Posted on 2006-04-07 12:03
Tauruser 閱讀(329)
評論(0) 編輯 收藏 引用 所屬分類:
網(wǎng)絡(luò)
什么是ARP欺騙
我們先復(fù)習(xí)一下上面所講的ARP協(xié)議的原理。在實(shí)現(xiàn)TCP/IP協(xié)議的網(wǎng)絡(luò)環(huán)境下，一個(gè)ip包走到哪里，要怎么走是靠路由表定義，但是，當(dāng)ip包到達(dá)該網(wǎng)絡(luò)后，哪臺(tái)機(jī)器響應(yīng)這個(gè)ip包卻是靠該ip包中所包含的硬件mac地址來識(shí)別。也就是說，只有機(jī)器的硬件mac地址和該ip包中的硬件mac地址相同的機(jī)器才會(huì)應(yīng)答這個(gè)ip包，因?yàn)樵诰W(wǎng)絡(luò)中，每一臺(tái)主機(jī)都會(huì)有發(fā)送ip包的時(shí)候，所以，在每臺(tái)主機(jī)的內(nèi)存中，都有一個(gè) arp--> 硬件mac 的轉(zhuǎn)換表。通常是動(dòng)態(tài)的轉(zhuǎn)換表（該arp表可以手工添加靜態(tài)條目）。也就是說，該對應(yīng)表會(huì)被主機(jī)在一定的時(shí)間間隔后刷新。這個(gè)時(shí)間間隔就是ARP高速緩存的超時(shí)時(shí)間。
通常主機(jī)在發(fā)送一個(gè)ip包之前，它要到該轉(zhuǎn)換表中尋找和ip包對應(yīng)的硬件mac地址，如果沒有找到，該主機(jī)就發(fā)送一個(gè)ARP廣播包，于是，主機(jī)刷新自己的ARP緩存。然后發(fā)出該ip包。
了解這些常識(shí)后，現(xiàn)在就可以談在以太網(wǎng)絡(luò)中如何實(shí)現(xiàn)ARP欺騙了，可以看看這樣一個(gè)例子。
同一網(wǎng)段的ARP欺騙
同一網(wǎng)段的ARP欺騙
圖2 同一網(wǎng)段的arp欺騙
如圖2所示，三臺(tái)主機(jī)
A: ip地址 192.168.0.1 硬件地址 AA:AA:AA:AA:AA:AA
B: ip地址 192.168.0.2 硬件地址 BB:BB:BB:BB:BB:BB
C: ip地址 192.168.0.3 硬件地址 CC:CC:CC:CC:CC:CC
一個(gè)位于主機(jī)B的入侵者想非法進(jìn)入主機(jī)A，可是這臺(tái)主機(jī)上安裝有防火墻。通過收集資料他知道這臺(tái)主機(jī)A的防火墻只對主機(jī)C有信任關(guān)系（開放23端口(telnet)）。而他必須要使用telnet來進(jìn)入主機(jī)A，這個(gè)時(shí)候他應(yīng)該如何處理呢？
我們這樣考慮，入侵者必須讓主機(jī)A相信主機(jī)B就是主機(jī)C，如果主機(jī)A和主機(jī)C之間的信任關(guān)系是建立在ip地址之上的。如果單單把主機(jī)B的ip地址改的和主機(jī)C的一樣，那是不能工作的，至少不能可靠地工作。如果你告訴以太網(wǎng)卡設(shè)備驅(qū)動(dòng)程序，自己IP是192.168.0.3，那么這只是一種純粹的競爭關(guān)系，并不能達(dá)到目標(biāo)。我們可以先研究C這臺(tái)機(jī)器如果我們能讓這臺(tái)機(jī)器暫時(shí)當(dāng)?shù)簦偁庩P(guān)系就可以解除,這個(gè)還是有可能實(shí)現(xiàn)的。在機(jī)器C當(dāng)?shù)舻耐瑫r(shí)，將機(jī)器B的ip地址改為192.168.0.3,這樣就可以成功的通過23端口telnet到機(jī)器 A上面，而成功的繞過防火墻的限制。
上面的這種想法在下面的情況下是沒有作用的，如果主機(jī)A和主機(jī)C之間的信任關(guān)系是建立在硬件地址的基礎(chǔ)上。這個(gè)時(shí)候還需要用ARP欺騙的手段讓主機(jī)A把自己的ARP緩存中的關(guān)于192.168.0.3映射的硬件地址改為主機(jī)B的硬件地址。
我們可以人為的制造一個(gè)arp_reply的響應(yīng)包,發(fā)送給想要欺騙的主機(jī),這是可以實(shí)現(xiàn)的,因?yàn)閰f(xié)議并沒有規(guī)定必須在接收到arp_echo后才可以發(fā)送響應(yīng)包.這樣的工具很多,我們也可以直接用snifferpro抓一個(gè)arp響應(yīng)包,然后進(jìn)行修改。
你可以人為地制造這個(gè)包。可以指定ARP包中的源IP、目標(biāo)IP、源MAC地址、目標(biāo)MAC地址。
這樣你就可以通過虛假的ARP響應(yīng)包來修改主機(jī)A上的動(dòng)態(tài)ARP緩存達(dá)到欺騙的目的。
下面是具體的步驟：
1. 他先研究192.0.0.3這臺(tái)主機(jī)，發(fā)現(xiàn)這臺(tái)主機(jī)的漏洞。
2. 根據(jù)發(fā)現(xiàn)的漏洞使主機(jī)C當(dāng)?shù)簦瑫簳r(shí)停止工作。
3. 這段時(shí)間里，入侵者把自己的ip改成192.0.0.3
4. 他用工具發(fā)一個(gè)源ip地址為192.168.0.3源MAC地址為BB:BB:BB:BB:BB:BB的包給主機(jī)A，要求主機(jī)A更新自己的arp轉(zhuǎn)換表。
5. 主機(jī)更新了arp表中關(guān)于主機(jī)C的ip-->mac對應(yīng)關(guān)系。
6. 防火墻失效了，入侵的ip變成合法的mac地址，可以telnet 了。
上面就是一個(gè)ARP的欺騙過程，這是在同網(wǎng)段發(fā)生的情況，但是，提醒注意的是，在B和C處于不同網(wǎng)段的時(shí)候，上面的方法是不起作用的。
不同網(wǎng)段的ARP欺騙
不同網(wǎng)段的ARP欺騙
圖3 不同網(wǎng)段之間的ARP欺騙
如圖3所示A、C位于同一網(wǎng)段而主機(jī)B位于另一網(wǎng)段，三臺(tái)機(jī)器的ip地址和硬件地址如下：
A: ip地址 192.168.0.1 硬件地址 AA:AA:AA:AA:AA:AA
B: ip地址 192.168.1.2 硬件地址 BB:BB:BB:BB:BB:BB
C: ip地址 192.168.0.3 硬件地址 CC:CC:CC:CC:CC:CC
在現(xiàn)在的情況下，位于192.168.1網(wǎng)段的主機(jī)B如何冒充主機(jī)C欺騙主機(jī)A呢？顯然用上面的辦法的話，即使欺騙成功，那么由主機(jī)B和主機(jī)A之間也無法建立telnet會(huì)話，因?yàn)槁酚善鞑粫?huì)把主機(jī)A發(fā)給主機(jī)B的包向外轉(zhuǎn)發(fā)，路由器會(huì)發(fā)現(xiàn)地址在192.168.0.這個(gè)網(wǎng)段之內(nèi)。
現(xiàn)在就涉及到另外一種欺騙方式―ICMP重定向。把ARP欺騙和ICMP重定向結(jié)合在一起就可以基本實(shí)現(xiàn)跨網(wǎng)段欺騙的目的。
什么是ICMP重定向呢？
ICMP重定向報(bào)文是ICMP控制報(bào)文中的一種。在特定的情況下，當(dāng)路由器檢測到一臺(tái)機(jī)器使用非優(yōu)化路由的時(shí)候，它會(huì)向該主機(jī)發(fā)送一個(gè)ICMP重定向報(bào)文，請求主機(jī)改變路由。路由器也會(huì)把初始數(shù)據(jù)報(bào)向它的目的地轉(zhuǎn)發(fā)。我們可以利用ICMP重定向報(bào)文達(dá)到欺騙的目的。
下面是結(jié)合ARP欺騙和ICMP重定向進(jìn)行攻擊的步驟：
1. 為了使自己發(fā)出的非法ip包能在網(wǎng)絡(luò)上能夠存活長久一點(diǎn)，開始修改ip包的生存時(shí)間ttl為下面的過程中可能帶來的問題做準(zhǔn)備。把ttl改成255. (ttl定義一個(gè)ip包如果在網(wǎng)絡(luò)上到不了主機(jī)后，在網(wǎng)絡(luò)上能存活的時(shí)間，改長一點(diǎn)在本例中有利于做充足的廣播)
2. 下載一個(gè)可以自由制作各種包的工具（例如hping2）
3. 然后和上面一樣，尋找主機(jī)C的漏洞按照這個(gè)漏洞當(dāng)?shù)糁鳈C(jī)C。
4. 在該網(wǎng)絡(luò)的主機(jī)找不到原來的192.0.0.3后，將更新自己的ARP對應(yīng)表。于是他發(fā)送一個(gè)原ip地址為192.168.0.3硬件地址為BB:BB:BB:BB:BB:BB的ARP響應(yīng)包。
5. 好了，現(xiàn)在每臺(tái)主機(jī)都知道了，一個(gè)新的MAC地址對應(yīng)192.0.0.3,一個(gè)ARP欺騙完成了，但是，每臺(tái)主機(jī)都只會(huì)在局域網(wǎng)中找這個(gè)地址而根本就不會(huì)把發(fā)送給192.0.0.3的ip包丟給路由。于是他還得構(gòu)造一個(gè)ICMP的重定向廣播。
6. 自己定制一個(gè)ICMP重定向包告訴網(wǎng)絡(luò)中的主機(jī)："到192.0.0.3的路由最短路徑不是局域網(wǎng)，而是路由，請主機(jī)重定向你們的路由路徑，把所有到192.0.0.3的ip包丟給路由。"
7. 主機(jī)A接受這個(gè)合理的ICMP重定向，于是修改自己的路由路徑，把對192.0.0.3的通訊都丟給路由器。
8. 入侵者終于可以在路由外收到來自路由內(nèi)的主機(jī)的ip包了，他可以開始telnet到主機(jī)的23口。
其實(shí)上面的想法只是一種理想話的情況，主機(jī)許可接收的ICMP重定向包其實(shí)有很多的限制條件，這些條件使ICMP重定向變的非常困難。
TCP/IP協(xié)議實(shí)現(xiàn)中關(guān)于主機(jī)接收ICMP重定向報(bào)文主要有下面幾條限制：
1. 新路由必須是直達(dá)的
2. 重定向包必須來自去往目標(biāo)的當(dāng)前路由
3. 重定向包不能通知主機(jī)用自己做路由
4. 被改變的路由必須是一條間接路由
由于有這些限制，所以ICMP欺騙實(shí)際上很難實(shí)現(xiàn)。但是我們也可以主動(dòng)的根據(jù)上面的思維尋找一些其他的方法。更為重要的是我們知道了這些欺騙方法的危害性，我們就可以采取相應(yīng)的防御辦法。