１０６ 应用科学 ２科０１ １０年第期 ９霸 ＡＲＰ欺骗攻击及安全防范探讨 黄兴华 ，龙全圣 （１．江西警察学院，江西南昌３３００００；２．江西旅游商贸职业学院，江西南昌３３００００） 摘 要分析ＡＲＰ欺骗攻击的过程和攻击危害，有针对性提出解决ＡＲＰ欺骗攻击方案，最后给出安全防范的措施和原则。 关键词ＡＲＰ协议；局域网；ＡＲＰ欺骗；安全防范 中图分类号ＴＰ３ 文献标识码Ａ 文章编号１６７３—９６７１一（２ｏｌｏ）１ｏｌ一０１０６—０１ １ ＡＲＰ欺骗综述 ＡＲＰ欺骗就是一种用于会话劫持攻击中的常见手法。地址解析协议 （ＡＲＰ）利用第２层物理ＭＡＣ地址来映射第３层逻辑ＩＰ地址，如果设备知 道了ＩＰ地址，但不知道被请求主机的ＭＡＣ地址，它就会发送ＡＲＰ请求。 ＡＲＰ请求通常以广播形式发送，以便所有主机都能收到。 网络中的某一台电脑中了ＡＲＰ病毒，通过他自动发送ＡＲＰ欺骗包， 正常的ＴＣＰ／ＩＰ网络是不会有这样的错误包发送的，而人工发送又比较麻 烦。也就是说当黑客没有运行这个恶毒程序的话，网络上通信应该是 切正常的，保留在各个连接网络计算机上的ＡＲＰ缓存表也应该是正确 的，只有程序启动开始发送错误ＡＲＰ信息以及ＡＲＰ欺骗包时才会让某些 计算机访问网络出现问题。 ＡＲＰ欺骗可以造成内部网络的混乱，让某些被欺骗的计算机无法正 常访问内外网，让网关无法和客户端正常通信。实际上他的危害还不仅 仅如此，由于系统并不会判断ＡＲＰ缓存的正确与否，无法像ＩＰ地址冲突 那样给出提示。 一”ＮｅｔＧｒｏｕｐ Ｐａｃｋｅｔ Ｆｉｌｔｅｒ Ｄｒｉｖｅｒ’’ ｍｓｉｔｉｎｉｔ．（ｕＪ还负责发送指令来操作驱动程序ｎｐｆ．ｓｙｓ（如发送ＡＰＲ欺骗 包，抓包，过滤包等）。以下从病毒代码中提取得服务相关值： ３）ｎｐＬｓｙｓ负责监护ｍｓｉｔｉｎｉｔ．ｄｌｌ｜并将ＬＯＡＤＨＷ．ＥＸＥ注册为自启动程 序： ［ＨＫＥＹ—Ｌ０ＣＡＬ』江ＡＣＨＩＮＥ ＯＦ ＡＲＥ＼ＭｉｃＩＤｓ０ｌｔ＿、Ｗｉｎｄａｗｓ、 ＣｍｒｅｎｔＶｅｒｓｉｏｎｋＲｕｎＯｎｃｅ］ ｄｗＭｙＴｅｓｔ＝ＬＯＡＤＨＷ．ＥＸＥ 由于该项位于ＲｕｎＯｎｅｅ下，该注册表启动项在每次执行后，即会被 系统自动删除。 ３ ＡＲＰ欺骗攻击防范原则 １）建立ＤＨＣＰＪ］￣务器（建议建在网关上，因为ＤＨＣＰ不占用多少 ＣＰＵ，而且ＡＲＰ欺骗攻击一般总是先攻击网关，我们就是要让他先攻击 网关，因为网关这里有监控程序的，网关地址建议选择１９２．１６８．１０．２，把 １９２．１６８．１０．１留空，如果犯罪程序愚蠢的话让他去攻击空地址吧），另外 所有客户机的ＩＰ地址及其相关主机信息，只能由网关这里取得，网关这 里开通ＤＨＣＰ￣务，但是要给每个网卡，绑定固定唯一ＩＰ地址。一定要 保持网内的机器Ｉ Ａｃ一一对应的关系。这样客户机虽然是ＤＨＣＰ取地 址，但每次开机的 都是一样的。 ２）建立ＭＡＣ数据库，把局域内所有网卡的ＭＡＣ地址记录下来，每 个ＭＡＣ和 、地理位置统统装入数据库，以便及时查询备案。 ３）网关机器关闭Ａ时动态刷新的过程，使用静态路邮，这样的话， 即使犯罪嫌疑人使用ＡＲＰ欺骗攻击网关的话，这样对网关也是没有用 的，确保主机安全。 网关建立静态ＩＰ／ＭＡＣ捆绑的方法是：建立／ｅｔｅ／ｅｔｈｅｒｓ文件，其中包含 正确的ＩＰ聊ＡＣ对应关系，格式如下： １９２．１６８．，．３２ ０８：００：４Ｅ：ＢＯ：２４：４７ ２ ＡＲＰ病毒分析 由于ＡＲＰ欺骗的木马程序发作的时候会发出大量的数据包导致局域 网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越 慢。当ＡＲＰ欺骗的木马程序停止运行时，用户会恢复从路由器上网，切 换过程中用户会再断一次线。 在路由器的“系统历史记录”中看到大量如下的信息： ＭＡＣ Ｃｈ ｅｄ １０．１２８．１０３．１２４ ＭＡＣＯｌｄ００：０ｌ：６ｃ：３６：ｄｌ：７ｆ ＭＡＣＮｅｗ００：０５：５ｄ：６０：ｅ７：１８ 这个消息代表了用户的ＭＡＣ地址发生了变化，在ＡＲＰ欺骗木马开始 运行的时候，局域网所有主机的ＭＡＣ地址更新为病毒主机的ＭＡＣ地址 （即所有信息的ＭＡＣ Ｎｅｗ地址都一致为病毒主机的ＭＡＣ地址），同时在 路由器的“用户统计”中看到所有用户的ＭＡＣ地址信息都一样。 如果是在路由器的“系统历史记录”中看到大量ＭＡｃ ０ｌｄ地址都一 致，则说明局域网内曾经出现过ＡＲＰ欺骗（ＡＲＰ欺骗的木马程序停止运 行时，主机在路由器上恢复其真实的ＭＡＣ地址）。 ＢＫＤＲＮＰＦＥＣＴ．Ａ病毒引起Ａ 欺骗之实测分析：， Ｐａｒｔ１．病毒现象 中毒机器在局域网中发送假的ＡＰＲ应答包进行ＡＰＲ欺骗，造成其他 客户机无法获得网关和其他客户机的网卡真实ＭＡＣ地址，导致无法上网 和正常的局域网通信。 Ｐａｒｔ２．病毒原理分析： 病毒的组件 本文研究的病毒样本有三个组件构成： ＡＤＨＷ．ＥＸＥ（１０８，３８６ｂｙｔｅｓ）…．．”病毒 组件释放者” ％ｗｉｎｄｏｗｓ％ｋＳｙｓｔｅｍ３２Ｍｒｉｖｅｒｓ￣ａｐｆ．ｓｙｓ（１ １９，８０８ ｂｙｔｅｓ）…一”发ＡｆｕＰ欺 骗包的驱动程序” ％ｗｉＩ１ｄ０ｗｓ％ｋＳｙｓｔｅｍ３２￣ｎｓｉｔｉｎｉｔ．ｄｕ（３９，９５２ ｂｙｔｅｓ）…“命令驱动程序 发ＡＲＰ欺骗包的控制者” 病毒运作基理： １）ＩＡ）ＡＤＨＷ．ＥＸＥ执行时会释放两个组件ｎ ｓｙｓ和ｍｓｉｔｉｎｉＬｄｌ１． ＬＯＡＤＨＷ．ＥＸＥ释放组件后即终止运行。 注意：病毒假冒成ｗｉｎＰｅａｐ的驱动程序，并提供ｗｉｒ ｐ的功能．客户 若原先装有ｗｉｎＰｃａｐ。 ｎ西ｓ，端会被病毒文件覆盖掉。 ２）随后１１１ｓｉｔｉｎｉｔ．ｄｌｌ将ｎｐｆ．ｓｙｓ注册（并监视）为内核级驱动设备： 然后再 ｔｃ／ｒｃ．ｄ／ｒｅ．１０ｃ晰添加： ａＩｐ．ｆ生效即司。 ４）网关监听网络安全。网关上面使用ＴＣＰＤＵＭ曜序截取每个ＡＲＰ 程序包，弄一个脚本分析软ｔｑ－ＳＹ析这些ＡＲＰ协议。ＡＲＰ欺骗攻击的包一 般有以下两个特点，满足之一可视为攻击包报警：第一以太网数据包头 的源地址、目标地址和ＡＲＰ数据包的协议地址不匹配。或者，ＡＲＰ数据 包的发送和目标地址不在自己网络网卡ＭＡＣ数据库内，或者与自己网 络ＭＡＣ数据库ＭＡＣ／ＩＰ不匹配。这些统统第一时间报警，查这些数据包 （以太网数据包）的源地址（也有可能伪造），就大致知道那台机器在 发起攻击了。 ５）安装局域网杀毒件．在发生ＡＲＰ攻击时，及时找到病毒攻击源 头，并收集病毒信息，可以使用趋势科技的ＳＩＣ２．０，同时收集可疑的病 毒样本文件，一起提交到趋势科技的ＴｍｎｄＬａｂｓ进行分析，Ｔｒｅｎ￣以 最快的速度提供病毒码文件，从而可以进行ＡＲＰ病毒的防御。 ６）使用可防御ＡＲＰ攻击的三层交换机，绑定端口一ＭＡＣ—ＩＰ，限制 ＡＲＰ流量，及时发现并自动阻断 击端口，合理划分ＶＬＡＮ，彻底阻 止盗用ＩＰ、ＭＡＣ地址，杜绝ＡＲＰ的攻击。 ７）对于经常爆发病毒的网络，进行Ｉｎｔｅｍｅｔ￣问控制，限制用户对网 络的访问。此类ＡＲ瞰击程序一般都是从Ｉｎｔｅｎｅｒｔ下载到用户终端，如果 能够加强用户上网的访问控制，就能极大的减少该问题的发生。 参考文献 ［１］任侠，吕述望．ａｒｐ协议欺骗原理分析与抵御方法［Ｊ】．计算机工程，２００５ 【２］张海燕．ａｒｐ漏洞及其防范技术［Ｊ】周络与信息安全，２００６．