计算机网络安全实验——arp欺骗

《计算机网络安全》实验报告实验名称： arp欺骗

提交报告时间：年月日

一、实验目的

程序实现ARP欺骗，对ARP欺骗进行进一步的认识并提出防范措施。

二、系统环境

主机1 windows系统

主机2 windows系统

主机3 linux操作系统

三、网络环境

同一网段下的网络

四、实验步骤与实验结果

将主机A、C、E为一组，B、D、F为一组。实验角色说明如下：

首先使用“快照X”恢复Windows/Linux系统环境。

一．ARP欺骗攻击

实验需求：

（1）本实验使用交换网络结构（参见附录B），组一、二和三间通过交换模块连接（主机A、C、E通过交换模块连接，主机B、D、F也通过交换模块连接）。因此，正常情况下，主机C无法以嗅探方式监听到主机A与主机E间通信数据，同样主机D也无法监听到主机B与主机F 间的通信数据。

（2）主机C要监听主机A和主机E间的通信数据；主机D要监听主机B与主机F间的通信数据。

分析：

黑客主机通过对目标主机进行ARP欺骗攻击，获取目标主机间的通信数据。

1．正常通信

图6-1-1 目标主机正常通信示意图

（1）目标主机二单击工具栏“UDP工具”按钮，启动UDP连接工具，创建2513/udp服务端。

主机1发送数据

（2）目标主机一启动UDP连接工具，将“目标机器”IP地址指定为目标主机二的地址，目标端口与服务器一致。在“数据”文本框中输入任意内容，单击“发送”按钮，向服务端发数据。服务端确定接收到数据。

主机2接收到数据

（3）黑客主机单击工具栏“控制台”按钮，切换至/opt/ExpNIC/NetAD-Lab/Tools/ids 目录（Snort目录），命令如下：

主机3

通过上述命令snort仅会监听源IP地址为目标主机一的、传输协议类型为UDP的网络数据（详细的snort使用命令见实验10｜练习一）。

（4）目标主机一再次向目标主机二发送消息，黑客主机停止snort监听（Ctrl+C），观察snort监听结果，是否监听到目标主机间的通信数据。为什么？

主机1向主机2发送消息

主机3不能监听到主机1发送到的数据

因为命令snort只会监听源IP地址为目标主机一的、传输协议类型为UDP的网络数据，并不能截获数据

（5）目标主机一查看ARP缓存表，确定与目标主机二的IP相映射的MAC地址是否正常。

此时主机1arp缓存正常

2．ARP攻击

图6-1-2 ARP攻击示意图

（1）黑客主机单击平台工具栏“控制台”按钮，进入实验目录，运行ARPattack程序攻击目标主机一，将其ARP缓存表中与目标主机二相映射的MAC地址更改为黑客主机的MAC地址，命令如下：

其中第一个参数为被攻击主机IP地址，第二个参数为被攻击主机MAC地址，第三个参数为与被攻击主机进行正常通信的主机IP地址。

通过上述命令在目标主机一的ARP缓存表中，与目标主机二IP相绑定的MAC被更改为黑客主机MAC。

（2）黑客主机启动snort，同样监听源IP地址为目标主机一的、传输协议类型为UD P的网络数据。

（3）目标主机一继续向目标主机二发送数据，目标主机二是否接收到数据？目标主机间的通信是否正常？黑客主机停止snort监听，观察snort监听结果，是否监听到目标主机间的通信数据。为什么？主机2不能接收到数据，通信不正常

主机1发送数据“ee”

主机三监听到发送的数据“ee”

因为运行ARPattack程序攻击目标主机一，将其ARP缓存表中与目标主机二相映射的MAC 地址更改为黑客主机的MAC地址，主机3已经截获了主机1发给主机2的数据；命令snort会监听源IP地址为目标主机一的、传输协议类型为UDP的网络数据。

（4）目标主机一查看ARP缓存表，确定与目标主机二的IP相映射的MAC地址是否正常。

Ip为主机2ip，但MAC已经改成黑客主机的MAC地址了

3．单向欺骗

正如步骤2中所示的实验现象，在黑客实施了简单的ARP攻击后，目标主机二会接收不到目标主机一的消息，在接下来的时间里目标主机一、二很容易会对网络状况产生怀疑。他们会去查看并修改ARP缓存表。所以应尽量减少目标主机由于受到ARP攻击而表现出的异常，将黑客主机做为“中间人”，将目标主机一发送的数据转发给目标主机二，是一种很可行的方法。

图6-1-3 ARP单向欺骗示意图

（1）黑客主机开启路由功能，具体操作如下：

在控制台中输入命令：echo 1 >/proc/sys/net/ipv4/ip_forward

主机3

（2）黑客主机捕获来自目标主机一的数据包，并将其转发给目标主机二，具体操作如下（添加iptables防火墙转发规则）：

主机3

上述第一条规则允许将来自网络接口eth0、源IP为目标主机一IP、目的IP为目标主机二IP的数据包进行转发，目的网络接口为eth0；第二条规则允许接收针对第一条规则的应答数据包（iptables具体使用方法见实验9｜练习二）。

（3）黑客主机启动snort，监听源地址为目标主机一IP、协议类型为UDP的数据包。

主机1发送数据“zailai”

（4）目标主机一再次向目标主机二发送UDP数据，目标主机二是否接收到数据？为什么？

主机2能接收到数据

因为黑客主机通过iptables规则允许将来自网络接口eth0、源IP为目标主机一IP、目的IP为目标主机二IP的数据包进行转发，实现了将黑客主机做为“中间人”，将目标主机一发送的数据转发给目标主机二

（5）黑客主机停止snort监听，会观察到类似如图6-1-4所示信息。

图6-1-4 数据包转发

从上图所示信息中可以知道，由源主机（MAC地址是0:C:29:21:1A:7）发往目的主机（M AC地址是0:C:29:B7:3C:1）的数据包在网络传输时的路由过程是：源主机->中间人（MAC地址是0:C:29:F6:44:FB）->目标主机。

（6）黑客主机查看ARP缓存表，确定与目标主机一的IP相映射的MAC地址；确定与目标主机二的IP相映射的MAC地址。

（7）目标主机二查看ARP缓存表，确定与目标主机一的IP相映射的MAC地址。

下面来测试目标主机二对一的数据通信情况。

（8）黑客主机启动snort，仅监听协议类型为ICMP的网络数据包。

（9）目标主机一对目标主机二进行ping操作，是否能够ping通？请描述数据包的在网络中的传输路径。

主机1对主机2进行 Ping操作，可以ping通，黑客可以监测到数据

由源主机（MAC地址是0:C:29:21:1A:7）发往目的主机（MAC地址是0:C:29:B7:3C:1）的数据包在网络传输时的路由过程是：源主机->中间人（MAC地址是0:C:29:F6:44:FB）->目标主机。

（10）黑客主机停止snort监听，观察结果，是否监听到主机一给主机二发出的ICMP 回显请求数据包？是否监听到主机二给主机一发出的ICMP回显应答数据包？为什么会出现此种现象？

能监听到主机一给主机二发出的ICMP回显请求数据包，不能监听到主机二给主机一发出的ICMP回显应答数据包。目标主机二的ARP缓冲表中与目标主机一IP相映射的MAC地址仍然是目标主机一的MAC地址。所以目标主机二会将ICMP回显应答数据包直接发送给目标主机一

4．完全欺骗

黑客如何才能够做到监听目标主机一、二间的全部通信数据呢？

图6-1-5 ARP完全欺骗示意图（1）目标主机一访问目标主机二的Web服务。

（2）黑客对目标主机二实施ARP攻击。

（3）黑客主机启动snort，监听目标主机一、二间的通信数据。命令如下：

（4）目标主机一再次访问目标主机二的Web服务。

（5）黑客主机观察snort监听结果。

此时主机2 ping主机1

查看主机2的缓存表，发现主机1的ip对应的MAC已经变成主机3（黑客）的了

黑客主机3能够做到监听目标主机1、2间的全部通信数据

二．防范ARP欺骗

当发现主机通信异常或通过网关不能够正常上网时，很可能是网关的IP被伪造。可以使用下列手工方法防范ARP欺骗攻击。

1．清空ARP缓存表

清空ARP缓存表的命令是arp -d ，之后对目标主机进行ping操作。2．IP/MAC地址绑定

实现IP/MAC地址绑定，实际上就是向ARP缓存表中添加静态(static)项目，这些项目不会被动态刷新，在机器运行过程中不会失效。

（1）Linux下绑定IP/MAC

实验使用的Linux系统环境（FC5）中，arp命令提供了-f选项，完成的功能是将/etc/ ethers文件中的IP/MAC地址对以静态方式添加到ARP缓存表中。建立静态IP/MAC捆绑的方法如下：

首先建立/etc/ethers文件（或其它任意可编辑文件），编辑ethers文件，写入正确的IP/MAC地址对应关系，格式如下：

新建ethers文件，并添加IP/MAC地址

然后让系统在启动后自动加载项目，具体操作：在/etc/rc.d/rc.local最后添加新行arp -f，重启系统即可生效。

此时输入arp -e查看arp缓存表，静态项目的Flags Mask内容为CM，其中M表示当前项目永久有效。

故障原因 主要原因是在局域网中有人使用了ARP欺骗的木马程序,比如一些盗号的软件。 传奇外挂携带的ARP木马攻击,当局域网内使用外挂时，外挂携带的病毒会将该机器的MAC 地址映射到网关的IP地址上，向局域网内大量发送ARP包，致同一网段地址内的其它机器误将其作为网关，掉线时内网是互通的，计算机却不能上网。方法是在能上网时，进入MS-DOS窗口，输入命令：arp –a查看网关IP对应的正确MAC地址，将其记录，如果已不能上网，则先运行一次命令arp –d将arp缓存中的内容删空，计算机可暂时恢复上网，一旦能上网就立即将网络断掉，禁用网卡或拔掉网线，再运行arp –a。 如已有网关的正确MAC地址，在不能上网时，手工将网关IP和正确MAC绑定，可确保计算机不再被攻击影响。可在MS-DOS窗口下运行以下命令：arp –s 网关IP 网关MAC。如被攻击，用该命令查看，会发现该MAC已经被替换成攻击机器的MAC，将该MAC记录，以备查找。找出病毒计算机：如果已有病毒计算机的MAC地址，可使用NBTSCAN软件找出网段内与该MAC地址对应的IP，即病毒计算机的IP地址。 故障现象 当局域网内有某台电脑运行了此类ARP欺骗的木马的时候，其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。 切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。 由于ARP欺骗的木马发作的时候会发出大量的数据包导致局域网通讯拥塞，用户会感觉上网速度越来越慢。当木马程序停止运行时，用户会恢复从路由器上网，切换中用户会再断一次线。 该机一开机上网就不断发Arp欺骗报文，即以假冒的网卡物理地址向同一子网的其它机器发送Arp报文，甚至假冒该子网网关物理地址蒙骗其它机器，使网内其它机器改经该病毒主机上网，这个由真网关向假网关切换的过程中其它机器会断一次网。倘若该病毒机器突然关机或离线，则其它机器又要重新搜索真网关，于是又会断一次网。所以会造成某一子网只要有一台或一台以上这样的病毒机器，就会使其他人上网断断续续，严重时将使整个网络瘫痪。这种病毒（木马）除了影响他人上网外，也以窃取病毒机器和同一子网内其它机器上的用户帐号和密码（如QQ和网络游戏等的帐号和密码）为目的，而且它发的是Arp报文，具有一定的隐秘性，如果占系统资源不是很大，又无防病毒软件监控，一般用户不易察觉。这种病毒开学初主要发生在学生宿舍，据最近调查，现在已经在向办公区域和教工住宅区域蔓延，而且呈越演越烈之势。 经抽样测试，学校提供的赛门铁克防病毒软件企业版10.0能有效查杀已知的Arp欺骗病毒（木马）病毒。恶意软件由于国际上未有明确界定，目前暂无一款防病毒软件能提供100%杜绝其发作的解决方案，需要借助某些辅助工具进行清理。 解决思路 不要把你的网络安全信任关系建立在IP基础上或MAC基础上。 设置静态的MAC-->IP对应表，不要让主机刷新你设定好的转换表。

实验二ARP欺骗实验 【实验目的】 加深对ARP高速缓存的理解 了解ARP欺骗在网络攻击中的应用 【实验原理】 ARP欺骗是黑客常用的攻击手段之一，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。 第一种ARP欺骗的原理是——截获网关数据。它通过发送ARP应答包通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，―网络掉线了‖。 ARP表是IP地址和MAC地址的映射关系表，任何实现了IP协议栈的设备，一般情况下都通过该表维护IP地址和MAC地址的对应关系，这是为了避免ARP 解析而造成的广播数据报文对网络造成冲击。 【实验环境】 需要使用协议编辑软件进行数据包编辑并发送；IP地址分配参考如下表所示。 设备IP地址Mac地址后缀 HostA 10.28.23.112 44-37-e6-10-77-81 HostB 10.28.23.168 28-92-4a-56-15-c2 设备连接即两台个人电脑。

【实验内容】 搭建网络实现ARP地址欺骗过程 防范ARP地址欺骗 【实验步骤】 一、设定环境(在实验中应根据具体实验环境进行实验) (1)根据环境拓扑图设定网络环境，并测试连通性。 (2)需要使用协议编辑软件进行数据包编辑并发送。 二、主机欺骗 (1)获得设定网络中各主机的IP地址和MAC地址，Ping网关。如图2-1、图 2-2 图2-1 图2-2

网络安全期末复习题及答案 选择题： 1. 计算机网络安全的目标不包括 (A) A. 可移植性 B. 保密性 C.可控性 D.可用性 2. SNMP 的中文含义为 (B) A. 公用管理信息协议 B . 简单网络管理协议 C.分布式安全管理协议 D.简单邮件传输 协议 C. 只能作为检查系统漏洞的工具 D.既可以作为攻击工具，也可以作为防御工具 4. 在以下人为的恶意攻击行为中，属于主动攻击的是 (A) A 、身份假冒 B 、数据解密 C 、数据流分析 D 、非法访问 5. 黑客利用 IP 地址进行攻击的方法有： (A) A.IP 欺骗 B.解密 C.窃取口令 D. 发送病毒 6. 使网络服务器中充斥着大量要求回复的信息，消耗带宽，导致网络或系统停止正常服务，这属 于什么攻击类型 ?(A) A 、拒绝服务 B 、文件共享 C 、BIN D 漏洞 D 、远程过程调用 7. 向有限的空间输入超长的字符串是哪一种攻击手段？ (A) A 、缓冲区溢出 B 、网络监听 C 、拒绝服务 D 、IP 欺骗 8. 用户收到了一封可疑的电子邮件 ,要求用户提供银行账户及密码 , 这是属于何种攻击手段 (B) A 、缓存溢出攻击 B 、钓鱼攻击 C 、暗门攻击 D 、DDOS 攻击 9. WindowsNT 和 Windows2000系统能设置为在几次无效登录后锁定帐号 , 这可以防止： (B) A 、木马 B 、暴力攻击 C 、IP 欺骗 D 、缓存溢出攻击 10. 当你感觉到你的 Win2003 运行速度明显减慢， 当你打开任务管理器后发现 CPU 的使用率达到了 百分之百，你最有可能认为你受到了哪一种攻击。 (B) A 、特洛伊木马 B 、拒绝服务 C 、欺骗 D 、中间人攻击 11. 假如你向一台远程主机发送特定的数据包，却不想远程主机响应你的数据包。这时你使用哪一 种类型的进攻手段？ (B) A 、缓冲区溢出 B 、地址欺骗 C 、拒绝服务 D 、暴力攻击 12. 小李在使用 superscan 对目标网络进行扫描时发现，某一个主机开放了 25 和 110 端口，此主 机最有可能是什么？ (B) A 、文件服务器 B 、邮件服务器 C 、WEB 服务器 D 、 DNS 服务器 13. 你想发现到达目标网络需要经过哪些路由器，你应该使用什么命令？ (C) A 、pingB 、nslookup C 、 tracertD 、ipconfig 14. 黑客要想控制某些用户，需要把木马程序安装到用户的机器中，实际上安装的是 (B) A ．木马的控制端程序 B ．木马的服务器端程序 C ．不用安装 D ．控制端、服务端程序都必需安装 15. 为了保证口令的安全，哪项做法是不正确的 (C) 3. 端口扫描技术 (D) A.只能作为攻击工具 B.只能作为防御工具 A 用户口令长度不少于 6 个字符 B 口令字符最好是数字、字母和其他字符的混合 C 口令显示在显示屏上 D 对用户口令进行加密 16. 以下说法正确的是 (B) A ．木马不像病毒那样有破坏性 C ．木马不像病毒那样是独立运行的程序 17. 端口扫描的原理是向目标主机 B ．木马不像病毒那样能够自我复制 D ．木马与病毒都是独立运行的程序 端口发送探测数据包，并记录目标主机的响应。 (C)

ARP欺骗在网络中的应用及防范 一、ARP协议的内容和工作原理 地址解析协议（Address Resolution Protocol,ARP）是在只知道主机IP地址时确定其物理地址的一种协议。因IPv4、IPv6和以太网的广泛应用，其主要用于将IP地址翻译为以太网的MAC地址，但其也能在ATM和FDDI IP网络中使用。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（IP层，也就是相当于OSI的第三层）地址解析为数据连接层（MAC 层，也就是相当于OSI的第二层）的MAC地址。 首先，每台主机都会在自己的ARP缓冲区中建立一个ARP映射表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP 请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里面包括源主机的IP地址、源主机的MAC地址以及目的主机的IP地址、目的MAC地址。同一网段中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就丢弃此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP映射表中，如果ARP映射表中已经存在该IP的信息，则将其覆盖，然后以单播的形式给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到目的主机的IP地址和MAC地址并添加到自己的ARP映射表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。 二、ARP协议存在的安全漏洞 ARP协议是建立在信任局域网内所有节点的基础上的，它很高效，但却不安全。其主要漏洞有以下三点： １、主机地址映射表是基于高速缓存、动态更新的，ARP将保存在高速缓存中的每一个映射地址项目都设置了生存时间，它只保存最近的地址对应关系。这样恶意的用户如果在下次交换前修改了被欺骗机器上的地址缓存，就可以进行假冒或拒绝服务攻击。 2、由于ARP是无状态的协议，即使没有发送ARP请求报文，主机也可以接收ARP应答，只要接收到ARP应答分组的主机就无条件地根据应答分组的内容刷新本机的高速缓存。这就为ARP欺骗提供了可能，恶意节点可以发布虚假的ARP 报文从而影响网内节点的通信，甚至可以做“中间人”。 ３、任何ARP应答都是合法的，ARP应答无须认证，只要是局域网内的ARP 应答分组，不管是否是合法的应答，主机都会接受ARP应答，并用其IP-MAC信息篡改其缓存。这就是ARP的另一个隐患。 三、ARP欺骗攻击的实现过程 3.1 网段内的ARP欺骗攻击 ARP欺骗攻击的最基本手段就是向目标主机发送伪造的ARP应答，并使目标主机接收应答中伪造的IP与MAC间的映射表，并以此更新目标主机缓存。设在

网络安全简答题精选 一、简答题 1、简述物理安全包括那些内容？ 防盗，防火，防静电，防雷击和防电磁泄漏 2、简述防火墙有哪些基本功能？（写出五个功能） 建立一个集中的监视点 隔绝内外网络，保护内部网络 强化网络安全策略 对网络存取和访问进行监控和审计 实现网络地址转换 3、简述无线局域网由那些硬件组成？ 无线局域网由无线网卡、AP、无线网桥、计算机和有关设备组成。 4、简述网络安全的层次体系 从层次体系上，可以将网络安全分成四个层次上的安全：物理、逻辑、操作系统和联网安全 5、简述TCP/IP协议族的基本结构 ?TCP/IP协议族是一个四层协议系统，自底而上分别是数据链路层、网络层、传输层和应用层。 6、简述网络扫描的分类及每类的特点 扫描，一般分成两种策略：一种是主动式策略，另一种是被动式策略。 被动式策略是基于主机之上，对系统中不合适的设置、脆弱的口令及其他同安全规则抵触的对象进行检查，不会对系统造成破坏。 主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞，但是可能会对系统造成破坏。 7、简述常用的网络攻击手段 网络监听、病毒及密码攻击、欺骗攻击 拒绝服务攻击、应用层攻击、缓冲区溢出 8、简述后门和木马的概念并说明两者的区别

木马(Trojan)，也称木马病毒，是指通过特定的程序木马程序来控制另一台计算机 后门：是绕过安全性控制而获取对程序或系统访问权的方法 本质上，木马和后门都是提供网络后门的功能，但是木马的功能稍微强大一些，一般还有远程控制的功能，后门程序则功能比较单一，只是提供客户端能够登录对方的主机 9、简述恶意代码的概念及长期存在的原因 恶意代码是一种程序，它通过把代码在不被察觉的情况下镶嵌到另一段程序中，从而达到破坏被感染电脑数据、运行具有入侵性或破坏性的程序、破坏被感染电脑数据的安全性和完整性的目的。 原因：在信息系统的层次结构中，包括从底层的操作系统到上层的网络应用在内的各个层次都存在着许多不可避免的安全问题和安全脆弱性。而这些安全脆弱性的不可避免，直接导致了恶意代码的必然存在。 10、简述安全操作系统的机制 安全操作系统的机制包括：硬件安全机制，操作系统的安全标识与鉴别，访问控制、最小特权管理、可信通路和安全审计。 11、简述密码学除机密性外还需提供的功能 鉴别、完整性、抗抵赖性 鉴别：消息的接收者应该能够确认消息的来源；入侵者不可能伪装成他人。 完整性：消息的接收者应该能够验证在传送过程中消息没有被修改；入侵者不可能用假消息代替合法消息。 抗抵赖性：发送者事后不可能虚假地否认他发送的消息。 12、简述入侵检测系统的概念及常用的3种入侵检测方法 入侵检测系统：是能够对入侵异常行为自动进行检测、监控和分析的软件与硬件的组合系统，是一种自动监测信息系统内、外入侵的安全设备 常用的方法有3种：静态配置分析、异常性检测方法，基于行为的检测方法和文件完整性检查。 13、简述网络安全框架包含的内容 网络安全策略 网络安全策略和标准 网络安全运作

无线局域网内的ARP攻击引起的上网掉线的原因和解决方法 在家庭和公司的宽带局域网中，经常会遇到的就是ARP病毒攻击，最常见的症状是电脑老是掉线，网页经常打不开，QQ无法登陆之类的现象。就是能浏览网页也会很卡，这不是无线路由器出故障了，也不是网速问题，大多都是遇到ARP攻击了，这对上网的体验影响很大，对业务以来网络的公司来说更是意味着金钱的损失。下面就来给大家解释一下原因和相应的解决办法，顺带也说说ARP攻击的演化。 首先，我们先来了解一下什么是ARP攻击。 ARP攻击，是针对以太网地址解析协议（ARP）的一种攻击技术。此种攻击可让攻击者取得局域网上的数据封包甚至可篡改封包，且可让网络上特定计算机或所有计算机无法正常连接。最早探讨ARP攻击的文章是由Yuri Volobue所写的《ARP与ICMP转向游戏》。 ARP攻击的演化 初期： 这种有目的的发布错误ARP广播包的行为，被称为ARP欺骗。ARP欺骗，最初为黑客所用，成为黑客窃取网络数据的主要手段。黑客通过发布错误的ARP广播包，阻断正常通信，并将自己所用的电脑伪装成别人的电脑，这样原本发往其他电脑的数据，就发到了黑客的电脑上，达到窃取数据的目的。 中期：ARP恶意攻击 后来，有人利用这一原理，制作了一些所谓的“管理软件”，例如网络剪刀手、执法官、终结者等，这样就导致了ARP恶意攻击的泛滥。往往使用这种软件的人，以恶意破坏为目的，多是为了让别人断线，逞一时之快。 特别是在网吧中，或者因为商业竞争的目的、或者因为个人无聊泄愤，造成恶意ARP攻击泛滥。 随着网吧经营者摸索出禁用这些特定软件的方法，这股风潮也就渐渐平息下去了。 现在：综合的ARP攻击 最近这一波ARP攻击潮，其目的、方式多样化，冲击力度、影响力也比前两个阶段大很多。 首先是病毒加入了ARP攻击的行列。以前的病毒攻击网络以广域网为主，最有效的攻击方式是DDOS攻击。但是随着防范能力的提高，病毒制造者将目光投向局域网，开始尝试ARP攻击，例如最近流行的威金病毒，ARP攻击是其使用的攻击手段之一。

网络安全期末复习题及答案 一、选择题： 1.计算机网络安全的目标不包括( A ) A.可移植性 B.性 C.可控性 D.可用性 2.SNMP的中文含义为( B ) A.公用管理信息协议 B.简单网络管理协议 C.分布式安全管理协议 D.简单传输协议 3.端口扫描技术( D ) A.只能作为攻击工具 B.只能作为防御工具 C.只能作为检查系统漏洞的工具 D.既可以作为攻击工具，也可以作为防御工具 4.在以下人为的恶意攻击行为中，属于主动攻击的是( A ) A、身份假冒 B、数据解密 C、数据流分析 D、非法访问 5.黑客利用IP地址进行攻击的方法有：( A ) A. IP欺骗 B. 解密 C. 窃取口令 D. 发送病毒 6.使网络服务器中充斥着大量要求回复的信息，消耗带宽，导致网络或系统停止正常 服务，这属于什么攻击类型? ( A ) A、拒绝服务 B、文件共享 C、BIND漏洞 D、远程过程调用 7.向有限的空间输入超长的字符串是哪一种攻击手段？( A ) A、缓冲区溢出 B、网络监听 C、拒绝服务 D、IP欺骗 8.用户收到了一封可疑的电子,要求用户提供银行账户及密码,这是属于何种攻击手段 ( B ) A、缓存溢出攻击 B、钓鱼攻击 C、暗门攻击 D、DDOS攻击 9.Windows NT 和Windows 2000系统能设置为在几次无效登录后锁定,这可以防止： ( B ) A、木马 B、暴力攻击 C、IP欺骗 D、缓存溢出攻击 10.当你感觉到你的Win2003运行速度明显减慢，当你打开任务管理器后发现CPU的使 用率达到了百分之百，你最有可能认为你受到了哪一种攻击。( B ) A、特洛伊木马 B、拒绝服务 C、欺骗 D、中间人攻击 11.假如你向一台远程主机发送特定的数据包，却不想远程主机响应你的数据包。这时 你使用哪一种类型的进攻手段？( B ) A、缓冲区溢出 B、地址欺骗 C、拒绝服务 D、暴力攻击 12.小在使用super scan对目标网络进行扫描时发现，某一个主机开放了25和110端 口，此主机最有可能是什么？( B ) A、文件服务器 B、服务器 C、WEB服务器 D、DNS服务器 13.你想发现到达目标网络需要经过哪些路由器，你应该使用什么命令？( C ) A、ping B、nslookup C、tracert D、ipconfig 14.黑客要想控制某些用户，需要把木马程序安装到用户的机器中，实际上安装的是 ( B ) A．木马的控制端程序B．木马的服务器端程序 C．不用安装D．控制端、服务端程序都必需安装 15.为了保证口令的安全，哪项做法是不正确的( C ) A 用户口令长度不少于6个字符 B 口令字符最好是数字、字母和其他字符的混

【故障原因】 局域网内有人使用ARP欺骗的木马程序（比如：传奇盗号的软件，某些传奇外挂中也被恶意加载了此程序）。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) 【故障原理】 要了解故障原理，我们先来了解一下ARP协议。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) 在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP 地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m)每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下表所示。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) 主机IP地址MAC地址 A192.168.16.1aa-aa-aa-aa-aa-aa B192.168.16.2bb-bb-bb-bb-bb-bb C192.168.16.3cc-cc-cc-cc-cc-cc D192.168.16.4dd-dd-dd-dd-dd-dd 我们以主机A（192.168.16.1）向主机B（192.168.16.2）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.16.2的MAC 地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.16.2的MAC地址是bb-bb-bb-bb-bb-bb”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP 缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) 从上面可以看出，ARP协议的基础就是信任局域网内所有的人，那么就很容易实现在以太网上的ARP欺骗。对目标A进行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地址上。如果进行欺骗的时候，把C的MAC地址骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不正好是D 能够接收到A发送的数据包了么，嗅探成功。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) A对这个变化一点都没有意识到，但是接下来的事情就让A产生了怀疑。因为A和C 连接不上了。D对接收到A发送给C的数据包可没有转交给C。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) 做“man in the middle”，进行ARP重定向。打开D的IP转发功能，A发送过来的数据包，转发给C，好比一个路由器一样。不过，假如D发送ICMP重定向的话就中断了整个计划。电+脑*维+修-知.识_网(w_ww*dnw_xzs*co_m) D直接进行整个包的修改转发，捕获到A发送给C的数据包，全部进行修改后再转发

1、ARP欺骗攻击发生在什么网络范围内( 单选题) B 因特网 局域网 广域网 以上全部 请问下面哪一项属于端口扫描工具( 单选题)B Dnsmap Nmap Nessus lpconfig 一机两用在本地客户端开了什么端口( 单选题) C 444 235 22105 1324 如何防范ICMP FLOOD攻击( 不定项选择题) 使用防火墙 禁止ping请求 关闭不用的tcp端口 过滤ICMP报文 下面哪一种攻击方式最常用于破解口令( 单选题) A 字典攻击 WinNuk 哄骗 拒绝服务

从此处下载的rar加密文件文件内容是什么( 填空题) 4444 请点击下载文件 word 加密文件内容是2222 共享式网络通过什么网络设备连接( 单选题) C 防火墙 交换机 集线器 Ip欺骗是指数据包中哪个字段被篡改( 单选题) B 目的mac地址 源ip地址 目的ip地址 源mac地址 交换式网络通过什么网络设备连接( 单选题) D 防火墙 路由器 集线器 交换机 Ip地址为10.2.64.111的主机操作系统是什么( 单选题) A windows linux dns欺骗攻击什么设备将没有效果( 不定项选择题) dns服务器 防火墙 路由器 交换机

NMAP是什么( 单选题) C 攻击工具 防范工具 扫描工具 网络协议 Ip地址为10.2.64.111的主机是否存活( 单选题) B 不存活 存活 以下哪种加密算法不与其他三种相同( 单选题) A RSA IDEA 3DES RC5 Ip地址为10.2.64.112的主机开了什么服务( 单选题) C web ftp 以上两个都开了 以上两个都没开 RSA与DSA相比的优点是什么( 不定项选择题) A 它可以提供数字签名和加密功能 它使用一次性密码本 前者是分组加密后者是流加密 由于使用对称密钥它使用的资源少加密速度快 UDP Flood攻击发送udp包来攻击服务器，请问哪种服务器会响应udp请求，被UDP Flood 攻击成功( 不定项选择题)

解决局域网ARP攻击造成的断网问题 【字号：大中小】 实战：解决局域网ARP攻击造成的断网问题 家里通过连接老妈学校的局域网上网（不用出上网费，^_^ ）~~从06年8月起，局域网中上网经常性掉线，通过科来网络分析系统发现，局域网中出现了arp欺骗攻击。经过我不断查找资料，2月初终于实现完美预防，下面就做个总结，希望对其他人有帮助~~：） 1. ARP概念 ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。 IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC 地址是如何获得的呢？它就是通过地址解析协议获得的。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址，每个网卡一个，据我观察分析，装系统时系统自动给予编号，形如00-03-0F-01-3E-0A），以保证通信的顺利进行。 1. 1 ARP和RARP报头结构 ARP和RARP使用相同的报头结构，如图1所示。 （图1ARP/RARP报头结构） 硬件类型字段：指明了发送方想知道的硬件接口类型，以太网的值为1； 协议类型字段：指明了发送方提供的高层协议类型，IP为0800（16进制）； 硬件地址长度和协议长度：指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用； 操作字段：用来表示这个报文的类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4； 发送方的硬件地址（0-3字节）：源主机硬件地址的前3个字节； 发送方的硬件地址（4-5字节）：源主机硬件地址的后3个字节； 发送方IP（0-1字节）：源主机硬件地址的前2个字节； 发送方IP（2-3字节）：源主机硬件地址的后2个字节； 目的硬件地址（0-1字节）：目的主机硬件地址的前2个字节；

编号TS-08-0005 科来网络分析系统ARP攻击解决方案 版权所有 ? 2007 科来软件保留所有权利。 本文档属商业机密文件，所有内容均为科来软件国内技术支持部独立完成，属科来软件内部机密信息，未经科来软件做出明确书面许可，不得为任何目的、以任何形式或手段（包括电子、机械、复印、录音或其他形式）对本文档的任何部分进行复制、修改、存储、引入检索系统或者传播。 汪已明 科来软件 电话：86-28-85120922 传真：86-28-85120911 网址：https://www.wendangku.net/doc/ed18350663.html, 电子邮件：support@https://www.wendangku.net/doc/ed18350663.html, 地址：成都市高新区九兴大道6号高发大厦B幢1F 版权所有　？　２００７　科来软件．　保留所有权利 第１页　共６页

方案背景 目前，由于政府、企业、高校以及电子商务的蓬勃发展，使得网络已经融入到社会的各个领域；与此同时，网络用户的多样化，直接导致了蠕虫病毒和网络攻击的持续增多。在这种情况下，快速排查网络攻击，保障网络的持续可靠运行，已日益成为与国家、政府、企事业和个人的利益休戚相关的“大事情”。 自2006年以来，ARP攻击就以攻击方法简单、攻击速度快、攻击效果好而深受越来越多恶作剧者的青睐，从而导致近1年多的时间里，网络中的ARP攻击无处不在，各大论坛从未停止过ARP攻击的讨论，一些遭受过ARP攻击的用户甚至到了谈“ARP”色变的程度。 能否快速有效地排查ARP攻击，将直接导致网络的运行是否正常，其意义十分重大。接下来我们就详细地来看如何排查并预防ARP攻击。 ARP协议工作原理 ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作OSI参考模型的第2层（数据链路层），用于查找IP地址所对应物理网卡的MAC地址。 正常情况下，ARP协议的工作原理如下： 1.所有主机都在自己的缓冲区中建立一个IP地址和MAC地址的对应关系表，我们 称这个表为ARP表。 2.源主机需要发送一个数据包到目的主机时，首先检查自己的ARP表中是否存在该 目的IP地址对应的MAC地址，如果有，就将数据包发送到这个MAC地址所对应 的网卡；如果没有，就向本地网段中除自己以外的所有主机发起一个ARP请求广 播，以查询目的主机所对的MAC地址。 3.网络中的所有主机收到这个ARP请求后，都会检查数据包中的目的IP是否和自己 的IP地址一致。如果不相同，就丢弃该数据包；如果相同，该主机首先将源主机 的IP地址和MAC地址添加到自己的ARP表（ARP表中如果已经存在该IP的信 息，则将其覆盖），然后给源主机发送一个 ARP响应数据包，告诉对方自己是它 需要查找的MAC地址； 4.源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添 加到自己的ARP表，并同时将数据包发往目的主机所对应的网卡。 从上述的过程可知，正常情况下的ARP工作流程是一个请求，一个应答。 ARP攻击原理 根据攻击的严重程度，ARP攻击可以分为三种：ARP扫描、ARP中间人攻击和ARP 断网攻击。 版权所有　？　２００７　科来软件．　保留所有权利 第２页　共６页

彻底解决局域网内ARP攻击的设置方法 最常见的局域网安全问题就是ARP攻击了，相信百分五十以上的局域网用户都受到过ARP攻击，这种攻击方法非常不好防治，所以普通的局域网用户都不清楚怎么彻底解决ARP攻击问题。如果你用路由器设置了局域网，请看以下如何彻底解决局域网内ARP攻击的设置方法。 一、彻底解决ARP攻击 事实上，由于路由器是整个局域网的出口，而ARP攻击是以整个局域网为目标，当ARP攻击包已经达到路由器的时候，影响已经照成。所以由路由器来承担防御ARP攻击的任务只是权宜之计，并不能很好的解决问题。 我们要真正消除ARP攻击的隐患，安枕无忧，必须转而对“局域网核心”――交换机下手。由于任何ARP包，都必须经由交换机转发，才能达到被攻击目标，只要交换机据收非法的ARP包，哪么ARP攻击就不能造成任何影响。 我们提出一个真正严密的防止ARP攻击的方案，就是在每台接入交换机上面实现ARP绑定，并且过滤掉所有非法的ARP包。这样可以让ARP攻击足不能出户，在局域网内完全消除了ARP攻击。 因为需要每台交换机都具有ARP绑定和相关的安全功能，这样的方案无疑价格是昂贵的，所以我们提供了一个折衷方案。 二、一般ARP攻击的解决方法 现在最常用的基本对治方法是“ARP双向绑定”。 由于ARP攻击往往不是病毒造成的，而是合法运行的程序(外挂、网页)造成的，所杀毒软件多数时候束手无策。 所谓“双向绑定”，就是再路由器上绑定ARP表的同时，在每台电脑上也绑定一些常用的ARP表项。 “ARP双向绑定”能够防御轻微的、手段不高明的ARP攻击。ARP攻击程序如果没有试图去更改绑定的ARP表项，那么ARP攻击就不会成功;如果攻击手段不剧烈，也欺骗不了路由器，这样我们就能够防住50%ARP 攻击。 但是现在ARP攻击的程序往往都是合法运行的，所以能够合法的更改电脑的ARP表项。在现在ARP双向绑定流行起来之后，攻击程序的作者也提高了攻击手段，攻击的方法更综合，另外攻击非常频密，仅仅进行双向绑定已经不能够应付凶狠的ARP攻击了，仍然很容易出现掉线。 于是我们在路由器中加入了“ARP攻击主动防御”的功能。这个功能是在路由器ARP绑定的基础上实现的，原理是：当网内受到错误的ARP广播包攻击时，路由器立即广播正确的ARP包去修正和消除攻击包的影响。这样我们就解决了掉线的问题，但是在最凶悍的ARP攻击发生时，仍然发生了问题----当ARP攻击很频密的时候，就需要路由器发送更频密的正确包去消除影响。虽然不掉线了，但是却出现了上网“卡”的问题。 所以，我们认为，依靠路由器实现“ARP攻击主动防御”，也只能够解决80%的问题。

实验三：ARP欺骗工具及原理分析 一、实验目的 1.熟悉ARP欺骗攻击工具的使用 2.熟悉ARP欺骗防范工具的使用 3.熟悉ARP欺骗攻击的原理 二、实验准备 1.要求实验室内网络是连通的，组内每台计算机均可以访问另外一台计算机。 2.下载相关工具和软件包(ARP攻击检测工具，局域网终结者，网络执法官，ARPsniffer 嗅探工具)。 三、实验说明 本实验所介绍的工具软件使用起来都比较方便，操作起来也不是很难，但是功能或指令却不止一种，所以实验中只介绍其中的某一种用法。其他的则可"触类旁通"。 四、实验涉及到的相关软件下载： ARP攻击检测工具 局域网终结者 网络执法官 ARPsniffer嗅探工具 五、实验原理 1、ARP及ARP欺骗原理： ARP（Address Resolution Protocol）即地址解析协议，是一种将IP地址转化成物理地址的协议。不管网络层使用什么协议，在网络链路上传送数据帧时，最终还是必须使用硬件地址的。而每台机器的MAC地址都是不一样的，具有全球唯一性，因此可以作为一台主机或网络设备的标识。目标主机的MAC地址就是通过ARP协议获得的。 ARP欺骗原理则是通过发送欺骗性的ARP数据包致使接收者收到数据包后更新其ARP 缓存表，从而建立错误的IP与MAC对应关系，源主机发送数据时数据便不能被正确地址接收。 2、ARPsniffer使用原理： 在使用该工具时，它会将网络接口设置为混杂模式，该模式下工具可以监听到网络中传输的所有数据帧，而不管数据帧的目的地是自己还是其他网络接口的地址。嗅探器会对探测到的每一个数据帧产生硬件数据中断，交由操作系统处理，这样就实现了数据截获。 3、局域网终结者使用原理： 一个主机接收到与自已相同IP发出的ARP请求就会弹出一个IP冲突框来。利用局域网终结者可以伪造任一台主机的IP向局域网不停地发送ARP请求，同时自已的MAC也是伪造的，那么被伪造IP的主机便会不停地收到IP冲突提示，致使该主机无法上网。这便构成了局域网终结者的攻击原理。 4、网络执法官使用原理： 网络执法官原理是通过ARP欺骗发给某台电脑有关假的网关IP地址所对应的MAC地

首先使用“快照X”恢复Windows/Linux系统环境。 一．ARP欺骗攻击 实验需求： （1）本实验使用交换网络结构（参见附录B），组一、二和三间通过交换模块连接（主机A、C、E通过交换模块连接，主机B、D、F也通过交换模块连接）。因此，正常情况下，主机C无法以嗅探方式监听到主机A与主机E间通信数据，同样主机D也无法监听到主机B与主机F间的通信数据。 （2）主机C要监听主机A和主机E间的通信数据；主机D要监听主机B与主机F间的通信数据。 分析： 黑客主机通过对目标主机进行ARP欺骗攻击，获取目标主机间的通信数据。1．正常通信 （1）目标主机二单击工具栏“UDP工具”按钮，启动UDP连接工具，创建2513/udp服务端。 （2）目标主机一启动UDP连接工具，将“目标机器”IP地址指定为目标主机二的地址，目标端口与服务器一致。在“数据”文本框中输入任意内容，单击“发送”按钮，向服务端发送数据。服务端确定接收到数据。 （3）黑客主机单击工具栏“控制台”按钮，切换至/opt/ExpNIS/NetAD-Lab/Tools/ids/目录（Snort目录），执行如下命令：通过上述命令snort仅会监听源IP地址为目标主机一的、传输协议类型为UDP的网络数据 （4）目标主机一再次向目标主机二发送消息，黑客主机停止snort监听（Ctrl+C），观察snort监听结果，是否监听到目标主机间的通信数据。为什么？ 没有监听到结果，目标主机不在同一个共享设备上，正常状态下目标主机一和二间的通信，黑客主机监听不到它们之间的信息。 （5）目标主机一查看ARP缓存表，确定与目标主机二的IP相映射的MAC 地址是否正常。

实验1 ARP地址欺骗 声明：本实验教程仅限于实验室教学和实验用，不能用于其他非法用途，否则后果自负。 1、实验目的 1、掌握常见ARP欺骗类型和手段 2、掌握ARP协议工作原理和格式 3、掌握防范ARP地址欺骗的方法和措施 4、掌握Sniffer Pro软件的使用 2、实验环境 硬件：交换机1台、路由器1台、计算机数台 软件：Sinfffer pro

Heinaen和Govindan RFC1735 对上进行了进一步的讨论 W.Richard Stenvens TCP/IP协议详解卷1：协议 [日]村上公保TCP/IP网络实验程序篇科学出版社 4、实验原理 数据封装过程 1)、ARP协议简介 ARP(Address Resolve Protocol)地址请求解析协议，用于寻找和IP地址相对应的MAC 地址。在RFC 826中定义了ARP协议的数据格式和类型。ARP协议属于在网络层的下部，可看作为网络层和数据链路层的接口，主要用于IPv4以太网。 ARP消息类型有2种： ARP request ：ARP 请求 ARP response ：ARP应答 ARP协议格式

ARP报文格式 以太网帧的格式：

ü源MAC地址：发送方的MAC地址 ü源IP地址：发送方的IP地址 ü目的MAC地址：ARP请求中该字段没有意义；ARP响应中为接收方的MAC地址 ü目的IP地址：ARP请求中为请求解析的IP地址；ARP响应中为接收方的IP地址 ARP协议的改进 高速缓存技术 高速缓冲区中ARP表项新鲜性的保持：计时器 目的主机接收到ARP请求后将源主机的IP地址与物理地址映射关 系存入自己的高速缓冲区 主机启动时主动广播自己的IP地址与物理地址的映射关系 5、实验步骤 1）掌握常用的ARP常用命令 ARP命令： 功能：用于查看、添加和删除高速缓存区中的ARP表项 高速缓冲区中的ARP表项 表项添加后两分钟内没有被再次使用：删除 表项被再次使用：增加2分钟的生命周期

ARP欺骗和攻击问题，是企业网络的心腹大患。关于这个问题的讨论已经很深入了，对ARP攻击的机理了解的很透彻，各种防范措施也层出不穷。 但问题是，现在真正摆脱ARP问题困扰了吗？从用户那里了解到，虽然尝试过各种方法，但这个问题并没有根本解决。原因就在于，目前很多种ARP防范措施，一是解决措施的防范能力有限，并不是最根本的办法。二是对网络管理约束很大，不方便不实用，不具备可操作性。三是某些措施对网络传输的效能有损失，网速变慢，带宽浪费，也不可取。 本文通过具体分析一下普遍流行的四种防范ARP措施，去了解为什么ARP问题始终不能根治。 上篇：四种常见防范ARP措施的分析 一、双绑措施 双绑是在路由器和终端上都进行IP-MAC绑定的措施，它可以对ARP欺骗的两边，伪造网关和截获数据，都具有约束的作用。这是从ARP欺骗原理上进行的防范措施，也是最普遍应用的办法。它对付最普通的ARP欺骗是有效的。 但双绑的缺陷在于3点：

1、 在终端上进行的静态绑定，很容易被升级的ARP攻击所捣毁，病毒的一个ARP –d命令，就可以使静态绑定完全失效。 2、 在路由器上做IP-MAC表的绑定工作，费时费力，是一项繁琐的维护工作。换个网卡或更换IP，都需要重新配置路由。对于流动性电脑，这个需要随时进行的绑定工作，是网络维护的巨大负担，网管员几乎无法完成。 3、 双绑只是让网络的两端电脑和路由不接收相关ARP信息，但是大量的ARP攻击数据还是能发出，还要在内网传输，大幅降低内网传输效率，依然会出现问题。 因此，虽然双绑曾经是ARP防范的基础措施，但因为防范能力有限，管理太麻烦，现在它的效果越来越有限了。 二、ARP个人防火墙 在一些杀毒软件中加入了ARP个人防火墙的功能，它是通过在终端电脑上对网关进行绑定，保证不受网络中假网关的影响，从而保护自身数据不被窃取的措施。ARP防火墙使用范围很广，有很多人以为有了防火墙，ARP攻击就不构成威胁了，其实完全不是那么回事。 ARP个人防火墙也有很大缺陷：

1、ARP协议概述 IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP目的地址转换成以太网网目的地址。在这两种地址之间存在着某种静态的或算法的映射，常常需要查看一张表。地址解析协议(Address Resolution Protocol，ARP)就是用来确定这些映象的协议。 ARP工作时，送出一个含有所希望的IP地址的以太网广播数据包。目的地主机，或另一个代表该主机的系统，以一个含有IP和以太网地址对的数据包作为应答。发送者将这个地址对高速缓存起来，以节约不必要的ARP通信。 如果有一个不被信任的节点对本地网络具有写访问许可权，那么也会有某种风险。这样一台机器可以发布虚假的ARP报文并将所有通信都转向它自己，然后它就可以扮演某些机器，或者顺便对数据流进行简单的修改。ARP机制常常是自动起作用的。在特别安全的网络上，ARP映射可以用固件，并且具有自动抑制协议达到防止干扰的目的。 图1是一个用作IP到以太网地址转换的ARP报文的例子。在图中每一行为32位，也就是4个八位组表示，在以后的图中，我们也将遵循这一方式。 硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1。协议类型字段指明了发送方提供的高层协议类型，IP为0806（16进制）。硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用。操作字段用来表示这个报文的目的，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4。 当发出ARP请求时，发送方填好发送方首部和发送方IP地址，还要填写目标IP地址。当目标机器收到这个ARP广播包时，就会在响应报文中填上自己的48位主机地址。

第5章 1判断题 1-1 TCP/IP是ARPAnet中最早使用的通信协议。（×） 1-2 TCP/IP最早应用在ARPAnet中。（√） 1-3 由于在TCP协议的传输过程中，传输层需要将从应用层接收到的数据以字节为组成单元划分成多个字节段，然后每个字节段单独进行路由传输，所以TCP是面向字节流的可靠的传输方式。（√） 1-4 ARP缓存只能保存主动查询获得的IP和MAC的对应关系，而不会保存以广播形式接收到的IP和MAC的对应关系。（×） 1-5 ARP欺骗只会影响计算机，而不会影响交换机和路由器等设备。（×） 1-6 DHCP服务器只能给客户端提供IP地址和网关地址，而不能提供DNS的IP地址。（×） 1-7 TCP和UDP一样都是面向字节流的数据传输方式。（×） 1-8 在使用DNS的网络中，只能使用域名来访问网络，而不能使用IP地址。（×） 1-9 DNS缓存中毒是修改了用户端计算机缓存中的解析记录，将域名指向错误的IP地址。（×） 1-10 在DNSSEC系统中，只要在DNS服务器之间进行安全认证，而不需要在DNS客户端进行安全认证。（×）2 填空题 2-1 在网络接口层，将添加了网络首部的协议数据单元称网络组分组或数据帧。 2-2 用户在通过ADSL拨号方式上网时，IP地址及相关参数是DHCP服务器分配的。 2-3 TCP SYN泛洪攻击属于一种典型的DOS 攻击。 2-4 DNS同时调用了TCP和UDP的53端口，其中UTP 53 端口用于DNS客户端与DNS服务器端的通信，而TCP 53 端口用于DNS区域之间的数据复制。 3 选择题 3-1 下面关于IP协议的描述，不正确的是（B ） A. 提供一种“尽力而为”的服务 B. 是一种面向连接的可靠的服务 C. 是TCP/IP体系网络层唯一的一个协议 D. 由于IP协议的PDU称为分组，所以IP网络也称为分组网络 3-2 下面关于ARP工作原理的描述，不正确的是（C ） A. 是通过IP地址查询对应的MAC地址 B. ARP缓存中的数据是动态更新的 C. ARP请求报文可以跨网段传输 D. ARPA是通过AMC查询对应的IP地址 3-3 ARP欺骗的实质是（A ） A. 提供虚拟的MAC与IP地址的组合 B. 让其他计算机知道自己的存在 C. 窃取用户在网络中传输的数据 D. 扰乱网络的正常运行 3-4 在Windows操作系统中，对网关IP和MAC地址进行绑定的操作为（C ） A. ARP –a 192.168.0.1 00-0a-03-aa-5d-ff B. ARP –d 192.168.0.1 00-0a-03-aa-5d-ff C. ARP –s 192.168.0.1 00-0a-03-aa-5d-ff D. ARP –g 192.168.0.1 00-0a-03-aa-5d-ff 3-5 无法提供DHCP服务的设备可能是（ C ） A. 无线路由器 B. 交换机 C. 集线器 D. 运行Windows 2008操作系统的计算机 3-6 DHCP Snooping的功能是（B ） A. 防止ARP欺骗 B. 防止DHCP欺骗 C. 进行端口与MAC地址的绑定 D. 提供基于端口的用户认证 3-7 TCP SYN泛洪攻击的原理是利用了（A ） A. TCP三次握手过程 B. TCP面向流的工作机制 C. TCP数据传输中的窗口技术 D. TCP连接终止时的FIN报文 3-8 在Windows操作系统中，如果要显示当前TCP和UDP的详细通信情况，可以运行（ D ） A. ARP –a B. ipconfig/all C. netstat –nab D. ne -ab 3-9 DNS的功能是（ B ） A. 建立应用进程与端口之间的对应关系 B. 建立IP地址与域名之间的对应关系