比較流行的Arp病毒原理及防護(hù)方法

主機(jī)在兩種情況下會(huì)保存、更新本機(jī)的ARP緩存表.

1. 接收到“ARP廣播-請(qǐng)求”包時(shí)

2. 接收到“ARP非廣播-回復(fù)”包時(shí)

從中我們可以看出， ARP協(xié)議是沒(méi)有身份驗(yàn)證機(jī)制的， 局域網(wǎng)內(nèi)任何主機(jī)都可以隨意偽造ARP數(shù)據(jù)包， ARP協(xié)議設(shè)計(jì)天生就存在嚴(yán)重缺陷。

假設(shè)局域網(wǎng)內(nèi)有以下三臺(tái)主機(jī)（其中GW指網(wǎng)關(guān)）， 主機(jī)名、IP地址、MAC地址分別如下：

主機(jī)名   IP地址          MAC地址        GW       192.168.0.1     01-01-01-01-01-01        PC02     192.168.0.2     02-02-02-02-02-02        PC03     192.168.0.3     03-03-03-03-03-03

在正常情況下， 主機(jī)PC02與GW之間的數(shù)據(jù)流向， 以及它們各自的ARP緩存表如下圖所示：

當(dāng)網(wǎng)絡(luò)愛(ài)好者， 主機(jī)PC03出現(xiàn)之后， 他為了達(dá)到某種目的， 于是決定實(shí)施一次ARP欺騙攻擊。 PC03首先向PC02發(fā)送了一個(gè)ARP數(shù)據(jù)包， 作用相當(dāng)于告訴PC02：“嘿， 我是192.168.0.1， 我的MAC地址是03-03-03-03-03-03”， 接著他也向GW發(fā)送了一個(gè)ARP數(shù)據(jù)包， 作用相當(dāng)于告訴GW：“嘿， 我是192.168.0.2， 我的MAC地址是03-03-03-03-03-03”。 于是， 主機(jī)PC02與GW之間的數(shù)據(jù)流向， 以及它們各自的ARP緩存表就變成如下圖所示：

從上圖我們可以看出， ARP欺騙之后， 主機(jī)PC02與GW之間的所有網(wǎng)絡(luò)數(shù)據(jù)都將流經(jīng)PC03， 即PC03已經(jīng)掌控了它們之間的數(shù)據(jù)通訊。 以上就是一次ARP欺騙的實(shí)施過(guò)程， 以及欺騙之后的效果。

ARP欺騙根據(jù)欺騙對(duì)象的不用可以分為三種：

1. 只欺騙受害主機(jī)。 實(shí)施欺騙后效果如下：

2. 只欺騙路由器、網(wǎng)關(guān)。 實(shí)施欺騙后效果如下：

3. 雙向欺騙， 即前面兩種欺騙方法的組合使用。 實(shí)施欺騙后的效果如下：

ARP欺騙帶來(lái)的危害可以分為幾大類(lèi)：

1. 網(wǎng)絡(luò)異常。 具體表現(xiàn)為：掉線、IP沖突等。

2. 數(shù)據(jù)竊取。 具體表現(xiàn)為：個(gè)人隱私泄漏（如MSN聊天記錄、郵件等）、賬號(hào)被盜用（如QQ賬號(hào)、銀行賬號(hào)等）。

3. 數(shù)據(jù)篡改。 具體表現(xiàn)為：訪問(wèn)的網(wǎng)頁(yè)被添加了惡意內(nèi)容， 俗稱“掛馬”。

4. 非法控制。 具體表現(xiàn)為：網(wǎng)絡(luò)速度、網(wǎng)絡(luò)訪問(wèn)行為（例如某些網(wǎng)頁(yè)打不開(kāi)、某些網(wǎng)絡(luò)應(yīng)用程序用不了）受第三者非法控制。 ARP欺騙根據(jù)發(fā)起個(gè)體的不同可以分為兩類(lèi)，

(1). 人為攻擊。 人為攻擊的目的主要是：造成網(wǎng)絡(luò)異常、竊取數(shù)據(jù)、非法控制。

(2). ARP病毒。 ARP病毒不是特指某一種病毒， 而是指所有包含有ARP欺騙功能的病毒的總稱。 ARP病毒的目的主要是：竊取數(shù)據(jù)（盜號(hào)等）、篡改數(shù)據(jù)（掛馬等）。

針對(duì)arp病毒泛濫， 可在交換上做以下設(shè)置：

華為交換機(jī)：可在接入層或匯聚層交換機(jī)封源mac地址

int 某端口

mac-address backhole **************

港灣交換機(jī)：可在匯聚層做acl

service acl enable

create acl deny_mac mac-ip destination any any source ************** any deny ports any predence 60

其中******************表示mac地址