论文部分内容阅读
今年在网络安全领域中，ARP应该是出现频率最高的名词之一了，各种ARP病毒、ARP木马、ARP网络管理工具层出不穷。无论是校园局域网还是单位内部网都深受其害，但ARP到底是什么呢?
ARP协议
在局域网中，虽然我们习惯用IP地址来标识计算机，但在网络数据传输过程中，真正起到地址作用的是“MAC地址”。MAC(Media Access Control)地址又称物理地址，它通常由网卡生产厂家烧入网卡的EPROM(一种闪存芯片)，一般情况下它是全球唯一的。
一个主机要和另一个主机直接通信，必须知道目标主机的MAC地址。ARP协议“Address Resolution Protocol(地址解析协议)”的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，我们可以通过在DOS命令提示符下，输入：arp-a来获得本机的ARP缓存表。
如果在ARP缓存表中没有找到相对应的IP地址，主机就会在网络上发送一个广播，目标IP的主机接收到这个帧时，会向主机做出相应的回应。这样，主机就知道了目标主机的MAC地址，就可以向目标主机发送信息了。
ARP攻击原理
ARP攻击的最主要手段就是用伪造源MAC地址发送ARP响应包，对ARP高速缓存机制的攻击。攻击者持续不断地发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。
当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3(C的IP地址)，MAC地址是DD-DD-DD-DD-DD-DD(C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了)。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存(A可不知道被伪造了)。当攻击源大量向局域网中发送虚假的ARP信息后，就会造成局域网中的机器ARP缓存的崩溃。以笔者所在的网络为例，通过抓包工具捕获数据包的结果来看，可以明显看到一个ARP攻击者的攻击情况。
ARP攻击的目的和现象
当局域网内某台主机运行ARP的欺骗木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网，现在则转由通过病毒主机上网。
这样做的目的有很多，比如用户已经登录了网游服务器，病毒主机就会经常伪造断线的假像，那么用户就得重新登录网游服务器，病毒主机就可以趁机盗号。所以当你遇到下面几个情况的时候，一定要注意可能是你的网络中出现了ARP木马。
1)上网速度突然变得异常的缓慢
2)经常断线。
3)访问所有的网站，杀毒软件都会弹出窗口说页面有病毒。
当怀疑局域网中存在ARP攻击时，可以打开DOS命令提示符，输入“arp-d”，清空ARP列表。如果能够恢复网络访问，则基本可以确定局域网中存在ARP攻击，或者有电脑染上了ARP病毒。接下来可以反复查看ARP列表，也就是反复使用“arp-a”命令(其间不要进行网络通信)，如果发现除了网关以外的某个IP会自动出现在列表中，而这个IP又没有和本机进行实质的数据通信，则基本可以确定攻击源，接下来需要断开该计算机的网络连接并彻底杀毒。
应对ARP欺骗攻击
面对凶猛的ARP攻击，以上提到的方法只能应急，该如何进行全面防范呢?利用Anti ARP Sniff，可以保护你的网卡和网关的通讯不被第三方监听，让ARP攻击对你的爱机无技可施。Anti ARP Sniff可以100％防御所有利用ARP技术的恶意程序，发现异常并自动重写ARP数据，它还具备追踪ARP攻击者的功能，能够追踪对方的IP地址，这样我们就能找出ARP攻击的“始作俑者”。
在Anti ARP Sniff主窗口的“网关地址”栏中输入网关地址，点击“获取MAC”按钮，获得网关的MAC地址，之后点击“自动保护”按钮，即可开启ARP攻击保护功能，当局域网中有人试图对本机进行攻击时，Anti ARP Sniff~口可出现ARP欺骗提示信息，在“欺骗数据详细记录”列表中显示ARP欺骗攻击事件信息。从中选中合适的ARP攻击事件，点击“追捕攻击者”按钮。即可得到攻击者的IP和MAC地址信息了，据此可以轻松找出局域网中的“破坏分子”。对于饱受ARP攻击之苦的用户，Anti ARP Sniff能让你轻松摆脱烦恼。
通过参数设置，可以提高ARP防火墙的安全性能。点“工具”菜单下的“配置”，可以把“主动防御”设置为“始终防御”，“防御选项”的“ARP防御”可以设置为“安全模式”，这样安全性就会更高。
ARP协议
在局域网中，虽然我们习惯用IP地址来标识计算机，但在网络数据传输过程中，真正起到地址作用的是“MAC地址”。MAC(Media Access Control)地址又称物理地址，它通常由网卡生产厂家烧入网卡的EPROM(一种闪存芯片)，一般情况下它是全球唯一的。
一个主机要和另一个主机直接通信，必须知道目标主机的MAC地址。ARP协议“Address Resolution Protocol(地址解析协议)”的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，我们可以通过在DOS命令提示符下，输入：arp-a来获得本机的ARP缓存表。
如果在ARP缓存表中没有找到相对应的IP地址，主机就会在网络上发送一个广播，目标IP的主机接收到这个帧时，会向主机做出相应的回应。这样，主机就知道了目标主机的MAC地址，就可以向目标主机发送信息了。
ARP攻击原理
ARP攻击的最主要手段就是用伪造源MAC地址发送ARP响应包，对ARP高速缓存机制的攻击。攻击者持续不断地发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。
当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3(C的IP地址)，MAC地址是DD-DD-DD-DD-DD-DD(C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了)。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存(A可不知道被伪造了)。当攻击源大量向局域网中发送虚假的ARP信息后，就会造成局域网中的机器ARP缓存的崩溃。以笔者所在的网络为例，通过抓包工具捕获数据包的结果来看，可以明显看到一个ARP攻击者的攻击情况。
ARP攻击的目的和现象
当局域网内某台主机运行ARP的欺骗木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网，现在则转由通过病毒主机上网。
这样做的目的有很多，比如用户已经登录了网游服务器，病毒主机就会经常伪造断线的假像，那么用户就得重新登录网游服务器，病毒主机就可以趁机盗号。所以当你遇到下面几个情况的时候，一定要注意可能是你的网络中出现了ARP木马。
1)上网速度突然变得异常的缓慢
2)经常断线。
3)访问所有的网站，杀毒软件都会弹出窗口说页面有病毒。
当怀疑局域网中存在ARP攻击时，可以打开DOS命令提示符，输入“arp-d”，清空ARP列表。如果能够恢复网络访问，则基本可以确定局域网中存在ARP攻击，或者有电脑染上了ARP病毒。接下来可以反复查看ARP列表，也就是反复使用“arp-a”命令(其间不要进行网络通信)，如果发现除了网关以外的某个IP会自动出现在列表中，而这个IP又没有和本机进行实质的数据通信，则基本可以确定攻击源，接下来需要断开该计算机的网络连接并彻底杀毒。
应对ARP欺骗攻击
面对凶猛的ARP攻击，以上提到的方法只能应急，该如何进行全面防范呢?利用Anti ARP Sniff，可以保护你的网卡和网关的通讯不被第三方监听，让ARP攻击对你的爱机无技可施。Anti ARP Sniff可以100％防御所有利用ARP技术的恶意程序，发现异常并自动重写ARP数据，它还具备追踪ARP攻击者的功能，能够追踪对方的IP地址，这样我们就能找出ARP攻击的“始作俑者”。
在Anti ARP Sniff主窗口的“网关地址”栏中输入网关地址，点击“获取MAC”按钮，获得网关的MAC地址，之后点击“自动保护”按钮，即可开启ARP攻击保护功能，当局域网中有人试图对本机进行攻击时，Anti ARP Sniff~口可出现ARP欺骗提示信息，在“欺骗数据详细记录”列表中显示ARP欺骗攻击事件信息。从中选中合适的ARP攻击事件，点击“追捕攻击者”按钮。即可得到攻击者的IP和MAC地址信息了，据此可以轻松找出局域网中的“破坏分子”。对于饱受ARP攻击之苦的用户，Anti ARP Sniff能让你轻松摆脱烦恼。
通过参数设置，可以提高ARP防火墙的安全性能。点“工具”菜单下的“配置”，可以把“主动防御”设置为“始终防御”，“防御选项”的“ARP防御”可以设置为“安全模式”，这样安全性就会更高。