arp欺騙的原理是什么？arp欺騙是如何做到的？

相信很多新手小白對(duì)arp欺騙原理和arp欺騙防護(hù)的了解處于懵懂狀態(tài)，通過(guò)這篇文章的總結(jié)，希望你能有所收獲。如下資料是關(guān)于arp欺騙的內(nèi)容。

arp欺騙原理

主機(jī)通訊的簡(jiǎn)單描述

如上圖，PC1與PC2在同一個(gè)網(wǎng)段，PC2要與PC1通訊，由于以太網(wǎng)的通訊機(jī)制，PC2需要先知道PC1的mac地址，通過(guò)mac地址與PC1通訊。PC2會(huì)先通過(guò)自己的arp表查找192.168.20.11對(duì)應(yīng)的mac，如下：
PC1的arp表：

PC2的arp表：

可以看到PC2沒(méi)有192.168.20.11的記錄，這時(shí)PC2通過(guò)arp廣播向全網(wǎng)詢問(wèn)誰(shuí)有ip 192.168.20.11，PC1收到這個(gè)廣播后發(fā)現(xiàn)是要請(qǐng)求192.168.20.11的mac，這個(gè)ip正是自己的ip，向PC2回應(yīng)一個(gè)包告訴PC2 192.168.20.11的mac，由于PC2發(fā)送的arp廣播中已經(jīng)攜帶了PC2的mac，PC1這時(shí)會(huì)將PC2的arp信息記錄在自己的arp表中，如下是在PC2中pingPC1后的arp表：
PC1的arp表:

PC2的arp表：

此時(shí)PC1和PC2就可以通訊了。

arp欺騙是如何做到的

arp這個(gè)協(xié)議算個(gè)脆弱的協(xié)議了，只要PC2能收到arp應(yīng)答包就會(huì)更新自己的arp表，PC2是沒(méi)法驗(yàn)證這個(gè)arp應(yīng)答包是否真的來(lái)自PC1。此時(shí)如果PC3不停的發(fā)送arp應(yīng)答包給PC2，告訴PC2我就是192.168.20.11，PC2就會(huì)不停的更新自己的arp表，擁有一個(gè)錯(cuò)誤的arp記錄。

可以在PC3上使用arpspoof命令不停的向PC2發(fā)送arp應(yīng)答包。

arpspoof -i eth2 -t 192.168.20.12 192.168.20.11

此時(shí)查看PC2的arp表：

可以看到192.168.20.11對(duì)應(yīng)的mac和192.168.20.9的mac相同，08-00-27-37-7b-cc這個(gè)mac是PC3的。

這樣當(dāng)PC2向PC1發(fā)送數(shù)據(jù)時(shí)就會(huì)發(fā)送到PC3。此時(shí)在PC2上ping PC1是不通的

之所以ping不通，是因?yàn)镻C3上就沒(méi)有192.168.20.11這個(gè)ip，PC2發(fā)送的包是給192.168.20.11的，PC3當(dāng)然就會(huì)丟棄了。

在PC3的eth2上添加ip 192.168.20.11

ip add add dev eth2 192.168.20.11/24

再到PC3上ping 192.168.20.11就可以ping通了。

但這樣做，對(duì)于一個(gè)心懷惡意的人沒(méi)什么用。因?yàn)镻C2是要訪問(wèn)PC1的資源。PC3通常是提供不了這些的資源的，除非PC3非常清楚PC1的資源，并能成功克隆一份以至PC2不會(huì)懷疑。更為廉價(jià)的方式是，PC3把PC1到PC2的流量也劫持了。

arpspoof  -i eth2 -t 192.168.20.11 192.168.20.12

執(zhí)行上面的命令前需要用下面的命令取消PC3的eth2上綁定的192.168.20.11

ip add del dev eth2 192.168.20.11/24

這樣PC3把PC1到PC2的流量也支持了。但此進(jìn)PC2還是不通ping能PC1。這是因?yàn)镻C1、PC2的流量都到了PC3，但這些流量的目的地都不是PC3，PC3會(huì)丟棄?？梢栽赑C3上開(kāi)啟ip轉(zhuǎn)發(fā)來(lái)轉(zhuǎn)發(fā)雙方的流量，PC3開(kāi)啟ip轉(zhuǎn)發(fā)后，PC3就相當(dāng)于一臺(tái)路由了，可以轉(zhuǎn)發(fā)目的地址不是自己的流量。

echo 1 > /proc/sys/net/ipv4/ip_forward

此時(shí)PC2和PC1可以正常通訊了，而所有流量都會(huì)經(jīng)過(guò)PC3，PC3就可以進(jìn)行抓包之類的進(jìn)行流量分析了。如果PC2與PC1的通訊包含明文用戶名、密碼，這些用戶名、密碼就會(huì)被PC3得知。

arp欺騙防護(hù)

查詢網(wǎng)上，arp欺騙的防護(hù)沒(méi)有太多的辦法，有三種辦法。

• 使用帶DAI功能的交換，此類交換機(jī)可以解決arp欺騙
• 使用靜態(tài)arp記錄，arp廣播得到的是arp記錄是動(dòng)態(tài)的，可以手動(dòng)設(shè)置靜態(tài)arp記錄
  linux使用：

  arp -s ip mac

  windows使用：

  arp -s ip mac

  這種方式法對(duì)主機(jī)很多的情況不適用。

• 使用arp防火墻，如xarp（xarp似乎是通過(guò)檢測(cè)mac的變化識(shí)別arp欺騙，筆記在PC2已經(jīng)遭受到arp欺騙后安裝了xarp，xarp并未檢測(cè)到arp欺騙，但取消PC3上對(duì)PC1、PC2的arp欺騙后，在PC2上pingPC1，xarp檢測(cè)到了arp欺騙，且檢測(cè)到的是正確的mac，由于可見(jiàn)xarp是通過(guò)檢測(cè)mac的變化確認(rèn)mac欺騙的。）

  arp欺騙的檢測(cè)

  arp欺騙的隱蔽性還是有點(diǎn)強(qiáng)

• 在linux中下可以使用arping檢測(cè)：
  
  可以看到除了第一條，后面的都是PC3的mac，arping在檢測(cè)的時(shí)候也是不容易發(fā)現(xiàn)。但還是出現(xiàn)了兩個(gè)不同的mac，這時(shí)可以懷疑是有arp欺騙了。

• 還可以抓包確認(rèn)：
  
  象上圖這種，有著連續(xù)的同一個(gè)arp應(yīng)答包，有理由懷疑被arp欺騙了。
• 一些arp檢測(cè)軟件，如：arpwatch
  arpwatch是linux下的一個(gè)arp工具，用于監(jiān)控arp的變化，這個(gè)工具通過(guò)對(duì)流量的分析追蹤arp的變化，并發(fā)送郵件。這個(gè)工具在使用交換機(jī)的網(wǎng)絡(luò)中效果不大，因?yàn)槭褂媒粨Q機(jī)的網(wǎng)絡(luò)中，交換機(jī)端口是不能接收到整個(gè)網(wǎng)絡(luò)流量的，因此arpwatch就不能監(jiān)控整個(gè)網(wǎng)絡(luò)的arp
• 變化了 ，但這個(gè)工具安裝在本機(jī)監(jiān)控arp變化是可以的，這樣就起到了arp防火墻的作用。
• 看完上述內(nèi)容，你們對(duì)arp欺騙有進(jìn)一步的了解嗎？如果還想學(xué)到更多技能或想了解更多相關(guān)內(nèi)容，歡迎關(guān)注億速云行業(yè)資訊頻道，感謝各位的閱讀。