艾泰科技：ARP攻击与防范专题

2007-11-10 00:45:28 作者：文三街在线来源：文三街在线浏览次数：163 文字大小:【大】【中】【小】

【故障现象】

　　局域网不停的中断，电脑主机掉线，上网速度速度慢等现象。

　　【故障原因】

　　局域网内有人使用ARP欺骗的木马程序或者管理软件(比如：传奇盗号的软件，被加载了木马的网游外挂，网络执法官，网络剪刀手等)。如小A在某处上网，其在网络上下载了“网络执法官”这个软件，其通过非常简单的手段就可以扫描到网络中的所有主机，如下图

　　小A和小B曾经有过冲突，小A决定让小B掉线，且永远无法上网，其双击小B所在的电脑项，在弹出的对话框中选择“禁止该网卡与网络连接”，确定后小B的电脑就断线了。

　　更有甚者，小A决定让网络中所有的人掉线，其只需要选中所有电脑，设置一个统一动作，就可以让网络中所有人全部掉线。

　　【故障原理】

　　在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址(即MAC地址)的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。

　　在局域网中，两台网络设备要互相通信，必须要互相知道对方的物理地址，也就是MAC地址。IP地址和MAC地址的关系就像A和B两栋楼中的两处居民小李和小张的关系。假设小李住在A楼，小张住在B楼，小李要和小张隔着楼谈话，小李必须在A楼处大喊小张的名字(MAC地址)后，双方才能谈话。否则小李大喊B楼(IP地址)，是无法进行谈话的。而小李和小张之间的在谈话之前的联系，就是通过ARP协议来完成。

　　ARP协议是“Address Resolution Protocol”(地址解析协议)的缩写。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

　　每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如下表所示。