arp欺骗怎么解决,ARP欺骗原理是什么

题图来自Unsplash，基于CC0协议

导读

虽然局域网带来的便捷性是众所周知的，但是其底层依赖的地址解析协议（ARP）安全漏洞，也让攻击者有了可乘之机。ARP欺骗是一种常见的网络攻击手段，其原理是攻击者通过伪造自己PC地址与某个网关或目标主机的映射关系，或者泛洪错误的地址解析信息，误导网络中的主机，从而拦截、监听甚至篡改流量。面对这种威胁，了解其原理、学会检测并采取有效的防御措施至关重要。

要理解如何解决问题，首先需要明白“问题”是什么。ARP欺骗攻击的核心在于：攻击者向局域网内的其他计算机（如你的电脑）发送虚假的ARP应答包，声称自己是网关，或者其他某台重要的主机（如NAS）。这会导致你的电脑在试图访问外部网络（如互联网或公司服务器）时，将原本应该发往网关的IP报文错误地发送到了攻击者那里。然后，攻击者可以选择截获这些报文（进行窃听），或者伪造响应（进行中间人攻击），甚至篡改你发送给外部的数据。

检测ARP欺骗活动是防御的第一步。常见的检测方法包括：

1. 监控arp高速缓存表：使用arp -a（Windows）或arp -n（Linux）命令查看本机的ARP缓存表。正常的机器条目是本机接口IP地址对应的本机MAC地址，以及默认网关的IP地址对应的网关设备的MAC地址。
   • 留意未知来源或不符合预期的IP-MAC映射关系。
   • 观察缓存表是否频繁更新（可以设置arpwatch静态监控规则或编写脚本定期检查）。
   • 配置arpwatch或采用网络监控工具，当检测到不寻常的ARP报文（如对非本机IP的响应，被称为Gratuitous ARP时异常增多，或者大量针对同一个地址的请求）时发出告警。
   • 分析网络流量：使用Wireshark等工具捕获网络流量，仔细检查ARP报文。应该主要看到对请求的应答报文，且目的地MAC地址应符合目标IP或广播地址的逻辑。发现过多的、指向非法IP的单播应答，或者大量伪造了源MAC的请求，都可能是攻击迹象。分析日志文件：网络设备或防火墙通常会记录ARP异常、拒绝服务等告警日志。

认识到攻击的存在，仅仅不够。有效的防御才是关键，防ARP欺骗的措施多种多样：

1. 配置防火墙：规则过滤可以起到一定的防御作用，比如禁止转发非本机发出的ARP应答，或者对特定IP地址进行严格的ARP源地址验证。
2. 宿主入侵防护：硬件或软件HIPS可以在数据包进入系统前进行更精细的安全检查，阻止恶意ARP流量通过。
3. DHCP Snooping与DAI：这是在交换机上配置的安全特性，特别是结合了信任/非信任端口划分。Switch可以检查DHCP Offer报文和ARP报文的合法性。要求连接到非信任端口的设备不能转发包含伪造IP-MAC关系的ARP报文，只能从连接到信任主机（如服务器）的端口（通常连接到下游设备或用户的端口为非信任端口，连接到交换机管理接口或服务器的为信任端口）引入合法的ARP缓存信息。这能有效防止轻量级的ARP欺骗，阻止流量通过受感染的终端。
4. 根据具体情况，配置IP Source Guard，补充基于IP地址和MAC地址的绑定规则。
5. 用户教育：提高用户安全意识，比如警示不要轻易点击未知来源的邮件链接或下载附件，这些都是钓鱼攻击（可能结合ARP欺骗）的常见手段。
6. 网络分段：通过VLAN隔离网络区域，减少攻击发生的范围。

对于有条件的网络管理员，一个根治的方法是手动配置静态ARP表项。具体操作步骤：

对于Windows系统：

1.  打开命令提示符（开始菜单 -> 运行，输入cmd）。
2.  使用 `arp -s <IP地址> <MAC地址>` 命令来添加静态ARP表项。
    示例：`arp -s 192.168.1.1 00–11–22–33–44–55` ，将IP“192.168.1.1”对应的MAC地址设为“00:11:22:33:44:55”。
3.  为确保正确，首先使用 `arp -a` 命令查看网关地址（通常是默认网关或路由器) 的IP和当前学习到的MAC地址。然后执行配置。
4.  验证：再次使用 `arp -a` 查看，静态表项会被标记为“static”。

对于Linux系统：

1. 打开终端。
2. 查看网关的IP和MAC地址：ip route 或 route -n。网关通常显示为0.0.0.0或默认网关的地址。然后使用 ip neigh show to <网关IP地址> 或 arp -n 查看具体的对应关系。
3. 添加静态ARP表项：ip neigh add <IP地址> lladdr <MAC地址> nud permanent dev <网络接口名> 示例：ip neigh add 192.168.1.1 lladdr 00:11:22:33:44:55 nud permanent dev eth0
4. 或者使用 arp -s 192.168.1.1 00:11:22:33:44:55 (在某些Linux版本或路由器上同样有效，但ip neigh命令是更推荐的方式)。
5. 验证：ip neigh show 或 arp -n。

需要强调的是，静态ARP表适用于测试网络、小型办公局域网等中小规模环境，且目标设备通常为管理员可接触或信任的设备（如默认网关、DNS服务器、DHCP服务器、重要打印机等）。将其应用于生产网络的边界设备或对普通员工终端可能不是最佳实践，因为如果静态绑定的设备本身发生MAC地址变化或受到攻击，可能会导致不必要的网络问题。因此，更倾向于利用DHCP Snooping、DAI等基于交换机的网络层安全功能来保护大规模网络，而不是依赖本地的静态ARP表。

Python/AirPython等工具或采用网络探针技术，持续发送ICMP请求，并检查回应。如果从某台设备收到对目标IP（如网关）的回应，而该设备只是网络中的普通主机，则起到了警报作用，但这并非攻击者的本机所能完全关闭或绕过。

ARP欺骗攻击常常是中间人攻击的关键步骤。在这种攻击场景中，攻击者首先进行ARP欺骗，成为你在目标服务器（如你的公司Socks代理风险，不如有防火墙上配置静态ARP表。

例如，攻击者设定了自己的MAC地址对某个内部服务器IP进行欺骗，你可以对普通的ARP欺骗可以通过限制每秒ARP报文的速率来识别伪装的MAC地址。比如，正常的应用程序不会每秒钟发送大量的“我是网关”式的ARP响应。使用专业的工具或采集大量的基础Ar，捕获后分析如何占用目标DNS服务器的IP地址来构建一个高级的MITM攻击链。 `]。