当前位置：文档库 › ARP攻击与防范”课程实验设计

ARP攻击与防范”课程实验设计

Computer Knowledge and Technology 电脑知识与技术网络通讯及安全本栏目责任编辑：冯蕾第6卷第3期(2010年1月)“ARP 攻击与防范”课程实验设计

宋星月

（辽宁金融职业学院信息技术系，辽宁沈阳110122）

摘要：针对“ARP 攻击与防范”课程教学，分析了ARP 协议及ARP 攻击的工作原理，提出了一种更好理解“ARP 攻击与防范”的课程实验设计方案。

关键词：ARP 协议；ARP 攻击；ARP 防范；实验设计

中图分类号：TP393文献标识码：A 文章编号：1009-3044(2010)03-611-02

Experimental Design of Courses Based on the ARP Attack and Prevention

SONG Xing-yue

(Department of Information Technology,Liaoning Finance Vocatinal College,Shenyang 110122,China)

Abstract:Based on ARP attack and prevention courses teaching,analyzed the principle of ARP protocol and ARP attacks.A advanced experiment method about the ARP attack and prevention is introduced,and it is helpful for students to study ARP attack and prevention.Key words:ARP protocol;ARP attack;ARP prevention;experiment design

互联网是一个面向大众的开放系统，设计初衷是信息共享、开放、灵活和快速，对于信息的保密措施和系统的安全性考虑得并不完备，这些特性不可避免地引发一些网络安全问题，而且，这些问题随着信息技术的发展也就日益严重，如何有效地防范各种攻击，增强网络安全性，是一项重要的课题。

网络协议安全是网络安全中的重要领域，研究ARP 协议及其在网络攻防中的应用具有积极的意义。但ARP 攻击方式在不断变换，就连一些资深的网络管理员也为此感到十分头疼。更何况学校里没有实际工作经验的学生。基于此，本文设计了一套ARP 攻击与防范实验方案，增强学生对ARP 协议、ARP 攻击原理的理解，并提高对网络实际操作和故障解决的能力。

1ARP 协议工作原理

ARP 协议，全称Address Resolution Protocol ，中文名是地址解析协议，它工作在OSI 模型的数据链路层，用于将IP 地址转化为网络接口的硬件地址(MAC 地址)。无论是任何高层协议的通信，最终都将转换为数据链路层硬件地址的通讯。

当网络中一台主机要向另一台主机或者路由器发送数据时，会首先检查自己ARP 列表中是否存在该IP 地址对应的MAC 地址，如有，就直接将数据包发送到该MAC 地址；如无，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的MAC 地址，此ARP 请求数据包里包括源主机的IP 地址、硬件地址、以及目的主机的IP 地址。网络中所有的主机收到该ARP 请求后，会检查数据包中的目的IP 是否和自己的IP 地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC 地址和IP 地址添加到自己的ARP 列表中，如果ARP 表中已经存在该IP 的信息，则将其覆盖，然后给源主机发送一个ARP 响应数据包，告诉对方自己是它需要查找的MAC 地址；源主机收到这个ARP 响应数据包后，将得到的目的主机的IP 地址和MAC 地址添加到自己的ARP 列表中，并以超时则删除的策略加以维护。

ARP 协议是建立在信任局域网内所有结点的基础上的，它很高效，但却不安全。它不会检查自己是否发过请求包，也不管（其实也不知道）是否是合法的应答，只要收到目标MAC 是自己的ARP Reply 包或ARP 广播包都会接受并缓存，这就为欺骗提供了可能。

2ARP 攻击原理

ARP 欺骗的核心思想是向目标主机发送伪造的ARP 应答，并使目标主机接收应答中伪造的IP 地址与MAC 地址之间的映射对，以此更新目标主机ARP 缓存。2.1ARP 攻击过程

设在同一网段的三台主机：A 、B 、C 。其IP 地址和MAC 地址映射关系如表1

所示。

假设A 与B 是信任关系，A 欲向B 发送数据包。攻击方C 通过前期准备，收

集信息，发现B 的漏洞，使B 暂时无法工作。然后C 发送一个源IP 地址为192.168.0.3源MAC 地址为BB:BB:BB;BB:BB:BB 的包给A 。由于大多数的操作系统在接收到ARP 应答后会及时更新ARP 缓存，而不考虑是否发出过真实的ARP 请求，所以A 接收到应答后，就更新它的ARP 缓存，建立新的IP/MAC 地址映射对，即192.168.0.2→CC:CC:CC:CC:CC:CC 。这样，A 就将发往B 的数据包发向了C ，这就是典型的ARP 欺骗过程。

收稿日期：2009-11-19

作者简介：宋星月（1978-），女，内蒙古人，讲师，东北大学硕士研究生，研究方向为计算机网络技术。

表1同网段主机IP/MAC 对应表ISSN 1009-3044Computer Knowledge and Technology

电脑知识与技术Vol.6,No.3,January 2010,pp.611-612E-mail:info@https://www.wendangku.net/doc/ab5240715.html, https://www.wendangku.net/doc/ab5240715.html, Tel:+86-551-56909635690964611

Computer Knowledge and Technology 电脑知识与技术

本栏目责任编辑：冯蕾网络通讯及安全第6卷第3期(2010年1月)

2.2ARP 攻击方式

根据影响网络连接的方式，ARP 欺骗技术主要有：对路由器ARP 表的欺骗、对局域网内的主机网关欺骗以及IP 地址欺骗等等。其中伪造网关是一种典型的ARP 欺骗。就是建立假网关，让被它欺骗的主机向假网关发数据，造成无法通过正常的路由器途径上网。虽与其它主机可以连接，就是上不了网了，“网络掉线了”。

3ARP 攻击与防范实验

利用WinArpAttacke 的Send 功能实现ARP 攻击，主机1对主机2

发动ARP 攻击，导致主机2无法与外界通信，即主机2与主机3ping 不

同。实验网络拓扑结构如图1所示。

1)运行WinArpAttacke 软件，在Opitions 中选择IP 地址192.168.10.0网段的网卡Adapter ，确定。点击“Scan ”能够扫描出这个网段

中存活的主机及对应的MAC 地址。也可以采用ipconfig/all 和arp-a 命令

获得被攻击前各主机的Mac 地址，各主机IP 地址及Mac 地址对应如表

2所示。攻击前各主机均能ping 通。

2)主机1发动ARP 禁止上网攻击，告诉主机2网关的MAC 地址是

一个假的MAC 地址（00-11-22-33-44-55），则主机2要发往网关的数

据都发不到真正的网关上，在主机1上设置Dst Hardware Mac:00-15-58-E8-C2-7B ，Src Hardware Mac ：00-15-58-E9-0A-C0，Dst Protocol Mac:00-00-00-00-00-00，Scr Protocol Mac:00-11-22-33-44-55，Dst IP:192.168.10.20，Src IP:192.168.10.254。选中“Con -tinuously ”发送连续欺骗，点击“Send ”发送，则主机2会认为网关192.168.10.254的MAC 地址为00-11-22-33-44-55，所以主机2Ping 不通主机3。

3)ARP 禁止上网攻击的防御：

我们可以在交换机上打开Port Security Arp Check 开防止ARP 欺骗，配置步骤如下：

Switch#con

Switch#port-security arp-check

Switch#interface fastEthernet 0/5

Switch#switchport port-security maximum 1

Switch#switchport port-security ip-address 192.168.10.10

Switch#switchport port-security

Switch#end

配置完毕之后，主机1和主机2打开Ethereal 软件进行监听，主机1再对主机2发动ARP 禁止上网攻击，通过监听可以看出，主机1发送了ARP 数据包但得不到应答，而主机2根本没有收到主机发送过来的ARP 数据包，主机2还是可以与主机3之间正常通信。原因在于交换机收到端口5的arp 的数据包的地址不是设定的192.168.10.10，则将数据包丢弃，从而防止了ARP 欺骗。4总结

ARP 欺骗是一种典型的欺骗攻击类型，它利用了ARP 协议存在的安全隐患，以及通过使用一些专门的攻击工具，使得这种攻击变得普及并有较高的成功率。笔者承担计算机网络技术专业的“网络信息安全”课程教学，在讲到“ARP 攻击与防范”课题时采用了这个实验，将抽象复杂的网络协议与实际应用结合起来，极大提高了学生实验积极性，学生反应良好，达到了较好的学习效果。参考文献：

[1]

任侠.ARP 协议欺骗原理分析与抵御方法[J].计算机工程,2003,29(9):1272128.[2]

傅军.基于ARP 协议的欺骗及其预防[J].中国科技论文在线,2007(1):55258.[3]

马宜兴.网络安全与病毒防范[M].上海:上海交通大学出版社,2007:32.[4]黄学林.ARP 协议欺骗原理分析及防范措施[J].广东科技,2007,169:172-173.

图1网络拓扑结构表2攻击前IP/MAC 对应表612

ARP论文ARP攻击的原理论文

ARP论文ARP攻击的原理论文摘要：arp是address resolution protocol（地址转换协议）的简称，是tcp/ip协议中最底层的协议之一。它的作用是完成ip地址到mac（物理地址）的转换。在局域网中两台计算机之间的通讯，或者局域网中的计算机将ip数据报转发给网关的时候，网卡都需要知道目标计算机的物理地址，以填充物理帧中的目的地址。arp欺骗和攻击正是利用了这一点，将自身的mac地址填入正常的arp协议会话中，从而达到欺骗和攻击的目的。通过将ip地址和mac地址进行静态绑定可以有效防范arp攻击。关键词：arp；攻击；原理；防护 arp attacks and protection principles yan an (tianjin construction information technology service center, tianjin 300000, china) abstract: arp is the address resolution protocol (arp) is referred to, is the tcp / ip protocol in the bottom of one of the agreements. its role is to complete the ip address to mac (physical address) of the conversion. in the lan communication between two computers, or lan computer ip datagrams forwarded to

ARP欺骗 -攻击原理和防范

ARP欺骗/ MITM(Man-In-The-Middle)攻击原理和防范一、MITM(Man-In-The-Middle) 攻击原理按照 ARP 协议的设计，为了减少网络上过多的 ARP 数据通信，一个主机，即使收到的 ARP 应答并非自己请求得到的，它也会将其插入到自己的 ARP 缓存表中，这样，就造成了“ ARP 欺骗”的可能。如果黑客想探听同一网络中两台主机之间的通信（即使是通过交换机相连），他会分别给这两台主机发送一个 ARP 应答包，让两台主机都“误”认为对方的 MAC 地址是第三方的黑客所在的主机，这样，双方看似“直接”的通信连接，实际上都是通过黑客所在的主机间接进行的。黑客一方面得到了想要的通信内容，另一方面，只需要更改数据包中的一些信息，成功地做好转发工作即可。在这种嗅探方式中，黑客所在主机是不需要设置网卡的混杂模式的，因为通信双方的数据包在物理上都是发送给黑客所在的中转主机的。这里举个例子，假定同一个局域网内，有 3 台主机通过交换机相连： A 主机： IP 地址为 192.168.0.1 ， MAC 地址为 01:01:01:01:01:01 ； B 主机： IP 地址为 192.168.0.2 ， MA C 地址为 02:02:02:02:02:02 ； C 主机： IP 地址为 192.168.0.3 ， MAC 地址为 03:03:03:03:03:03 。 B 主机对 A 和 C 进行欺骗的前奏就是发送假的 ARP 应答包，如图所示在收到 B主机发来的ARP应答后，A主机应知道：到 192.168.0.3 的数据包应该发到 MAC 地址为 020********* 的主机； C 主机也知道：到 192.168.0.1 的数据包应该发到 MAC 地址为 020********* 的主机。这样， A 和 C 都认为对方的 MAC 地址是 020********* ，实际上这就是 B 主机所需得到的结果。当然，因为 ARP 缓存表项是动态更新的，其中动态生成的映射有个生命期，一般是两分钟，如果再没有新的信息更新， ARP 映射项会自动去除。所以， B 还有一个“任务”，那就是一直连续不断地向 A 和 C 发送这种虚假的 ARP 响应包，让其 ARP缓存中一直保持被毒害了的映射表项。现在，如果 A 和 C 要进行通信，实际上彼此发送的数据包都会先到达 B 主机，这时，如果 B 不做进一步处理， A 和 C 之间的通信就无法正常建立， B 也就达不到“嗅探”通信内容的目的，因此， B 要对“错误”收到的数据包进行一番修改，然后转发到正确的目的地，而修改的内容，无非是将目的 MAC 和源MAC 地址进行替换。如此一来，在 A 和 C 看来，彼此发送的数据包都是直接到达对方的，但在 B 来看，自己担当的就是“第三者”的角色。这种嗅探方法，

ARP攻击的分析与防范

开发与应用计算机与信息技术 ·7· ARP 攻击的分析与防范吴勇李祥 (贵州大学计算机软件与理论研究所，贵州贵阳 550025) 摘要介绍了ARP协议工作原理，分析了ARP协议的弱点，阐述了基于ARP进行网络攻击的主要方式，并给出了应对措施。提出构造ARP应答包进行ARP欺骗的具体方法。关键词 ARP协议；ARP欺骗；ICMP重定位；静态ARP表；地址解析；libnet 1 引言网络上的计算机之间是通过IP地址通信的，但是IP地址是位于网络层的逻辑地址，计算机之间要想真的进行数据交换必须知道它的物理地址，ARP就是将逻辑地址转换成物理地址的一个协议。因此ARP的协议的安全就显的非常重要。现在对ARP攻击最常用的一种方式就是ARP欺骗，在这种攻击方式下，攻击方可以通过伪造ARP请求与应答更新目标主机的ARP缓存从而骗过目标机。使目标机的数据包发给攻击者。攻击者就可以对截获的数据包的内容进行分析破解目标机的信息。 2 ARP 协议计算机之间主要是通过IP地址通信，IP地址是一个逻辑地址，通过IP地址就可以找到目标网络，但是在一个网络内部的计算机之间进行最终的数据交换时就必须经过物理MAC地址才能识别具体的一台主机，这时我们就需要ARP协议把需要通信的目标主机的IP地址解析为与之对应的硬件物理地址。 2.1 ARP 协议的基本工作原理一台连入互连网的计算机拥有两个地址。一个是IP地址，它是一个网络层使用的协议并且独立于网络底层。每一台在互联网上的计算机都必须有一个惟一IP地址。IP地址是一个可以通过软件设置的逻辑地址。另一个地址是网卡地址MAC 地址。MAC地址是一个固定在网卡中的全球独一无二的地址。通过MAC地址，以太网就能独立于上层协议收发数据。当两台主机进行通信时，IP数据被封装成以太帧格式的一个个的数据包，这些数据包通过数据链路层进行传送，ARP消息就被封装在以太帧的数据部分。每一台基于TCP/IP协议的主机都有一个ARP缓存表。里面包括硬件类型，硬件地址长度，操作号，源IP地址与MAC地址，目的IP地址与MAC地址。如果一台主机甲要与另一台主机乙进行数据通信，且它们位于一个网段时，它们之间的具体通信过程如下：甲查看自己的ARP缓存表，寻找乙机器的相关信息，如果找到的话，就使用表中与乙的IP地址对应的MAC地址来通信；若查找失败，就会向局域网中发送一个以太网的广播帧，往帧中填充甲主机的IP地址和MAC地址，乙主机的IP地址等字段形成一个ARP请求。此时此网段内的所有机器都会收到此请求，但只有乙主机收到后发现此请求中有自己的IP地址从而作出响应。它先刷新自己的ARP缓存，以便提高以后的通信效率，而后生成一个ARP应答帧将自己的MAC地址填充进去发送给甲主机。甲收到后将乙的ARP信息写入自己的ARP缓存中。若不在同一网段，此过程分为两个阶段，第一阶段甲会广播一个ARP请求来得到本地网关的MAC地址，然后将数据发送到网关。再判断网关与乙是否在同一网段。如果是就进入第二阶段查找IP/MAC，转发数据否则继续广播ARP请求。(如图1) 当一台机器更换了新网卡后，就会通知网内其它主机，使之更新各自的ARP表项使IP地址和新的MAC地址保持一致。因此每台机器在启动时都会发一个以太网广播帧通知其它主机及时更新ARP缓存。第一阶段第二阶段图1 不同网段的ARP攻击

ARP攻击方式及介绍、攻击造成的现象

ARP攻击 ARP攻击，是指攻击者利用地址解析协议本身的运行机制而发动的攻击行为。包括进行对主机发动IP冲突攻击、数据包轰炸，切断局域网上任何一台主机的网络连接等。[5]主要有以盗取数据为主要目的的ARP欺骗攻击，还有以捣乱破坏为目的的ARP泛洪攻击两种。争对这两种主要攻击方式，本文作者又细分为以下几种ARP攻击类型： 1. IP地址冲突制造出局域网上有另一台主机与受害主机共享一个IP的假象。由于违反了唯一性要求，受害主机会自动向用户弹出警告对话框。大量的攻击数据包能令受害主机耗费大量的系统资源。对于windows操作系统，只要接收到一个ARP数据包，不管该ARP数据包符不符合要求，只要该ARP数据包所记录的源ip地址同本地主机相同但MAC地址不同，windows系统就会弹出ip地址冲突的警告对话框。根据ip地址冲突的攻击特征描述，这种类型的ARP攻击主要有以下几种：（1）单播型的IP地址冲突：链路层所记录的目的物理地址为被攻击主机的物理地址，这样使得该ARP数据包只能被受攻击主机所接收而不被局域网内的其它主机所接收实现隐蔽式攻击。（2）广播型的IP地址冲突：链路层所记录的目的物理地址为广播地址，这样使得局域网内的所有主机都会接受到该ARP数据包，虽然该ARP数据包所记录的目的ip地址不是受攻击主机的ip地址，但是由于该ARP数据包为广播数据包，这样受攻击主机也会接收到从而弹出ip地址冲突的警告对话框。 2. ARP泛洪攻击攻击主机持续把伪造的MAC-IP映射对发给受害主机，对于局域网内的所有主机和网关进行广播，抢占网络带宽和干扰正常通信。这种攻击方式的主要攻击特征包含（1）通过不断发送伪造的ARP广播数据报使得交换机拼于处理广播数据报耗尽网络带宽。（2）令局域网内部的主机或网关找不到正确的通信对象，使得正常通信被阻断。（3）用虚假的地址信息占满主机的ARP高速缓存空间，造成主机无法创建缓存表项，无法正常通信，这种攻击特征作者将其命名为ARP溢出攻击。ARP泛洪攻击不是以盗取用户数据为目的，它是以破坏网络为目的，属于损人不利己的行为。 3.ARP溢出攻击 ARP溢出攻击的特征主要有：（1）所发送的伪造MAC-IP映射对的ip地址是非本地网的虚拟不存在的ip地址但MAC地址是固定的，由于当操作系统接收到一个源ip地址在ARP高速缓存表中不存在的ARP数据包时，就会在缓存表中创建一个对应MAC-IP的入口项。（2）所发送的伪造MAC-IP映射对的ip地址是非本地网的虚拟不存在的ip地址而且MAC地址也是虚拟变化的。发送这种类型的攻击数据包会引起交换机的CAM表溢出。由于交换机是通过学习进入各端口数据帧的源MAC地址来构建CAM表，将各端口和端口所连接主机的MAC地址的对应关系进行记录，因而可根据CAM表来决定数据帧发往哪个端口。如果攻击源持续向交换机发送大量有错误的MAC地址ARP数据包，就会破坏端口与MAC的对应关系，并导致CAM表溢出。在这种情形之下，缺少防范措施的交换机就会以广播的模式处理报文，形成泛洪向所有接口转发通信信息流。[6]最终使得交换机变成HUB，将交换式的网络变成广播式的网络，使得网络带宽急剧下降。 4.ARP欺骗攻击 ARP欺骗原理假如主机A要与目的主机B进行通信，为了查找与目的主机IP地址相对应的MAC地址，主机A使用ARP协议来查找目的主机B的MAC地址。首先，源主机A会以广播的形式发送一

ARP欺骗在网络中的应用及防范

ARP欺骗在网络中的应用及防范一、ARP协议的内容和工作原理地址解析协议（Address Resolution Protocol,ARP）是在只知道主机IP地址时确定其物理地址的一种协议。因IPv4、IPv6和以太网的广泛应用，其主要用于将IP地址翻译为以太网的MAC地址，但其也能在ATM和FDDI IP网络中使用。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC 层，也就是相当于OSI的第二层）的MAC地址。首先，每台主机都会在自己的ARP缓冲区中建立一个ARP映射表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里面包括源主机的IP地址、源主机的MAC地址以及目的主机的IP地址、目的MAC地址。同一网段中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就丢弃此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP映射表中，如果ARP映射表中已经存在该IP的信息，则将其覆盖，然后以单播的形式给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到目的主机的IP地址和MAC地址并添加到自己的ARP映射表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。二、ARP协议存在的安全漏洞 ARP协议是建立在信任局域网内所有节点的基础上的，它很高效，但却不安全。其主要漏洞有以下三点：１、主机地址映射表是基于高速缓存、动态更新的，ARP将保存在高速缓存中的每一个映射地址项目都设置了生存时间，它只保存最近的地址对应关系。这样恶意的用户如果在下次交换前修改了被欺骗机器上的地址缓存，就可以进行假冒或拒绝服务攻击。 2、由于ARP是无状态的协议，即使没有发送ARP请求报文，主机也可以接收ARP应答，只要接收到ARP应答分组的主机就无条件地根据应答分组的内容刷新本机的高速缓存。这就为ARP欺骗提供了可能，恶意节点可以发布虚假的ARP 报文从而影响网内节点的通信，甚至可以做“中间人”。３、任何ARP应答都是合法的，ARP应答无须认证，只要是局域网内的ARP 应答分组，不管是否是合法的应答，主机都会接受ARP应答，并用其IP-MAC信息篡改其缓存。这就是ARP的另一个隐患。三、ARP欺骗攻击的实现过程 3.1 网段内的ARP欺骗攻击 ARP欺骗攻击的最基本手段就是向目标主机发送伪造的ARP应答，并使目标主机接收应答中伪造的IP与MAC间的映射表，并以此更新目标主机缓存。设在

ARP攻击实验报告

网络入侵实验报告学号：0867010077 姓名：*** 一．实验目的： 1、了解基本的网络攻击原理和攻击的主要步骤； 2、掌握网络攻击的一般思路； 3、了解arp攻击的主要原理和过程；二．实验原理： arp攻击就是通过伪造ip地址和mac地址实现arp欺骗，能够在网络中产生大量的arp 通信量使网络阻塞，攻击者只要持续不断的发出伪造的arp响应包就能更改目标主机arp缓存中的ip-mac条目，造成网络中断或中间人攻击。 arp攻击主要是存在于局域网网络中，局域网中若有一台计算机感染arp木马，则感染该arp木马的系统将会试图通过“arp欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。某机器a要向主机b发送报文，会查询本地的arp缓存表，找到b的ip地址对应的mac 地址后，就会进行数据传输。如果未找到，则a广播一个arp请求报文（携带主机a的ip 地址ia——物理地址pa），请求ip地址为ib的主机b回答物理地址pb。网上所有主机包括 b都收到arp请求，但只有主机b识别自己的ip地址，于是向a主机发回一个arp响应报文。其中就包含有b的mac地址，a接收到b的应答后，就会更新本地的arp缓存。接着使用这个mac地址发送数据（由网卡附加mac地址）。因此，本地高速缓存的这个arp表是本地网络流通的基础，而且这个缓存是动态的。本实验的主要目的是在局域网内，实施arp攻击，使局域网的网关失去作用，导致局域网内部主机无法与外网通信。三．实验环境：windows xp操作系统，iris抓包软件四．实验步骤： 1，安装iris，第一次运行iris后会出现一个要你对适配器的选择的界面，点击适配器类型，点击确定就可以了：如图1-1；图1-1 2对编辑过滤器进行设置（edit filter settings），设置成包含arp 如图1-2；图1-2 3.点击iris的运行按钮（那个绿色的按钮）,或捕获（capture）按钮。如图1-2：图1-3 开始捕获数据包 4.捕获到的数据如图所示，选择一个你要攻击的主机，我们这里选择的是ip为10.3.3.19 的主机，选择的协议一定要是arp的数据包。如图1-4：图1-4篇二：arp攻击实验报告如下图，打开路由web控制页面中的信息检测-arp攻击检测，如下图设置完后，如果有arp攻击，就会显示出来，如图，内网ip地址为192.168.101.249 有arp攻击如果以后内网还有掉线现象，检查一下这里就可以了。

防护arp攻击软件最终版-Antiarp安全软件

防护arp攻击软件最终版-Antiarp安全软件使用方法： 1、填入网关IP地址，点击〔获取网关地址〕将会显示出网关的MAC地址。点击[自动防护]即可保护当前网卡与该网关的通信不会被第三方监听。注意：如出现ARP欺骗提示，这说明攻击者发送了ARP欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的MAC地址，利用MAC地址扫描器可以找出IP 对应的MAC地址. 2、IP地址冲突如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数据包，才会出现IP冲突的警告，利用Anti ARP Sniffer可以防止此类攻击。 3、您需要知道冲突的MAC地址，Windows会记录这些错误。查看具体方法如下：右击[我的电脑]--[管理]--点击[事件查看器]--点击[系统]--查看来源为[TcpIP]---双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入Anti ARP Sniffer 的本地MAC地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig /all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符，如果更改失败请与我联系。如果成功将不再会显示地址冲突。注意:如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡。全中文界面，绿色不用安装附件: [Antiarp安全软件] Antiarp.rar (2006-4-25 17:03, 353.06 K) 该附件被下载次数103 可惜传不上去。解决ARP攻击一例【故障现象】当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行

科来网络分析系统ARP攻击解决方案

编号TS-08-0005 科来网络分析系统ARP攻击解决方案版权所有 ? 2007 科来软件保留所有权利。本文档属商业机密文件，所有内容均为科来软件国内技术支持部独立完成，属科来软件内部机密信息，未经科来软件做出明确书面许可，不得为任何目的、以任何形式或手段（包括电子、机械、复印、录音或其他形式）对本文档的任何部分进行复制、修改、存储、引入检索系统或者传播。汪已明科来软件电话：86-28-85120922 传真：86-28-85120911 网址：https://www.wendangku.net/doc/ab5240715.html, 电子邮件：support@https://www.wendangku.net/doc/ab5240715.html, 地址：成都市高新区九兴大道6号高发大厦B幢1F 版权所有　？　２００７　科来软件．　保留所有权利第１页　共６页

方案背景目前，由于政府、企业、高校以及电子商务的蓬勃发展，使得网络已经融入到社会的各个领域；与此同时，网络用户的多样化，直接导致了蠕虫病毒和网络攻击的持续增多。在这种情况下，快速排查网络攻击，保障网络的持续可靠运行，已日益成为与国家、政府、企事业和个人的利益休戚相关的“大事情”。自2006年以来，ARP攻击就以攻击方法简单、攻击速度快、攻击效果好而深受越来越多恶作剧者的青睐，从而导致近1年多的时间里，网络中的ARP攻击无处不在，各大论坛从未停止过ARP攻击的讨论，一些遭受过ARP攻击的用户甚至到了谈“ARP”色变的程度。能否快速有效地排查ARP攻击，将直接导致网络的运行是否正常，其意义十分重大。接下来我们就详细地来看如何排查并预防ARP攻击。 ARP协议工作原理 ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作OSI参考模型的第2层（数据链路层），用于查找IP地址所对应物理网卡的MAC地址。正常情况下，ARP协议的工作原理如下： 1.所有主机都在自己的缓冲区中建立一个IP地址和MAC地址的对应关系表，我们称这个表为ARP表。 2.源主机需要发送一个数据包到目的主机时，首先检查自己的ARP表中是否存在该目的IP地址对应的MAC地址，如果有，就将数据包发送到这个MAC地址所对应的网卡；如果没有，就向本地网段中除自己以外的所有主机发起一个ARP请求广播，以查询目的主机所对的MAC地址。 3.网络中的所有主机收到这个ARP请求后，都会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同，就丢弃该数据包；如果相同，该主机首先将源主机的IP地址和MAC地址添加到自己的ARP表（ARP表中如果已经存在该IP的信息，则将其覆盖），然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址； 4.源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP表，并同时将数据包发往目的主机所对应的网卡。从上述的过程可知，正常情况下的ARP工作流程是一个请求，一个应答。 ARP攻击原理根据攻击的严重程度，ARP攻击可以分为三种：ARP扫描、ARP中间人攻击和ARP 断网攻击。版权所有　？　２００７　科来软件．　保留所有权利第２页　共６页

如何有效的防止ARP攻击

ARP欺骗和攻击问题，是企业网络的心腹大患。关于这个问题的讨论已经很深入了，对ARP攻击的机理了解的很透彻，各种防范措施也层出不穷。但问题是，现在真正摆脱ARP问题困扰了吗？从用户那里了解到，虽然尝试过各种方法，但这个问题并没有根本解决。原因就在于，目前很多种ARP防范措施，一是解决措施的防范能力有限，并不是最根本的办法。二是对网络管理约束很大，不方便不实用，不具备可操作性。三是某些措施对网络传输的效能有损失，网速变慢，带宽浪费，也不可取。本文通过具体分析一下普遍流行的四种防范ARP措施，去了解为什么ARP问题始终不能根治。上篇：四种常见防范ARP措施的分析一、双绑措施双绑是在路由器和终端上都进行IP-MAC绑定的措施，它可以对ARP欺骗的两边，伪造网关和截获数据，都具有约束的作用。这是从ARP欺骗原理上进行的防范措施，也是最普遍应用的办法。它对付最普通的ARP欺骗是有效的。但双绑的缺陷在于3点：

1、在终端上进行的静态绑定，很容易被升级的ARP攻击所捣毁，病毒的一个ARP –d命令，就可以使静态绑定完全失效。 2、在路由器上做IP-MAC表的绑定工作，费时费力，是一项繁琐的维护工作。换个网卡或更换IP，都需要重新配置路由。对于流动性电脑，这个需要随时进行的绑定工作，是网络维护的巨大负担，网管员几乎无法完成。 3、双绑只是让网络的两端电脑和路由不接收相关ARP信息，但是大量的ARP攻击数据还是能发出，还要在内网传输，大幅降低内网传输效率，依然会出现问题。因此，虽然双绑曾经是ARP防范的基础措施，但因为防范能力有限，管理太麻烦，现在它的效果越来越有限了。二、ARP个人防火墙在一些杀毒软件中加入了ARP个人防火墙的功能，它是通过在终端电脑上对网关进行绑定，保证不受网络中假网关的影响，从而保护自身数据不被窃取的措施。ARP防火墙使用范围很广，有很多人以为有了防火墙，ARP攻击就不构成威胁了，其实完全不是那么回事。 ARP个人防火墙也有很大缺陷：

ARP攻击和防范原理及示例

本科生毕业论文（设计）题目：ARP攻击和防范原理及示例专业：计算机网络（本科）考生姓名：********** 准考证号：************ 指导教师：****** 二〇一五年十月

学术诚信声明本人所呈交的毕业论文，是在导师的指导下，独立进行研究工作所取得的成果，所有数据、图片资料均真实可靠。除文中已经注明引用的内容外，本论文不包含任何其他人或集体已经发表或撰写过的作品或成果。对本论文的研究作出重要贡献的个人和集体，均已在文中以明确的方式标明。本毕业论文的知识产权归属于培养单位。本人完全意识到本声明的法律结果由本人承担。本人签名：日期：2015-10-12

摘要 ARP攻击是指攻击者利用ARP协议本身的缺陷，在区域内一台终端或服务器上发布欺骗ARP广播包以达到盗取用户帐号、篡改网站内容、嵌入恶意代码、发布不良信息、监听传输数据等非法活动的目的。 ARP的攻击方式是ARP欺骗，ARP欺骗在过去常被运用到简单的拒绝服务攻击中。然而，随着大量缺乏管理且流动性较大的网吧以及其他公共上网环境的普及，互联网上开始出现许多由ARP基本攻击与侦听、网页篡改等黑客技术相互结合的攻击方式。这种ARP攻击之所以能在各类公共上网设施内迅速蔓延是因为在拥有上千台机器的公众上网环境或对外服务的IDC托管机房中，同一网段中往往有来自不同单位或不同人群使用的各类终端与服务器，由于其中各类系统的安全责任点归属复杂、使用人员流动性大，造成环境内安全管理漏洞较多，从而使新一代以ARP欺骗为基础的网页挂码或重定向攻击得以滋生。目前，很多研究者已经给出了针对ARP欺骗攻击的防治方法，在一定程度上减少了ARP问题的发生，这类方法主要是通过保护ARP高速缓存等方法来实现，它们不能从根本上解决ARP欺骗问题，因为ARP欺骗是利用ARP协议本身存在在的漏洞，本文将从技术层面入手，分析解决该类问题。关键词：ARP攻击、ARP协议、ARP欺骗、ARP安全防护

Arp攻击原理及防范

Arp攻击原理及防范 1．ARP协议简介在局域网中，一台主机要和另一台主机进行通信，必须要知道另一台主机的IP地址，但是最终负责在局域网中传送数据的网卡等物理设备是不识别IP地址的，只能识别其MAC地址。MAC地址是48位的，通常表示为12个16进制数，每2个16进制数之间用“-”或者冒号隔开，如：FF-FF-FF-FF-FF-FF就是一个MAC地址。每一块网卡都有其全球唯一的MAC地址，网卡之间发送数据，只能根据对方网卡的MAC地址进行发送，这时就需要一个将数据包中的IP地址转换成MAC地址的协议，而这个重要的任务将由ARP协议完成。 ARP全称为Address Resolution Protocol，即地址解析协议。所谓“地址解析”就是主机在发送数据包前将目标主机IP地址转换成目标主机MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。这时就涉及到一个问题，一个局域网中的电脑少则几台，多则上百台，这么多的电脑之间，如何能准确的记住对方电脑网卡的MAC地址，以便数据的发送呢？这就涉及到了另外一个概念，ARP 缓存表。在局域网的任何一台主机中，都有一个ARP缓存表，该表中保存这网络中各个电脑的IP地址和MAC地址的对照关系。当这台主机向同局域网中另外的主机发送数据的时候，会根据ARP缓存表里的对应关系进行发送。下面，我们用一个模拟的局域网环境，来说明ARP欺骗的过程。 2．ARP欺骗过程：如图（1）所示（在相册）局域网中有三台主机与交换机相连接，主机名分别为A、B、C，交换机为网关命名为S，IP如图所示。现在A与C进行通信，正常情况下通信过程如下：A 将自身的数据打包目地IP为C的IP，因为不知道C的MAC，所以A向全网发出ARP请求要求得到C的MAC，C收到广播报文后将自身的MAC地址发送给A，A得到C的MAC后将数据打包，封装目的为C的IP和MAC，然后将数据包发送给S；S收到该包后拆包得到C的MAC，然后再对照自身的ARP缓存表，将数据包发送给C，一次通信完成。这样的机制看上去很完美，似乎整个局域网也天下太平，相安无事。但是，上述数据发送机制有一个致命的缺陷，即它是建立在对局域网中电脑全部信任的基础上的，也就是说它的假设前提是：无论局域网中那台电脑，其发送的ARP数据包都是正确的。那么这样就很危险了！因为局域网中并非所有的电脑都安分守己，往往有非法者的存在。此时A想得到C 的MAC向全网发送广播，C将自己的MAC发给A，而此时一直沉默的B也向全网发出广播报文，说自已的IP为192.168.0.4MAC为B的MAC即MAC_b，原本A得到的C的MAC是正确的，由于B不停的发送广播报文，但A不知道B的MAC是伪造的，导致A重新动态更新自己的ARP缓存表，此时A的ARP缓存表里记录了一条错误的记录，这就导致了A以后要发送给C的数据全部发给了B。这就是ARP欺骗中冒充主机的方式。如果B冒充网关又会是什么情况呢？大家知道局域网中所有电脑上网都要通过网关转发数据才能登陆互联网。此时如果B向全网发送广播说我的IP为192.168.0.1 MAC为MAC_b 即B自己的MAC，由于局域网通信的前提条件是信任任何电脑发送的ARP广播包。这样局域网中的其它电脑都会更新自身的ARP缓存表，记录下192.168.0.1－MAC_b这样的记录，这样，当它们发送给网关，也就是IP地址为192.168.0.1这台电脑的数据，结果都会发送到MAC_b这台电脑中！这样，B就将会监听整个局域网发送给互联网的数据包！ ARP病毒新的表现形式由于现在的网络游戏数据包在发送过程中，均已采用了强悍的加密算法，因此这类ARP病毒在解密数据包的时候遇到了很大的难度。现在又新出现了一种ARP病毒，与以前的一样的是，该类ARP病毒也是向全网发送伪造的ARP欺骗广播，自身伪装成网关。但区别是，

ARP工作原理

ARP 一．简介 ARP，即地址解析协议，实现通过IP地址得知其物理地址。在TCP/IP网络环境下，每个主机都分配了一个32位的IP地址，这种互联网地址是在网际范围标识主机的一种逻辑地址。为了让报文在物理网路上传送，必须知道对方目的主机的物理地址。这样就存在把IP 地址变换成物理地址的地址转换问题。以以太网环境为例，为了正确地向目的主机传送报文，必须把目的主机的32位IP地址转换成为48位以太网的地址。这就需要在互连层有一组服务将IP地址转换为相应物理地址，这组协议就是ARP协议。另有电子防翻滚系统也称为ARP。二．基本功能在以太网协议中规定，同一局域网中的一台主机要和另一台主机进行直接通信，必须要知道目标主机的MAC地址。而在TCP/IP协议栈中，网络层和传输层只关心目标主机的IP地址。这就导致在以太网中使用IP协议时，数据链路层的以太网协议接到上层IP协议提供的数据中，只包含目的主机的IP地址。于是需要一种方法，根据目的主机的IP地址，获得其MAC 地址。这就是ARP协议要做的事情。所谓地址解析（address resolution）就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。另外，当发送主机和目的主机不在同一个局域网中时，即便知道目的主机的MAC地址，两者也不能直接通信，必须经过路由转发才可以。所以此时，发送主机通过ARP协议获得的将不是目的主机的真实MAC地址，而是一台可以通往局域网外的路由器的某个端口的MAC地址。于是此后发送主机发往目的主机的所有帧，都将发往该路由器，通过它向外发送。这种情况称为ARP代理（ARP Proxy）。三．工作原理当一个基于TCP/IP的应用程序需要从一台主机发送数据给另一台主机时，它把信息分割并封装成包，附上目的主机的IP地址。然后，寻找IP地址到实际MAC地址的映射，这需要发送ARP广播消息。当ARP找到了目的主机MAC地址后，就可以形成待发送帧的完整以太网帧头。最后，协议栈将IP包封装到以太网帧中进行传送。如图1所示，描述了ARP广播过程。

ARP欺骗原理与解决办法

ARP欺骗原理与解决办法 2009-03-26 18:18 【故障原理】要了解故障原理，我们先来了解一下ARP协议。在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP 协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。 ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下所示。主机IP地址MAC地址 A 192.168.16.1 aa-aa-aa-aa-aa-aa B 192.168.16.2 bb-bb-bb-bb-bb-bb C 192.168.16.3 cc-cc-cc-cc-cc-cc D 192.168.16.4 dd-dd-dd-dd-dd-dd 我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B 发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD 这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A 发送到C上的数据包都变成发送给D的了。这不正好是D能够接收到A发送的数据包了么，

ARP攻击方式总结及其防御

ARP攻击方式总结及其防御 1. ARP DDOS攻击 2. ARP 返回数据包欺骗 3. ARP 请求欺骗 4. ARP全网请求欺骗 5. ARP中间人欺骗 6. ARPIP地址冲突 7. ARP网关欺骗 8．ARP 交换机端口转发欺骗(最厉害,就是幻境网盾skiller的攻击方法) 在此我特意奉献给大家，还有些ARP的应用就靠大家去发现了,就不在大家面前说道了,后面我也把一些常见的防护方法说一下,各位也讨论下。 Arp –ddos攻击其实就是连续大量发送正常ARP 请求包,耗费主机带宽,这种攻击在局域网里面意义不算太大,例如ADSL猫,发送ARP 请求,几分终就会让它死掉,这种数据包是属于正常包,不会被ARP防火墙和交换机过滤掉。此解决方法,在一些交换机中做流量限制,我也不会做,不知道可行性,个人认为防护难度A++++ ARP 返回数据包欺骗这种欺骗是最常见的一种欺骗,就是向主机发送ARP返回数据包,这种包把IP做成网关地址,发送端的物理地址是自己的或伪造的,让对方电脑的IP--MAC地址表出现错误,当IP报文把这个硬件地址添到数据中发送就会出现找不到正确的物理出口地址。

这种的防护比较简单,用ARP -S 绑定网关,还有就是用ARP 防火墙,不过这种欺骗可能会被路由器发送的正确的地址给覆盖掉。 ARP 请求欺骗 ARP 请求欺骗也是比较常见的,他是ARP的请求协议，在目的IP和MAC 地址上都没错误,错误是请求者的MAC地址有问题,并不真的 .这种欺骗和返回欺骗仅OP值不同。防护办法和上面那种一样。 ARP全网请求欺骗这种欺骗是请求欺骗和返回欺骗的更进一步延伸,原理就是把以太帧头的目标地址改成FF-FF-FF-FF-FF-FF就是广播到所有主机,源地址IP地址或是网关IP地址,物理地址是假的MAC地址，切记在目的IP中，是192.168.1.255组播地址。这种防护方法和上面相同,网络执法管一类软件的全网阻断功能就是用这种方法实现。 ARP中间人欺骗这种欺骗是在交换机下面进行的,有人说交换环境下面数据流是安全的,下面这种攻击方式就是针对交换机。大概的流程是这样的,A B C三台电脑,A 和 C进行正常通讯,B发起中间攻击,B首先发送ARP欺骗告诉A我B就是C,然后告诉C我B就是A.这样A和C之间的数据传输过程就被B完全给查看到了,说起来有点罗唆,这种欺骗也要做一个数据转发机制,不然A和C之间的通讯就会断掉,如P2P 终结者就是这类欺骗。 ARPIP地址冲突

实验三：ARP欺骗工具及原理分析

实验三：ARP欺骗工具及原理分析一、实验目的 1.熟悉ARP欺骗攻击工具的使用 2.熟悉ARP欺骗防范工具的使用 3.熟悉ARP欺骗攻击的原理二、实验准备 1.要求实验室内网络是连通的，组内每台计算机均可以访问另外一台计算机。 2.下载相关工具和软件包(ARP攻击检测工具，局域网终结者，网络执法官，ARPsniffer 嗅探工具)。三、实验说明本实验所介绍的工具软件使用起来都比较方便，操作起来也不是很难，但是功能或指令却不止一种，所以实验中只介绍其中的某一种用法。其他的则可"触类旁通"。四、实验涉及到的相关软件下载： ARP攻击检测工具局域网终结者网络执法官 ARPsniffer嗅探工具五、实验原理 1、ARP及ARP欺骗原理： ARP（Address Resolution Protocol）即地址解析协议，是一种将IP地址转化成物理地址的协议。不管网络层使用什么协议，在网络链路上传送数据帧时，最终还是必须使用硬件地址的。而每台机器的MAC地址都是不一样的，具有全球唯一性，因此可以作为一台主机或网络设备的标识。目标主机的MAC地址就是通过ARP协议获得的。 ARP欺骗原理则是通过发送欺骗性的ARP数据包致使接收者收到数据包后更新其ARP 缓存表，从而建立错误的IP与MAC对应关系，源主机发送数据时数据便不能被正确地址接收。 2、ARPsniffer使用原理：在使用该工具时，它会将网络接口设置为混杂模式，该模式下工具可以监听到网络中传输的所有数据帧，而不管数据帧的目的地是自己还是其他网络接口的地址。嗅探器会对探测到的每一个数据帧产生硬件数据中断，交由操作系统处理，这样就实现了数据截获。 3、局域网终结者使用原理：一个主机接收到与自已相同IP发出的ARP请求就会弹出一个IP冲突框来。利用局域网终结者可以伪造任一台主机的IP向局域网不停地发送ARP请求，同时自已的MAC也是伪造的，那么被伪造IP的主机便会不停地收到IP冲突提示，致使该主机无法上网。这便构成了局域网终结者的攻击原理。 4、网络执法官使用原理：网络执法官原理是通过ARP欺骗发给某台电脑有关假的网关IP地址所对应的MAC地

简要回答arp欺骗的工作原理及如何防范

1．arp欺骗的原理以太网设备（比如网卡）都有自己全球唯一的MAC地址，它们是以MAC地址来传输以太网数据包的，但是以太网设备却识别不了IP数据包中的IP地址，所以要在以太网中进行IP通信，就需要一个协议来建立IP地址与MAC地址的对应关系，使IP数据包能够发送到一个确定的主机上。这种功能是由arp （AddressResolution Protocol）来完成的。 arp被设计成用来实现IP地址到MAC地址的映射。arp使用一个被称为arp高速缓存的表来存储这种映射关系，arp高速缓存用来存储临时数据（IP地址与MAC地址的映射关系），存储在arp高速缓存中的数据在几分钟没被使用，会被自动删除。 arp协议不管是否发送了arp请求，都会根据收到的任何arp应答数据包对本地的arp高速缓存进行更新，将应答数据包中的IP地址和MAC地址存储在arp高速缓存中。这正是实现arp欺骗的关键。可以通过编程的方式构建arp应答数据包，然后发送给被欺骗者，用假的IP地址与MAC地址的映射来更新被欺骗者的arp高速缓存，实现对被欺骗者的arp欺骗。有两种arp欺骗：一种是对路由器arp高速缓存的欺骗；另一种是对内网电脑arp高速缓存的欺骗。2．arp欺骗攻击的防范（1）在客户端使用arp命令绑定网关的IP/MAC（例如arp 00-e0-eb-81-81-85）。（2）在交换机上做端口与MAC地址的静态绑定。（3）在路由器上做IP/MAC地址的静态绑定。（4）使用arp服务器定时广播网段内所有主机的正确IP/MAC映射表。（5）及时升级客户端的操作系统和应用程序补丁。（6）升级杀毒软件及其病毒库。

最全的ARP欺骗攻击原理深入分析

1、ARP协议概述 IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成以太网网目的地址。在这两种地址之间存在着某种静态的或算法的映射，常常需要查看一张表。地址解析协议(Address Resolution Protocol，ARP)就是用来确定这些映象的协议。 ARP工作时，送出一个含有所希望的IP地址的以太网广播数据包。目的地主机，或另一个代表该主机的系统，以一个含有IP和以太网地址对的数据包作为应答。发送者将这个地址对高速缓存起来，以节约不必要的ARP通信。如果有一个不被信任的节点对本地网络具有写访问许可权，那么也会有某种风险。这样一台机器可以发布虚假的ARP报文并将所有通信都转向它自己，然后它就可以扮演某些机器，或者顺便对数据流进行简单的修改。ARP机制常常是自动起作用的。在特别安全的网络上，ARP映射可以用固件，并且具有自动抑制协议达到防止干扰的目的。图1是一个用作IP到以太网地址转换的ARP报文的例子。在图中每一行为32位，也就是4个八位组表示，在以后的图中，我们也将遵循这一方式。硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1。协议类型字段指明了发送方提供的高层协议类型，IP为0806（16进制）。硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用。操作字段用来表示这个报文的目的，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4。当发出ARP请求时，发送方填好发送方首部和发送方IP地址，还要填写目标IP地址。当目标机器收到这个ARP广播包时，就会在响应报文中填上自己的48位主机地址。