戰(zhàn)術(shù)攻防之近距離搏擊篇(ARP)攻擊(1)

SANS公布2001來(lái)自于內(nèi)部入侵攻擊雖然只占30%左右，然而產(chǎn)生的危害也最大，因此局域網(wǎng)絡(luò)的入侵和滲透更具有實(shí)足的硝煙氣息。利用二層鏈路上ARP協(xié)議漏洞而產(chǎn)生的各種攻擊方式無(wú)疑是局部網(wǎng)絡(luò)戰(zhàn)爭(zhēng)最精妙的特技。

一、 基礎(chǔ)知識(shí)預(yù)備

精巧程序的后面藏匿著簡(jiǎn)單的原理和聰穎的智慧。為了順利闡述ARP本身的協(xié)議漏洞以及后面將要闡述的各種ARP攻擊思維(同時(shí)，我必須顧及那些初次接觸網(wǎng)絡(luò)的朋友，以致不挫傷他們對(duì)網(wǎng)絡(luò)攻擊防御的興趣)，我們將粗淺的概覽ARP協(xié)議和相關(guān)的網(wǎng)絡(luò)鏈路層的一些概念。

ARP(Address Resolution Protocol)簡(jiǎn)稱(chēng)地址解析協(xié)議，主要用于把以太網(wǎng)卡硬件地址和IP地址捆綁起來(lái)。當(dāng)主機(jī)之間發(fā)生通信要求，則ARP協(xié)議通過(guò)廣播請(qǐng)求/單播回應(yīng)方式建立主機(jī)間通信連接。大家熟悉的IP地址采用32位長(zhǎng)度，在以太局域網(wǎng)中網(wǎng)卡設(shè)備地址是48位長(zhǎng)度(也稱(chēng)為MAC地址)。一張稱(chēng)為ARP緩存的表單用于維護(hù)MAC地址和其所對(duì)應(yīng)的IP地址的相關(guān)性。ARP則提供用于在網(wǎng)絡(luò)設(shè)備間進(jìn)行地址轉(zhuǎn)換和創(chuàng)造MAC-IP相關(guān)性的協(xié)議規(guī)則。

網(wǎng)絡(luò)鏈路層的建立通信關(guān)系的準(zhǔn)則：網(wǎng)絡(luò)主機(jī)A欲與網(wǎng)絡(luò)主機(jī)C建立通信連接，主機(jī)A在網(wǎng)絡(luò)中廣播ARP的請(qǐng)求數(shù)據(jù)包(REQUEST)，如圖一：

主機(jī)A欲與IP地址為192.168.1.3的目標(biāo)主機(jī)通信，則發(fā)送的廣播的數(shù)據(jù)包中包含本身的IP地址、網(wǎng)卡的MAC地址、目標(biāo)主機(jī)的IP地址以及廣播MAC地址(FF-FF-FF-FF-FF-FF)。

(注：Mac地址是媒體接入層上使用的地址，直觀(guān)的概念就是網(wǎng)卡的物理地址，Mac地址一般都采用6字節(jié)48bit。)

主機(jī)C接收到ARP的REQUEST廣播包，發(fā)現(xiàn)目標(biāo)地址中IP地址與自身IP地址一致，接收該數(shù)據(jù)請(qǐng)求，并作出響應(yīng)。

從圖二中，可以看到主機(jī)C發(fā)現(xiàn)主A的ARP請(qǐng)求符合要求，在自身ARP緩存表中添加主機(jī)A的IP-MAC綁定映像記錄，并發(fā)送單播ARP回應(yīng)數(shù)據(jù)包(RELAY)給主機(jī)A。主機(jī)A接收到回應(yīng)數(shù)據(jù)包，更新其ARP緩存表記錄，綁定主機(jī)C的IP-MAC映像記錄。至此，二層通信關(guān)系建立完畢。而網(wǎng)絡(luò)中其他主機(jī)則忽略此請(qǐng)求包。

這種關(guān)系可以類(lèi)似于情景會(huì)話(huà)↓

主機(jī)A：嗨，誰(shuí)主機(jī)的IP地址是192.168.1.3?

主機(jī)B：嗨，我主機(jī)地址是192.168.1.3,我的門(mén)牌號(hào)是00-50-56-C0-08，記得來(lái)找我啊。

其他主機(jī)：NO，這不是我的IP地址。

從原理分析發(fā)覺(jué)ARP本身是無(wú)類(lèi)協(xié)議，本身不能攜帶任何狀態(tài)信息。因此ARP協(xié)議不能進(jìn)行任何認(rèn)證，這樣就導(dǎo)致協(xié)議本身具有安全威脅性。造成這種安全威脅的歷史原因在于：早先的網(wǎng)絡(luò)創(chuàng)造者們是在一個(gè)平和自由的環(huán)境中設(shè)計(jì)ARP協(xié)議，因而安全問(wèn)題在當(dāng)時(shí)幾乎是瑣碎的事情。然而網(wǎng)絡(luò)集聚膨脹，破壞性攻擊和入侵事件的增加，使得ARP協(xié)議脆弱不堪。

了解ARP工作原理之后，可以得出：大部分網(wǎng)絡(luò)系統(tǒng)中的ARP緩存列表根據(jù)所接收的ARP REPLAY數(shù)據(jù)包動(dòng)態(tài)增加或更新緩存表中IP-MAC映射記錄。根據(jù)這樣一條簡(jiǎn)單規(guī)則，我們將看到各種絢麗的入侵和攻擊手法。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]