基于A(yíng)RP欺騙的網(wǎng)絡(luò )監聽(tīng)技術(shù)研究

引言

當前局域網(wǎng)大部分屬于以太網(wǎng)，其主要連接方式主要是通過(guò)交換機進(jìn)行連接。交換機在外型上類(lèi)似于集線(xiàn)器，但在內部采用了電路交換的原理，將一個(gè)端口的輸入交換到另一指定的端口。交換式以太網(wǎng)彌補了共享式以太網(wǎng)（用集線(xiàn)器連接的網(wǎng)絡(luò )）的缺陷，但也從一定程度上增加了網(wǎng)絡(luò )監聽(tīng)的難度。交換機在工作時(shí)維護著(zhù)一張ARP的數據庫表，在這個(gè)庫中記錄著(zhù)交換機每個(gè)端口綁定的MAC地址，當有數據包發(fā)送到交換機上時(shí)，交換機會(huì )將數據包的目的MAC地址與自己維護的數據庫內的端口對照，然后將數據包發(fā)送到相應的端口上。交換機與集線(xiàn)器最大的不同是通信數據包不再復制到其他所有端口，而是精確地發(fā)往目標機器所在的那個(gè)端口，所以，其它機器就無(wú)法監聽(tīng)這種目的性較強的通信，當然也就無(wú)法實(shí)現數據包的抓取了。因此我們需要在交換式以太網(wǎng)中尋求一種簡(jiǎn)單方便的監控部署軟件，以實(shí)現對現在廣泛存在的交換式以太網(wǎng)進(jìn)行有效的監聽(tīng)。

1　ARP協(xié)議及欺騙技術(shù)

1.1 ARP協(xié)議

IP數據包常通過(guò)以太網(wǎng)發(fā)送，以太網(wǎng)設備并不識別32位IP地址，它們是以48位以太網(wǎng)地址傳輸以太網(wǎng)數據包的。因此，IP 驅動(dòng)器必須把IP目的地址轉換成以太網(wǎng)目的地址。在這兩種地址之間存在著(zhù)某種靜態(tài)的或算法的映射，常常需要查看一張表。ARP地址解析協(xié)議 (Address Resolution Protocol)就是負責把網(wǎng)絡(luò )層的IP地址轉變成數據鏈路層的MAC地址，建立IP地址和MAC地址之間的一一映射。ARP協(xié)議的基本功能就是通過(guò)目標設備的IP地址，查詢(xún)目標設備的MAC地址，以保證通信的順利進(jìn)行。

1.2 ARP欺騙技術(shù)

ARP 協(xié)議雖然是一個(gè)高效的數據鏈路層協(xié)議，但是作為一個(gè)局域網(wǎng)協(xié)議，它是建立在各主機之間相互信任的基礎上的，因此也存在一些安全問(wèn)題。根據ARP 協(xié)議存在的這些安全問(wèn)題，可以使用以下幾種手段來(lái)進(jìn)行ARP欺騙：

(1) 攻擊者也就可以在接收到該ARP請求包之后進(jìn)行應答，進(jìn)行假冒。

(2) 由于被假冒的機器所發(fā)送的ARP應答包有可能比攻擊者的應答包晚到達，為了確保被攻擊者機器上的緩存中絕大部分時(shí)間存放的是攻擊者的MAC地址，可以在收到ARP請求廣播后稍微延遲一段時(shí)間再發(fā)送一遍ARP應答。

(3) 由于各種操作系統對于ARP緩存處理實(shí)現的不同，一些操作系統（例如Linux）會(huì )用向緩存地址發(fā)非廣播的ARP請求來(lái)要求更新緩存。在交換網(wǎng)絡(luò )環(huán)境下，別的機器是不能捕獲到這種緩存更新的，這就需要盡量阻止主機發(fā)送更新緩存消息。

ARP欺騙技術(shù)可以實(shí)現全交換環(huán)境下的數據監聽(tīng)。因此，我們可以利用該技術(shù)對交換式以太網(wǎng)進(jìn)行監控。

2　采用ARP欺騙技術(shù)捕獲交換式以太網(wǎng)數據

通過(guò)前面的敘述，我們知道，交換式以太網(wǎng)可以利用ARP欺騙技術(shù)進(jìn)行監控。下面說(shuō)明如何采用ARP欺騙技術(shù)捕獲交換式以太網(wǎng)數據。

2.1 ARP協(xié)議實(shí)現

在以太網(wǎng)上解析IP地址時(shí)，ARP請求和應答分組的格式如圖2所示

6 6 2 2 2 1 1 2 6 4 6 4

以太網(wǎng)報頭中的前兩個(gè)字段是以太網(wǎng)的目的地址和源地址。目的地址為全1的特殊地址是廣播地址。同一局域網(wǎng)上的所有以太網(wǎng)接口都要接收廣播數據幀。接著(zhù)是以太網(wǎng)幀類(lèi)型，2字節長(cháng)，表示后面數據的類(lèi)型。對于ARP請求或應答來(lái)說(shuō)，該字段的值為0x0806。硬件類(lèi)型字段表示硬件地址的類(lèi)型。值為1即表示以太網(wǎng)地址。協(xié)議類(lèi)型字段表示要映射的協(xié)議地址類(lèi)型。值為0x0800即表示IP地址。硬件地址長(cháng)度和協(xié)議地址長(cháng)度分別指出硬件地址和協(xié)議地址的長(cháng)度，以字節為單位。對于以太網(wǎng)上IP地址的ARP請求或應答來(lái)說(shuō)，它們的值分別為6和4。操作字段指出操作類(lèi)型，可以為ARP請求（值為1）、ARP應答（值為2）。其余的四個(gè)字段是發(fā)送端的硬件地址（以太網(wǎng)地址）、發(fā)送端的協(xié)議地址（IP地址）、目的端的硬件地址和目的端的協(xié)議地址。

對于ARP請求來(lái)說(shuō)，除目的端硬件地址外的所有其它的字段都有填充值。當系統收到一份目的端為本機的ARP請求報文后，它就把硬件地址填進(jìn)去，然后用兩個(gè)目的端地址分別替換兩個(gè)發(fā)送端地址，并把操作字段置為2，最后把它發(fā)送回去。