【Windows】ARP断网攻击及防御

title: ARP断网攻击及防御
date: 2022-10-02 16:06:44
tags:
- windows
categories:
- windows

攻击

PC1的IP地址 10.9.136.222
PC2的IP地址 10.9.136.55

在局域网里通信 需要有IP地址和MAC地址
两台电脑PC1和PC2要想相互通信，PC1在连接PC2的时候，PC1会先查看自己的ARP缓存表（命令：arp -a ） ，看一下有没有 10.9.136.55对应的MAC地址，如果没有10.9.136.55对应的MAC地址，向交换机发送广播包，交换机会给每个接口都发送，当PC2收到消息后，会产生应答包，PC2把它的MAC地址发给交换机，目的地址会发送到PC1，（因为广播包是PC1发送的），PC1会把PC2的IP地址和MAC地址写入自己的ARP缓存表里

ARP欺骗原理：

      在局域网中，主机通信前必须通过ARP协议把IP地址转换为MAC地址，ARP欺骗就是通过伪造IP地址与MAC地址的映射关系实现的一种欺骗攻击。因为局域网内的主机根据MAC地址进行通信，发送方检查其ARP缓存中是否已存储目标IP的MAC地址，否则它会广播发送ARP请求报文，只有目标IP的主机才会响应一个包含其MAC地址的ARP应答报文，发送方收到该应答后，立即更新自身的ARP缓存。攻击者可以发送虚假的ARP请求或应答报文，使得目标主机接收错误的IP和MAC绑定关系

实验准备

win7    网卡nat模式
kali    网卡nat模式   攻击方

1、win7：先ping一下，能否上网

ping www.baidu.com

2、win7：查看网关

ipconfig

3、win7：查看ARP缓存表，查看网关的MAC地址

arp -a

4、win7： 让它 一直ping下去

ping www.baidu.com -t

5、kali：开始攻击

arpspoof -i eth0 -t 192.168.241.130 -r 192.168.241.2
-i  选择网卡
-t  被攻击方的IP地址
-r  网关IP地址

在发动攻击的时候，网关的MAC地址被改成了攻击方kali的MAC地址，导致上不了网

防御

1、查看网关

ipconfig

2、查看网关对应的MAC地址为动态类型,

arp -a

3、查看本地网卡所对应的Idx值,以太网所对应的Idx值为2

netsh interface ipv4 show interfaces

#简写
netsh i i show in

4、静态绑定IP地址和MAC地址

# 2 代表网卡的Idx值 
# 以管理员身份运行该命令
# 绑定网关的IP地址和MAC地址
netsh -c "i i" add ne 2 10.9.136.1 50-6f-77-89-ad-92

5、再次查看arp缓存表

arp -a

6、取消arp静态绑定

#取消静态绑定
netsh -c "i i" delete ne 2

以上操作不能完全防御

在路由器出故障的情况下，换了一个新的路由器，那么物理地址就变了

再做了静态绑定就会导致无法上网，就需要解除与旧路由器的MAC地址绑定，绑定新的路由器MAC地址

可以使用软件360安全卫士

开启前三个功能

如果受到arp断网攻击，360安全卫士会提示，可以查看详细日志

360安全卫士有弹窗，可以安装火绒拦截弹窗