| 信息化辦公的時(shí)代，如果網(wǎng)絡(luò)突然斷網(wǎng)您會(huì)不會(huì)顯得無(wú)奈呢？ARP病毒的盛行，已經(jīng)使得我們必須面對(duì)這種突如其來(lái)的威脅。那么ARP病毒到底是如何攻擊又如何防治呢？ 什么是ARP？ 所謂ARP即地址解析協(xié)議（Address Resolution Protocol），是在僅知道主機(jī)的IP地址時(shí)確定其物理地址的一種協(xié)議。因IPv4和以太網(wǎng)的廣泛應(yīng)用，其主要用作將IP地址翻譯為以太網(wǎng)的MAC地址，但其也能在ATM和FDDIIP網(wǎng)絡(luò)中使用。從IP地址到物理地址的映射有兩種方式：表格方式和非表格方式。ARP具體說(shuō)來(lái)就是將網(wǎng)絡(luò)層（IP層，也就是相當(dāng)于OSI的第三層）地址解析為數(shù)據(jù)連接層（MAC層，也就是相當(dāng)于OSI的第二層）的MAC地址。 例如: 計(jì)算機(jī)A的IP為192.168.1.1,MAC地址為00-11-22-33-44-01； 計(jì)算機(jī)B的IP為192.168.1.2,MAC地址為00-11-22-33-44-02; ARP工作原理： 在TCP/IP協(xié)議中,A給B發(fā)送IP包,在包頭中需要填寫(xiě)B(tài)的IP為目標(biāo)地址,但這個(gè)IP包在以太網(wǎng)上傳輸?shù)臅r(shí)候,還需要進(jìn)行一次以太包的封裝,在這個(gè)以太包中,目標(biāo)地址就是B的MAC地址. 計(jì)算機(jī)A是如何得知B的MAC地址的呢？解決問(wèn)題的關(guān)鍵就在于ARP協(xié)議。 在A不知道B的MAC地址的情況下,A就廣播一個(gè)ARP請(qǐng)求包,請(qǐng)求包中填有B的IP(192.168.1.2),以太網(wǎng)中的所有計(jì)算機(jī)都會(huì)接收這個(gè)請(qǐng)求,而正常的情況下只有B會(huì)給出ARP應(yīng)答包,包中就填充上了B的MAC地址,并回復(fù)給A。 A得到ARP應(yīng)答后,將B的MAC地址放入本機(jī)緩存,便于下次使用。本機(jī)MAC緩存是有生存期的,生存期結(jié)束后,將再次重復(fù)尋址過(guò)程。 ARP協(xié)議并不只在發(fā)送了ARP請(qǐng)求才接收ARP應(yīng)答。當(dāng)計(jì)算機(jī)接收到ARP應(yīng)答數(shù)據(jù)包的時(shí)候，就會(huì)對(duì)本地的ARP緩存進(jìn)行更新，將應(yīng)答中的IP和MAC地址存儲(chǔ)在ARP緩存中。因此，當(dāng)局域網(wǎng)中的某臺(tái)機(jī)器B向A發(fā)送一個(gè)自己偽造的ARP應(yīng)答，而如果這個(gè)應(yīng)答是B冒充C偽造來(lái)的，即IP地址為C的IP，而MAC地址是偽造的，則當(dāng)A接收到B偽造的ARP應(yīng)答后，就會(huì)更新本地的ARP緩存，這樣在A看來(lái)C的IP地址沒(méi)有變，而它的MAC地址已經(jīng)不是原來(lái)那個(gè)了。由于局域網(wǎng)的網(wǎng)絡(luò)流通不是根據(jù)IP地址進(jìn)行，而是按照MAC地址進(jìn)行傳輸。所以，那個(gè)偽造出來(lái)的MAC地址在A上被改變成一個(gè)不存在的MAC地址，這樣就會(huì)造成網(wǎng)絡(luò)不通，導(dǎo)致A不能Ping通C！這就是一個(gè)簡(jiǎn)單的ARP欺騙。 類似網(wǎng)絡(luò)執(zhí)法官等網(wǎng)絡(luò)管理軟件，其控制目標(biāo)機(jī)器上網(wǎng)限制亦是采用了ARP原理，向其發(fā)送一個(gè)假的網(wǎng)關(guān)IP地址對(duì)應(yīng)的MAC，使其找不到網(wǎng)關(guān)真正的MAC地址，這樣即可禁止其上網(wǎng)。 ARP的防范： ARP欺騙可以導(dǎo)致目標(biāo)計(jì)算機(jī)與網(wǎng)關(guān)通信失敗，更可怕的是會(huì)導(dǎo)致通信重定向，所有的數(shù)據(jù)都會(huì)通過(guò)攻擊者的機(jī)器，因此存在極大的安全隱患。 基與PC到PC的IP-MAC雙向綁定可以解決ARP欺騙，但是對(duì)于不支持IP-MAC雙向綁定的設(shè)備，就需要用可以綁定端口-MAC的交換來(lái)預(yù)防ARP欺騙。另外，Windows 2KSP4 XPSP1 的Arp-S綁定是無(wú)效的，需要升級(jí)到 2KSP5 或 XPSP2。ARP防火墻等工具就是運(yùn)用IP-MAC綁定技術(shù)，對(duì)數(shù)據(jù)包進(jìn)行截取分析，保證網(wǎng)絡(luò)通信正常。 然而病毒的變種是日新月異的，ARP也是如此，類似ARP欺騙的解決思路主要如下： 不要把網(wǎng)絡(luò)安全信任關(guān)系建立在IP基礎(chǔ)上或MAC基礎(chǔ)上。 設(shè)置靜態(tài)的MAC-->IP對(duì)應(yīng)表，不要讓主機(jī)刷新你設(shè)定好的轉(zhuǎn)換表。 除非必要，否則停止ARP使用，把ARP做為永久條目保存在對(duì)應(yīng)表中。 使用ARP服務(wù)器。確保這臺(tái)ARP服務(wù)器不被黑。 使用\"proxy\"代理IP傳輸。 使用硬件屏蔽主機(jī)。 定期用響應(yīng)的IP包中獲得一個(gè)rarp請(qǐng)求，檢查ARP響應(yīng)的真實(shí)性。 定期輪詢，檢查主機(jī)上的ARP緩存。 使用防火墻連續(xù)監(jiān)控網(wǎng)絡(luò)。 |
聯(lián)系客服
