ARP攻击及防御策略

本栏目责任编辑：冯蕾　・　・・・・网络通讯与安全・　ＡＲＰ攻击及防御策略　仇多利　（安徽淮北煤炭师范学院计算机科学与技术系，安徽淮北２３５０００）　摘要：ＡＲＰ协议主要实现了网络层地址到数据链路层地址的动态映射，并且ＡＲＰ协议具有无序性、无确认性、动态性、无安全机制　等特性　利用这些特性．攻击者可以较容易的实现在局域网内的ＡＲＰ欺骗攻击，本文详细描述了利用ＡＲＰ协议的特性进行欺骗攻击的　原理和过程．包括主动攻击和被动攻击，表现形式有伪造ＡＲＰ应答包和克隆主机。最后，提出了针对攻击可以采取的一些策略。　关键词：ＡＲＰ；网络攻击；网络防御　中图分类号：ＴＰ３９３　文献标识码：Ａ　文章编号：１００９—３０４４（２００７）１７—３１２６１—０１　ＡＲＰ　Ａ￣ａｃｋ　ａｎｄ　Ｄｅｆｅｎｓｅ　Ｓｔｒａｔｅｇｉｅｓ　ＱＩＵ　Ｄｕｏ—ｈ　（Ｄｅｐａ￣ｍｅｎｔ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ＆Ｔｅｃｈｎｏｌｏｇｙ　ｏｆ　ＨｕａｉＢｅｉ　Ｃｏａｌ　Ｉｎｄｕｓｔｒｙ　Ｔｅａｃｈｅｒｓ　Ｃｏｎｅｇｅ，Ｈｕａｉｂｅｉ　２３５０００，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：ＡＲＰ　ｐｒｏｔｏｃｏｌ　ｍａｉｎｌｙ　ｉｍｐｌｅｍｅｎｔｓ　ｄｙｎａｍｉｃ　ｍａｐｐｉｎｇ　ｆｒｏｍ　ｎｅｔｗｏｒｋ—ｌａｙｅｒ　Ｓ　ａｄｄｒｅｓｓ　ｔＯ　ｄａｔａｌｉｎｋ—ｌａｙｅｒ　Ｓ　ａｄｄｒｅｓｓ，ｈｏｗｅｖｅｒ　ｉｔ　ｈａｓ　ｍａｎｙ　ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ　ｌｉｋｅ　ｎｏ　ｓｅｑｕｅｎｃｅ，ｎｏ　ｃｏｎｆｉｒｍａｔｉｏｎ，ｄｙｎａｍｉｓｍ，ｎｏ　ｓａｆｅ　ｍｅｃｈａｎｉｓｍ．Ｔｈｅｒｅｆｏｒｅ，ａｔｔａｃｋｅｒｓ　ｃａｎ　ｅａｓｉｌｙ　ｃｈｅａｔ　ａｎｄ　ａｔｔａｃｋ　ｉｎ　ＬＡＮ　ｂｙ　ｕｓｉｎｇ　ＡＲＰ　ｐｒｏｔｏｃｏ１．Ｔｈｉｓ　ｔｅｘｔ　ｉｎ　ｄｅｔａｉｌ　ｄｅｓｃｒｉｂｅｓ　ｔｈｅ　ｐｒｉｎｃｉｐｌｅ　ａｎｄ　ｔｈｅ　ｐｒｏｃｅｓｓ　ｏｆ　ｃｈｅａｔｉｎｇ　ａｎｄ　ａｔｔａｃｋｉｎｇ　ｂｙ　ｕｓｉｎｇ　ＡＲＰ　ｐｒｏｔｏｃｏｌ，ｉｎｃｌｕｄｉｎｇ　ａｃ—　ｉｆｖｅ　ａｔｔａｃｋ　ａｎｄ　ｐａｓｓｉｖｅ　ａｔｔａｃｋ．Ｆｉｎａｌｌｙ，ｔｈｉｓ　ｔｅｘｔ　ｐｕｔｓ　ｆｏｒｗａｒｄ　ｓｏｍｅ　ｍｅａｓｕｒｅｓ　ｔＯ　ｐｒｅｖｅｎｔ　ｔｈｅ　ａｂｏｖｅ　ｃｈｅａｔ　ａｎｄ　ａｔｔａｃｋ．　Ｋｅｙ　ｗｏｒｄＳ＇ＡＲＰ；Ｎｅｔｗｏｒｋ　ａｔｔａｃｋ；Ｎｅｔｗｏｒｋ　ｄｅｆｅｎｓｅ　１引言　源ＭＡＣ地址：发送端ＭＡＣ地址。　随着计算机网络的发展．网络安全问题显得越来越重要．各　源ＩＰ地址：发送端协议地址，如果在协议类型中设定为　种网络安全问题也层出不穷　现在人们普通采用防火墙和将业务　０８００，即为ＩＰ地址。　网与互联网隔离的方法来保证局域网的安全．但是对于来自内网　目的ＭＡＣ地址：目的端ＭＡＣ地址，在请求报文中，全为Ｏ。　的攻击和欺骗以及利用一些局域网协议的漏洞进行的攻击和欺　目的ＩＰ地址：接收端协议地址．ＩＰ地址。　。　骗则没有很好的对策．也容易被网络管理者忽视　本文针对目前　ＡＲＰ应答协议报文和ＡＲＰ请求协议报文基本相同．把请求　比较常见的ＡＲＰ欺骗进行了较深入的分析并提出了解决对策　报文的源ＩＰ和源ＭＡＣ地址分别填人目的ＩＰ和目的ＭＡＣ．将自　２　ＡＲＰ原理　己的ＩＰ和ＭＡＣ地址填人源ＩＰ和源ＭＡＣ。同时．置操作类型１．并　ＡＲＰ：Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ。全称是地址解析协议。在　由Ｅｔｈｅｒｎｅｔ帧发送。　ＴＣＰ／ＩＰ协议簇中．运行于网络层．封装在数据链路层协议帧中进　当在局域网中一台主机希望与另一台主机（可以是本局域　行传输．功能是动态地提供ＩＰ地址与ＭＡＣ地址的映射关系．动　网．也可以是外网中的某一台．这时候就需要填入网关的ＭＡＣ地　态是指这种映射关系在主机中有一个存在时间．如果在一段时间　址．由网关再进行路由解析发送。当使用网关互联网络的时候，主　内某一条目没有被使用或者更新．则删除此映射．需要在一次访　机中存储的并不是目的ＩＰ和ＭＡＣ的映射条目．而是网关的ＩＰ和　问时重新建立　ＷｉｎｄＯＷｓ操作系统的主机上．可以在命令提示符下　ＭＡＣ映射条目　例当访问新浪网的时候．在主机中只会存储网关　使用ａｒｌａ—ａ来查看本机的ＩＰ地址和ＭＡＣ地址映射表．如图１。　的ＩＰ和ＭＡＣ映射．而不会存储新浪的ＩＰ和ＭＡＣ映射）进行通　信．它首先查找自己的ＩＰｆＭＡＣ地址映射表．如果表中存在对应地　址，则直接填人Ｅｔｈｅｍｅｔ帧目的ＭＡＣ字段，如果没有，则发送　ＡＲＰ请求．并置Ｅｔｈｅｍｅｔ帧的目的ＭＡＣ地址为广播地址．置ＡＲＰ　请求报文的目的ＭＡＣ地址为全Ｏ．这时．本网络中的所有主机都　会接收到这一请求．上交至网络层．只有网络层为请求报文中目　图１　的ＩＰ地址的主机才对此进行响应．发送一个应答报文　源主机接　ＡＲＰ协议报文分为两种：请求报文和应答报文．请求报文用　收应答报文之后．将对应的目的ＩＰ地址和ＭＡＣ地址作为一个新　于向网络中发送广播请求以得到发送者目前的ＩＰ和ＭＡＣ地址　的条目加入到本主机的ＡＲＰ高速缓存表中　最后将目的ＭＡＣ填　映射表中没有的目的主机的ＭＡＣ地址　应答报文即工作站收到　人Ｅｔｈｅｒｎｅｔ帧目的ＭＡＣ中进行发送　目的ＩＰ地址为自己的请求ＡＲＰ报文后向请求者回送自己的　通过以上分析的可知．ＡＲＰ工作的原理不需要通过双方的验　ＭＡＣ地址以完成解析过程　ＡＲＰ协议包封装在Ｅｔｈｅｍｅｔ　Ｖ２．０中　证．也即是建立在双方互相信任的基础上．另外映射关系不是持　的简要报文格式如图２　久的．是有存在时间的．而且不去记忆是否有发送过请求报文。因　目的Ｍ＾ｃ　Ｉ　ｉ囔Ｍ＾ｃ　ｌ协议粪Ｉ摄作类ｌ撅ＭＡＣ地址ｌ　ｉ囔ＩＰ地址Ｉ目的ＭＡＣ地址ｌ目的ＩＰ地址　此ＡＲＰ协议具有动态性，无序性、无记忆性、无安全管理等特性，　【６Ｂ）ｆ（６Ｂ）ｆ型（船）ｆ型（２Ｂ｛ｆ　（６Ｂ）　ｆ（４Ｂ）ｉ　（６Ｂ）　｝　（４Ｂ）　这也是ＡＲＰ攻击的基础　Ｅｔｈ￣ｍｅｔ帧头部　ＡＲＰ数据包　３　ＡＲＰ攻击　图２　ＡＲＰ协议本身的缺陷导致了ＡＲＰ攻击的可能　在所有的　Ｅｔｈｅｍｅｔ帧头部中的目的ＭＡＣ地址在帧中承载的是ＡＲＰ请　ＡＲＰ攻击中．主要分为两类：一类是局域网内过行攻击．另外一类　求报文时，为广播地址，全为１，协议类型指明上层是ＡＲＰ协议。　是经过有路由的网络进行攻击　其中又以局域网内的攻击为主。　ＡＲＰ数据包各字段的含义如下：　当在局域网内时．可以有主动攻击和被动攻击．攻击的形式　操作类型：代表ＡＲＰ数据包类型。Ｏ表示ＡＲＰ请求报文，１表　为伪造ＡＲＰ应答和克隆主机攻击．以下图为例：　示ＡＲＰ应答报文。　ｆ下转第１２７３页１　维普资讯 http://www.cqvip.com 本栏目责任编辑：冯蕾　用对Ｅｌ令进行加密．通过使用公共密钥和对称性加密提供非公开　通信、身份验证等　这样来保护通信的安全性．避免客户和Ｗｅｂ　服务器进行通信时被窃听等　例如在一个考勤系统中如果有用户　想要查询出勤情况数据．那么他必须拥有数据库中的用户表中的　一网络通讯与安全．　易行。　ｆ２１应用程序操作员的授权：在应用程序设计时．根据需求分　析和概要设计．可以将整个软件划分为许多功能模块．并对其进　行编号及功能描述。同时，根据需要．在数据库中建立若干角色　组．并为每个角色组指定可以操作的功能模块及操作这些模块所　个用户名和该用户名的密码才能进人该系统的网页．同样对于　用户表中的密码采用ＭＤ５进行密码的加密处理　这样即保证了　用户密码在传送过程中的安全．又保证了用户表中的密码的安　全。　４．２预防ＩＰ欺骗　需的数据库访问许可。根据业务部门的需要．使每个操作员属于　相应的角色组。总之，只要调整好这些程序功能模块、角色组、操　作员三者之间的关系．就可以完成对操作员的授权管理　５结论　Ｉｎｔｅｍｅｔ的飞速发展．使得网络不再是单纯的信使．而是一个　交互的平台．使得很多像电子商务等的功能越来越频繁．因此网　络数据库的安全越来越重要。多用户、高可靠性、频繁的更新和大　ＩＰ欺骗就是黑客盗用或伪造网上其他主机的ＩＰ地址．通过　ＩＰ地址的伪装使得某台主机能够装扮成另外的一台主机．而这台　主机往往具有某种特权或被另外的主机所信任．如果盗用的是另　一个网段的一台主机ＩＰ地址．一般是不行的．因为在正常通信　时．将收不到从对方返回的ＩＰ包．因此．盗用ＩＰ地址应该只能盗　用本网段的ＩＰ地址　防止本网段内的ＩＰ地址被盗用可采用绑定　ＩＰ地址和ＭＡＣ地址的方法　『４］例如在一个考勤系统中，通过应用　文件是数据库的特性．这必然使得数据库的建设和维护显得非常　困难和繁琐．同时这也使攻击者有机可乘．利用数据库的一些不　易觉察的漏洞．进行非法操作。本文通过总结网络数据库总体安　全策略．通过简单例子得出Ｂ／Ｗ／Ｄ三层结构的网络数据库的安全　措施。　专门的设备和技术．将访问系统的特定主机的ＩＰ地址和ＭＡＣ地　址绑定到一起．这是对ＩＰ欺骗非常有效的方法　参考文献：　ｆ１１陈黎．我国网络数据库发展现状『Ｊ］．中国信息导报，２００４．　４－３操作员授权管理　对操作员访问数据库的授权可以通过两种途径了完成：一是　直接对操作员授权．一种是通过操作员所属角色进行授权　ｆ１１操作员角色的基本概念：角色是数据库访问许可的管理单　位．其成员继承角色所拥有的访问许可。例如在考勤系统中应用　的是ＳＱＬ　Ｓｅｎｒｅｒ数据库．如同许多应用软件中　被赋予相同权限　的操作员往往有一个以上，因此．大多数情况下．对操作员的授权　【２］姜启涛．网络数据库的安全及优化『Ｊ１．计算机与信息技术，　２００６，（１　０）：２０－２８．　ｆ３］王岩明，冼沛勇．建立数据安全系统－维护企业信息安全ｆＪ１．　计算机与网络．２００３（２４）：５１－５２．　ｆ４１李宇．网络数据库的安全性与构建『Ｊ］．周Ｅｌ师范学院学报．　２００５．２２（２）：７８—８６．　管理通过操作员所属角色进行授权要比直接对操作员授权简单　（上接第１２６１页）　自己的路由表，Ｃ就可以伪装成Ｂ进行通信　４防御策略　‘　ｆ１１使用静态缓存，在Ｗｉｎｄｏｗｓ操作系统中，设置ＡＲＰ静态映　Ｂ　ｌ９２　ｌ６８　ｌ　２　２２．２２．２２．２２．２２　射的命令是ａｒｐ—ｓ．可以在网络中的所有主机上编辑批处理命令　手动添加主机的静态缓存．设置静态ＡＲＰ缓存表只能防范ＡＲＰ　请求欺骗．无法防范ＡＲＰ应答欺骗。而且．缺点是当网络中的主　机数目较多时工作量大．而且当某一主机拥有的物理地址更换的　当Ｃ想获取Ａ和Ｂ的通信内容．Ｃ可以在接收到Ａ和Ｂ对　对方的ＡＲＰ请求的时候．延迟时间使用Ｓｎｉｆ或者其它软件分别　向Ａ和Ｂ发送一个伪造的ＡＲＰ应答包．或者可以主动的持续向　时候．需要全部重新定义静态缓存　ｆ２１交换机端Ｅｌ绑定，每个端Ｅｌ和一个固定的ＭＡＣ地址绑定，　优点基本同使用静态缓存．但是只是具有网管功能的交换机才可　以．工作量也较大　ｆ３）使用ＡＲＰ代理服务器，在服务器上配置所有ＭＡＣ地址和　Ａ和Ｂ发送伪造的ＡＲＰ应答包．在伪造的ＡＲＰ应答包中．分别将　自己的ＭＡＣ地址和Ａ以及Ｂ的对应条目添加到Ｂ和Ａ主机中．　同时打开Ｃ的ＩＰ包转发功能并持续向Ａ和Ｂ发送伪造的ＡＲＰ　应答包，这样通信模式就变成了Ａ　Ｃ　Ｂ，Ｃ可以完全截取Ａ和Ｂ　的通信数据　另外一种是克隆主机攻击　与伪造ＡＲＰ应答不同的是．当Ｃ　ＩＰ的映射表．同时将其它主机的ＡＲＰ响应设置为只响应来自　ＡＲＰ代理服务器的应答　ｆ４）可以使用ａｎｔｉ　ａｒｐ等防御ＡＲＰ攻击的软件．简单易用。　想截获Ａ和Ｂ通信的数据时．首先要使Ｂ无法与外界联系．这时　Ｃ即可冒充Ｂ与Ａ进行通信　使得Ｂ主机无法与外界通信．一是　可以使用洪水攻击．二是Ｃ可以持续的依次伪造局域网中每个主　机的ＡＲＰ应答包并且在包中应答的ＭＡＣ地址为不存在向Ｂ发　ｆ５）可以通过防火墙和修改系统的ＩＰ策略．拒收ＩＣＭＰ重定　向报文。　ｆ６）建立虚拟局域网。在交换机上设置虚拟局域网．在虚拟局　域网的端口上设置广播隔离来防止ＡＲＰ攻击　ｆ７１采用新的地址解析协议或者对原有的ＡＲＰ协议进行完　送。这样Ｂ与外界的通信就完全隔离．无法提供服务　此时Ｃ可以　修改自己的ＩＰ地址为Ｂ和ＩＰ并向Ａ发送一个ＡＲＰ应答．告诉Ａ　更新１９２．１６８．１．２对应的ＭＡＣ地址为３３—３３—３３—３３—３３—３３．Ｃ就　善．使之成为一种基于信任关系的地址解析协议　参考文献：　『１１吴功宜．计算机网络『Ｍ１．第２版．北京：清华大学出版社，２００７．　『２１刘远生．算机网络安全『Ｍ１．第１版．北京：清华大学出版社，　２ｏ０６．　伪装成了Ｂ　上面的论述是基于在一个局网内．如果是经过路由分段将无　法获得成功．因为即使使用洪水攻击或者伪造包使得Ｂ无法提供　服务．失去连接．局域网中的主机也只是在局域网中找Ｂ而根本　ｆ３１任侠，吕述望．ＡＲＰ协议欺骗原理分析与抵御方法ｌＪ１．计算　机工程，２００３．２９ｆ９１：１２７—１２８．　就不会与Ｃ通信．因为主机路由表到Ｂ的路由是直接交付而不是　经过网关交付．这时需要再伪造一个ＩＣＭＰ重定向报文广播包．告　诉Ｂ所在的局域网中的所有主机：到达Ｂ的最短路径不是直接交　付．而是路由．请重定向。这样所有主机在接收重定向报文后更新　『４］ＲＩＣＨＡＲＤ　ＳＴＥＶＥＮＳ　Ｗ１　ＴＣＰ／ＩＰ详解（卷１：协议）『Ｍ１．北京：　机械工业出版社．２０００１．　１２７３