维普资讯 http://www.cqvip.com 第ｌ９卷第２期 塔里木大学学报 Ｖ０１．１９ Ｎｏ．－２ ２００７年６月 Ｊｏｕｒｎａｌ ｏｆ Ｔａｒｉｍ Ｕｎｉｖｅｒｓｉｔｙ Ｊｕｎ．２ｏｏ７ 文章编号：１００９—０５６８（２００７）０２—００８８—０４ ＡＲＰ欺骗入侵的检测与防范策略 曹洪武 （塔里木大学信息工程学院，新疆阿拉尔８４３３００） 摘要本文分析了ＡＲＰ协议工作原理，ＡＲＰ欺骗原理和基于ＡＲＰ欺骗的实现过程。并通过分析ＡＲＰ欺骗实例，给出了基于 ＡＲＰ的网络欺骗的检测方法和防范策略。 关键词ＡＲＰ协议；ＭＡＣ；ＡＲＰ欺骗；入侵检测 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ Ｄｅｔｅｃｔ ａｎｄ Ｐｒｅｃａｕｔｉｏｎ Ｂａｓｅｄ ｏｎ Ｉｎｔｒｕｓｉｏｎ ｏｆ ＡＲＰ Ｓｐｏｏｆｉｎｇ Ｃａｏ Ｈｏｎｇｗｕ （Ｃｏｌｌｅｇｅ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｔａｒｉｍ Ｕｎｉｖｅｒｓｉｔｙ，Ａｌａｒ，Ｘｉｎｊｉａｎｇ ８４３３００） Ａｂｓｔｒａｃｔ Ｔｈｉｓ ｐａｐｅｒ ａｎａｌｙｚｅｄ ｔｈｅ ｗｏｒｋｉｎｇ ｔｈｅｏｒｙ ｏｆ ＡＲＰ，ｔｈｅ ｔｈｅｏｒｙ ｏｆ ＡＲＰ ｓｐｏｏｆｉｎｇ ａｎｄ ｔｈｅ ｒｅａｌｉｚｉｎｇ ｐｒｏｃｅｓｓ ｏｆ ＡＲＰ ｓｐｏｏｆｉｎｇ．Ｂｙ ａｎａｌｙｚｉｎｇ ｅｘａｍｐｌｅｓ ｏｆ ＡＲＰ ｓｐｏｏｆｉｎｇ，ｉｔ ｇａｖｅ ｓｏｍｅ ｄｅｔｅｃｔｉｖｅ ｍｅｔｈｏｄｓ ａｎｄ ｓｏｍｅ ｐｒｅｃａｕｔｉｏｎ ｔａｃｔｉｃｓ ｏｆ ｎｅｔｗｏｒｋ ｓｐｏｏｆｉｎｇ ｂａｓｅｄ ｏｎ ＡＲＰ． Ｋｅｙ ｗｏｒｄｓ Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ；ＭＡＣ；ＡＲＰ ｓｐｏｏｆｉｎｇ；ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ＡＲＰ协议是ＴＣＰ／ＩＰ协议族中网络层上的一个 ＡＲＰ请求。当该ＩＰ地址确定为本地ＩＰ地址时，源 重要协议，主要是用来实现ＩＰ地址和对应设备的 主机在ＡＲＰ缓存中查找目标主机的硬件地址。 ＭＡＣ地址之间的相互转换，从而达到通过ＩＰ地址 １．１．２若找不到映射，ＡＲＰ就建立一个请求。源 来访问网络设备的目的。近年来，网络中的非法入 主机ＩＰ和硬件地址会被包括在请求中，该请求通过 侵者利用ＡＲＰ协议设计上的缺陷，通过篡改ＩＰ与 广播，使所有本地主机均能接收并处理。 ＭＡＣ之间的对应关系，非法获取并替换他人的 １．１．３本地网上的每个主机都收到广播并寻找相 ＭＡＣ，以达到非法监听和获取他人在网络上所传输 符的ＩＰ地址。 的信息的目的，这种网络入侵方式称为ＡＲＰ欺骗入 １．１．４ 当目标主机断定请求中的ＩＰ与自身的ＩＰ 侵¨Ｊ。ＡＲＰ欺骗的出现已经成为网络入侵攻击中 相符时，直接发送一个ＡＲＰ答复，将自身的硬件 的一种主要形式，严重威胁着网络信息的安全。本 ＭＡＣ地址传递给源主机。使用源主机的ＩＰ和 文将通过对上述入侵方式的工作原理和入侵过程的 ＭＡＣ更新它的ＡＲＰ缓存。源主机收到应答后便建 分析，给出检测方法和防范策略。 立起了通信关系。网段内ＡＲＰ请求与应答过程如 １ ＡＲＰ协Ｘ＿ｚ－作原理 图１所示。 １．２不同网段间ＡＲＰ请求与应答过程 １．１ 同一网段内ＡＲＰ请求与应答过程 将不同网段间的主机ＩＰ地址解析为ＭＡＣ时， 将本地网络的主机ＩＰ地址解析为ＭＡＣ时，网 因目标ＩＰ属于一个不同网段主机，则ＡＲＰ将广播 段内ＡＲＰ解析过程分为４步： 一个源主机的缺省网关路由器的地址。此时，ＡＲＰ １．１．１ 当一台主机要与别的主机通信时，初始化 解析过程分为５步进行： ①收稿日期：２００６—１０—２０ 作者简介：曹洪武（１９８０一）男，助教，主要从事计算机网络应用的教学研究工作。 维普资讯 http://www.cqvip.com 第２期 曹洪武：ＡＲＰ欺骗人侵的检测与防范策略 １．２．１初始化通信请求，得知目标ＩＰ为远程地址。 源主机在本地路由表中查找，若没有找到，源主机就 认为是缺省网关的ＩＰ。在ＡＲＰ缓存中查找符合该 网关记录的ＩＰ的ＭＡＣ地址。 ＡＲＰ获得此网关的ＭＡＣ，并将数据包被直接发送到 下一个目标主机。 １．２．４目标主机收到请求后，形成ＩＣＭＰ响应。因 源主机在远程网上，将在本地路由表中查找源主机 网络的网关。找到网关后，ＡＲＰ就获取它的硬件地 址ＭＡＣ。 １．２．５如果此网关的硬件地址不在ＡＲＰ缓存中， 图１网段内ＡＰＲ请求与应答过程 １．２．２若没找到该网关的记录，ＡＲＰ将广播一个 包含网关地址而不是目标主机的地址的请求。路由 器用自己的硬件地址响应源主机的ＡＲＰ请求。源 主机则将数据包送到路由器以传送到目标主机的网 络，最终达到目标主机。 图２网段间ＡＰＲ请求与应答过程 １．２．３如果是本地ＩＰ地址，路由器用ＡＲＰ缓存或 ＡＲＰ广播方式获得硬件地址ＭＡＣ。如果是远程ＩＰ 地址，路由器在其路由表中查找该网关，然后运用 则通过ＡＲＰ广播获得。一旦它获得硬件地址，Ｉｃ— ＭＰ响应就送到路由器上，然后传回源主机。网段 间ＡＲＰ请求与应答过程如图２。． ２ ＡＲＰ欺骗 ２．１ ＡＲＰ欺骗原理 当主机接收到ＡＲＰ应答帧的时候，就会对本地 的ＡＲＰ缓存进行更新，将应答帧中的ＩＰ地址和 ＭＡＣ地址存储在ＡＲＰ高速缓存中，此时不要求主 机必须先发送ＡＲＰ请求后才能接收ＡＲＰ应答，同 时不对其进行检验 Ｊ。其次，在通讯中，由于ＡＲＰ 缓存的优先级最高，所以总是最先从ＡＲＰ缓存中找 与ＩＰ地址对应ＭＡＣ地址。使得网络上的非法人侵 攻击者有可能发送一个带有欺骗性的ＡＲＰ请求和 回答，导致改变另一个主机的ＡＲＰ高速缓存中的地 址映射（即ＩＰ与ＭＡＣ之ｌ目拘对应关系），使得被攻 击的主机在地址解析时发生错误结果，导致所封装 的数据被发往攻击者所希望的目的主机，从而使数 据信息被劫取。 ２．２ ＡＲＰ欺骗的实现过程 下面通过实验讨论ＡＲＰ欺骗的具体过程。首 先，假设有三台位于同一网段内的主机，分别是：主 机Ａ、主机Ｂ、主机Ｃ。各主机ＩＰ地址与ＭＡＣ对应 情况如表１所示。 表１ 各实验主机的ＩＰ地址和网卡ＭＡＣ地址对应表 在同一子网内部，主机Ａ与主机Ｂ进行正常通 信，如图３所示。此时，如果未取得信任的主机ｃ 想窃听主机Ａ与主机Ｂ之间的通信信息，它可以利 用ＡＲＰ协议的漏洞，冒用主机Ｂ的名义与主机Ａ 通信，同时冒用主机Ａ的名义与主机Ｂ通信，实现 ＡＲＰ欺骗，如图４ 所示。主机Ｃ向主机Ａ发送 维普资讯 http://www.cqvip.com 塔里木大学学报 第１９卷 ＡＲＰ响应报文，在响应文中将主机Ｂ的ＩＰ地址 行判断。正常的系统回应的时间没有太明显的变 １７２．３０．２４１．２与主机Ｃ的网卡地址对应，当主机Ａ 化，而存在ＡＲＰ欺骗的系统由于对大量的无意义的 收到ＡＲＰ响应报文时，更新ＡＲＰ高速缓存，增加 测试信息会全盘接收，其回应时间可能会发生较大 “１７２．３０．２４１．２＜一＞００—５３—４５—２２—００—００’’ 变化。 项。同时，主机Ｃ向主机Ｂ发送ＡＲＰ响应报文，在 ３．１．２ 利用Ｐｉｎｇ方法进行监测 响应报文中将主机Ａ的ＩＰ地址１７２．３０．２４１．１与 当一台主机实施ＡＲＰ欺骗时，以太网的网卡 主机Ｃ的网卡地址对应，当主机Ｂ收到ＡＲＰ响应 会将所有不属于它的数据照单全收。按照上述思 报文时，更新ＡＲＰ高速缓存，增加“１７２．３０．２４１．１＜ 路，可以这样来操作：假设网络中被怀疑的主机的 一＞００—５３—４５—２２—００—００”项。这样，当主机Ａ ＭＡＣ地址是００—５３—４５—０ｏ一００—０ｏ，它的ＩＰ是 再次与主机Ｂ通信时，其数据包会发送到网卡地址 １７２．３０．２４１．１，那么现在伪造出这样的一种ＩＣＭＰ 是０ｏ一５３—４５—２２—００—００的主机Ｃ上；主机Ｂ 数据包：硬件地址是不与局域网内任何一台主机相 圈 ▲｜＿ 与主机Ａ通信时，数据包也会发送到网卡地址是０ｏ 同的００—５３—４５—００—０Ｏ—ＡＡ，目的ＩＰ是１７２． 一５３—４５—２２—０ｏ一００的主机Ｃ上。此时，如果主 ３０．２４１．１不变。根据正常的主机会检查这个数据 机ｃ能够实现自动路由转发，就可以在不影响主机 包，比较数据包的硬件地址，如果与自身的不同， Ａ与主机Ｂ之间通信的前提下进行数据窃听。 ． 则忽略这个数据包；而处于网络监听模式的主机， 由于它的网卡是混杂模式，所以它不对比这个数据 ．．Ｉ－—————＿｜－． 包的硬件地址，而是将这个数据包直接传到上层并 检查数据包的ＩＰ，若符合自身的ＩＰ，则会对这个 Ｐｉｎｇ的包做出回应，以此方式实施检测。 ３．１．３ 观测ＤＮＳ解析请求的变化情况 图３子网内主机间正常通信 许多网络监听软件会尝试进行地址反向解析， 在怀疑有ＡＲＰ网络欺骗发生时，可以在ＤＮＳ系统 巨 上观测有没有明显增多的解析请求。因为发起ＡＲＰ 欺骗的主机会不问断的尝试正反解析冒充的网关 ＩＰ，发送数量非常多的重复解析数据包，据此可以 检测局域网中是否有ＡＲＰ欺骗存在 Ｊ。 ３．１．４ 利用ＡＲＰ数据包进行监测 图４子网内ＡＲＰ欺骗通信 这种模式是ｐｉｎｇ方式的一种变体，它使用ＡＲＰ ３ ＡＲＰ欺骗的检测与防范策略 数据包替代了上述ｉｅｍｐ数据包。向局域网内的主 机发送非广播方式的ＡＲＰ包，如果局域网内的某个 基于ＡＲＰ的网络欺骗入侵给网络安全带来了 主机响应这个ＡＲＰ请求，那么就可以判断它很可能 严重威胁，为了防止ＡＲＰ欺骗，下面给出一些检测 就是处于网络监听模式，这是目前相对而言比较好 方法和防范对策。 的检测方法。 ３．１ ＡＲＰ欺骗的检测方法 ３．１．５检测同一网段内ＩＰ地址和ＭＡＣ地址对应 客观上来说，各种网络安全的对策是相对的，关 关系的一致性 Ｊ。 键是看用户平时对网络安全的重视程度。对基于 ３．２ ＡＲＰ欺骗的防范策略 ＡＲＰ的网络欺骗，由于产生网络监听行为的主机不 ３．２．１ 设置静态ＡＲＰ缓存 会主动发出任何信息，一直以来都缺乏很好的检测 使用静态的ＩＰ一＞ＭＡＣ的解析新ＡＲＰ协议攻 方法。以下仅指出部分检测方法。 击的最根本原理是改变ＩＰ与ＭＡＣ地址的对应关 ３．１．１ 检测疑似ＡＲＰ欺骗发送主机反应时间 系 Ｊ。可以采取静态ＭＡＣ地址表法的方法进行防 通过向怀疑有ＡＲＰ网络欺骗行为的网络发送 范。主机的ＩＰ一＞ＭＡＣ地址对应表手工维护，输入 大量测试数据包，根据各个主机回应的时间情况进 之后不再动态更新，显然可以避免ＡＲＰ协议攻击， 维普资讯 http://www.cqvip.com 第２期 曹洪武：ＡＲＰ欺骗人侵的检测与防范策略 ９ｌ 大多数三层交换机都支持这种方法。但是，这种方 法的缺陷也很明显，在移动或经常变化的网络环境 中，这种手工维护ＭＡＣ表的方式不适用，而且它也 ４ 结束语 由于ＡＲＰ协议制定时间较早，且现有的基于 要求网络硬件支持这种配置方式。另外，采用此方 式设置静态ＡＲＰ缓存，管理员需要定期轮询，检查 ＩＰｖ４标准的协议的体系结构考虑不够全面，使得 ＡＲＰ攻击成为网络中常见的且破坏性较大的人侵 攻击方式。本文通过对ＡＲＰ协议的工作原理的分 主机上的ＡＲＰ缓存。 ３．２．２ 网络路由分割 目前，网络上已经使用高层交换的方式，基于 ＩＰ地址变换进行路由的第三层（第四层）交换机逐 渐被采用，第三层交换技术用的是ＩＰ路由交换协 议。以往的链路层的ＭＡＣ地址和ＡＲＰ协议已经不 起作用，因而ＡＲＰ欺骗攻击在这种交换环境下不起 作用。 ３．２．３ 使用ＡＲＰ代理服务器＂ 通过该服务器查找ＡＲＰ转换表来响应其他机 器的ＡＲＰ广播。但必须确保这台ＡＲＰ服务器不被 黑客攻击。 ３．２．４ 定期捕获ＡＲＰ请求 管理员定期在响应的ＩＰ包中捕获ＡＲＰ请求， 检查ＡＲＰ响应的真实性。 ３．２．５采用加密手段防范 ＡＲＰ欺骗过程中，即使是使用Ｓｎｉｆｅｒ类的抓包 软件抓取到了数据，但由于数据包都是以密文传输 的，因此不会造成严重影响。 析和对ＡＲＰ欺骗技术的研究，增强用户在网络使用 中的安全防范意识，防止数据泄密，提高网络的安全 ，性和访问的合法性。本文中仅介绍如何进行ＡＲＰ 欺骗的检测与其相关防范策略，但仍未做到完全避 免ＡＲＰ欺骗，这仍有待于继续探讨。 参考文献 ［Ｉ］张新瑞．ＡＲＰ协议揭密ｈｔｔｐ：／／ｗｗｗ．ｘｆｏｅｕｓ．ｎｅｔ／ａｒｔｉ－ ｃｌｅｓ／２００３ １２／６４７．ｈｔｒｎ１． ［２］ 程春，杨春．关于ＩＰ的几种欺骗的分析与研究［Ｊ］． 四川师范大学学报，１９９９（４）：４５—４８． ［３］ 孟晓明基于ＡＲＰ的网络欺骗的检测与防范．信息技 术，２００５（５）：４１—４４． ［４］ 雷斯林．ＡＲＰ欺骗的解决策略以及原理和技术资料． ２００５．９．Ｉ ｈｔｔｐ：／／ｗｗｗ．ｗｉｎｍａｇ．ｃｏｒｎ．ｃｎ／ｆｏｒｕｍ． ［５］ 张健，李焕洲．网络嗅探原理及其检测和预防．四川师 范大学学（自然科学版），２００３（Ｉ）：７９—８２． ［６］ 马军，王岩．ＡＲＰ协议攻击及其解决方案微计算机信 息，２００６（２２）：５１—５３． ［７］ 广东科达信息技术有限公司．网络安全中的ＡＲＰ协 议和欺骗技术及其对策．２００６．３．３１ ｈｔｔｐ：／／ｗｗｗ．ｃｃｉｔ－ ｓｅ ０ｍ／ｍｏｒｅｌ０１．ｈｔｍ．