基于局域网的ＡＲＰ病毒的分析与防御
发布时间：2015-07-06 10:41
[摘 要] 本文针对目前网络中存在的arp病毒,通过分析arp协议以及arp病毒实现攻击的原理,列举了arp病毒的各种常见现象,并给出了具体的防御方法。
[关键词] arp协议 arp病毒 ip地址
随着计算机技术和internet技术的不断推广应用, 网络逐渐成为人们日常生活中不可缺少的部分。通过网络人们可以完成浏览信息、收发邮件、远程信息管理、与外界进行电子商务交易等活动。但是由于网络的开放性、资源的共享性、联结形式的多样性、终端分布的不均匀性以及网络边界的不可知性, 网络中必然存在众多潜在的安全隐患。近年来, 针对网络的攻击也在不断增加, 其中利用 arp 协议漏洞对网络进行攻击就是其中的一种重要方式。
一、arp病毒现象
1.局域网内频繁性地区域或整体掉线,重启计算机或网络设备后恢复正常。
当带有 arp欺骗程序的计算机在网内进行通讯时,就会导致频繁掉线。出现此类问题后重启计算机或禁用网卡会暂时解决问题,但掉线情况还会发生。
2.网速时快时慢,极其不稳定,但单机进行光纤数据测试时一切正常。
当局域内的某台计算机被arp的欺骗程序非法侵入后,它就会持续地向网内所有的计算机及网络设备发送大量的非法arp欺骗数据包,阻塞网络通道。造成网络设备的承载过重,导致网络的通讯质量不稳定。用户会感觉上网速度越来越慢或时常断线。当arp欺骗的木马程序停止运行时,用户会恢复从路由器上网,切换过程中用户会再断一次线。WWw.lw881.com
二、arp病毒攻击方式
1.中间人攻击。中间人攻击就是攻击者将自己的主机插入两个目标主机通信路径之间,使他的主机如同两个目标主机通信路径上的一个中继,这样攻击者就可以监听两个目标主机之间的通信。
2.拒绝服务攻击。拒绝服务攻击就是使目标主机不能响应外界请求,从而不能对外提供服务的攻击方法。
3.克隆攻击。攻击者首先对目标主机实施拒绝服务攻击,使其不能对外界作出任何反应。然后攻击者就可以将自己的ip与mac地址分别改为目标主机的ip与mac地址,这样攻击者的主机变成了与目标主机一样的副本。
三、arp病毒攻击原理
arp欺骗的核心思想就是向目标主机发送伪造的arp应答,并使目标主机接收应答中伪造的ip地址与mac地址之间的映射对,以此更新目标主机arp缓存。下面就在理论上说明实施arp欺骗的过程s代表源主机,也就是将要被欺骗的目标主机;d代表目的主机,源主机本来是向它发送数据;a代表攻击者,进行arp欺骗。
进一步假设a已知的d的ip地址,于是他暂时将自己的ip地址改为d的ip地址。当s想要向d发送数据时,假设目前他的arp缓存中没有关于d的记录,那么他首先在局域网中广播包含的d的ip地址的arp请求。但此时a具有与d相同的ip地址,于是分别来自a与d的arp响应报文将相继到达s。此时,a是否能够欺骗成功就取决于s的操作系统处理重复arp响应报文的机制。不妨假设该机制总是用后到达的arp响应中的地址刷新缓存中的内容。那么如果a控制自己的arp响应晚于d的arp响应到达s,s就会将如下伪造映射:d的ip地址 → a的mac地址,保存在自己的arp缓存中。在这个记录过期之前,凡是s发送给d的数据实际上都将发送给a。而s却毫不察觉。或者a在上述过程中,利用其它方法直接抑制来自d的arp应答将是一个更有效的方法而不用依赖于不同操作系统的处理机制。进一步,a可不依赖于上述过程,直接在底层伪造arp响应报文来达到同样的目的。
1.使用可防御arp攻击的三层交换机,绑定端 口mac-ip。限制arp流量,及时发现并自动阻断arp攻击端口。合理划分vlan。彻底阻止盗用ip、mac地址,杜绝arp的攻击。
2.查找病毒源,对病毒源头的机器进行处理,杀毒或重新安装系统。解决了arp攻击的源头pc机的问题 ,可以保证内网免受攻击。
3.对于经常爆发病毒的网络,进行internet访问控制,限制用户对网络的访问。此类arp攻击程序一般都是从internet下载到用 户终端。如果能够加强用户上网的访问控制,就能极大的减少该问题的发生。
4.关闭一些不需要的服务。条件允许的可关闭一些没有必要的共享,也包括c$、d$等管理共享。完全单机的用户也可直接关闭 server服务。
5.经常更新杀毒软件 (病毒库 )。设置允许的可设置为每天定时自动更新,安装并使用网络防火墙软件。
6.给系统安装补丁程序 .通过windows update安装好系统补丁程序。
五、结束语
由于 arp 协议制定时间比较早,当时对这些协议缺陷考虑不周, 使得 arp 攻击的破坏性比较大,但其也有局限性,比如arp攻击只局限在本地网络环境中。最根本的解决措施就是使用 ipv6协议, 因为在 ipv6 定义了邻机发现协议(ndp), 把 arp 纳入 ndp 并运行于因特网控制报文协议(icmp)上, 使 arp 更具有一般性, 包括更多的内容,而且不用为每种链路层协议定义一种arp。
参考文献:
[1]w richard stevens著 范建华译:tcp/ip详解(卷1)[m].北京:机械工业出版社,2000; 4
[2]王 燕 张新刚:基于arp协议的攻击及其防御方法分析[j].微计算机信息2007; 23(36)
[3]陈 英 马洪涛:局域网内arp协议攻击及解决办法[j].中国安全科学学报2007; 17 (07)
[关键词] arp协议 arp病毒 ip地址
随着计算机技术和internet技术的不断推广应用, 网络逐渐成为人们日常生活中不可缺少的部分。通过网络人们可以完成浏览信息、收发邮件、远程信息管理、与外界进行电子商务交易等活动。但是由于网络的开放性、资源的共享性、联结形式的多样性、终端分布的不均匀性以及网络边界的不可知性, 网络中必然存在众多潜在的安全隐患。近年来, 针对网络的攻击也在不断增加, 其中利用 arp 协议漏洞对网络进行攻击就是其中的一种重要方式。
一、arp病毒现象
1.局域网内频繁性地区域或整体掉线,重启计算机或网络设备后恢复正常。
当带有 arp欺骗程序的计算机在网内进行通讯时,就会导致频繁掉线。出现此类问题后重启计算机或禁用网卡会暂时解决问题,但掉线情况还会发生。
2.网速时快时慢,极其不稳定,但单机进行光纤数据测试时一切正常。
当局域内的某台计算机被arp的欺骗程序非法侵入后,它就会持续地向网内所有的计算机及网络设备发送大量的非法arp欺骗数据包,阻塞网络通道。造成网络设备的承载过重,导致网络的通讯质量不稳定。用户会感觉上网速度越来越慢或时常断线。当arp欺骗的木马程序停止运行时,用户会恢复从路由器上网,切换过程中用户会再断一次线。WWw.lw881.com
二、arp病毒攻击方式
1.中间人攻击。中间人攻击就是攻击者将自己的主机插入两个目标主机通信路径之间,使他的主机如同两个目标主机通信路径上的一个中继,这样攻击者就可以监听两个目标主机之间的通信。
2.拒绝服务攻击。拒绝服务攻击就是使目标主机不能响应外界请求,从而不能对外提供服务的攻击方法。
3.克隆攻击。攻击者首先对目标主机实施拒绝服务攻击,使其不能对外界作出任何反应。然后攻击者就可以将自己的ip与mac地址分别改为目标主机的ip与mac地址,这样攻击者的主机变成了与目标主机一样的副本。
三、arp病毒攻击原理
arp欺骗的核心思想就是向目标主机发送伪造的arp应答,并使目标主机接收应答中伪造的ip地址与mac地址之间的映射对,以此更新目标主机arp缓存。下面就在理论上说明实施arp欺骗的过程s代表源主机,也就是将要被欺骗的目标主机;d代表目的主机,源主机本来是向它发送数据;a代表攻击者,进行arp欺骗。
进一步假设a已知的d的ip地址,于是他暂时将自己的ip地址改为d的ip地址。当s想要向d发送数据时,假设目前他的arp缓存中没有关于d的记录,那么他首先在局域网中广播包含的d的ip地址的arp请求。但此时a具有与d相同的ip地址,于是分别来自a与d的arp响应报文将相继到达s。此时,a是否能够欺骗成功就取决于s的操作系统处理重复arp响应报文的机制。不妨假设该机制总是用后到达的arp响应中的地址刷新缓存中的内容。那么如果a控制自己的arp响应晚于d的arp响应到达s,s就会将如下伪造映射:d的ip地址 → a的mac地址,保存在自己的arp缓存中。在这个记录过期之前,凡是s发送给d的数据实际上都将发送给a。而s却毫不察觉。或者a在上述过程中,利用其它方法直接抑制来自d的arp应答将是一个更有效的方法而不用依赖于不同操作系统的处理机制。进一步,a可不依赖于上述过程,直接在底层伪造arp响应报文来达到同样的目的。
四、arp病毒防御方法
1.使用可防御arp攻击的三层交换机,绑定端 口mac-ip。限制arp流量,及时发现并自动阻断arp攻击端口。合理划分vlan。彻底阻止盗用ip、mac地址,杜绝arp的攻击。
2.查找病毒源,对病毒源头的机器进行处理,杀毒或重新安装系统。解决了arp攻击的源头pc机的问题 ,可以保证内网免受攻击。
3.对于经常爆发病毒的网络,进行internet访问控制,限制用户对网络的访问。此类arp攻击程序一般都是从internet下载到用 户终端。如果能够加强用户上网的访问控制,就能极大的减少该问题的发生。
4.关闭一些不需要的服务。条件允许的可关闭一些没有必要的共享,也包括c$、d$等管理共享。完全单机的用户也可直接关闭 server服务。
5.经常更新杀毒软件 (病毒库 )。设置允许的可设置为每天定时自动更新,安装并使用网络防火墙软件。
6.给系统安装补丁程序 .通过windows update安装好系统补丁程序。
五、结束语
由于 arp 协议制定时间比较早,当时对这些协议缺陷考虑不周, 使得 arp 攻击的破坏性比较大,但其也有局限性,比如arp攻击只局限在本地网络环境中。最根本的解决措施就是使用 ipv6协议, 因为在 ipv6 定义了邻机发现协议(ndp), 把 arp 纳入 ndp 并运行于因特网控制报文协议(icmp)上, 使 arp 更具有一般性, 包括更多的内容,而且不用为每种链路层协议定义一种arp。
参考文献:
[1]w richard stevens著 范建华译:tcp/ip详解(卷1)[m].北京:机械工业出版社,2000; 4
[2]王 燕 张新刚:基于arp协议的攻击及其防御方法分析[j].微计算机信息2007; 23(36)
[3]陈 英 马洪涛:局域网内arp协议攻击及解决办法[j].中国安全科学学报2007; 17 (07)
下一篇：固网智能化研究