一、实验目的：掌握ARP欺骗攻击，掌握ARP欺骗攻击的全过程，学会防范ARP欺骗。二。实验环境：Windows环境，kail环境，XP环境，软件工具：packEth III。实验原理：ARP缓存1。每台安装了TCP/IP协议的电脑中都有一个ARP缓存表，表中的IP地址和MAC地址是一一对应的。下图显示了Windows 7主机的ARP缓存表： 　　

　　

　　 　　

　　

　　在上图所示的ARP缓存表中，IP地址192.168.70.129映射的MAC地址是00-50-56-2b-68-41。接下来，我们使用主机X(192.168.70.129)到主机Y(192.168.70.134) 　　

　　

　　当主机X发送数据时，它会在其ARP缓存表中查找主机Y的IP地址。如果找到了，也知道了主机Y的MAC地址，就把目的MAC地址写入数据包发送；如果在ARP缓存表中没有找到主机Y的IP地址，主机X会在网络上发送一个广播，目标MAC地址是“FF-FF-FF-FF-FF”。这意味着这个查询发送到同一网段的所有主机：192.168.70.129的MAC地址是什么？网络上的其他主机不响应ARP查询。主机Y只有收到这个包才会回复主机X:192 . 168 . 70 . 129的MAC地址是00-50-56-2b-68-41。这样主机X就知道了主机Y的MAC地址，他就可以给主机Y发送信息，同时也更新了自己的ARP缓存表。下次它向主机Y发送信息时，它可以直接从ARP缓存表中查找信息。ARP缓存表采用了老化机制，如果表中的一行在一段时间内没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。 　　

　　

　　2.2的定义。ARP欺骗 　　

　　

　　从前面的介绍可以看出，ARP的致命缺陷是它没有任何认证机制。当个人请求一个IP地址的MAC时，任何人都可以用该MAC地址进行回复，这种回复也会被认为是合法的。 　　

　　

　　ARP不仅在发送ARP请求后收到ARP回复。当主机收到ARP回复数据包时，它会更新其ARP缓存，并将回复中的IP和MAC地址存储在ARP缓存表中。此外，局域网中的数据包是根据MAC地址而不是IP地址传输的。使用ARP欺骗所有主机成为可能。 　　

　　

　　3.常见3。ARP命令： 　　

　　

　　注意空格的使用 　　

　　

　　用于查看缓存表中的所有项目。 　　

　　

　　arp -a ip 　　

　　

　　仅显示包含指定IP的缓存表条目。 　　

　　

　　arp -s ip mac 　　

　　

　　向ARP缓存表中添加一个静态目录，该目录在计算机启动期间保持有效。 　　

　　

　　arp -d ip 　　

　　

　　删除ARP缓存表中的静态项目 　　

　　

　　四。以下实验步骤PC2将对PC1进行ARP欺骗攻击。目的是改变PC1缓存表中网关的MAC地址，更新为aa 3360 aa 3360 aa 3360 aa 3360 aa 3360 aa 3360 aa进行欺骗，导致PC1无法正常上网。 　　

　　

　　* *更新前：**PC1的缓存表如下图所示。网关IP: 192.168.70.2对应的MAC地址是：00-50-56-e5-d2-ff 　　

　　

　　 　　

　　

　　此时，PC1可以正常上网，如下图所示： 　　

　　

　　 　　

　　

　　打开窗口7。将packEth压缩包解压到一个文件夹后，找到packEth.exe文件，双击打开。 　　

　　

　　 　　

　　

　　打开packEth.exe文件，选择第二块网卡，然后选择ARP数据包模式。 　　

　　

　　 　　

　　

　　发送方IP和MAC填写网关的真实IP地址，并将这里的MAC地址修改为aa : aa 3360 aa : aa : aa : aa，达到欺骗效果。选择ARP包函数和Arp回复包，在MAC头中填入目的真实MAC地址(这里是PC1的MAC地址)。MAC地址填写修改后的MAC地址(这里是aa : aa 3360 aa : aa 3360 aa 3360 aa 3360 aa)点击发送，开始合同交付。 　　

　　

　　 　　

　　

　　* *更新后：* *此时，我们回到PC1，使用命令arp -a检查网关的MAC地址。我们成功了 　　

修改成了aa:aa:aa:aa:aa:aa

　　

　　

此时我们再次验证PC1是否能正常上网，发现已经无法正常上网了，如下图所示:

　　

　　

PC2向PC1发送一个自己伪造的ARP应答包，而这个应答数据中发送方IP地址是网关的192.168.70.2映射的MAC更新为aa:aa:aa:aa:aa:aa（网关的MAC地址本来应该是00-50-56-e5-d2-ff，此时已经被我们伪造了）。当PC1收到PC2伪造的ARP应答，就会更新本地的ARP缓存表（PC1不知道MAC已经被伪造了），而且PC1不知道这个ARP应答包是从PC2发送过来的。这样PC1发送给网关的数据包都变成了发给PC2了。PC1对所发生的变化一点儿都没有意识到，但是接下来的事情就让PC1产生了怀疑，因为它无法正常上网了，这是因为PC2只是接收PC1发给网关的数据，并没有转发给网关。

　　

2.PC2做“maninthemiddle”（中间人），进行ARP重定向。打开自己的IP转发功能，将PC1发送过来的数据包转发给网关，就好比一个路由器一样，而网关接收到数据包完全认为是PC1发送过来的。不过，网关发送的数据包又直接传递给PC1，倘若再次进行对网关的ARP欺骗，那么PC2就完全成为PC1和网关的中间桥梁，对于PC1与网关的通讯就可以了如指掌了（如果你被人ARP监控了，想想是不是很可怕）

　　

　　

启动kali虚拟机，打开终端，输入命令：ettercap -G 如图所示：

　　

　　

在进行中间人攻击之前首先需要扫描当前局域网中存在的活动主机，确认攻击目标机器，点击Unified sniffing开启嗅探，如下图所示：

　　

　　

选择当前网卡eth0，点击OK进入嗅探，如下图所示：

　　

　　

点击菜单中的Hosts，选中Scan for hosts 扫描和本机（kali）同网关所有的主机，如下图所示：

　　

　　

点击菜单Hosts,选中Host list 列出同网关所有互动的主机，扫描结果如下图所示：192.168.70.133为Windows7主机的IP地址，192.169.70.2为网关IP地址

　　

　　

接下来选择攻击目标，右键Windows目标IP点击Add to Target 1，选择第二个攻击目标IP（网关），右键网关目标IP点击Add to Target 2，如下图所示：

　　

　　

　　

然后确定攻击方式，此处点击菜单Mitm，选中ARP posoning采用ARP欺骗的攻击方式，如下图所示：

　　

　　

勾选Sniff remote connections，点击确认按钮，如下图所示：

　　

　　

点击菜单start,选中Start sniffing,开始监听

　　

　　

在Windows7虚拟机中，打开cmd命令控制窗口，输入arp -a查看arp缓存表，结果发现网关(192.168.70.2)的MAC地址变成了和kali主机的MAC地址相同，如下图所示：

　　

　　

到此为止我们开始验证ARP中间人欺骗是否成功了
返回到Windows7虚拟机，打开浏览器访问一个登录界面，输入登录用户名和密码，点击确认登陆，如下图所示：

　　

　　

返回到kali主机我们已成功获取到Windows7主机访问某网站已经登录的用户名和密码，如下图所示：

　　

　　

五、ARP攻击防范：1.双向绑定：
一般来说，在小规模网络中，比较推荐使用双向绑定，也就是在路由器和终端上都进行IP-MAC绑定的措施，它可以对ARP欺骗的两边，伪造网关 和截获数据，都具有约束的作用。这是从ARP欺骗原理上进行的防范措施，也是最普遍应用的办法。它对付最普通的ARP欺骗是有效的。

　　

2.ARP防火墙：
在一些杀毒软件中加入了ARP防火墙的功能，它是通过在终端电脑上对网关进行绑定，保证不受网络中假网关的影响，从而保护自身数据不被窃取的措施。ARP防火墙使用范围很广，但也会有问题，如，它不能保证绑定的网关一定是正确的。如果一个网络中已经发生了ARP欺骗，有人在伪造网关，那么，ARP防火墙上来就会绑定这个错误的网关，这是具有极大风险的。

　　

3.VLAN和交换机端口绑定：
通过划分VLAN和交换机端口绑定来防范ARP，也是常用的防范方法。做法是细致地划分VLAN，减小广播域的范围，使ARP在小范围内起作 用，而不至于发生大面积影响。同时，一些网管交换机具有MAC地址学习的功能，学习完成后，再关闭这个功能，就可以把对应的MAC和端口进行绑定，避免了病毒利用ARP攻击篡改自身地址。也就是说，把ARP攻击中被截获数据的风险解除了。