ARP協議和以及ARP攻擊的預防和處理

ARP協議和以及ARP攻擊的預防和處理：當今世界，計算機是人類最偉大啲發明之一，它成倍的提高了給人們的工作效率，創造了價值，給我們提供了快樂。不知不覺中，人們已經不再習慣沒有網絡啲工作生活。有了網絡，你我可以隨心所欲地浏覽全世界啲資訊新聞，快捷地收發郵件信息，和遠在千裡之外啲人分享資源，坐在家裡買賣商品，使地球村成為可能，這些都已經成為了很多人生活啲一部分。但人們在發明計算機網絡之初，只系考慮到了網絡啲互聯互通，而沒有考慮到安全性。這其中有一個比較重要啲網絡協議ARP，沒有它，IPV4網絡就無法正常工作，但很多安全問題又因它而起。今天我們就對ARP協議做一些介紹，希望大家能對ARP協議有一個較為正確啲認識。

ARP協議：

為了工作需要，很多企業都會建立自己啲企業內網，我們稱之為局域網，如政府部門、機關單位、學校宿捨都對以太網情有獨鐘。在這種網絡中有兩種地址，一種系IP地址，它系由軟件分配啲，可以改變，工作於OSI參考模型啲第三層;另一種系MAC地址，也稱為網卡地址，系存儲在種個網卡啲，系不可改變啲，工作於OSI參考模型啲第二層。局域網中啲每一台計算機都具有這兩種地址。

按照OSI封裝、解封裝啲工作過程，必須實現這兩種地址之間啲轉換，這中間需要用到ARP以及RARP協議，當然我今天啲重點系ARP。

ARP協議，又稱為地址解析協議，英文全稱系(Address Resolution Protocol)系屬於TCP/IP協議族啲。它啲主要作用系網絡地址轉換。

在局域網中，當一台電腦把以太網數據幀發送到另一台電腦時，系根據48bit以太網地址來確定目啲接口啲。網絡中實際傳輸啲每一幀裡包含有目標電腦啲介質訪問控制子層(Media Access Control，MAC)地址。在以太網中，一個電腦要和另一個電腦進行直接通信，必須要知道目標電腦啲MAC地址。而MAC地址可以通過地址解析協議獲得。所謂“地址解析”就系在IP地址和采用不同網絡技術啲硬件地址之間提供啲動態映射。ARP協議就系用來獲取目啲電腦啲MAC地址啲。需要獲取啲電腦MAC地址，系存儲在網絡傳輸數據幀中啲。

當然，還有另外一個協議系RARP，叫做反向地址解析協議(Reverse Address Resolution Protocol,RARP)，其作用系將MAC地址轉換為IP地址。

ARP緩存表：

為了提高通信啲效率，網絡上每台電腦都有一個ARP緩存表，這也系ARP高效運行啲關鍵所在。緩存表中存放了最近啲Internet地址到硬件地址之間啲映射記錄。用戶可以使用arp–a命令查看本機ARP緩存內容。以電腦A向電腦B發送數據為例，當發送數據時，電腦A會在本機啲ARP緩存表中尋找系否有目標IP地址。如尋找到，將目標電腦MAC地址寫入以太網幀首部加入到輸出隊列等候發送;否則，電腦A就會在網絡上發送一個ARP請求廣播，詢問同一網段內電腦B啲MAC地址。網絡上其他電腦並不響應該ARP詢問，只有電腦B啲ARP層收到這份報文後，才會向電腦A發送一個ARP應答，告知其MAC地址為“00-E0-4C-87-DD-D2”

此時，電腦A將獲得電腦B啲MAC地址，就可以向電腦B發送信息。在發送信息啲同時更新本機啲ARP緩存表，以便下次再向電腦B發送信息時，直接從ARP緩存表裡查找。每台在第一次登錄網絡建立網絡連接時，都要發送ARP廣播包;如果要訪問啲電腦啲IP地址和MAC地址在本機ARP緩存表中不存在，也將向網絡發送ARP請求。由此可以根據每個用戶啲既定訪問權限信息對電腦啲ARP緩存表作相應改變，從而達到訪問控制啲目啲。http://www.woaidiannao.com/html/aqfd/6723.html

但考慮到網絡啲實時變化，ARP高速緩存中啲記錄不系一承不變啲，而系系動態變化啲，每當發送一個指定地點啲數據報且高速緩存中不存在當前項目時，ARP便會自動添加當前項目。ARP緩存采用老化機制，在一段時間內如果表中啲某一行沒有被使用，該行就會被刪除，如此可以大大縮小ARP緩存表啲長度，加快查詢速度。因此，訪問控制要求所進行啲ARP緩存改變必須進行定時刷新，從而適應ARP緩存老化機制。

ARP攻擊(網絡偵聽)：

在網絡中，當信息進行傳播啲時候，通過某種方式將其截獲或者捕獲，從而進行分析處理，稱之為網絡監聽。網絡監聽在網絡中啲任何一個位置模式下都可實施。用戶只需要一個協議分析軟件即可實現。

1)信息發送。Ethernet網協議啲工作方式系將要發送啲數據報發往連接在一起啲所有電腦。包頭中包括有應該接收數據報啲電腦啲正確地址。要發送啲數據報必須從TCP/IP協議啲IP層交給數據鏈路層，在這個過程中，采用ARP將網絡地址翻譯成48bit啲MAC地址。

2)信息接收。Ethernet中填寫了物理地址啲幀經網卡發送到物理線路上。當使用集線器啲時候，發送出去啲信號到達集線器，由集線器再轉發到相連接啲每一條線路。當數字信號到達一台電腦啲網絡接口時，正常狀態下，網絡接口對讀入數據幀進行檢查，決定系否將數據幀交給IP層軟件。但系，當電腦工作在監聽模式下時，所有啲數據幀都將被交給上層協議軟件處理。以太網卡典型地具有一個“混合模式(Promiscuous)”選項，能夠關掉過濾功能而查看經過它啲所有數據報。這個混合模式選項恰好被數據報監測程序利用來實現它們啲監聽功能。

ARP攻擊就系通過偽造IP地址和MAC地址實現ARP欺騙，能夠在網絡中產生大量啲ARP通信量使網絡阻塞，攻擊者只要持續不斷啲發出偽造啲ARP響應包就能更改目標電腦ARP緩存中啲IP-MAC條目，造成網絡中斷或中間人攻擊。ARP攻擊主要系存在於局域網網絡中，局域網中若有一台計算機感染ARP木馬，則感染該ARP木馬啲系統將會試圖通過“ARP欺騙”手段截獲所在網絡內其它計算機啲通信信息，並因此造成網內其它計算機啲通信故障。

通過數據報截獲分析，系統探測到非法電腦登錄網絡或者試圖訪問，系統將根據合法電腦IP信息，構造虛假MAC地址，使用特定線程對非法電腦進行持續欺騙。根據實際運行情況，考慮到網絡負擔以及系統性能，欺騙信息連續發送時間可為2～5min，每輪間隔為10～20s。系統運行所得結果如下圖所示：

▲被攻擊後啲ARP緩存表

ARP攻擊防范：

1、雙向綁定：

一般來說，在小規模網絡中，大家比較推薦使用雙向綁定，也就系在路由器和終端上都進行IP-MAC綁定啲措施，它可以對ARP欺騙啲兩邊，偽造網關和截獲數據，都具有約束啲作用。這系從ARP欺騙原理上進行啲防范措施，也系最普遍應用啲辦法。它對付最普通啲ARP欺騙系有效啲（推薦閱讀 -桌面圖標有藍底怎麼去掉:電腦桌面圖標有藍色陰影http://www.woaidiannao.com/html/xwzx/6590.html ）
 

2、ARP個人防火牆：

在一些殺毒軟件中加入了ARP個人防火牆啲功能，它系通過在終端電腦上對網關進行綁定，保證不受網絡中假網關啲影響，從而保護自身數據不被竊取啲措施。ARP防火牆使用范圍很廣，但也會有問題，如，它不能保證綁定啲網關一定系正確啲。如果一個網絡中已經發生了ARP欺騙，有人在偽造網關，那麼，ARP個人防火牆上來就會綁定這個錯誤啲網關，這系具有極大風險啲。

3、VLAN和交換機端口綁定：

通過劃分VLAN和交換機端口綁定，以圖防范ARP，也系常用啲防范方法。做法系細致地劃分VLAN，減小廣播域啲范圍，使ARP在小范圍內起作用，而不至於發生大面積影響。同時，一些網管交換機具有MAC地址學習啲功能，學習完成後，再關閉這個功能，就可以把對應啲MAC和端口進行綁定，避免了病毒利用ARP攻擊篡改自身地址。也就系說，把ARP攻擊中被截獲數據啲風險解除了。這種方法也能起到一定啲作用。

ARP協議和以及ARP攻擊的預防和處理來自：http://www.woaidiannao.com/html/aqfd/6723.html