电脑遭受到典型的 ARP 攻击后会表现为:使用局域网时会突然掉线,过一段时间后又会恢
复正常。比如客户端状态频频变红,用户频繁断网,IE 浏览器频繁出错,以及一些常用软件
出现故障等。如果局域网中是通过身份认证上网的,会突然出现可认证,但不能上网的现象
(无法 ping 通网关),重启机器或在 MS-DOS 窗口下运行命令 arp -d 后,又可恢复上网。
ARP 欺骗木马只需成功感染一台电脑,就可能导致整个局域网都无法上网,严重的甚至可
能带来整个网络的瘫痪。该木马发作时除了会导致同一局域网内的其他用户上网出现时断时
续的现象外,还会窃取用户密码。如盗取 QQ 密码、盗取各种网络游戏密码和账号去做金钱
交易,盗窃网上银行账号来做非法交易活动等。
ARP 欺骗攻击原理:
ARP 欺骗攻击建立在局域网主机间相互信任的基础上的。
比如:假设 A、B、C 在同一个局域网中,网关为 192.168.43.1,IP 地址和 MAC 地址分别假
设如下。假设 C 是攻击者。
A B C
IP 地址 192.168.43.2 192.168.43.3 192.168.43.4
MAC 地址 macA macB macC
当 A 发广播询问:我是 192.168.43.2,硬件地址 macA,我想知道主机 IP 是 192.168.43.3 的
硬件地址。
此时 B 回应:我是 192.168.43.3,硬件地址是 macB。
如果此时 IP 地址是 192.168.43.4 的 C 非法回应:我是 IP192.168.43.3,我的硬件地址是 macC。
这样 A 就会收到两个 ARP 回应包,由于 ARP 遵循后到优先规则,所以如果 C 持续不停发
出 ARP 欺骗包,就一定能够覆盖掉正常的 ARP 回应包(也称为 ARP 毒化)。然后 A 就会误
信 192.168.43.3 的硬件地址是 macC。这样当主机 A 向主机 B 发送数据时,主机 C 就劫持了
主机 A 发送给主机 B 的数据,这就是 ARP 欺骗的过程。
相反,如果主机 B 向主机 A 发送数据,主机 C 依然可以以同样的 ARP 欺骗,劫持主机 B 发
送给主机 A 的数据,这样就形成了“中间人攻击”。
还有一种 ARP 欺骗的方法:主机 C 直接冒充网关,此时主机 C 会不停的发送 ARP 欺骗广
播,大声说:我是 192.168.43.1,硬件地址是 macC。此时局域网内所有主机都会被欺骗,更
改自己的缓存表,C将会监听到整个局域网发送给互联网的数据报。
攻击流程:
攻击尝试一:(用 kali 中的 Ettercap 实现 ARP 欺骗并用 driftnet 截取
靶机浏览图片和获取账号密码操作)
(注:网络环境是本人用的手机热点)