基于ARP漏洞的网络监听的研究与防范

基于ＡＲＰ漏洞的网络监听的研究与防范

詹可强

（福建信息职业技术学院，福建福州３５０００３）

摘

要：从ＡＲＰ协议所存在的漏洞及安全隐患出发，在对利用ＡＲＰ欺骗实现对网络中数据包的嗅探与监听进行研究的基础上，提出了被动式防范与主动式防范的相应措施。

关键词：网络安全；网络监听；ＡＲＰ；防范中图分类号：ＴＰ３９３．０８

文章标识码：Ａ

文章编号：Ｋ１２４

（２００８）０１－００２０－０５０引言

随着计算机网络技术的高速发展，网络正日

益成为政治、经济、文化、生活中不可缺少的一部分。它在给人们的生活、学习、工作带来前所未有的方便和机遇的同时，由网络自身固有的不安全性，网络安全问题也越来越引起人们的关注。

网络监听，又称为网络嗅探技术，它是网络安全攻防体系中的一项重要技术。它是一种在他方未察觉的情况下将网络上传输的数据捕获并进行分析的行为［１］。网络监听在协助网络管理员监测网络传输数据、排除网络故障等方面具有十分重要的作用。然而，网络监听也给网络的安全带来了极大的隐患，许多的网络入侵往往都伴随着以太网内网络监听行为，从而造成口令失窃、敏感数据被截获等连锁性安全事故。

１网络监听原理

当前网络监听主要用于局域网中，根据监听

环境的不同，网络监听可分为两类：共享式网络监听和交换式网络监听。在共享式网络中，由于是基于广播的方式来发送数据，所以数据包会被发送到连在一起的所有主机。因此，只要使主机的网卡工作在混杂模式下，并辅以相应的捕获机制就

可以实施网络监听，其实现方式较为容易。而随着交换机的快速发展，交换式网络越来越普及。交换机与共享式网络环境下的集线器相比，最重要的特点是它的每个端口都单独占有一个信道，数据包的发送并不是通过广播的方式发送。每台交换机的端口都有一张ＡＲＰ地址转换表，交换机是通过该地址表的内容对数据包的走向进行判断，从而实现数据包的转发。因此，在交换式网络中实施网络监听的关键，就是要使发送给其它主机的数据帧能够到达运行的网络监听程序的主机。１．１

ＭＡＣ地址

ＭＡＣ地址又叫硬件地址或物理地址，它存放于网卡的ＲＯＭ中，唯一标识每一块网卡。其结构如图１所示。

ＭＡＣ地址长度为６Ｂｙｔｅ（４８ｂｉｔｓ），在这４８ｂｉｔｓ中前２４ｂｉｔｓ由ＩＥＥＥ统一分配，被称为ＯＵＩ（Ｏｒｇａ－ｎｉｚａｔｉｏｎａｌｌｙＵｎｉｑｕｅＩｄｅｎｔｉｆｉｅｒ）。后２４ｂｉｔｓ

收稿日期：２００７－１２－０８

作者简介：詹可强（１９８１－），男，福建福州人，助教，硕士，研究方向：网络技术及应用、

网络安全。

图１ＭＡＣ地址的结构

福建信息技术教育

ＦｕｊｉａｎＥｄｕｃａｔｉｏｎｏｆＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏｇｙ２００８年第１期

２０

是一组序列号，由生产厂家自行分配，其作用是保证ＭＡＣ地址的唯一性。

１．２ＡＲＰ协议

ＡＲＰ协议是ＴＣＰ／ＩＰ协议簇中的一个协议，ＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）协议全称为地址解析协议［２］。在数据包传送时，无论源主机和目标主机是否在同一个局域网内，都需要对目标主机进行寻址，即将数据包的ＩＰ地址转化为ＭＡＣ地址，而这个工作正是通过ＡＲＰ协议来实现的［３］。

ＡＲＰ解析地址的过程就是主机在传输数据包时将目标主机的ＩＰ地址转换成目标主机的ＭＡＣ地址的过程。ＡＲＰ协议规定每一台主机都设有一个ＡＲＰ高速缓存表，当主机Ａ欲向本网络的主机Ｂ发送数据包时，就先在其ＡＲＰ高速缓存表中查看有无主机Ｂ的ＩＰ地址。如果存在，就可查出其对应的硬件地址，再将此硬件地址写入ＭＡＣ帧，然后通过局域网将该ＭＡＣ帧发往此硬件地址对应的主机；如果不存在，主机Ａ就要在网络上利用广播方式发送ＡＲＰ请求，在此网络上的所有主机上运行的ＡＲＰ进程都收到此ＡＲＰ请求，主机Ｂ在ＡＲＰ请求中见到自己的ＩＰ地址，就向主机Ａ发送ＡＲＰ响应，并写入自己的硬件地址，而其它的所有主机都不响应这个ＡＲＰ请求分组。这样在获知了主机Ｂ的硬件地址后，主机Ａ就可以向主机Ｂ发送数据包了。

基于以上对ＡＲＰ协议关于地址解析过程的分析，可以看出ＡＲＰ协议的工作基础是局域网中各主机间的相互信任，这就为网络监听提供了机会。１．３利用ＡＲＰ欺骗实现网络监听

由于其工作的基础是各主机间的相互信任，在设计ＡＲＰ协议时，为了减少网络上过多的ＡＲＰ数据通信，对某一台主机来说，即使收到的ＡＲＰ响应并非因自己的请求而得到，出于对对方主机的信任，也不会对其进行“身份验证”，而是直接将其加入到自己的ＡＲＰ地址缓存表中，监听正是利用了这一漏洞来实现的。

当监听者监听到同一网段中两台主机之间的通信时，会分别给这两台主机发送ＡＲＰ应答数据包，让两台主机都把第三方监听的主机“误”认为是对方，这样，双方看似“直接”进行了通信连接，而实际上其传输的数据都要经过第三方的主机。此时，监听者不仅可以完成监听，还可以随意更改传输的数据包中的信息，并成功完成数据包的转发。

下面就在理论的基础上说明利用ＡＲＰ欺骗实现网络监听的过程。如图２所示，Ａ、Ｂ为网络中正常通信的主机，Ｃ为进行网络监听的主机。

１）主机Ｃ首先向主机Ａ发送假的ＡＲＰ应答报文，主机Ａ在接收到ＡＲＰ应答报文后，修改自己的ＡＲＰ地址缓存表，使得原本主机Ｂ的ＩＰ地址与主机Ｃ的ＭＡＣ地址相对应。

２）同理，主机Ｃ也向主机Ｂ发送假的ＡＲＰ应答报文，主机Ｂ在接收到ＡＲＰ应答报文后，修改自己的ＡＲＰ地址缓存表，使得原本主机Ａ的ＩＰ地址与主机Ｃ的ＭＡＣ地址相对应。

３）这时，如果主机Ａ向主机Ｂ发送信息，根据主机Ａ中的ＡＲＰ地址缓存表中的ＩＰ→ＭＡＣ的映射关系，信息实际上是先被发送到了主机Ｃ。

４）于是，主机Ａ和主机Ｂ的通信过程，就被主机Ｃ实现了监听，主机Ｃ甚至可以将主机Ａ发送的数据进行修改后再转发给主机Ｂ，而主机Ａ和Ｂ对此却浑然不觉。

２ＡＲＰ欺骗防范措施

对于ＡＲＰ欺骗的防范，主要有两种不同的手图２基于ＡＲＰ欺骗的网络监听

詹可强：基于ＡＲＰ漏洞的网络监听的研究与防范

２００８年１月

２１

段：第一种是预防式的防止ＡＲＰ欺骗的方法，本文称之为被动式防范；第二种是在ＡＲＰ欺骗发生时，对其进行检测并防范的方法，本文称之为主动式防范。

２．１被动式防范

被动式防范主要是采用预防性措施来对可能发生的ＡＲＰ欺骗进行防范，其实现手段主要有以下几种［４，５］。

１）为了确保内网的数据链路层的安全，可以采用捆绑内网主机的ＩＰ地址和ＭＡＣ地址的方法，即使用静态ＡＲＰ缓存表的方法。一般情况下，我们所用到的ＡＲＰ地址缓存表都是动态存储的，ＡＲＰ将保存在高速缓存中的每一个映射地址项目都设置生存时间，凡超过生存时间的项目就从高速缓存中删除掉，或者被接收到的新映射所更新。为了防止ＡＲＰ欺骗，用户自己可以将ＡＲＰ地址缓存表设为静态存储，这样列表中的内容除了人为手动修改外不会被更新。在Ｗｉｎｄｏｗｓ中相关的操作方法为：（１）运行中敲入ｃｍｄ，进入ＤＯＳ窗口；

（２）先删除现有的ＩＰ→ＭＡＣ对应表：ａｒｐ－ｄ；

（３）在高速缓存列表中增加１个静态存储的ＩＰ地址：ａｒｐ－ｓｉｐ＿ａｄｄｒｅｓｓｍａｃ＿ａｄｄｒｅｓｓ；

（４）看修改后的ＡＲＰ缓存列表内容：ａｒｐ－ａ。

使用静态ＡＲＰ设置可以防止ＡＲＰ请求包所引发的欺骗。但是，如果发送的不是ＡＲＰ请求包，而是ＡＲＰ应答包，虽然设置了静态的ＡＲＰ缓存表，如果ＡＲＰ缓存表中有相关映射的记录，那么静态缓存表中的相关映射依然可以被更新。因此，设置静态ＡＲＰ缓存表只能防范ＡＲＰ请求欺骗，无法有效地防范ＡＲＰ应答欺骗。同时，由于对ＩＰ地址和ＭＡＣ地址进行了绑定，如果主机修改了ＩＰ地址，或有新的主机加入内网，需要及时地对ＡＲＰ缓存表进行维护，否则就会使局域网内部出现混乱。

２）建立ＤＨＣＰ服务器（建议建在网关上，ＡＲＰ欺骗攻击一般总是先攻击网关，而网关有监控程序），另外所有客户机的ＩＰ地址及其相关主机信息，只能由网关这里取得，网关这里开通ＤＨＣＰ服务，但是要给每个网卡绑定固定唯一ＩＰ地址。一定要保持网内的机器ＩＰ－ＭＡＣ的一一对应关系。这样客户机虽然是ＤＨＣＰ获取地址，但每次开机的ＩＰ地址都是一样的。同样，采用这种方式，需要每个网卡绑定固定唯一ＩＰ地址，因为如果主机更改了ＩＰ地址，就会使局域网内部出现混乱。

３）可以通过防火墙和修改系统的ＩＰ策略，拒收ＩＣＭＰ重定向报文。在Ｗｉｎｄｏｗｓ系统下可以通过防火墙和ＩＰ策略拒绝接收ＩＣＭＰ报文；在Ｌｉｎｕｘ下通过在防火墙上设置拒绝ＩＣＭＰ重定向报文，或者重新编译内核来拒绝接收ＩＣＭＰ重定向报文。设置好路由，确保ＩＰ地址能到达合法的路径。但在这种策略下，对于合法的ＩＣＭＰ重定向请求，防火墙同样予以拒绝，使得主机系统的一些合法服务无法正常进行。

４）建立ＭＡＣ数据库，把本网内所有网卡的ＭＡＣ地址记录下来，每个ＭＡＣ和ＩＰ的对应关系及网络位置统统装入数据库，以便及时查询。采用数据库方式，类似于ＩＰ地址和ＭＡＣ地址的静态绑定，如果需要更改ＩＰ地址时，就需要及时地更新数据库，否则也会使局域网内部出现混乱。因此需要网管员及时对数据库进行维护和更新。

５）在交换机上设置虚拟局域网（ＶＬＡＮ），通过不同端口的设置进行有效的隔离。虚拟局域网在各自的端口通过广播隔离来防止ＡＲＰ的欺骗。隔离端口与其他端口完全无法通信（包括广播），端口只能收到同一网络中的数据。将受信任主机设置在同一虚拟局域网中，再将绝密性主机设置在隔离虚拟局域网中。这样一来，隔离端口与其他端口完全无法通信，端口只能收到同一网络中信任主机的数据，就可以有效防御ＡＲＰ欺骗。但同时，由于端口的访问受到限制，将使主机和其它一些合法的非信任主机间的通信出现困难。

６）采用加密的方法对网络中传输的重要数据进行加密处理。加密后的数据安全性大大提高，即使加密后数据在传输过程中被截获，攻击方也不易获得重要数据的明文内容。当然，这也加大了防御方的成本。

２００８年第１期

福建信息技术教育２２

２．２主动式防范

通过以上的分析，我们可以知道，采用被动式的防范措施，实现较为简单，但由于其是以预防性目的为主，对于ＡＲＰ欺骗的防范不可能面面俱到，在实际应用中受到诸多方面因素的制约。

主动式防范，是在ＡＲＰ欺骗发生时，采用一定的手段检测到欺骗的发生，从而采取相应的措施对其进行有效的防范。对于ＡＲＰ欺骗的检测，采用主动验证ＩＰ－ＭＡＣ对应关系的方法，将收集到的ＩＰ－ＭＡＣ映射对与ＡＲＰ缓存表中的信息进行比较，具体情况可分成以下４种：

１）收集到的ＩＰ－ＭＡＣ映射对中的ＩＰ地址和ＭＡＣ地址均不存在于ＡＲＰ缓存表中；

２）收集到的ＩＰ－ＭＡＣ映射对中的ＩＰ地址存在于ＡＲＰ缓存表中，但ＭＡＣ地址并不对应；

３）收集到的ＩＰ－ＭＡＣ映射对中的ＭＡＣ地址存在于ＡＲＰ缓存表中，但ＩＰ地址并不对应；

４）收集到的ＩＰ－ＭＡＣ映射对中的ＩＰ地址和ＭＡＣ地址均存在于ＡＲＰ缓存表中，而且是对应关系。

在以上分类中，情况１）、２）、３）可存在于正常或异常的ＡＲＰ数据包中，而情况４）只可能存在于正常的ＡＲＰ数据包中。这是因为如果采用合法的ＩＰ－ＭＡＣ映射对，就不存在ＡＲＰ欺骗，也就无法发起监听或攻击。

结合以上分析，我们可以利用ＷｉｎＰＣａｐ（Ｗｉｎ－ｄｏｗｓＰａｃｋｅｔＣａｐｔｕｒｅ）驱动程序来实现对ＡＲＰ欺骗的检测。ＷｉｎＰＣａｐ是一种Ｗｉｎｄｏｗｓ平台下捕包和网络分析的体系架构，它具有访问网络底层的能力，提供了捕获原始数据包，按照一定规则过滤数据包，以及发送原始数据包的功能。我们利用ＷｉｎＰＣａｐ捕获ＡＲＰ数据包，对于数据包中的ＩＰ－ＭＡＣ的映射对，主动发出ＡＲＰＲｅｑｕｅｓｔ进行验证，如果在一定时间内没有收到相应的回复（Ｒｅ－ｐｌｙ），则认为网络上存在ＡＲＰ欺骗。

图３给出具体的ＡＲＰ欺骗检测流程。其中，类１～４分别对应前面４种情况；结果１表示新、旧映射对均不给予Ｒｅｐｌｙ应答；结果２表示仅新映射对未给予Ｒｅｐｌｙ应答；结果３表示仅新映射对给予Ｒｅｐｌｙ应答；结果４表示新、旧映射对均给予Ｒｅｐｌｙ应答。

采用主动式的ＡＲＰ欺骗检测，其关键是正确捕获网络上所有的ＡＲＰ数据包。下面是使用Ｗｉｎ－ＰＣａｐ的ｗｐｃａｐ．ｄｌｌ模块实现捕获ＡＲＰ数据包的关键代码［６］。

ｐｃａｐ－ｉｆ－ｔ＊ａｌｌｄｅｖｓ；

ｐｃａｐ－ｉｆ－ｔ＊ｄ；

ｐｃａｐ－ｔ＊ａｄｈａｎｄｌｅ；

ｓｔｒｕｃｔｂｐｆ－ｐｒｏｇｒａｍｆｃｏｄｅ；

ｐｃａｐ－ｆｉｎｄａｌｌｄｅｖｓ（＆ａｌｌｄｅｖｓ，ｅｒｒｂｕｆ）；

ａｄｈａｎｄｌｅ＝ｐｃａｐ－ｏｐｅｎ－ｌｉｖｅ（ｄ－＞ｎａｍｅ，

６５５３６，１，１０００，ｅｒｒｂｕｆ）；

ｐｃａｐ－ｄａｔａｌｉｎｋ（ａｄｈａｎｄｌｅ）；

ｐｃａｐ－ｃｏｍｐｉｌｅ（ａｄｈａｎｄｌｅ，＆ｆｃｏｄｅ，“ａｒｐ”，１，

ｎｅｔｍａｓｋ）；

ｐｃａｐ－ｓｅｔｆｉｌｔｅｒ（ａｄｈａｎｄｌｅ，＆ｆｃｏｄｅ）；

ｐｃａｐ－ｆｒｅｅａｌｌｄｅｖｓ（ａｌｌｄｅｖｓ）；

ｐｃａｐ－ｌｏｏｐ（ａｄｈａｎｄｌｅ，（），ｐａｃｋｅｔ－ｈａｎｄｌｅｒ，ＮＵＬＬ）。

图３ＡＲＰ欺骗检测流程

詹可强：基于ＡＲＰ漏洞的网络监听的研究与防范

２００８年１月２３

（上接第１２页）

验是否符合社会脉动；而在科系的增减上与课程规划上也应充分掌握时代潮流，适时予以调整，以造就符合社会所需的人才。５．３创新教育

建立特色

虽说学校是非营利事业单位，但在学校数扩增与少子化冲击的双重影响下，竞争压力亦不亚于营利事业体。为了吸引更多优秀的学生前来就读，所以在整体教育方向的设计上，必须以创新的思考模式，建立起自我的特色。５．４启发教学

活泼思考

传统的填鸭式教育，已不适用于现今的多元社会中。唯有将旧式由老师单方面传授课业给学生的单向教学方法改为师生间得以互通有无的双向式

教学法，才能符合现行的教育理念，启发学生进行活泼创意的思考，培育出更多优秀的人才。５．５教师责任全面发挥

韩愈以为：“师者，所以传道、授业、解惑也”，由此可见教师对青年学子之重要影响力。一般教师在角色扮演上，除了要当“经师”亦要为“人师”，兼顾学生智慧与心灵的滋养，彻底发挥教师作育英才的角色。

５．６有用人才企业欢迎

教育乃百年树人之大业，关乎人才的培育与养成，学校就是扮演着人才培育的特有机构，具有社会道义责任，应该要努力造就社会人才，达成“毕业即就业，工作即上手”的基本使命。

３结语

网络安全的问题无处不在，利用ＡＲＰ漏洞进

行欺骗的方法使我们看到网络协议也可能存在着缺陷，网络协议的缺陷随着网络技术的发展出现更大的不安全性，这给网络通信、数据的传输和存储带来了危害。我们要善于从中找到问题的“症结”所在，只有这样，才能找到行之有效的安全方案。本文针对利用ＡＲＰ欺骗发动的网络监听的原理，介绍了一些可以有效地发现网络上基于ＡＲＰ欺骗的网络监听技术的侦测和防范方法，为网络安全提供了保障。当然利用ＷｉｎＰＣａｐ驱动程序实现的ＡＲＰ数据包的检测仅处于初步阶段，如何添加其他功能模块构成一个完善的入侵检测系统（ＩＤＳ），是下一步有待研究的问题。

参考文献：

［１］ＡｎｄｒｅｗＳ．Ｔａｎｅｎｂａｕｍ，潘爱民．计算机网络（第四版）［Ｍ］．北京：清华大学出版社，２００４．

［２］ＤｏｕｇｌａｓＥ．Ｃｏｍｅｒ，林瑶，蒋慧，杜蔚轩．用ＴＣＰ／ＩＰ进行网际互联第一卷：原理、协议与结构（第四版）［Ｍ］．北京：电子工业出版社，２００３．

［３］Ｗ．ＲｉｃｈａｒｄＳｔｅｖｅｎｓ，范建华．ＴＣＰ／ＩＰ详解卷１：协议［Ｍ］．北京：机械工业出版社，２０００．

［４］庄建平．基于ＡＲＰ协议入侵的安全策略［Ｊ］．怀化学院学报，２００６（８）：８１－８３．

［５］陆国浩．应用ＳｎｉｆｆｅｒＰｒｏ分析ＡＲＰ欺骗技术［Ｊ］．沙洲职业工学院学报，２００５（６）：８－２０．

［６］详谈调用Ｗｉｎｐｃａｐ驱动写ａｒｐ多功能工具［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ｗｗｗ．ｓａｆｅｃｈｉｎａ．ｎｅｔ，２００４．

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

２００８年第１期

福建信息技术教育２４