信息安全基礎InformationSecurityFundamentals5.7ARP欺騙攻擊黑客攻擊與防范本節(jié)內(nèi)容ARP協(xié)議的工作原理ARP欺騙攻擊的原理ARP欺騙攻擊的防范ARP欺騙攻擊實例1.ARP協(xié)議的工作原理網(wǎng)絡接口層Ethernet、FDDI、ATM等網(wǎng)際層IP、ARP、RARP、ICMP等傳輸層應用層TCP/IP參考模型MAC地址IP地址1.ARP協(xié)議的工作原理1.ARP協(xié)議的工作原理我是10.1.1.2，我的MAC地址是AA:AA:AA:AA:AA:AA，請問：IP地址為10.1.1.1的MAC地址是多少？我是10.1.1.1，我的MAC地址是CC:CC:CC:CC:CC:CCARP緩存表1.ARP協(xié)議的工作原理APR協(xié)議是建立在網(wǎng)絡中各個主機相互信任的基礎上，主機A接收到10.1.1.1的ARP應答消息不會檢測該消息的真實性，而直接將該消息中的IP和MAC地址記入ARP緩存表中。如果ARP緩存表中有相同的地址項，則會對其更新。即使主機A沒有發(fā)送ARP請求，如果它收到了一個ARP響應消息，也會存入自己的ARP緩存表中。ARP協(xié)議的缺陷2.ARP欺騙攻擊的原理我是10.1.1.2，我的MAC地址是BB:BB:BB:BB:BB:BB我是10.1.1.1，我的MAC地址是BB:BB:BB:BB:BB:BBARP毒化ARP緩存表2.ARP欺騙攻擊的原理中間人攻擊ARP緩存表3.ARP欺騙攻擊的實現(xiàn)4.ARP欺騙攻擊的防范（1）靜態(tài)ARP表。

在可能被攻擊的計算機上配置靜態(tài)ARP表，如下圖所示，將網(wǎng)絡中192.168.137.1主機的MAC地址綁定為00-50-56-c0-00-08。由于靜態(tài)ARP不會超時，也不會被覆蓋，因此可以防止ARP欺騙。但是靜態(tài)ARP需要在所有計算機上配置，不僅工作量大，而且對于一般的用戶來講，使用ARP命令的難度太大。4.ARP欺騙攻擊的防范（2）ARP防火墻。還可以在可能被攻擊的計算機上安裝ARP防火墻，目前市場上有各種ARP防火墻，而且是免費的。ARP防火墻通過在系統(tǒng)內(nèi)核層攔截虛假ARP數(shù)據(jù)包以及主動通告網(wǎng)關(guān)本機正確的MAC地址，可以保障數(shù)據(jù)流向正確，不經(jīng)過第三者，從而保證通訊數(shù)據(jù)安全、網(wǎng)絡暢通以及通訊數(shù)據(jù)不受第三者控制，包括攔截ARP攻擊、攔截IP沖突、Dos攻擊抑制、ARP數(shù)據(jù)分析等功能。4.ARP欺騙攻擊的防范（3）交換機上啟動DAI功能。不管是靜態(tài)ARP還是ARP防火墻，都需要在每一臺可能被攻擊的計算機上進行配置，這個工作是分散的，因此工作量大。可以在這些計算機所連接的接入層交換機上配置動態(tài)ARP檢查（Dynami