ＡＲＰ攻擊對(duì)網(wǎng)絡(luò)安全的危害及對(duì)策研究

李靜媛

摘要:近年來(lái)很多網(wǎng)絡(luò)遭受ARP病毒的侵犯,ARP欺騙是一種典型的欺騙攻擊類(lèi)型,它利用了ARP協(xié)議存在的安全隱患,并使用一些專門(mén)的攻擊工具,使得這種攻擊變得普及并有較高的成功率。文中通過(guò)分析ARP協(xié)議的工作原理,探討遭受ARP攻擊時(shí)表現(xiàn)癥狀及原因,提出了ARP攻擊檢測(cè)與處理的辦法和幾種常規(guī)可行的解決方案。

關(guān)鍵字:ARP攻擊;網(wǎng)絡(luò)安全;對(duì)策

近年來(lái),許多網(wǎng)絡(luò)用戶訪問(wèn)互聯(lián)網(wǎng)時(shí)斷時(shí)續(xù),出現(xiàn)上網(wǎng)速慢、上網(wǎng)不穩(wěn)定的情況。究其原因,很可能是機(jī)器受到一種名為ARP欺騙木馬程序(病毒)的攻擊(ARP是“Address Resolution Protocol”“地址解析協(xié)議”的縮寫(xiě))。ARP攻擊往往導(dǎo)致計(jì)算機(jī)網(wǎng)絡(luò)連接正常,卻無(wú)法打開(kāi)網(wǎng)頁(yè);或由于ARP欺騙的木馬程序(病毒)發(fā)作時(shí)發(fā)出大量的數(shù)據(jù)包,導(dǎo)致用戶上網(wǎng)不穩(wěn)定,甚至網(wǎng)絡(luò)中斷,使網(wǎng)絡(luò)安全受到極大的威脅,如何有效的防范ARP攻擊是網(wǎng)絡(luò)管理的重要內(nèi)容。

1 ARP協(xié)議工作原理

ARP協(xié)議是“Address Resolution Protocol”(地址解析協(xié)議)的縮寫(xiě)。在網(wǎng)絡(luò)中實(shí)際傳輸?shù)氖恰皫?幀里面是有目標(biāo)主機(jī)的MAC地址的。在以太網(wǎng)中,一個(gè)主機(jī)和另一個(gè)主機(jī)進(jìn)行直接通信,必須要知道目標(biāo)主機(jī)的MAC地址。但這個(gè)目標(biāo)MAC地址就是通過(guò)地址解析協(xié)議獲得的,所謂“地址解析”就是主機(jī)在發(fā)送幀前將目標(biāo)IP地址轉(zhuǎn)換成目標(biāo)MAC地址的過(guò)程。ARP協(xié)議主要負(fù)責(zé)將網(wǎng)絡(luò)中的32位IP地址轉(zhuǎn)換為對(duì)應(yīng)的48位物理地址,即網(wǎng)卡的MAC地址,比如IP地址位192.168.10.5網(wǎng)卡MAC地址為00-05-0F-ED-1D-5B。整個(gè)轉(zhuǎn)換過(guò)程是一臺(tái)主機(jī)先向目標(biāo)主機(jī)發(fā)送包含有IP地址和MAC地址的數(shù)據(jù)包,通過(guò)MAC地址兩個(gè)主機(jī)就可以實(shí)現(xiàn)數(shù)據(jù)傳輸了。

在每臺(tái)安裝有TCP/IP協(xié)議的電腦里都有一個(gè)ARP緩存表,表里的IP地址與MAC地址是一一對(duì)應(yīng)的。我們以主機(jī)A向主機(jī)B發(fā)送數(shù)據(jù)為例。當(dāng)發(fā)送數(shù)據(jù)時(shí),主機(jī)A會(huì)在自己的ARP緩存表中尋找是否有目標(biāo)IP地址。如果找到了,也就知道了目標(biāo)MAC地址,直接把目標(biāo)MAC地址寫(xiě)入幀里面發(fā)送就可以了;如果在ARP緩存表中沒(méi)有找到相對(duì)應(yīng)的IP地址,主機(jī)A就會(huì)在網(wǎng)絡(luò)上發(fā)送一個(gè)廣播,目標(biāo)MAC地址是“FF.FF.FF.FF.FF.FF”,網(wǎng)絡(luò)上其它主機(jī)關(guān)不響應(yīng)ARP詢問(wèn),只有主機(jī)B接收到這個(gè)幀時(shí),才向主機(jī)A做出這樣的回應(yīng),并返回MAC地址,這樣,主機(jī)A就知道了主機(jī)B的MAC地址,它就可以向主機(jī)B發(fā)送信息了。同時(shí)它還更新了自己的ARP緩存表。

2遭受ARP攻擊時(shí)表現(xiàn)癥狀及原因

常見(jiàn)的ARP攻擊主要包括網(wǎng)關(guān)劫持和雙向的ARP欺騙。網(wǎng)關(guān)劫持是指攻擊主機(jī)仿冒網(wǎng)關(guān)發(fā)出ARP響應(yīng)包,誘騙其它客戶機(jī)以為攻擊主機(jī)是網(wǎng)關(guān),從而找不到真正的網(wǎng)關(guān)而無(wú)法上網(wǎng)。這種攻擊最常見(jiàn)的是網(wǎng)絡(luò)中某一臺(tái)電腦中了ARP病毒,導(dǎo)致整個(gè)網(wǎng)絡(luò)或者中毒電腦所在的網(wǎng)段不能上網(wǎng),如果病毒在局域網(wǎng)中迅速擴(kuò)散,大量的中毒電腦不斷發(fā)送ARP廣播包還可能導(dǎo)致整個(gè)網(wǎng)絡(luò)中斷。

2.1遭受ARP攻擊時(shí)表現(xiàn)的主要癥狀

網(wǎng)絡(luò)內(nèi)用戶會(huì)突然掉線,過(guò)一段時(shí)間后又恢復(fù)正常。 使用即時(shí)通訊工具軟件(如QQ、MSN)時(shí)頻繁斷網(wǎng),IE瀏覽器頻繁出錯(cuò)。使用身份認(rèn)證上網(wǎng)的用戶,出現(xiàn)能夠通過(guò)認(rèn)證,但是無(wú)法上網(wǎng)的情況。計(jì)算機(jī)上網(wǎng)速度比正常時(shí)緩慢許多。

2.2遭受ARP攻擊時(shí)表現(xiàn)的主要原因

原因之一:當(dāng)局域網(wǎng)內(nèi)某臺(tái)主機(jī)感染了ARP病毒時(shí),會(huì)向本局域網(wǎng)內(nèi)所有主機(jī)發(fā)送ARP欺騙攻擊,讓原本流向網(wǎng)絡(luò)中心的流量改道流向病毒主機(jī),并通過(guò)病毒主機(jī)代理上網(wǎng),因客戶端具有防代理功能,造成受害者無(wú)法通過(guò)病毒主機(jī)上網(wǎng)。另由于病毒發(fā)作時(shí)發(fā)出大量數(shù)據(jù)包會(huì)將網(wǎng)絡(luò)擁塞,大家會(huì)感覺(jué)上網(wǎng)速度越來(lái)越慢。中毒者同樣如此,受其自身處理能力的限制,感覺(jué)運(yùn)行速度很慢時(shí),可能會(huì)采取重新啟動(dòng),此時(shí)病毒短時(shí)間停止工作,大家會(huì)感到網(wǎng)絡(luò)恢復(fù)正常。如此反復(fù),就造成網(wǎng)絡(luò)時(shí)斷時(shí)續(xù)。

原因之二:局域網(wǎng)內(nèi)有某些用戶使用了ARP欺騙程序發(fā)送ARP欺騙數(shù)據(jù)包,致使被攻擊的電腦出現(xiàn)突然不能上網(wǎng),過(guò)一段時(shí)間又能上網(wǎng),反復(fù)掉線的現(xiàn)象。

3 ARP攻擊檢測(cè)及處理

3.1 ARP攻擊診斷方法

如果發(fā)現(xiàn)網(wǎng)絡(luò)不正常,可以通過(guò)如下操作進(jìn)行診斷:

點(diǎn)擊“開(kāi)始”按鈕->選擇“運(yùn)行”->輸入“arp -d”->點(diǎn)擊“確定”按鈕,然后重新嘗試上網(wǎng),假如能恢復(fù)正常,則說(shuō)明此次掉線可能是受ARP欺騙所致。同時(shí)按住鍵盤(pán)上的“ ctrl ”和“ alt ”鍵再按“ del ”鍵,選擇“任務(wù)治理器”,點(diǎn)選“進(jìn)程”標(biāo)簽。察看其中是否有一個(gè)名為“ vktserv.exe ”的進(jìn)程。假如有,則說(shuō)明已經(jīng)中毒。

3.2ARP攻擊處理方法

中ARP病毒者:下載360衛(wèi)士ARP防火墻,下載地址:http://www.#/down/soft_down11.html。在進(jìn)程中假如有“vktserv”進(jìn)程,右鍵點(diǎn)擊此進(jìn)程后選擇“結(jié)束進(jìn)程”,然后在c:windowssystem32路徑找到vktserv.exe文件刪除,在“控制面板”-“治理工具”-“服務(wù)”中,找到vktserv服務(wù)禁用,重起機(jī)器。

受攻擊者

假如已經(jīng)不能上網(wǎng),則先運(yùn)行一次命令arp -d將arp緩存中的內(nèi)容刪空,計(jì)算機(jī)可暫時(shí)恢復(fù)上網(wǎng),注:arp -d命令用于清除并重建本機(jī)arp表。arp -d命令并不能抵御ARP欺騙,執(zhí)行后仍有可能再次遭受ARP攻擊。假如已經(jīng)有網(wǎng)關(guān)的正確MAC地址,在不能上網(wǎng)時(shí),手工將網(wǎng)關(guān)IP和正確MAC綁定,可確保計(jì)算機(jī)不再被攻擊影響。手工綁定可在MS-DOS窗口下運(yùn)行以下命令: arp -s 網(wǎng)關(guān)IP 網(wǎng)關(guān)MAC,但系統(tǒng)重啟后失效。

4 ARP攻擊的防治對(duì)策

4.1 用戶端綁定

在用戶端計(jì)算機(jī)上綁定交換機(jī)網(wǎng)關(guān)的IP和MAC地址。

首先,要求用戶獲得交換機(jī)網(wǎng)關(guān)的IP地址和MAC地址,用戶在DOS提示符下執(zhí)行 arp -a命令,具體如下:

C:Documents and Settingsuser>arp -a

Interface: 192.168.10.50x2

Internet AddressPhysical Address Type

192.168.10.254 00-05-0F-ED-1D-5Bdynamic

其中192.168.10.254和00-05-0F-ED-1D-5B分別為網(wǎng)關(guān)的IP 地址和MAC地址,因用戶所在的區(qū)域、樓體和交換機(jī)不同,其對(duì)應(yīng)網(wǎng)關(guān)的IP地址和MAC地址也不相同。

編寫(xiě)一個(gè)批處理文件arp.bat,實(shí)現(xiàn)將交換機(jī)網(wǎng)關(guān)的MAC地址和網(wǎng)關(guān)的IP地址的綁定,內(nèi)容如下:

@echo off

arp -d

arp -s192.168.10.25400-05-0F-ED-1D-5B

用戶應(yīng)該按照第一步中查找到的交換機(jī)網(wǎng)關(guān)的IP地址和MAC地址,填入arp -s后面即可,同時(shí)需要將這個(gè)批處理軟件拖到“windows--開(kāi)始--程序--啟動(dòng)”中,以便用戶每次開(kāi)機(jī)后計(jì)算機(jī)自動(dòng)加載并執(zhí)行該批處理文件,對(duì)用戶起到一個(gè)很好的保護(hù)作用。

4.2 網(wǎng)管交換機(jī)端綁定

在核心交換機(jī)上綁定用戶主機(jī)的IP地址和網(wǎng)卡的MAC地址,同時(shí)在邊緣交換機(jī)上將用戶計(jì)算機(jī)網(wǎng)卡的MAC地址和交換機(jī)端口綁定的雙重安全綁定方式。IP和MAC地址的綁定。在核心交換機(jī)上將所有局域網(wǎng)絡(luò)用戶的IP地址與其網(wǎng)卡MAC地址一一對(duì)應(yīng)進(jìn)行全部綁定。這樣可以極大程度上避免非法用戶使用ARP欺騙或盜用合法用戶的IP地址進(jìn)行流量的盜取。MAC地址與交換機(jī)端口的綁定。根據(jù)局域網(wǎng)絡(luò)用戶所在的區(qū)域、樓體和用戶房間所對(duì)應(yīng)的交換機(jī)端口號(hào),將用戶計(jì)算機(jī)網(wǎng)卡的MAC地址和交換機(jī)端口綁定。此方案可以防止非法用戶隨意接入網(wǎng)絡(luò)端口上網(wǎng)。網(wǎng)絡(luò)用戶如果擅自改動(dòng)本機(jī)網(wǎng)卡的MAC地址,該機(jī)器的網(wǎng)絡(luò)訪問(wèn)將因其MAC地址被交換機(jī)認(rèn)定為非法而無(wú)法實(shí)現(xiàn)上網(wǎng),自然也就不會(huì)對(duì)局域網(wǎng)造成干擾了。

4.3采用VLAN技術(shù)隔離端口

局域網(wǎng)的網(wǎng)絡(luò)管理員可根據(jù)本單位網(wǎng)絡(luò)的拓卜結(jié)構(gòu),具體規(guī)劃出若干個(gè)VLAN,當(dāng)管理員發(fā)現(xiàn)有非法用戶在惡意利用ARP欺騙攻擊網(wǎng)絡(luò),或因合法用戶受病毒ARP病毒感染而影響網(wǎng)絡(luò)時(shí),網(wǎng)絡(luò)管理員可利用技術(shù)手段首先查找到該用戶所在的交換機(jī)端口,然后將該端口劃一個(gè)單獨(dú)的VLAN將該用戶與其它用戶進(jìn)行物理隔離,以避免對(duì)其它用戶的影響。當(dāng)然也可以利用將交換機(jī)端口Disable掉來(lái)屏蔽該用戶對(duì)網(wǎng)絡(luò)造成影響,從而達(dá)到安全防范的目的。

4.4 使用ARP防護(hù)軟件

針對(duì)ARP欺騙攻擊的軟件在網(wǎng)絡(luò)中很多。多數(shù)軟件單單針對(duì)ARP欺騙攻擊的某一方面特性進(jìn)行制作抵御軟件的原理,這些軟件在ARP防范領(lǐng)域有一些影響。同時(shí)大家還可以安裝防病毒軟件,安裝ARP漏洞補(bǔ)丁等方法,來(lái)防范ARP攻擊。

參考文獻(xiàn)

[1]孔祥翠等,校園局域網(wǎng)防ARP病毒的研究和解決[J].計(jì)算機(jī)安全,2008,(4).

[2]華師傅資訊,dos命令行網(wǎng)絡(luò)與系統(tǒng)應(yīng)用疑難解析與技巧1500例[M]中國(guó)鐵道出版社 2008-10

[3]宋文官 網(wǎng)絡(luò)技術(shù)與應(yīng)用[M] 高等教育出版設(shè) 2005-12.