实战解决局域网ARP攻击造成的断网问题.pdfVIP

ARP ARP 实战：解决局域网AARRPP攻击造成的断网问题 家里通过连接老妈学校的局域网上网（不用出上网费，^_^ ）~~从06年8月起，局域网 中上网经常性掉线，通过科来网络分析系统发现，局域网中出现了arp欺骗攻击。经过我不 断查找资料，2月初终于实现完美预防，下面就做个总结，希望对其他人有帮助~~：） 1. ARP 1. ARP 11.. AARRPP概念 ARP，全称AddressResolution Protocol，中文名为地址解析协议，它工作在数据链路层，在 本层和硬件接口联系，同时对上层提供服务。 IP 数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址 传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地 址。在以太网中，一个 主机要和另一个主机进行直接通信，必须要知道目标主机的MAC 地址。但这个目标MAC 地址是如何获得的呢？它就是通过地址解析协议获 得的。ARP 协议用于将网络中的IP地 址解析为的硬件地址（MAC 地址，每个网卡一个，据我观察分析，装系统时系统自动给予 编号，形如00-03-0F-01-3E-0A），以保证通信的顺利进行。 1.1ARP RARP 1.1ARP RARP 11..11AARRPP和RRAARRPP报头结构 ARP 和RARP 使用相同的报头结构，如图1所示。 （图1 ARP/RARP 报头结构） 硬件类型字段：指明了发送方想知道的硬件接口类型，以太网的值为1； 协议类型字段：指明了发送方提供的高层协议类型，IP为0800（16进制）； 硬件地址长度和协议长度：指明了硬件地址和高层协议地址的长度，这样 ARP 报文就可以 在任意硬件和任意协议的网络中使用； 操作字段：用来表示这个报文的类型，ARP请求为1，ARP 响应为2，RARP 请求为3，RARP 响应为4； 发送方的硬件地址（0-3字节）：源主机硬件地址的前3个字节； 发送方的硬件地址（4-5字节）：源主机硬件地址的后3个字节； 发送方IP（0-1字节）：源主机硬件地址的前2个字节； 发送方IP（2-3字节）：源主机硬件地址的后2个字节； 目的硬件地址（0-1字节）：目的主机硬件地址的前2个字节； 目的硬件地址（2-5字节）：目的主机硬件地址的后4个字节； 目的IP（0-3字节）：目的主机的IP地址。 1.2 ARP 1.2 ARP 11..22 AARRPP工作原理 1. 首先，每台主机都会在自己的ARP 缓冲区 (ARPCache)中建立一个 ARP 列表，以表 示IP地址和MAC 地址的对应关系。 2. 当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP 列表中是否 存在该 IP地址对应的MAC 地址，如果有﹐就直接将数据包发送到这个MAC 地址；如果 没有，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的 MAC 地址。此 ARP 请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。 3. 网络中所有的主机收到这个ARP 请求后，会检查数据包中的目的IP是否和自己的IP 地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的 MAC 地址和 IP地址添加到自己的ARP 列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然 后给源主机发送一个 ARP 响应数据包，告诉对方自己是它需要查找的MAC 地址； 4. 源主机收到这个ARP 响应数据包后，将得到的目的主机的IP地址和MAC 地址添加 到自己的ARP 列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP 响应 数据包，表示ARP 查询失败。 例如： A 的地址为：IP：192.168.1.1 MAC:AA-AA-AA-AA-AA-AA B 的地址为：IP：192.168.1.2 MAC: BB-BB-BB-BB-BB-BB 根 据上面的所讲的原理，我们简单说明这个过程：A 要和B 通讯，A 就需要知道B 的以太 网地址，于是A 发送一个ARP 请求广播（谁是192.168.1.2 ，请告诉192.168.1.1），当B 收 到该广播，就检查自己，结果发现和自己的一致，然后就向 A 发送一个ARP 单播应答 （192.168.1.2 在BB-BB-BB-BB-BB-BB）。 1.3 ARP 1.3 ARP 11..33 AAR