ARP病毒入侵原理和解决方案
【妨碍原因】
局域网内有人利用ARP欺骗的木马步伐(比如:传奇盗号的软件，某些传奇外挂中也被歹意加载了此步伐)。
【妨碍原理】
要相识妨碍原理，我们先来相识一下ARP协议。
在局域网中，经过ARP协议来完成IP地点转换为第二层物理地点(即MAC地点)的。ARP协议对网络宁静具有重要的意义。经过伪造IP地点和MAC地点实现ARP欺骗，可以或许在网络中孕育产生少量的ARP通讯量使网络阻塞。
ARP协议是“Address Resolution Protocol”(地点解析协议)的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地点的。在以太网中，一个主秘密和另一个主机举行直接通讯，必需要晓得目标主机的MAC地点。但这个目标MAC地点是怎样得到的呢?它便是经过地点解析协议得到的。所谓“地点解析”便是主机在发送帧前将目标IP地点转换成目标MAC地点的历程。ARP协议的根本功效便是经过目标设备的IP地点，盘问目标设备的MAC地点，以保证通讯的顺利举行。
每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，内外的IP地点与MAC地点是一一对应的，如下表所示。
主机 IP地点 MAC地点
A 192.168.16.1 aa-aa-aa-aa-aa-aa
B 192.168.16.2 bb-bb-bb-bb-bb-bb
C 192.168.16.3 cc-cc-cc-cc-cc-cc
D 192.168.16.4 dd-dd-dd-dd-dd-dd
我们以主机A(192.168.16.1)向主机B(192.168.16.2)发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找能否有目标IP地点。如果找到了，也就晓得了目标MAC地点，直接把目标MAC地点写入帧里面发送就可以了;如果在ARP缓存表中没有找到相对应的IP地点，主机A就会在网络上发送一个广播，目标MAC地点是“FF.FF.FF.FF.FF.FF”，这表现向统一网段内的所有主机收回如许的询问:“192.168.16.2的MAC地点是什么?”网络上其他主机并不相应ARP询问，只有主机B吸收到这个帧时，才向主机A做出如许的回应:“192.168.16.2的MAC地点是bb-bb-bb-bb-bb-bb”。如许，主机A就晓得了主机B的MAC地点，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存内外查找就可以了。ARP缓存表接纳了老化机制，在一段工夫内如果表中的某一行没有利用，就会被删除，如许可以大大淘汰ARP缓存表的长度，加快盘问速度。
从上面可以看出，ARP协议的底子便是信托局域网内所有的人，那么就很容易实如今以太网上的ARP欺骗。对目标A举行欺骗，A去Ping主机C却发送到了DD-DD-DD-DD-DD-DD这个地点上。如果举行欺骗的工夫，把C的MAC地点骗为DD-DD-DD-DD-DD-DD，于是A发送到C上的数据包都变成发送给D的了。这不恰好是D可以或许吸收到A发送的数据包了么，嗅探乐成。
A对这个变革一点都没有意识到，但是接下来的事变就让A孕育产生了怀疑。因为A和C毗连不上了。D对吸收到A发送给C的数据包可没有转交给C。
做“man in the middle”，举行ARP重定向。翻开D的IP转发功效，A发送过去的数据包，转发给C，比如一个路由器一样。不过，假如D发送ICMP重定向的话就中断了整个筹划。
D直接举行整个包的修改转发，捕捉到A发送给C的数据包，全部举行修改后再转发给C，而C吸收到的数据包完全认为是从A发送来的。不过，C发送的数据包又直接传递给A，倘若再次举行对C的ARP欺骗。如今D就完全成为A与C的中心桥梁了，对付A和C之间的通讯就可以了如指掌了。
【妨碍征象】
当局域网内某台主机运转ARP欺骗的木马步伐时，会欺骗局域网内所有主机和路由器，让所有上彀的流量必需经过病毒主机。其他用户原来直接经过路由器上彀如今转由经过病毒主机上彀，切换的工夫用户会断一次线。
切换到病毒主机上彀后，如果用户曾经登岸了传奇服务器，那么病毒主机就会每每伪造断线的假像，那么用户就得重新登录传奇服务器，如许病毒主机就可以盗号了。
由于ARP欺骗的木马步伐发作的工夫会收回少量的数据包招致局域网通讯拥塞以及其自身处置惩罚本领的限定，用户会觉得上彀速度越来越慢。当ARP欺骗的木马步伐制止运转时，用户会恢复从路由器上彀，切换历程中用户会再断一次线。
【HiPER用户疾速发明ARP欺骗木马】
在路由器的“体系汗青记载”中看到少量如下的信息(440当前的路由器软件版本中才有此提示):
MAC Chged 10.128.103.124
MAC Old 00:01:6c:36:d1:7f
MAC New 00:05:5d:60:c7:18
这个音讯代表了用户的MAC地点产生了变革，在ARP欺骗木马开始运转的工夫，局域网所有主机的MAC地点更新为病毒主机的MAC地点(即所有信息的MAC New地点都同等为病毒主机的MAC地点)，同时在路由器的“用户统计”中看到所有用户的MAC地点信息都一样。
如果是在路由器的“体系汗青记载”中看到少量MAC Old地点都同等，则阐明局域网内曾经呈现过ARP欺骗(ARP欺骗的木马步伐制止运转时，主机在路由器上恢复其真实的MAC地点)。
【在局域网外调找病毒主机】
在上面我们曾经晓得了利用ARP欺骗木马的主机的MAC地点，那么我们就可以利用NBTSCAN(下载地点:http://www.utt.com.cn/upload/nbtscan.rar)东西来疾速查找它。
NBTSCAN可以取到PC的真实IP地点和MAC地点，如果有”传奇木马”在做怪，可以找到装有木马的PC的IP/和MAC地点。
命令:“nbtscan -r 192.168.16.0/24”(搜刮整个192.168.16.0/24网段, 即
192.168.16.1-192.168.16.254);或“nbtscan 192.168.16.25-137”搜刮192.168.16.25-137 网段，即192.168.16.25-192.168.16.137。输入结果第一列是IP地点，末了一列是MAC地点。
NBTSCAN的利用范例:
假定查找一台MAC地点为“000d870d585f”的病毒主机。
1)将紧缩包中的nbtscan.exe 和cygwin1.dll解紧缩放到c:下。
2)在Windows开始—运转—翻开，输入cmd(windows98输入“command”)，在呈现的DOS窗口中输入:C:
btscan -r 192.168.16.1/24(这里需要根据用户实际网段输入)，回车。
C:Documents and SettingsALAN>C:
btscan -r 192.168.16.1/24
Warning: -r option not supported under Windows. Running without it.
Doing NBT name scan for addresses from 192.168.16.1/24
IP address NetBIOS Name Server User MAC address
------------------------------------------------------------------------------
192.168.16.0 Sendto failed: Cannot assign requested address
192.168.16.50 SERVER 00-e0-4c-4d-96-c6
192.168.16.111 LLF ADMINISTRATOR 00-22-55-66-77-88
192.168.16.121 UTT-HIPER 00-0d-87-26-7d-78
192.168.16.175 JC 00-07-95-e0-7c-d7
192.168.16.223 test123 test123 00-0d-87-0d-58-5f
3)经过盘问IP--MAC对应表，查出“000d870d585f”的病毒主机的IP地点为“192.168.16.223”。
【解决思路】
1、不要把你的网络宁静信托关系建立在IP底子上或MAC底子上，(rarp异样存在欺骗的题目)，抱负的关系应该建立在IP+MAC底子上。
2、设置静态的MAC-->IP对应表，不要让主机革新你设定好的转换表。
3、除非很有必要，否则制止利用ARP，将ARP做为永世条目保存在对应表中。
4、利用ARP服务器。经过该服务器查找自己的ARP转换表来相应其他机器的ARP广播。确保这台ARP服务器不被黑。
5、利用""proxy""署理IP的传输。
6、利用硬件屏蔽主机。设置好你的路由，确保IP地点能到达合法的路径。(静态配置路由ARP条目)，细致，利用交换集线器和网桥无法阻止ARP欺骗。
7、办理员活期用相应的IP包中得到一个rarp恳求，然后查抄ARP相应的真实性。
8、办理员活期轮询，查抄主机上的ARP缓存。
9、利用防火墙一连监控网络。细致有利用SNMP的环境下，ARP的欺骗有大概招致陷阱包丧失。
【HiPER用户的解决方案】
发起用户接纳双向绑定的要领解决并且防备ARP欺骗。
1、在PC上绑定路由器的IP和MAC地点:
1)首先，得到路由器的内网的MAC地点(比方HiPER网关地点192.168.16.254的MAC地点为0022aa0022aa局域网端口MAC地点>)。
2)编写一个批处置惩罚文件rarp.bat内容如下:
@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa
将文件中的网关IP地点和MAC地点变动为您自己的网关IP地点和MAC地点即可。
将这个批处置惩罚软件拖到“windows--开始--步伐--启动”中。
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
