Arp木马工作原理？

Arp木马工作原理？

ARP欺骗原理: 在同一NET内的所以机器是通过MAC地址通讯。方法为，PC和另一台设备通讯，PC会先寻找对方的IP地址，然后在通过ARP表（ARP表里面有所以可以通讯IP和IP所对应的MAC地址）调出相应的MAC地址。通过MAC地址与对方通讯。也就是说在内网中各设备互相寻找和用来通讯的地址是MAC地址，而不是IP地址。但是当初ARP方式的设计没有考虑到过多的安全问题。给ARP留下很多的隐患，ARP欺骗就是其中一个例子。网内的任何一台机器都可以轻松的发送ARP广播，来宣称自己的IP和自己的MAC。这样收到的机器都会在自己的ARP表格中建立一个他的ARP项，记录他的IP和MAC地址。如果这个广播是错误的其他机器也会接受。例如： 192。168。1。11机器MAC是 00:00:00:11:11:11,他在内网广播自己的IP地址是192。168。1。254(其实是路由器的IP)，MAC地址是00:00:00:11:11:11(他自己的真实MAC).这样大家会把给192。168。1。254的信息和发给00:00:00:11:11:11.也就是192。168。1。11..。 有了这个方法欺骗者只需要做一个软件,就可以在内网想骗谁就骗谁.而且软件网上到处都是,随便DWON随便用.要多随便有多随便啊... 基于原理,ARP在技术上面又分为,对PC的欺骗和对路由的欺骗.他们的区别在后面的ARP解决里面仔细阐述. ARP欺骗的起因：网络游戏兴起后网络盗号，木马也跟着疯狂。ARP欺骗就是一种很好的盗号方式。欺骗者利用自己在网吧上网时，先找到内网网关的MAC地址，然后发送自己ARP欺骗，告送内网所以的机器自己是网关。例如：192。168。1。55 MAC00-14-6c-18-58-5a 机器为欺骗者的盗号机器，首先，他会先找到内网的网关（内网网关为 192。168。1。1 MAC为XX.XX.XX.XX.XX.XX）。之后他就会发送ARP广播，说自己的IP地址是192。168。1。1 MAC地址是00-14-6c-18-58-5a.这样，内网的所有收到他发信息得机器都会把它误认为内网的网关。所有上网信息都会通过他的MAC地址发给这个机器，由于找不到真正的网关，这些被骗的机器就无法上网。而发送的所有信息都会被这个盗号机器收到，通过分析收到的信息他可以在里面找到有用的信息，特别是有关于帐号的部分，从而得到正在游戏的玩家的帐号，发生盗号事件。 ARP的发现：那我们网吧出现掉线了,是否是ARP呢?如何去判断.好,这里给出方法,但是请大家顶了再说. ARP的通病就是掉线,在掉线的基础上可以通过以下几种方式判别，1。一般情况下不需要处理1分钟之内就可以回复正常上网。因为ARP欺骗是由时限，过了期限就会自动的回复正常。而且现在大多数路由器都会在很短时间内不停广播自己的正确ARP，使受骗的机器回复正常。但是如果出现攻击性ARP欺骗(其实就是时间很短的量很大的欺骗ARP,1秒有个几百上千的)，他是不断的通过非常大量ARP欺骗来阻止内网机器上网，即使路由器不断广播正确的包也会被他大量的错误信息给淹没。2。打开被骗机器的DOS界面，输入ARP -A命令会看到相关的ARP表，通过看到的网关的MAC地址可以去判别是否出现ARP欺骗，但是由于时限性，这个工作必须在机器回复正常之前完成。如果出现欺骗问题,ARP表里面会出现错误的网关MAC地址,和真实的网关MAC一对黑白立分. ARP解决：现在看到ARP解决方案,都感觉有点效率低下,而且不够稳定.本人对欣向路由较为了解,以他为例吧. 1.路由ARP广播. 国内部分硬件路由有此功能,最早是在欣向的路由里面发现这个功能.感觉不错,挺有方法的,但是在软路由里面好像还未发现,软路由的兄弟们加把劲啦.他的原理是路由器不间断的广播正确的路由器ARP.例如:路由器的IP是192.168.1.1 MAC:11:12:13:14:15:16,那他就会不停的每秒广播自己的正确ARP.不管你内网机器是否喜欢收,1秒收一个一秒收一个,收到了就改一次ARP表收到了就改一次ARP表.无穷无尽无止无息,子子孙孙无穷亏也.....如果出现ARP欺骗,欺骗者发出欺骗信息,PC刚收到欺骗信息就收到了正确信息.所以问题也就解决了.但是有个隐患,就是广播风暴的问题.不间断的广播是否会应该内网的网络呢??? (带着问题请教了国内某厂家欣X的工程师,工程师很热情的解除了我的疑惑,感谢一下先).以每秒次的频率发送APR广播在内网是微乎其微的,因为任何一个机器都会有广播发生,多一个ARP最多相当于多几台机器的信息量,对内网是不会有影响的.但是这种方式有他的问题,当欺骗者加大欺骗ARP的频率超过路由时(在欺骗软件上面实现非常容易),还是会造成欺骗的效果.解决也应该很简单就是加大路由器的广播频率,但是欣X的工程师却否定了这种方法,原因请看第2条. 2.超量路由ARP广播. 近期发现个别路由厂家宣传可以完全防止ARP问题.我抱着崇敬的心态去学习了一下处理方法,不得不让人失望,是非常失望和痛心.所谓完全防止其实就是前面的路由ARP广播,只是简单的把频率加大到每秒100.200.....次. 这种方法效果单看ARP方面确实比每秒一次要好.但是却是得不偿失,甚至有点.....不说了,免得让人骂.简单给大家分析一下,每秒100为例吧,也就是说,路由器1秒时间会发出100个ARP广播,200台的电脑,每台机器每秒处理100次.如果有10台交换机,就会有10个交换机处理100次.每次交换机都会把信息互相转发,这每秒ARP信息的处理量要按照10N次方＊100去计算的.大家如果了解广播的模式就会清楚,交换家之间会互相不停的传递信息,你发给大家,我收到了,还会发给大家.大家收到了还是要发给大家.这样每台PC最终收到的信息每秒要上万条吧(这个量应该只小没大吧?).每秒都这样干100次.不知道网络内部要成为什么样子??PC的就没事老维护ARP表就不干别的了吗?为了一个ARP,7*24小时的折腾网络值得吗?网络性能要降低多少啊.人满时或者有点内网的小攻击时,网吧不瘫痪估计有点难啊,,,死字很容易写啊.当然平时你是感觉不到的.但是我要问一句想出此方法的工程师,你出这个方案,是为了解决问题吗? 3.极力推荐的方法.静态绑定. ARP解决最有效的方法，就是从根本杜绝他的欺骗途径。欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以根本解决对内网PC的欺骗。方法为：找到路由器的lan口的MAC地址，把MAC地址通过静态的方式帮定到每台PC上面。通过命令，ARP -S 可以实现。 首先，建立一个批处理文件。内容只有一行命令，“ARP -S 内网网关 网关的MAC地址 ”，例如：“ARP -S 192.168.1.1 00-13-32-33-12-11 ”.把批处理文件放到启动里面,这样每次开机都会执行这个文件,即使出现ARP欺骗,由于我们设置的是静态方式,PC也不会去理会欺骗的ARP. 如果设置成功会在PC上面通过执行 arp -a 可以看到相关的提示: Internet Address Physical Address Type(注意这里) 192.168.1.1 00-0f-7a-05-0d-a4 static(静态) 一般不绑定,在动态的情况下: Internet Address Physical Address Type 192.168.1.1 00-0f-7a-05-0d-a4 dynamic(动态)

参考资料： http://www.immwall.com

去贝壳木马专杀官网看看吧。有arp病毒专题！！ 专题地址！里面有你想了解的有关arp的防护以及arp攻击原理。 专题地址： http://www.beike.cn/ztarp.html

ARP数据包根据接收对象不同，可分为两种：（1）广播包(Broadcast)。广播包目的MAC地址为FF-FF-FF-FF-FF-FF，交换机设备接收到广播包后，会把它转发给局域网内的所有主机。（2）非广播包(Non-Broadcast)。非广播包后只有指定的主机才能接收到。

ARP数据包根据功能不同，也可以分为两种：（1）ARP请求包(ARP Request)。ARP请求包的作用是用于获取局域网内某IP对应的MAC地址。（2）ARP回复包(ARP Reply)。ARP回复包的作用是告知别的主机，本机的IP地址和MAC是什么

主机在两种情况下会保存、更新本机的ARP缓存表，（1）接收到“ARP广播-请求”包时。（2）接收到“ARP非广播-回复”包时。　 从中我们可以看出，ARP协议是没有身份验证机制的，局域网内任何主机都可以随意伪造ARP数据包，ARP协议设计天生就存在严重缺陷。假设局域网内有以下三台主机（其中GW指网关），主机名、IP地址、MAC地址分别如下： 　　　 主机名　 IP地址　　　　 MAC地址 　　　　GW　　　 192.168.0.1　　 01-01-01-01-01-01 　　　　PC02　　 192.168.0.2　　 02-02-02-02-02-02 　　　 PC03　　 192.168.0.3　　 03-03-03-03-03-03 正常情况下，主机PC02与GW之间的数据流向，以及它们各自的ARP缓存表如下图所示： 　 当PC03出现恶意企图时，它可能实施三种不同类型的ARP欺骗：　 3.1 只欺骗受害主机。实施欺骗后效果如下： 3.2 只欺骗路由器、网关。实施欺骗后效果如下：

3.3 双向欺骗，即前面两种欺骗方法的组合使用。实施欺骗后的效果如下：

如以上回答内容为低俗、色情、不良、暴力、侵权、涉及违法等信息，可以点下面链接进行举报！

点此我要举报以上问答信息