下都沒(méi)有。驅(qū)動(dòng)程序的設(shè)計(jì)缺陷可能導(dǎo)致系統(tǒng)崩潰，另外，ARP欺騙也有可能干擾網(wǎng)絡(luò)的正常運(yùn)行，因此利用宿主計(jì)算機(jī)和虛擬機(jī)進(jìn)行ARP過(guò)濾測(cè)試。1.宿主計(jì)算機(jī)表3-1給出了宿主計(jì)算機(jī)的主要配置情況2.虛擬計(jì)算機(jī)計(jì)算機(jī)虛擬機(jī)是指可以在某種類(lèi)型的計(jì)算機(jī)中模擬出另外一種計(jì)算機(jī)的硬件環(huán)境，并能在虛擬的計(jì)算機(jī)中運(yùn)行另外一種操作系統(tǒng)及應(yīng)用軟件的虛擬機(jī)。典型的虛擬機(jī)軟件有VMware和VirtualPC，本文采用VMWare軟件建立虛擬機(jī)。VMware安裝完成后會(huì)在宿主機(jī)中安裝兩塊虛擬網(wǎng)卡，分別是“VMWareVirtualEthernetAdapterforVMnetl”和“VMwareVirtualEthemetAdapterforVMnets”，它們用于建立宿主機(jī)和虛擬機(jī)之間的網(wǎng)絡(luò)連接。安裝的虛擬網(wǎng)卡也會(huì)創(chuàng)建兩個(gè)網(wǎng)絡(luò)連接，網(wǎng)絡(luò)連接中的詳細(xì)信息見(jiàn)圖3-1。圖3-1VMware安裝后的網(wǎng)絡(luò)連接信息虛擬機(jī)軟件將部分內(nèi)存和硬盤(pán)空間劃分出來(lái)運(yùn)行虛擬的操作系統(tǒng)及其應(yīng)用程序，表3-2列出了新建虛擬機(jī)的主要配置情況。表3-2新建虛擬機(jī)的主要配置情況虛擬機(jī)的虛擬網(wǎng)絡(luò)適配器選擇“Usebridgednetworking”選項(xiàng)，這樣創(chuàng)建的虛擬機(jī)和宿主機(jī)在局域網(wǎng)建立連接，并且可以自動(dòng)從DHCP服務(wù)器獲得IP地址。在虛擬機(jī)中安裝完Windows操作系統(tǒng)以后，需要安裝VMWareTools組件以幫助虛擬機(jī)很好地運(yùn)行。VMWare軟件運(yùn)行見(jiàn)圖3-2。圖3-2虛擬機(jī)運(yùn)行圖3.通信連接設(shè)置(1)由于宿主計(jì)算機(jī)沒(méi)有COM口，而WinDbg雙機(jī)調(diào)試操作中使用COM口連接，所以需要在宿主計(jì)算機(jī)中虛擬一個(gè)COM口，因此采用軟件VSPM進(jìn)行。VSPM軟件是一款免費(fèi)軟件，它可以將TCP/IP連接、UDP廣播，映射成本機(jī)的虛擬COM口，應(yīng)用程序通過(guò)訪問(wèn)虛擬串口，就可以完成遠(yuǎn)程控制、數(shù)據(jù)傳輸?shù)裙δ?。在測(cè)試中，虛擬COM口軟件VSPM設(shè)置運(yùn)行在serve膜式，并且本地監(jiān)聽(tīng)地址為58.206.176.213:6019，VSPM運(yùn)行情況見(jiàn)圖3-3。圖3-3VSPM軟件虛擬的COM口(2)winDbg的運(yùn)行參數(shù)設(shè)置為:-kcom:port=\\.\pipe\com_1，baud=11520，pipe。除此之外，調(diào)試時(shí)還要進(jìn)行工作路徑、符號(hào)文件等的設(shè)置。(3)在虛擬計(jì)算機(jī)中添加COM口(見(jiàn)圖3-2)，設(shè)置為“outputtonamedpipe”，設(shè)置COM口的速度為115200。添加調(diào)試運(yùn)行模式:修改boot.ini文件，增加新的啟動(dòng)菜單選項(xiàng):multi(0)disk(0)rdisk(0)partition(1)\WINNT=MicrosoftWindows2000Professional-debug”/fastdetect/debug/debugport=coml/baudrate=115200。這樣在虛擬機(jī)中選擇調(diào)式模式并等待WinDbg連接，就可以順利實(shí)現(xiàn)雙機(jī)調(diào)試。3.2.功能測(cè)試1.數(shù)據(jù)包過(guò)濾測(cè)試在表3-3列出了主要的測(cè)試數(shù)據(jù)，為了表述方便，表中采用了相應(yīng)的記號(hào)。除表中列出的字段外，一個(gè)完整的ARP幀中還包括一些其它字段，如幀類(lèi)型(0x0806)、硬件類(lèi)型(1)、協(xié)議地址類(lèi)型(0x0800)及長(zhǎng)度(4)等，這些字段的值在測(cè)試環(huán)境中為固定值，這里不進(jìn)行列舉。其中發(fā)送ARP請(qǐng)求時(shí)硬件地址長(zhǎng)度為0，這時(shí)的目的硬件地址也為全O，ARP應(yīng)答包中的硬件地址長(zhǎng)度為6。以下是測(cè)試中各個(gè)主機(jī)的參數(shù)和相應(yīng)的記號(hào):(1)宿主機(jī)PC1為攻擊發(fā)起者，IP1(58.206.176.213)，MAC1(00-03-OD-49-AS-53)；(2)虛擬機(jī)PC2為被攻擊對(duì)象，IP2(58.206.176.241)，MAC2(00-50-56-CO-00-01)；(3)網(wǎng)關(guān)計(jì)算機(jī)PC3，IP3(58.206.176.1)，MAC3(00-03-OF-OE-42-32)；(4)廣播地址表示為MAC4(FF-FF-FF-FF-FF-FF)；(5)一個(gè)不存在的MAC地址表示為MACS(00-11-22-33-44-53-66)。(6)需要查詢(xún)的MAC地址初始為全0，表示為00。在表3-3中列出的主要測(cè)試數(shù)據(jù)涵蓋了本文中發(fā)現(xiàn)的所有情況，PC1作為發(fā)送者，PC2作為接收者，進(jìn)行表中1-7的測(cè)試，PC1作為接收者，PC2作為發(fā)送者進(jìn)行表中8-12的測(cè)試。測(cè)試中的ARP包發(fā)送通過(guò)saiffer軟件進(jìn)行，本文采用的是SnifferProtable4.70.530版。表3-3主要測(cè)試數(shù)據(jù)2.數(shù)據(jù)過(guò)濾情況在虛擬機(jī)安裝過(guò)濾驅(qū)動(dòng)程序和用戶(hù)程序，啟動(dòng)用戶(hù)程序以后，進(jìn)行測(cè)試。利用sniffer分別發(fā)送測(cè)試數(shù)據(jù)包，可以看到，所有假冒數(shù)據(jù)都被成功過(guò)濾，PC2的ARP緩存也沒(méi)有發(fā)生變化。用戶(hù)程序運(yùn)行結(jié)果見(jiàn)圖3-4。圖3-4用戶(hù)程序運(yùn)行圖3.3測(cè)試報(bào)告和總結(jié)在測(cè)試中，從WinDbg可以跟蹤驅(qū)動(dòng)程序的運(yùn)行、觀察驅(qū)動(dòng)程序所有操作的調(diào)試信息，通過(guò)這些調(diào)試信息可以看到，除了測(cè)試時(shí)通過(guò)sniffer發(fā)送的偽造包外，網(wǎng)絡(luò)上還有一些其它的ARP包(包括部分主機(jī)發(fā)送的針對(duì)其它主機(jī)的請(qǐng)求包和部分的偽造包)，所有偽造包和本機(jī)非目的ARP數(shù)據(jù)包都被過(guò)濾，因此，用戶(hù)程序提取的數(shù)據(jù)顯得比較雜亂(本機(jī)非目的主機(jī)占了很大部分)。在整個(gè)測(cè)試過(guò)程中，正常數(shù)據(jù)包可以順利通過(guò)，偽造包被成功過(guò)濾，網(wǎng)絡(luò)通信不受過(guò)濾驅(qū)動(dòng)程序的影響。在用戶(hù)程序的顯示界面中，可以看到過(guò)濾驅(qū)動(dòng)程序成功實(shí)現(xiàn)了ARP欺騙包的攔截過(guò)濾，被攻擊計(jì)算機(jī)的ARP高速緩存沒(méi)有發(fā)生改變，計(jì)算機(jī)的網(wǎng)絡(luò)性能也沒(méi)有發(fā)生明顯的變化?？偟膩?lái)說(shuō)，過(guò)濾驅(qū)動(dòng)程序順利實(shí)現(xiàn)了ARP數(shù)據(jù)包的過(guò)濾，保護(hù)了主機(jī)中ARP高速緩存的安全，從而有效保護(hù)了主機(jī)不受ARP病毒的侵犯，保護(hù)了主機(jī)網(wǎng)絡(luò)的安全和暢通。因此，本文對(duì)ARP的研究達(dá)到了預(yù)期的目的，研究結(jié)論正確無(wú)誤，可以作為針對(duì)ARP安全防范的依據(jù)。四.總結(jié)和展望隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)安全問(wèn)題層出不窮，對(duì)于安全問(wèn)題的防范有很多的做法，但從問(wèn)題的根本出發(fā)來(lái)解決效果會(huì)更好。目前，對(duì)ARP欺騙的研究很多，關(guān)于ARP欺騙的防護(hù)軟件也很多，但它們主要是基于對(duì)ARP高速緩存的保護(hù)，這些軟件通常工作