ARP欺騙病毒

鑒於目前ARP欺騙對區域網路安全運行造成的影響,我們收集整理了這個ARP欺騙病毒的專題,希望能給您的網路安全運行帶來幫助!

1、什麼是ARP協定

要想了解ARP欺騙攻擊的原理,首先就要了解什麼是ARP協定。
ARP是地址轉換協定Address resolution Protocol)的英文縮寫,它是一個鏈路層協定,工作在OSI
模型的第二層,在本層和硬體接口間進行聯繫,同時對上層(網路層)提供服務。我們知道二層的以
太網交換設備並不能識別32位的IP位址,它們是以48位乙太網地址(就是我們常說的MAC地址)傳輸
乙太網數據包的。也就是說IP數據包在區域網路內部傳輸時並不是靠IP位址而是靠MAC地址來識別目標
的,因此IP位址與MAC地址之間就必須存在一種對應關係,而ARP協定就是用來確定這種對應關係的
協定。ARP工作時,首先請求主機會傳送出一個含有所希望到達的IP位址的乙太網廣播數據包,然
後目標IP的所有者會以一個含有IP和MAC地址對的數據包應答請求主機。這樣請求主機就能獲得要
到達的IP位址對應的MAC地址,同時請求主機會將這個地址對放入自己的ARP表快取起來,以節約不
必要的ARP通信。ARP快取表採用了老化機制,在一段時間內如果表中的某一行沒有使用(windows系
統這個時間為2分鐘,而Cisco路由器的這個時間為5分鐘),就會被刪除,這樣可以大大減少ARP緩
存表的長度,加快查詢速度。通過下面的例子我們可以很清楚的看出ARP的工作機制。
ARP欺騙病毒
ARP原理
如上圖所示,假如我們有兩個網段、三台主機、兩個網關、分別是:
主機名 IP位址 MAC地址
網關1 192.168.1.1 01-01-01-01-01-01
主機A 192.168.1.2 02-02-02-02-02-02
主機B 192.168.1.3 03-03-03-03-03-03
網關2 10.1.1.1 04-04-04-04-04-04
主機C 10.1.1.2 05-05-05-05-05-05
假如主機A要與主機B通訊,它首先會通過網路掩碼比對,確認出主機B是否在自己同一網段內,如果
在它就會檢查自己的ARP快取中是否有192.168.1.3這個地址對應的MAC地址,如果沒有它就會向局域
網的廣播地址傳送ARP請求包,大致的意思是192.168.1.3的MAC地址是什麼請告訴192.168.1.2,而
廣播地址會把這個請求包廣播給區域網路內的所有主機,但是只有192.168.1.3這台主機才會回響這個
請求包,它會回應192.168.1.2一個arp reply包,大致的意思是192.168.1.3的MAC地址是
03-03-03-03-03-03。這樣的話主機A就得到了主機B的MAC地址,並且它會把這個對應的關係存在自
己的ARP快取表中。之後主機A與主機B之間的通訊就依靠兩者快取表里的MAC地址來通訊了,直到通
訊停止後兩分鐘,這個對應關係才會被從表中刪除。
再來看一個非區域網路內部的通訊過程,假如主機A需要和主機C進行通訊,它首先會通過比對掩碼發
現這個主機C的IP位址並不是自己同一個網段內的,因此需要通過網關來轉發,這樣的話它會檢查
自己的ARP快取表里是否有網關1(192.168.1.1)對應的MAC地址,如果沒有就通過ARP請求獲得,如果
有就直接與網關通訊,然後再由網關1通過路由將數據包送到網關2,網關2收到這個數據包後發現
是送給主機C(10.1.1.2)的,它就會檢查自己的ARP快取(沒錯,網關一樣有自己的ARP快取),
看看裡面是否有10.1.1.2對應的MAC地址,如果沒有就使用ARP協定獲得,如果有就是用該MAC地址將
數據轉發給主機C。

2、ARP欺騙原理

在了解ARP協定後我們再來看看什麼是ARP欺騙,它的目的又是什麼?通過上面的例子我們知道了
在以太區域網路內數據包傳輸依靠的是MAC地址,IP位址與MAC對應的關係依靠ARP表,每台主機(包
括網關)都有一個ARP快取表。在正常情況下這個快取表能夠有效的保證數據傳輸的一對一性,
也就是說主機A與主機C之間的通訊只通過網關1和網關1,象主機B之類的是無法截獲A與C之間的
通訊信息的。但是在ARP快取表的實現機制中存在一個不完善的地方,當主機收到一個ARP的應答
包後,它並不會去驗證自己是否傳送過這個ARP請求,而是直接將應答包里的MAC地址與IP對應的
關係替換掉原有的ARP快取表里的相應信息。如下圖所示:
ARP欺騙病毒
ARP欺騙原理
這就導致主機B截取主機A與主機C之間的數據通信成為可能。首先主機B向主機A傳送一個ARP應答
包說192.168.1.1的MAC地址是03-03-03-03-03-03,主機A收到這個包後並沒有去驗證包的真實性而
是直接將自己ARP列表中的192.168.1.1的MAC地址替換成03-03-03-03-03-03,同時主機B向網
關1傳送一個ARP回響包說192.168.1.2的MAC是03-03-03-03-03-03,同樣網關1也沒有去驗證這個
包的真實性就把自己ARP表中的192.168.1.2的MAC地址替換成03-03-03-03-03-03。當主機A想要與
主機C通訊時,它直接把應該傳送給網關1(192.168.1.1)的數據包傳送到03-03-03-03-03-03這個
MAC地址,也就是發給了主機B,主機B在收到這個包後經過修改再轉發給真正的網關1,當從主
機C返回的數據包到達網關1後,網關1也使用自己ARP表中的MAC,將發往192.168.1.2這個IP地
址的數據發往03-03-03-03-03-03這個MAC地址也就是主機B,主機B在收到這個包後再轉發給主
機A完成一次完整的數據通訊,這樣就成功的實現了一次ARP欺騙攻擊。
因此簡單點說ARP欺騙的目的就是為了實現全交換環境下的數據監聽與篡改。到這裡我們可以知道
要完成一次有效的ARP欺騙的關鍵點就是雙向欺騙,也就是說欺騙者必須同時對網關和主機進行欺騙。

3、ARP欺騙病毒

首先需要說明的是,這裡說的ARP欺騙病毒並不是特指某一種病毒,而是指所有包含有ARP欺騙功
能的病毒的總稱。由於ARP欺騙到目前為止依然是一種難以控制且非常有效的攻擊手段,在今後很
長一段時間它都會被病毒、木馬程式等利用。這也加大了我們對這類病毒的控制難度。
ARP病毒的危害:
影響區域網路正常運行——區域網路內一旦有ARP的攻擊存在,會欺騙區域網路內所有主機和網關,讓所
有上網的流量必須經過ARP攻擊者控制的主機。其他用戶原來直接通過網關上網現在轉由通過被控
主機轉發上網,由於被控主機性能和程式性能的影響,這種轉發並不會非常流暢,因此就會導致用
戶上網的速度變慢。而由於ARP表存在老化機制,這就導致在某段時候主機能獲得正確的網關MAC直
到新的欺騙完成,這兩種情況的交替過程中,主機顯示的狀況就是時斷時續。
泄露用戶敏感信息——大部分時候這些信息是黑客們所感興趣的東西(如遊戲帳號和密碼、QQ號
和密碼、網銀帳號和密碼等)
ARP病毒的傳播方式
前面講過ARP欺騙是一種攻擊方式,所有的病毒都可以採用這種方式,因此ARP病毒傳播的方式
包括現有大部分病毒傳播的方式,從前我們掌握的情況來看,主要為以下幾種:
通過網頁下載傳播(目前大部分ARP木馬的傳播方式)
網路共享傳播(弱口令共享等)
移動存儲介質傳播(如隨身碟、移動硬碟等)
檔案感染
ARP病毒的查殺
對於已知的ARP病毒,可以使用防毒軟體或者是專殺工具進行查殺,而對於一些防毒軟體無法查殺
的未知ARP病毒,建議用戶重新安全系統並及時升級補丁程式!

4、ARP欺騙的檢測與控制辦法

目前比較有效的檢測ARP欺騙攻擊的方法主要有兩種,一種是在區域網路內部使用抓包軟體進行抓
包分析、另一種是直接到到三層交換機上查詢ARP表,這兩種方法各有優缺點,具體分析如下:
1、抓包分析
方法——使用抓包軟體(如WindumpSniffer Pro等)在區域網路內抓ARP的reply包,以windump為
例,使用windump -i 2 -n arp and host 192.168.0.1(192.168.0.1是您的網關地址)抓下來
的包我們只分析包含有reply字元的,格式如下:
18:25:15.706335 arp reply 192.168.0.1 is-at 00:07:ec:e1:c8:c3
如果最後的mac不是您網關的真實mac的話,那就說明有ARP欺騙存在,而這個mac就是那台進行
ARP欺騙主機的mac。
優點——簡單易行,無需特別許可權設定,所有用戶都可以做,誤判率較小!
缺點——必須在區域網路內部(廣播域內部)聽包才有效。
2、三層交換機上查詢ARP快取表
方法——登入區域網路的上聯三層交換機,並查看交換機的ARP快取表(各種品牌的交換機命令有差異)
如果在ARP表中存在一個MAC對應多個連線埠(請注意是一個MAC對應多個連線埠,而不是一個連線埠上
存在多個MAC)的情況,那么就表明存在ARP欺騙攻擊,而這個MAC就是欺騙主機的MAC。
優點——可以遠程操作,無需到區域網路內部,可以通過腳本來自動分析。
缺點——需要特殊許可權,普通用戶無法進行操作。
ARP欺騙的控制方法
1、主機靜態綁定網關MAC
方法——使用arp命令靜態綁定網關MAC,格式如下:
arp -s 網關IP 網關MAC
如果覺得每次手動輸入比較複雜,您可以編寫一個簡單的批處理檔案然後讓它每次開機時自動運行,
批處理檔案如下:
-----------------------------------
@echo off
echo "arp set"
arp -d
arp -s 網關IP 網關MAC
exit
------------------------------------
優點——簡單易行,普通用戶都能操作
缺點——只能單向綁定。需要跟網關綁定MAC結合使用。
2、網關使用IP+MAC綁定模式
方法——交換機啟用靜態ARP綁定功能,將用戶的IP與MAC進行靜態綁定,防止ARP欺騙發生。
優點——效果明顯
缺點——操作複雜,工作量巨大。無法保證主機端不被欺騙,需要與主機端綁定網關MAC結合使用。
3、使用ARP伺服器
方法——在區域網路內架設ARP伺服器,替代主機應答ARP包。
優點——效果明顯
缺點——配置複雜,需要改變客戶端設定。成本高,需要大量的伺服器。
4、使用防ARP攻擊的軟體
方法——下載和使用防ARP攻擊的軟體,如ARPFix或者是Antiarp等。
優點——簡單易行
缺點——需要用戶端都安裝,無法保證網關不被欺騙。
總結:因為ARP欺騙利用的是ARP協定本身的缺陷,所以到目前為止,我們依然沒有一個十分有效
的方法去控制這種攻擊。目前難點主要集中在網關交換機上,我們還沒有找到一個很有效
的方法來防範網關上的ARP列表不被欺騙修改。所以當前最有效的辦法還是迅速阻斷這種攻擊的來源。
這就要求能夠快速檢測到攻擊並定位出攻擊主機位置後加以處理。

5、防範ARP欺騙的常用工具

ARP防火牆——ARPFix
這是我們CCERT為了解決ARP病毒所開發的一個小防火牆軟體,當它被安裝在正常主機上時,它能
有效地防範自身被ARP欺騙並能檢測出感染主機的MAC地址,如果它被安裝在感染主機上時它
可以阻斷感染主機對外發起的ARP欺騙攻擊。需要說明的是這只是一款防火牆軟體,它不具備查
殺ARP病毒的能力,如果需要查殺ARP病毒,您還是需要專業防毒軟體。
windump軟體——windump
tcpdump軟體在windows系統下的版本,簡單易用!需要winpcap的支持。
sniffer pro軟體——sniffer
windows系統低下功能最強大的抓包分析軟體。
趨勢的ARP專殺工具——TSC_ARP
趨勢提供的最新的ARP專殺工具,解壓縮後直接運行tsc.exe即可。
AntiARP軟體——AntiArp
網路上比較流行的防範ARP欺騙攻擊的軟體。軟體的下載地址和詳細信息請參見:
http://www.antiarp.com/

6、ARP欺騙病毒的最新狀況

以往的ARP病毒使用ARP欺騙的目的絕大多數都是為了竊取用戶的敏感信息,但是我們最近監測到
ARP欺騙在病毒中又得到了新的套用,那就是作為傳播網頁木馬病毒的傳播手段,當一台主機感
染帶有這種ARP欺騙功能的病毒後,會在區域網路內發動ARP欺騙,它會監聽區域網路內所有主機的數據
包,一旦發現其它主機有訪問WEB網頁的行為後,就會通過修改相應的數據封包在你訪問的網頁代
碼里加入包含有木馬程式的網頁連結。從而導致區域網路內其它主機不管訪問什麼網站都會被導引到含
有木馬病毒的網站上去的。當您訪問任何網站您的防毒軟體都在報該網頁有毒的話,很可能您的局域
網內就存在這種攻擊。

7、其他相關

ARP在註冊表中的項:
1、關於arp快取表項的生存期(有效時間)
在默認情況下,Windows Server 2003家族和Windows XP中,ARP快取中的表項僅存儲2分鐘。
如果一個ARP快取表項在2分鐘內被用到,則其期限再延長2分鐘,直到最大生命期限10分鐘為止。
超過10分鐘的最大期限後,ARP快取表項將被移出,並且通過另外一個ARP請求——ARP回應交換
來獲得新的對應關係。
ARP快取表項的存放時間可以通過改變ArpCacheLife和ArpCacheMinReferencedLife的註冊表
值來重新設定。
ArpCacheLife
Location:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
Data Type: REG_DWORD
Valid range: 0-0xFFFFFFFF
Default value: 120
Present by default: No
ArpCacheLife設定了未被使用的ARP快取表項可以被保持的時間。如果註冊表中沒有ArpCacheLife項,
則ArpCacheLife的默認值是120秒(2分鐘)。
ArpCacheMinReferencedLife
Location:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
Data Type: REG_DWORD
Valid range: 0-0xFFFFFFFF
Default value: 600
Present by default: No
ArpCacheMinReferencedLife設定被重複使用的表項可以在ARP快取中存放的時間。
ArpCacheMinReferencedLife的默認值是600秒(10分鐘)。
在註冊表中ArpCacheMinReferencedLife和ArpCacheLife的值的使用方法如下:
如果ArpCacheLife比ArpCacheMinReferencedLife的值大或與之相等,則被使用和未被使用的ARP
快取表項可存儲的時間都是ArpCacheLife。
如果ArpCacheLife比ArpCacheMinReferencedLife的值小,則未被使用的ARP快取表項在
ArpCacheLife秒的時間後就過期了,被使用的表項的生存期為ArpCacheMinReferencedLife秒。
2、無償ARP和重複的IP位址檢測
ARP可以被用來檢測重複的IP位址,這是通過傳送一種叫做無償ARP的ARP請求來完成的。無償
ARP就是一個發往自己IP位址的ARP請求。在無償ARP中,SPA(傳送者協定地址)和TPA(目標協定
地址)被設定成同一個IP位址。
如果節點傳送一個發往自己IP位址的ARP請求,就不應收到任何一個ARP回應幀,這樣節點就可以
判斷沒有其他節點使用跟它相同的IP位址。如果節點傳送一個發往自己IP位址的ARP請求,結果收
到ARP回應,這樣此節點就可以判斷有另外一個節點使用同樣的IP位址。註冊表中對ArpRetryCount
的設定控制了無償ARP的傳送數量。
ArpRetryCount
Location:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
Data Type: REG_DWORD
Valid range: 0-3
Default value: 3
Present by default: No
ArpRetryCount設定了當初始化某個IP位址時,傳送的無償ARP的次數。如果傳送了ArpRetryCount
個無償ARP後,都沒有收到ARP回應,IP就假定此IP位址在此網路段中是唯一的。
提示:無償ARP試圖檢測在同一個網路段中的IP位址重複。由於路由器並不轉發ARP幀,無償ARP
並不能檢測在不同網路段之間的IP位址衝突。個人感覺這種無償ARP是不是能夠用在開發檢測ARP
病毒的機制上?

8、討論

目前我們還沒有一個針對該種攻擊方式特別行之有效的辦法,如果您在處理ARP病毒的時候有什
么好的方法和經驗,歡迎您與大家分享!稍後我們會建立一個郵件列表,用來討論相關的問題!
from:http://www.ccert.edu.cn/faq/show.php?handle=96

熱門詞條

聯絡我們