ARP协议的攻击及防范措施的分析

！　！　＝！　实　验　室　科　学　第１３卷第１期２０１０年２月　ＣＮｌ２一ｌ３５２／Ｎ　ＬＡＢＯＲＡＴＯＲＹ　ＳＣＩＥＮＣＥ　Ｖ０ｌ｜ｌ３　Ｎｏ．１　Ｆｅｂ．２０１０　ＡＲＰ协议的攻击及防范措施的分析　田宝勇　（辽宁大学计算中心，辽宁沈阳１１００３６）　摘要：该文介绍了ＡＲＰ协议漏洞原理和机制，通过在实际网络管理中的工作经验并结合网络实际情况，提　出了ＡＲＰ攻击的解决方案及防范措施。　‘　关键词：ＡＲＰ协议；ＡＲＰ欺骗；网络管理　中图分类号：ＴＰ３０９．５　文献标识码：Ａ　ｄｏｉ：ｌ０．３９６９／ｊ．ｉｓｓｎ．１６７２—４３０５．２０１０．０１．０４１　Ｔｈｅ　ａｔｔａｃｋ　ｏｆ　ＡＲＰ　ｐｒｏｔｏｃｏｌ　ａｎｄ　ｔｈｅ　ａｎａｌｙｓｉｓ　ｏｆ　ｇｕａｒｄ　ｍｅａｓｕｒｅ　ｏｆ　ＡＲＰ　ａｔｔａｃｋ．　ＴＩＡＮ　Ｂａｏ——ｙｏｎｇ　（Ｃｏｍｐｕｔｅｒ　Ｃｅｎｔｅｒ，Ｌｉａｏｎｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｓｈｅｎｙａｎｇ　１　１００３６，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｔｈｅ　ｐａｐｅｒ　ｈａｓ　ｉｎｔｒｏｄｕｃｅｄ　ｔｈｅ　ｐｒｉｎｃｉｐｌｅ　ａｎｄ　ｔｈｅ　ｍｅｃｈａｎｉｓｍ　ｏｆ　ｔｈｅ　ｂｕｇ　ｏｆ　ＡＲＰ　ｐｒｏｔｏｃｏ１．　Ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｗｏｒｋ　ｅｘｐｅｒｉｅｎｃｅ　ｏｆ　ｎｅｔｗｏｒｋ　ｍａｎａｇｅｍｅｎｔ　ａｎｄ　ｔｈｅ　ｐｒａｃｔｉｃａｌ　ｓｉｔｕａｔｉｏｎ　ｏｆ　ｎｅｔｗｏｒｋ，ｓｏｌｕｔｉｏｎｓ　ａｎｄ　ｇｕａｒｄ　ｍｅａｓｕｒｅｓ　ｏｆ　ＡＲＰ　ａｔｔａｃｋ　ａｒｅ　ｐｒｏｐｏｓｅｄ．　Ｋｅｙ　ｗｏｒｄｓ：ＡＲＰ　ｐｒｏｔｏｃｏｌ；ＡＲＰ　ｄｅｃｅｉｔ；ｎｅｔｗｏｒｋ　ｍａｎａｇｅｍｅｎｔ　最近以来，ＡＲＰ病毒在学校校园网内屡有发　于将网络中的ＩＰ地址解析为ＭＡＣ地址，以保证通　生，严重影响了校园网络的正常运行，带来了网络大　信的顺利进行。　面积瘫痪的严重后果。通过设备检查和网络监控，　在排除硬件和操作系统的故障外，发现都是由于　２　ＡＲＰ协议工作原理　ＡＲＰ欺骗攻击造成的…。发作时其症状表现为计　在每台安装有ＴＣＰ／ＩＰ协议的电脑里都有一个　算机网络连接正常，却无法打开网页；或由于ＡＲＰ　ＡＲＰ缓存表　，表里的ＩＰ地址与ＭＡＣ地址是一一　欺骗的木马程序（病毒）发作时发出大量的数据包，　对应的，而主机的ＩＰ地址到ＭＡＣ地址的映射却总　导致用户上网不稳定，网络时断时续，上网速度缓　是存在于ＡＲＰ缓存表中。我们以主机Ａ（２２２．２６．　慢，极大地影响了学生们的正常使用。　２２．３）向主机Ｂ（２２２．２６．２２．４）发送数据为例。当发　送数据时，主机Ａ会在自己的ＡＲＰ表中寻找目标　ｌ　ＡＲＰ协议　ＩＰ地址。如果有，也就找到了目标ＭＡＣ地址，直接　ＡＲＰ是地址解析协议的英文缩写（Ａｄｄｒｅｓｓ　Ｒｅｓ—　把目标ＭＡＣ地址写入帧里面发送就可以了；如果在　ｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏ１），它是一个链路层协议，工作在ＯＳＩ　ＡＲＰ缓存表中没找到相应的ＩＰ地址，主机Ａ就会　模型的第二层，在本层和硬件接口问进行联系，同时　在网络上发送一个广播，目标ＭＡＣ地址是“ＦＦ．ＦＦ．　为网络层提供服务。由于二层的以太网交换设备并　ＦＦ．ＦＦ．ＦＦ．ＦＦ”，这表示向同一网段内的所有主机发　不能识别３２位的ＩＰ地址，它们是以４８位以太网地　出这样的询问：“２２２．２６．２２．３的ＭＡＣ地址是什　址（即ＭＡＣ地址）传输以太网数据包的，因此ＩＰ地　么？”网络上其它主机并不响应ＡＲＰ询问，只有主机　址与ＭＡＣ地址之间就必须存在一种对应关系，而　Ｂ接收到这个帧时，才向主机Ａ做出这样的回应：　ＡＲＰ协议就是用来确定这种对应关系的协议。也　“２２２．２６．２２．４的ＭＡＣ地址是ｂｂ—ｂｂ—ｂｂ—ｂｂ—ｂｂ—　就是说，在以太网中，一台主机要和另一台主机进行　ｂｂ”。这样，主机Ａ就知道了主机Ｂ的ＭＡＣ地址，　直接通信，必须要知道目标主机的ＭＡＣ地址。但这　它就可以向主机Ｂ发送信息了。同时它还更新了　个目标主机的ＭＡＣ地址我们如何获得的呢？它就　自己的ＡＲＰ缓存表，下次再向主机Ｂ发送信息时，　是通过地址解析协议（ＡＲＰ）获得的。ＡＲＰ协议用　直接从ＡＲＰ缓存表里查找就可以了。　ｌｌ４　３　ＡＲＰ欺骗　袁　室　５防范措施　（１）给电脑系统经常更新杀毒软件、安装更新　我们知道ＡＲＰ主要用途是将局域网中的ＩＰ地　址转换为ＭＡＣ地址，ＡＲＰ对局域网安全有重要的　最新的补丁程序。（２）不要打开陌生的文件和可疑　文件：如ＱＱ短信等。（３）建立ＭＡＣ数据库和ＭＡＣ　—意义，ＡＲＰ病毒通过伪造ＩＰ地址和ＭＡＣ地址实现。　ＡＲＰ欺骗能够在网络中产生大量ＡＲＰ通信量使网　络阻塞，从而进行ＡＲＰ重新定局和嗅探攻击使局域　ＩＰ静态对应表：建立ＭＡＣ数据库，把局域网内所　有网卡的ＭＡＣ地址都记录下来，确保用户身份的真　网ＰＣ机ＡＲＰ表现混乱　。　ＡＲＰ欺骗种类一般有两个方面：　（１）伪造网关：让被它欺骗的主机向假网关发　数据，造成无法通过正常的途径上网，与其它主机显　示可以正常连接，但是网络就是不通畅　。（２）截　获网关数据：它告诉路由器一系列错误的内网ＭＡＣ　地址，并按照一定的频率不断进行，使真实的地址信　息无法通过更新保存在路由器中，结果路由器的所　有数据只能发送给错误的ＭＡＣ地址，造成正常主机　无法收到信息　。　４　ＡＲＰ的检测方法　（１）检查网内感染“ＡＲＰ欺骗”木马染毒的计算　机在“开始”一“程序”一“附件”菜单下调出“命令提　示符”。输入并执行以下命令：ｉｐｃｏｎｆｉｇ，记录网关ＩＰ　地址，即“Ｄｅｆａｕｌｔ　Ｇａｔｅｗａｙ”对应的值，例如“２２２．２６．　２２．１”。再输入并执行以下命令：ａｒｐ—ａ在“Ｉｎｔｅｒｎｅｔ　Ａｄｄｒｅｓｓ”下找到上步记录的网关ＩＰ地址，记录其对　应的物理地址，即“Ｐｈｙｓｉｃａｌ　Ａｄｄｒｅｓｓ”值，例如“ｏＯ—　Ｅ０…４Ｃ　９１　Ｄ５一Ｄ６”。在网络正常运转时这就是网　关的正确物理地址，在网络受“ＡＲＰ欺骗”木马影响　而不正常运转时，它就是木马所在计算机的网卡物　理地址。也可以扫描本子网内的全部ＩＰ地址。然　后再查ＡＲＰ表。如果有一个ＩＰ对应的物理地址与　网关的相同，那么这个ＩＰ地址和物理地址就是中毒　计算机的ＩＰ地址和网卡物理地址　。　（２）用软件抓包如（ｗｉｎｄｕｍｐ、ｓｎｉｆｆｅｒｐｒｏ等）在　局域网内抓ＡＲＰ的ｒｅｐｌｙ包使用ｗｉｎｄｕｍｐ—ｉ　２－ｎ　ａｒｐ　ａｎｄ　ｈｏｓｔ　２２２．２６．２２．１抓下来的包只分析包中有ｒｅ．　ｐｌｙ字符的，１８：２５：１５．７０６３３５　ＡＲＰ　ｒｅｐｌｙ　２２２．２６．２２．　１　ｉｓ　ａｔ　００：０７：ｅｃ：ｅｌ：ｃ８：ｃ３。如果ＭＡＣ不是真实网　关这个ＭＡＣ地址就是那台进行ＡＲＰ欺骗主的　ＭＡＣ地址　。　（３）分析网关ＡＲＰ表。ＡＲＰ攻击主要是“网关　攻击”它会使网关ＡＲＰ表保留错误ＭＡＣ记录，因　而，检查ＡＲＰ网关，如果很多ＩＰ指向同一个ＭＡＣ　地址，那么ＭＡＣ地址对应主机就是ＡＲＰ源头，如果　网关ＡＲＰ正确。但是存在多主机同端口在接网关　现象可查出ＡＲＰ源头　。　实性与合法性，同时建立ＭＡＣ—ＩＰ静态对应表，把每　个ＭＡＣ地址和ＩＰ地址对都记录下来，以便及时查　询，防火墙可以很轻松地实现这一功能。（４）开启　ＡＲＰ监控：可以借助ＡＲＰ防火墙软件，局域网内的　每台机器都应安装ＡＲＰ防火墙软件，每个网段也应　安装ＡＲＰ防火墙软件，当有一个网段的机器发送　ＡＲＰ攻击，管理员马上就能发现，并通过对照ＭＡＣ　数据库及时找到攻击机器，尽快处理。（５）采用能　够大量绑定ＡＲＰ和进行ＡＲＰ攻击防御的交换机一　Ｎｅｔｃｏｒｅ　７３２４ＮＳＷ，这款交换机能够做到ＡＲＰ绑定　条目可以达到１０００条。因此基本上可以对整网的　ＡＲＰ进行绑定，同时能杜绝任何非法ＡＲＰ包在主交　换机进行传播　。　６结束语　ＡＲＰ协议的缺陷正在被不断地利用，其危险性　也正日益增大。除了做好防范以外，经常查看当前的　网络状态，对网络活动进行分析、监控，采取积极、主　动的防御措施是保证网络安全和畅通的重要方法。　参考文献（Ｒｅｆｅｒｅｎｃｅｓ）：　［１］辛志东．局域网中的ＡＲＰ重定向攻击及防御措施［Ｊ］．微计算　机信息，２００５，２１：１０—１２．　［２］ＬａｕｒａＡ．Ｃｈａｐｐｅｌｌ，ＥｄＴｉｔｔｅｌ著．马海军，等译．ＴＣＰ／ＩＰ协议原理　与应用［Ｍ］．北京：清华大学出版社，２００５．　［３］党光．浅析校园网中ＡＲＰ病毒防范措施［Ｊ］．实验室科学，　２００８（４）：１５１—１５３．　［４］　贺龙涛，万滨兴，云晓春．利用ＡＲＰ伪装在交换以太网捕包　［Ｊ］．网络安全技术与应用，２００４（１）：３８—４０．　［５］　李海鹰，程灏，吕志强．针对ＡＲＰ攻击的网络防御模式设计与　实现［Ｊ］．计算机工程，２００５，３１（５）：１７０—１７１．　［６］　张道军，吴银芳，袁海峰．校园网络中ＡＲＰ病毒的综合治理　［Ｊ］．网络安全技术与应用，２００７，９：６２—６３．　［７］　金涛．公众网络环境中的ＡＲＰ欺骗攻击与防范方法［Ｄ］．上　海：上海交通大学，２００７．　［８］李浩．ＡＲＰ病毒攻击分析及其防范措施［Ｊ］．宁波广播电视大　学学报，２００７，５（２）：１２３—１２５．　［９］孟晓明．基于ＡＲＰ的网络欺骗的检测与防范［Ｊ］．信息技术，　２００５．５：４１—４４、７５．　收稿日期：２００９—０８—１３　作者简介：田宝勇（１９７３一），男，辽宁新民人，实验师，从事　计算机基础研究与管理。