在局域網(wǎng)中，IP地址轉(zhuǎn)換為第二層物理地址（即MAC地址）是通過(guò)ARP協(xié)議來(lái)完成的，ARP協(xié)議對(duì)網(wǎng)絡(luò)安全具有極其重要的意義。主機(jī)通過(guò)偽造IP地址和MAC地址實(shí)現(xiàn)ARP欺騙，能夠在網(wǎng)絡(luò)中產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞。本文通過(guò)一次經(jīng)典的分析案例，讓大家對(duì)這種攻擊方式有一個(gè)清晰的了解。

案例背景

辦公機(jī)的網(wǎng)段是192.168.200.X/24的，辦公機(jī)的網(wǎng)關(guān)地址是192.168.200.254在Cisco 3560上，服務(wù)器的地址段為10.139.144.X/24。

在辦公區(qū)訪問(wèn)服務(wù)器區(qū)時(shí)，會(huì)出現(xiàn)時(shí)通時(shí)斷的現(xiàn)象。辦公機(jī)是通過(guò)DHCP來(lái)獲取IP地址，當(dāng)訪問(wèn)出現(xiàn)不通時(shí)，重新獲取一下IP地址，就可以連通，但是用一會(huì)又會(huì)出現(xiàn)訪問(wèn)中斷的情況。該局的網(wǎng)絡(luò)環(huán)境比較簡(jiǎn)單，如下圖所示：

案例分析

出現(xiàn)故障時(shí)，通過(guò)Ping服務(wù)器地址發(fā)現(xiàn)無(wú)法Ping通，然后通過(guò)Ping辦公機(jī)的網(wǎng)關(guān)地址，發(fā)現(xiàn)網(wǎng)關(guān)地址也無(wú)法Ping通。查看辦公機(jī)的ARP表發(fā)現(xiàn)網(wǎng)關(guān)地址對(duì)應(yīng)的MAC地址為全0的MAC地址。

通過(guò)上面的分析測(cè)試我們可以了解到，當(dāng)主機(jī)無(wú)法訪問(wèn)服務(wù)器時(shí)，主機(jī)連網(wǎng)關(guān)都無(wú)法Ping通，而且主機(jī)中網(wǎng)關(guān)的MAC地址全0，即主機(jī)沒(méi)有學(xué)習(xí)到網(wǎng)關(guān)的MAC地址，所以主機(jī)無(wú)法跟網(wǎng)關(guān)進(jìn)行通信，從而導(dǎo)致主機(jī)無(wú)法連通服務(wù)器。

正常連接時(shí)主機(jī)應(yīng)該有網(wǎng)關(guān)的IP地址和MAC地址的ARP映射表的，但是在訪問(wèn)服務(wù)器不成功時(shí)并沒(méi)有學(xué)習(xí)到網(wǎng)關(guān)的MAC地址，造成這種故障的原因很大可能性是網(wǎng)絡(luò)中ARP欺騙。為了驗(yàn)證網(wǎng)絡(luò)是否有ARP欺騙，我們?cè)诮粨Q機(jī)3560上做端口鏡像來(lái)抓取交互的數(shù)據(jù)包。

辦公機(jī)連到3560的端口是f 0/46，所以我們只鏡像f 0/46，將該端口鏡像到端口f 0/25，然后把科來(lái)網(wǎng)絡(luò)分析系統(tǒng)接到f 0/25端口上捕獲通信的數(shù)據(jù)包。

數(shù)據(jù)包分析

我們?cè)诜治鰯?shù)據(jù)包時(shí)發(fā)現(xiàn)，網(wǎng)絡(luò)中存在大量的IP沖突。通過(guò)診斷視圖中的診斷提示，發(fā)現(xiàn)產(chǎn)生IP地址沖突的源IP地址是故障網(wǎng)段的網(wǎng)關(guān)地址，如下圖所示：

通過(guò)觀察上圖，我們可以發(fā)現(xiàn)192.168.200.254對(duì)應(yīng)的MAC地址有兩個(gè)，一個(gè)是00:25:64:A8:74:AD，一個(gè)是00:1A:A2:87:D1:5A，通過(guò)具體的分析我們發(fā)現(xiàn)MAC地址為00:25:64:A8:74:AD的主機(jī)對(duì)應(yīng)的IP地址為192.168.200.33， 00:1A:A2:87:D1:5A才是192.168.200.254真實(shí)的MAC地址。所以當(dāng)辦公區(qū)訪問(wèn)服務(wù)器不通時(shí)，我們Ping網(wǎng)關(guān)地址不通，是因?yàn)檗k公區(qū)機(jī)器在向網(wǎng)關(guān)發(fā)送請(qǐng)求時(shí)請(qǐng)求的是錯(cuò)誤的網(wǎng)關(guān)地址，網(wǎng)關(guān)沒(méi)有響應(yīng)主機(jī)的請(qǐng)求，從而導(dǎo)致主機(jī)學(xué)習(xí)不到正確網(wǎng)關(guān)的MAC地址。導(dǎo)致網(wǎng)絡(luò)不通的原因就是由于192.168.200.33這臺(tái)主機(jī)進(jìn)行ARP欺騙造成的。

分析結(jié)論

通過(guò)上面的分析，可以看出MAC地址為00:25:64:A8:74:AD，IP地址為192.168.200.33的這臺(tái)主機(jī)中了ARP病毒，將自己偽裝成網(wǎng)關(guān)，欺騙網(wǎng)段內(nèi)主機(jī)。

對(duì)于ARP病毒，只要定位到病毒主機(jī)，我們就可以使用通過(guò)ARP專殺工具進(jìn)行查殺來(lái)解決這類故障。但是最好的辦法就是能夠在內(nèi)網(wǎng)主機(jī)安裝上殺毒軟件，并且及時(shí)的更新病毒庫(kù)，同時(shí)給主機(jī)打上安全補(bǔ)丁，以便做好防范防止類似的故障再次出現(xiàn)。