曲径通幽论坛

标题: 使用 arpspoof 进行网络欺骗 [打印本页]

作者: beyes 时间: 2014-10-5 11:12
标题: 使用 arpspoof 进行网络欺骗
arpspoof 的基本工作原理就是伪造网络两端的 ARP 通信。

一般情况下，在局域网中，主机A 要和主机B 通信，它会先广播 ARP 请求来获取主机B 的 MAC 地址；主机B 收到后，回应请求，将自己的 MAC 地址作为 ARP 的回复包发送给主机A。接着主机B也会重复上面的动作，然后两个主机才能开始通信。

对于攻击者C，如果要嗅探主机A的网络传输，那么可以将主机B的 IP 对应的 MAC地址伪造成自己的，并向主机A 发送 ARP 回复包。攻击者C 同样也可以欺骗主机B 的 ARP 缓存。像攻击者C 处于主机A 和主机B 的中间，充当了一个转发器的角色，使A 和 B 都认为自己是在和对方直接通信，因此该种攻击是中间人攻击的形式之一。

在使用 arpspoof 之前，需要启动 IP 的转发功能：

echo 1 > /proc/sys/net/ipv4/ip_forward

复制代码

假设被攻击者的 ARP 缓存如下：

C:\Users\Administrator>arp -a

接口: 192.168.7.219 --- 0xe
  Internet 地址       物理地址             类型
  192.168.7.1          c8-e7-d8-00-18-d0    动态
192.168.7.148       00-26-c7-93-66-a6    动态

上面的 IP 中，192.168.7.1 是路由网关。
比如你可以 ping 一下 192.168.7.148 这个 IP，即可生成对应的 ARP 缓存。

而攻击者的的 IP 和 MAC 为：

IP : 192.168.7.188
MAC: 00:0c:29:2f:9d:ef

下面对被攻击者进行 ARP 欺骗：

arpspoof -t 192.168.7.219 192.168.7.1

复制代码

其中 -t 选项后面跟被攻击者的 IP，最后是网关的 IP 地址。这之间的运作原理是，最后一个 IP （这里即网关 IP）所响应的给被害者的包，被攻击者拦截下来，攻击者然后将伪造这个回应包给被害者(-t 后面就是要将伪造包发给的对象)。运行之后，你如果在被攻击者的机器上 ping 一下网关，那么会发现网关对应的 MAC 地址已经变成了攻击者的 MAC 地址，如下图所示：
[attach]3780[/attach]

欢迎光临曲径通幽论坛 (http://www.groad.net/bbs/)