一、实验目的

掌握ARP欺骗攻击掌握ARP欺骗攻击的整个过程学会防范ARP欺骗

二、实验环境

系统环境：Windows环境、kail环境、XP环境软件工具：packkks

三、实验原理

ARP缓存

1.单击“确定”。运行TCP/IP的每台计算机都有一个ARP缓存表。表中的IP地址与MAC地址一一对应。window7主机的ARP缓存表如下图所示：

在上图的ARP缓存表中，IP地址192.168.70.129映射的MAC地址为00-50-56-22-68-41。下面以主机X(192.168.70.129)向主机Y(192.168.70.134)发送数据为例进行说明。

当主机X发送数据时，它在它的ARP缓存表中查找主机Y的IP地址。如果找到，则知道主机Y的MAC地址，直接将目的MAC地址写入报文发送。如果ARP缓存表中没有主机Y的IP地址，主机X将通过网络发送广播。目标MAC地址为“FF-FF-FF-FF-FF - ff”，即询问同一网段的所有主机：192.168.70.129的MAC地址是什么？网络上的其他主机没有响应ARP请求。只有Y主机收到报文后回复X主机192.168.70.129的MAC地址为00-50-56-2b-68-41。这样，主机X就知道主机Y的MAC地址，所以它可以向主机Y发送消息。同时，主机X更新它的ARP缓存表，以便下次它向主机Y发送消息时，它可以直接从ARP缓存表中查找消息。老化机制用于ARP缓存表。如果表中的某一行在一定时间内没有被使用，该表将被删除。这样可以大大缩短ARP缓存表的长度，加快查询速度。

2. ARP欺骗的定义

3.常见的ARP命令：

arp -a

用于查看缓存表中的所有项

arp -a ip

只显示包含指定IP地址的缓存表项

arp -s ip mac

向ARP缓存表中添加一个静态目录，该目录在计算机启动期间有效

arp -d ip

删除ARP缓存表中的静态表项

四、实验步骤

PC2对PC1进行ARP欺骗攻击。修改PC1缓存表中网关的MAC地址为aa:aa:aa:aa:aa:aa: aa。欺骗攻击导致PC1无法访问Internet

**更新前：**PC1缓存表如下图所示。网关IP地址：192.168.70.2对应的MAC地址为00-50-56-e5-d2-ff

此时PC1可以正常访问Internet，如下图所示：

打开Windows7，解压“packketh”压缩包到一个文件夹中。双击包。Exe文件打开

打开“packkeith .exe”文件，选择第二张网卡，选择“ARP报文模式”

发件人IP地址和MAC地址输入网关的真实IP地址，将MAC地址修改为aa:aa:aa:aa:aa:aa，达到欺骗的效果。选中“Arp报文”和“Arp应答”。在“MAC头”中输入目标的真实MAC地址(PC1的MAC地址)，在“源MAC地址”中输入修改后的MAC地址(aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa:aa)。单击“发送”，开始发送报文

现在我们回到PC1，运行arp -a命令检查网关的MAC地址。我们改成了aa:aa:aa:aa:aa

此时，我们再次验证PC1是否可以正常访问Internet，结果发现PC1不能正常访问Internet，如下图所示：

PC2向PC1发送伪造的ARP应答报文。回复数据中，发送方的MAC地址为网关的192.168.70.2。网关的MAC地址为aa:aa:aa:aa:aa:aa:aa:aa:aa。在这一点上，这是我们伪造的)。PC1收到PC2伪造的ARP应答后，更新本地ARP缓存表(PC1不知道MAC被伪造)，PC1也不知道ARP应答报文是从PC2发出的。PC1发送到网关的数据包被发送到PC2。PC1完全不知道发生了什么，但接下来发生的事情让PC1起了疑心，因为它再也不能正常访问互联网了。这是因为PC2只接收了PC1发送给网关的数据，而没有将其转发给网关。

2.PC2作为中间商进行ARP重定向。开启PC1自身的IP转发功能，将PC1发送的数据包像路由器一样转发到网关。当网关收到数据包时，完全认为是PC1发送的。而网关发送的报文直接发送给PC1。如果在网关上再次进行ARP欺骗，那么PC2就成为PC1和网关之间的中间桥梁，PC1和网关之间的通信就可以被完全了解。(如果您被ARP监视，请考虑一下。)

启动kali虚拟机，打开终端，输入ettercap -G命令，如图所示：

执行中间人攻击前，扫描当前局域网内的活动主机，确认目标机器，单击“统一嗅探”开启嗅探，如下图所示：

选择当前的网卡eth0，单击“确定”进入嗅探器，如下图所示：

单击菜单中的“Hosts”，选择“Scan for Hosts”，扫描与该主机网关(kali)相同的所有主机，如下图所示：

null

null

null

null

null

null

返回Windows7虚拟机，打开浏览器进入登录界面，输入登录用户名和密码，单击“确认登录”，如下图所示：

回到kali主机，我们已经成功获取Windows7主机登录某网站的用户名和密码，如下图所示：

1. 双向绑定：在网络规模较小的情况下，建议使用双向绑定，即在路由器和终端上进行ip和mac的绑定。双向绑定可以限制ARP欺骗、伪造网关、拦截数据等行为。这是一种基于ARP欺骗原理的防范措施，也是最常用的方法。它对最常见的ARP欺骗是有效的。

2.ARP防火墙：一些杀毒软件增加了ARP防火墙功能。这是一种通过在终端计算机上绑定网关来防止数据被窃取的措施，以确保终端计算机不受假网关的影响。ARP防火墙应用广泛，但它也有问题，比如它不能保证绑定的网关是正确的。如果网络上发生ARP欺骗，有人伪造网关，ARP防火墙就会绑定错误的网关，风险很大。

3.交换机端口绑定vlan:通过在交换机端口上绑定vlan，实现ARP防御功能。方法是仔细划分vlan，缩小广播域的范围，使ARP可以在小范围内使用，而不影响大范围。另外，部分网管交换机具有MAC地址学习功能。在学习到MAC地址后，关闭此功能，将相应的MAC地址与端口绑定，防止病毒通过ARP攻击篡改自己的地址。换句话说，消除了ARP攻击中数据被拦截的风险。