主題名稱

ARP欺騙與MITM（中間人攻擊）實例

ARP協議（address resolution protocol）：地址解析協議

一臺主機和另一臺主機通信，要知道目標的IP地址，但是在局域網中傳輸數據的網卡卻不能直接識別IP地址，所以用ARP解析協議將IP地址解析成MAC地址。ARP協議的基本功能就是通過目標設備的IP地址，來查詢目標設備的mac地址。

在局域網的任意一臺主機中，都有一個ARP緩存表，里面保存本機已知的此局域網中各主機和路由器的IP地址和MAC地址的對照關系。ARP緩存表的生命周期是有時限的（一般不超過20分鐘）。

MITM攻擊實例：

網絡拓撲：

網絡環境：

無線路由器一臺

型號：Fast FW300R

IP：192.168.1.1

MAC地址：00:5A:39:1A:BB:BE

被攻擊主機PC 1

系統版本：Windows 10 Enterprise

IP：192.168.1.106

MAC地址：00:5A:39:1A:BB:BE

中間人（攻擊者）主機PC 0

系統版本：Kali Linux 2.0

IP：192.168.1.113

MAC地址：00:0C:29:03:85:DC

由于實驗條件有限，故中間人主機PC 0在虛擬機內運行。但實際效果與真實測試相同。

攻擊測試：

使用Kali Linux中的嗅探工具ettercap-NG對目標主機進行ARP欺騙，并截獲明文密碼。

首先打開終端，輸入ettercap -G 啟動ettercap （ettercap要求使用root權限，使用sudo或者切換到root用戶運行）的圖形界面模式，如圖：

打開ettercap-NG 的圖形界面之后點擊"sniff"，選擇"unified sniffing"然后根據自己的要求選擇要抓包的網卡。

使用NMAP工具查看局域網內所有主機：

根據返回數據可知，我的網關無線路由器的IP地址為192.168.1.1，MAC地址為：00:5A:39:1A:BB:BE，根據MAC地址，分析出
深圳Fast科技公司出產。

此外有幾臺蘋果的設備，是室友的幾部蘋果手機，此外還有一部Vivo手機，BBK步步高電子產品出產，還有一臺小米科技出產的小米手機。此外，還有一臺名為 Hon Hai Precision 的設備，經查原來其名為鴻海精密集團，富士康是旗下的公司，應該就是我的網卡生產商了。
還有一個提示信息為"Host is up"的主機即為本次測試的中間人（攻擊者）的主機。

篩選后，得到信息如下：

返回ettercap，然后單擊Hosts選項，選擇Scan for host，待掃描完成之后再選擇Scan for host，然后選擇Host list，此時可以看到ettercap-NG已經掃描的主機列表，如圖所示：

然后就可以選擇要攻擊的目標了，
選擇192.168.1.106的IP地址，點擊Add to Target 1（添加到目標1）,然后選擇網關的IP地址192.168.1.1，點擊Add to Target 2（添加到目標2）,可以看到ettercap提示成功加入目標，如圖所示：

然后明確攻擊方式，這里采用ARP欺騙的方式，告訴主機192.168.1.106我（192.168.1.113）才是網關（192.168.1.1），使得 192.168.1.106的主機把所有數據流量全部發給我，然后抓包截獲密碼。

明確攻擊方式之后，我們選擇"mitm"—"arp poisoning"— "Sniff remote connections" — "確定"

這時可以看看目標主機的arp地址表，如圖所示，ARP緩存毒化成功。

攻擊之前：

點擊確定攻擊之后：

此時發現ARP緩存表已經毒化成功！

然后在攻擊主機中選擇"Start" — "Start sniffing" 開始監聽。

此時使用Wireshark抓包工具可以發現，被攻擊主機的所有流量都是通過攻擊者的主機發送出去的，即被攻擊主機誤認為192.168.1.113是它的網關。

此時便可以實現很多功能。例如抓包獲取密碼，Cookies欺騙，DNS欺騙，惡意程序替換等等，如通過driftnet過濾嗅探圖片：

ARP攻擊防范：

1、雙向綁定：

一般來說，在小規模網絡中，比較推薦使用雙向綁定，也就是在路由器和終端上都進行IP-MAC綁定的措施，它可以對ARP欺騙的兩邊，偽造網關
和截獲數據，都具有約束的作用。這是從ARP欺騙原理上進行的防范措施，也是最普遍應用的辦法。它對付最普通的ARP欺騙是有效的。

2、ARP防火墻：

在一些殺毒軟件中加入了ARP防火墻的功能，它是通過在終端電腦上對網關進行綁定，保證不受網絡中假網關的影響，從而保護自身數據不被竊取的措施。ARP防火墻使用范圍很廣，但也會有問題，如，它不能保證綁定的網關一定是正確的。如果一個網絡中已經發生了ARP欺騙，有人在偽造網關，那么，ARP防火墻上來就會綁定這個錯誤的網關，這是具有極大風險的。

3、VLAN和交換機端口綁定：

通過劃分VLAN和交換機端口綁定來防范ARP，也是常用的防范方法。做法是細致地劃分VLAN，減小廣播域的范圍，使ARP在小范圍內起作
用，而不至于發生大面積影響。同時，一些網管交換機具有MAC地址學習的功能，學習完成后，再關閉這個功能，就可以把對應的MAC和端口進行綁定，避免了病毒利用ARP攻擊篡改自身地址。也就是說，把ARP攻擊中被截獲數據的風險解除了。