愛華網時間:2009-12-09 19:55來源:卡飯論壇 作者:guohouzuo 點擊:578次
當我們處在局域網中時，防火墻也會有不作為的時候，那就是面對 ARP攻擊 的時候。我們知道，當我們在瀏覽器中輸入網址時，DNS服務器會自動把它解析為IP抵制，瀏覽器實際上查找的是IP地址而不是網址。那么IP地址是如何轉換為第二層物流地址（即MAC地址）的呢？在局域網
當我們處在局域網中時，防火墻也會有不作為的時候，那就是面對ARP攻擊的時候。
我們知道，當我們在瀏覽器中輸入網址時，DNS服務器會自動把它解析為IP抵制，瀏覽器實際上查找的是IP地址而不是網址。那么IP地址是如何轉換為第二層物流地址（即MAC地址）的呢？在局域網中，這是通過ARP協(xié)議來完成的。
ARP（Address ResolutionProtoctol）協(xié)議，即地址解析協(xié)議。通過準尋該協(xié)議，只要我們了解某臺機器的IP地址，即可知道其物理地址。在TCP/IP網絡環(huán)境下，每個主機都分配了一個32位的IP地址，這種互聯(lián)網地址是在網際范圍標示主機的一種邏輯地址。為了讓報文在物理網絡上傳送，必須知道目的主機的物流地址。這樣就存在把IP地址變換成物理地址的地址轉換問題。以以太網環(huán)境為例，為了正確地向目的主機傳送報文，必須把目的主機的32位IP地址轉換成為48位以太網地址。這就需要在互聯(lián)層有一組服務器將IP地址轉換為相應物理地址，這組協(xié)議就是ARP協(xié)議。
常見的ARP欺騙和嗅探的原理：
1、ARP欺騙
通過不同的欺騙方向和ARP包具體內容，可以達到很多種效果：
欺騙機器，可以達到：IP沖突、嗅探主機到網關的通訊、禁止主機上網、限制主機速度；欺騙網關，可以用來：嗅探網關到主機的通訊、禁止主機上網、限制主機速度、網頁掛馬。
2、ARP掃描
掃描主機通過ARP request給所有在網段內可能存在的機器，然后收集機器發(fā)出來的ARP reply來達到獲取在線主機的目的。
3、被動嗅探
就是僅僅通過收集通過本網卡的數據包來發(fā)現存在的主機，嗅探主機的信息。這類數據包的以太網頭表明它的目的地址是廣播，或者是嗅探者的機器。通過這類的數據包，一般可以找出網內機器的IP地址和MAC地址對應關系，發(fā)現一些ARP掃描、更換IP、更換MAC、其他機器的ARP攻擊信息。
4、主動嗅探
其實就是普通的ARP欺騙后，改變數據流向，讓數據經過自己的網卡。
機器如果被ARP欺騙，讓他的機器上，網關IP的MAC地址是嗅探這網卡的MAC地址，這樣所有發(fā)往網關的以太網頭就變成了嗅探者網卡的MAC地址，這樣，所有發(fā)送給網關的數據就都發(fā)給了嗅探者的網卡上，然后嗅探這者可以通過一些規(guī)則來將數據包轉發(fā)給網關或者不轉發(fā)（大部p2p一類的網管軟件的ARP欺騙方式，這就是其中之一）。如果網關被ARP欺騙，一臺機器的IP對應的MAC地址被改寫為嗅探者的MAC地址，那么所有網關要發(fā)給這個主機的包都會發(fā)給嗅探者的網卡，這樣，嗅探者就可以通過一些規(guī)則來決定是否轉發(fā)給那個正確的機器，或者阻止這個數據包。
講了一些原理的東西，其實對于防御ARP攻擊來說，總結起來就三點：限制廣播包和非網關MAC地址的數據包的發(fā)送，防止本機ARP緩存被惡意篡改，發(fā)包來保障網關ARP緩存的正確性。而對于我們電腦中安裝的非專門ARP防火墻而言，這三條都是很難做到的，于是就出現了我們開始所說的防火墻在局域網中得不作為。
例如，COMODO可以攔截“可疑”的ARP請求和ARP回復，通過這個功能，可以防止本機被ARP欺騙，也可以阻止他人通過ARP掃描暴露自己；Outpost也有類似的功能，也可以保證本機ARP緩存包不會被非網關的MAC發(fā)來的額數據包篡改，也就是防止了他人對本機的ARP欺騙；LNS、PC Tools這兩款防火墻，可以通過編寫規(guī)則，阻止非網關的MAC發(fā)來的數據包，也就保證了本機不遭到ARP掃描，也不會被ARP欺騙。
也就是說，現在大多數我們常用的非專門對抗ARP攻擊的防火墻，能保護本機不被ARP欺騙，但是都因為沒有發(fā)送數據包的能力，無法保證網關--本機的數據包的正確流向。攻擊者可以利用這一點，嗅探到受害機器的通訊內容，比如看了什么網頁沒下載了什么內容的文件等等，更可以利用這點來網頁掛馬，讓受害者機器在瀏覽網頁的時候，木馬就悄悄中下了。
要保證網關的ARP項正確，如果路由器或者交換機沒有ARP綁定功能的話， 就只能通過發(fā)送ARPreply包來解決了。所以說，沒有發(fā)送數據包能力的防火墻，都無法有效防御ARP攻擊，比如COMODO、LNS、PCTools、Outpost等等，他們只能決定是都允許一個數據包通過網卡，而無法發(fā)送數據包，所以都無法有效防護ARP攻擊。
專業(yè)的ARP防火墻，除了可以保證本機不受到ARP欺騙、ARP掃描的影響外，更主要的是它有主動防御功能，也就是說，它會主動發(fā)包，刷新網關的ARP緩存，保證網關中自己機器對應的ARP想的正確性，從而確保網關到本機數據流向的正確。
所以，大家在有ARP攻擊的局域網環(huán)境內，一定不要依賴COMODO、LNS、PCTools、Outpost等這些非專門的ARP防火墻來防御ARP攻擊，那是遠遠不夠的，并且會帶來很大的安全隱患。因此，我建議大家在自己的電腦中安裝一些專業(yè)的ARP軟件，比如金山ARP防火墻或者彩影ARP防火墻，都能起到有效的保護作用。
