linux命令arp攻击 arp攻击指令

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

linux防火墙如何防御ARP攻击？

windows下放arp攻击可以用金山ARP防火墙，把网关ip和MAC填上，然后选项里把安全模式的钩勾上就基本没什么问题。Linux没找到这么现成的东西，baidu google上找了一些方法，都自己试过一遍，不是非常管用。

进行arp攻击要做两件事情：

1、欺骗目标机器，攻击机器A告诉目标机器B：我是网关！

2、欺骗网关，攻击机器A告诉网关：我是B！

也就是A进行双向欺骗。

这样做以后目标机器B发给网关的数据包都让攻击机器A给没收了，没有发给网关，所以B就上不了网了。要让B能上网，A需要将从B收到的包转发给网关。(有时候开P2P终结这之类的软件的时候发现别人上不了网了，有时候是因为自己有一个NB的防火墙，有时侯是其他原因，从被控制的机器上发过来的包没有能转发给网关，所以。。。)

我在网上找了一些关于Linux怎么防arp攻击的文章，基本上有这么几种做法。

1、绑定IP-MAC。通过arp -s 或者 arp -f。我就咬定哪个是网关了，你们谁说的话我都不信！

但是有个缺点，必须双向绑定IP-MAC，如果你无法控制路由器，不能在网关那里设置静态IP，这个方法就无效了。

2、既然控制不了网关，我只能告诉网关哪个才是真正的我了。向网关发送自己的IP和MAC。也就是告诉网关：我才是XXX。

（1）用arping，或者arpspoof(arpsniffer)。

命令：arping -U -I 网卡接口 -s 源IP 目标IP

由于命令里面没有指定网关的MAC，所以形同虚设，效果不好。

（2）用arpoison或者ARPSender，可以指定MAC，效果算是比较好，但有时候还是不行。

命令：arpoison -i 网卡接口 -d 网关IP -s 我的IP -t 网关MAC -r 我的MAC

参考了这篇文章：

我用Wireshark看了一下，发现虽然我指定了目标的MAC，但是我的机器依然会间歇性地往攻击机器发送我的IP和MAC，然后攻击机器利用我的MAC进行双向欺骗。

所以我想，有没有什么办法不让除了网关之外的其他人知道我的MAC呢？后来就找到了一下这篇文章。

文章地址：

文章内容：(因为原文地址访问非常慢所以在这里贴出来)

Linux/FreeBSD防止ARP欺骗的一种被动方法(隐藏MAC)

作者: Knight 日期: 2008-11-17 14:15

文章作者：Helvin

信息来源：邪恶八进制信息安全团队（）

首先对国内某些IDC不负责任的行为表示抗议

一般欺骗机器通过ARP Request获得网关的MAC，然后同样方法获得你服务器的MAC进行双向欺骗，然后sniffer密码，挂马之类。

国内几乎所有的IDC都是几百服务器公用一个网关的。然后上百个服务器总有几个有漏洞的，然后你就被ARP欺骗挂马或者抓密码了

下面介绍的是Linux 利用arptables来防止ARP Request获得你的MAC。这样攻击者会认为你的服务器是不存在的（本来很复杂的，需要patch编译内核什么的，上周才发现还有一个 arptables，免编译内核，现在把方法写一下）

Debian/Ubuntu：（runas sudo）CentOS/RHAS 叫arptables_jf

引用:

apt-get install arptables

arptables -A INPUT --src-mac ! 网关MAC -j DROP

arptables -A INPUT -s ! 网关IP -j DROP

如果你有本网的内网机器要互联，可以引用:

arptables -I INPUT --src-mac 你的其他服务器MAC ACCEPT

如果你的MAC已经被欺骗机器拿到，那只能ifconfig ethx hw ether MAC来修改了

有一定的危险性，请酌情测试，你也可以疯狂刷新网关+本机ARP绑定，看具体需要

还要注意这个时候不要发出ARP Request到除网关以外的其他IP，其后果可能是被其他机器拿到MAC

补充一个FreeBSD下的隐藏MAC的方法

首先sysctl net.link.ether.ipfw=1开启IPFW ether层过滤功能（网桥模式要使用sysctl net.link.ether.bridge_ipfw=1）

然后

ipfw add 00005 allow ip from any to any MAC 网关MAC any /* 打开你到网关的通信 */

ipfw add 00006 allow ip from any to any MAC any 网关MAC /* 打开网关到你的通信 */

/* ........中间你可以添加本网段内需要互联的IP地址MAC双向通信........ */

ipfw add 00010 deny ip from any to any MAC any any /* 关闭所有其他MAC的任何响应 */

如果服务器作为内网网关使用，可以在内网网卡界面

ifconfig em1 -arp /* 关闭ARP响应(假设em0是内网网卡) */

arp -f /etc/arp.list /* 设置静态ARP表 */

以下是ARP(8) 关于arp.list格式的描述，

Cause the file filename to be read and multiple entries to be set

in the ARP tables. Entries in the file should be of the form

hostname ether_addr [temp] [pub]

with argument meanings as given above. Leading whitespace and

empty lines are ignored. A `#' character will mark the rest of

the line as a comment.

我觉得可以把绑定IP-MAC + arposion + MAC隐藏的方法综合起来

转自

相关问答

Q1: ARP攻击是什么意思？

ARP攻击linux命令arp攻击，是针对以太网地址解析协议(ARP)的一种攻击技术。此种攻击可让攻击者取得局域网上的数据封包甚至可篡改封包，且可让网络上特定计算机或所有计算机无法正常连接。

ARP攻击仅能在以太网(局域网如:机房、内网、公司网络等)进行。

无法对外网(互联网、非本区域内的局域网)进行攻击。

ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。

ARP攻击主要是存在于局域网网络中，局域网中若有一台计算机感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。

某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则A广播一个ARP请求报文(携带主机A的IP地址Ia--物理地址Pa)，请求IP地址为Ib的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据(由网卡附加MAC地址)。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。

ARP欺骗木马的中毒现象表现为:使用局域网时会突然掉线，过一段时间后又会恢复正常。比如客户端状态频频变红，用户频繁断网，IE浏览器频繁出错，以及一些常用软件出现故障等。如果局域网中是通过身份认证上网的，会突然出现可认证，但不能上网的现象(无法ping通网关)，重启机器或在MS-DOS窗口下运行命令arp

-d后，又可恢复上网。

ARP欺骗木马只需成功感染一台电脑，就可能导致整个局域网都无法上网，严重的甚至可能带来整个网络的瘫痪。该木马发作时除了会导致同一局域网内的其linux命令arp攻击他用户上网出现时断时续的现象外，还会窃取用户密码。如盗取QQ密码、盗取各种网络游戏密码和账号去做金钱交易，盗窃网上银行账号来做非法交易活动等，这是木马的惯用伎俩，给用户造成了很大的不便和巨大的经济损失。

基于ARP协议的这一工作特性，黑客向对方计算机不断发送有欺诈性质的ARP数据包，数据包内包含有与当前设备重复的Mac地址，使对方在回应报文时，由于简单的地址重复错误而导致不能进行正常的网络通信。一般情况下，受到ARP攻击的计算机会出现两种现象:

1.不断弹出“本机的0-255段硬件地址与网络中的0-255段地址冲突”的对话框。

2.计算机不能正常上网，出现网络中断的症状。

因为这种攻击是利用ARP请求报文进行“欺骗”的，所以防火墙会误以为是正常的请求数据包，不予拦截。因此普通的防火墙很难抵挡这种攻击。

Q2: Linux主机如何防范ARP攻击？

arp欺骗的原理不多述linux命令arp攻击，基本就是利用发送假的arp数据包，冒充网关。一般在网上通讯的时候网关的IP和MAC的绑定是放在arp 缓存里面的，假的arp包就会刷新这个缓存，导致本该发送到网关的数据包发到linux命令arp攻击了欺骗者那里。解决的办法就是静态arp。

假设网关的IP是192.168.0.1，linux命令arp攻击我们要先得到网关的正确MAC，先ping一下网关：

ping 192.168.0.1

然后运行arp查看arp缓存中的网关MAC：

localhost~$ arp

Address HWtype HWaddress Flags Mask Interface

192.168.0.1 ether 00:12:34:56:78:9A C eth0

、这里得到的网关MAC假定为00:12:34:56:78:9A，C代表这个绑定是保存在缓冲里的，我们要做的就是把这个IP和 MAC静态的绑定在一起，首先建立/etc/ethers文件，输入以下内容：

192.168.0.1 00:12:34:56:78:9A

保存退出，之后便是应用这个静态绑定：

localhost~$ arp -f

再运行arp查看：

localhost~$ arp

Address HWtype HWaddress Flags Mask Interface

192.168.0.1 ether 00:12:34:56:78:9A CM eth0

多linux命令arp攻击了个M，表示静态网关～

另外，如果你不会和局域网内的用户通讯的话，那么可以干脆把arp解析关掉，假定你的网卡是eth0，那么可以运行：

localhost~$ ifconfig eth0 -arp

这样对付那些终结者软件就可以了，但是真的有人向攻击的话，这样还是不够的，因为攻击者还可以欺骗网关，解决的办法就是在网关和局域网内机器上做双向绑定，原理方法同上，一般网吧里面也是这样做的。

Q3: arpspoof+wireshark进行arp攻击并分析报文

arp是将IP地址转换为mac地址的协议。局域网内的信息交换要基于mac地址进行，所以在同一个局域网内的机器A想要和机器B通讯，它就得通过arp协议获取B的mac地址。

过程：A在局域网中发送广播请求，请求中包含B的IP地址，当B监听到此请求，它就发送一个响应，响应中包含B的mac地址，A收到该响应，就会跟响应中的mac地址进行通讯。

注意这里只要局域网内有机器发送了响应，机器A就认为是机器B发送的，而不会去校验。arp攻击就针对这种漏洞进行攻击，攻击者会分别对机器A和机器B的arp请求进行响应，在A和B之间充当一个中间人，从而监听A和B的通讯。

KALI LINUX

扫描当前局域网，获取目标的IP地址和网关IP地址

2.2.1. 开启内核路由转发功能

2.2.2. 使用arpspoof开启攻击

通过 man arpspoof 可以看该命令的详细信息，此处不赘述。

截图即为arpspoof在发送伪ARP响应。

打开wireshark 并选择使用arp进行攻击的网卡。

在过滤选择器中过滤出目标IP的网络报文

Q4: arp攻击与防范

如今互联网的重要性越来越大，很多人也对一些知识很感兴趣，那么你知道arp攻击与防范吗?下面是我整理的一些关于arp攻击与防范的相关资料，供你参考。

arp攻击与防范：

一、要想防患arp攻击，那么我们要知道什么是arp?

ARP：地址解析协议，用于将32位的IP地址解析成48位的物理mac地址。

在以太网协议中，规定同一局域网中的主机相互通信，必须知道对方的物理地址(即mac地址)，而在tcp/ip协议中，网络层和传输层只关心目标主机的ip地址。这就导致在以太网中使用IP协议时，数据链路层的以太网协议接到上层的IP协议提供的数据中，只包含目的主机的IP地址。所以就需要一种协议，根据目的的IP地址，获得其mac地址。所以arp协议就应运而生。

另外，当发送主机和目的主机不在同一个局域网中时，即便知道目的主机的MAC地址，两者也不能直接通信，必须经过路由转发才可以。所以此时，发送主机通过ARP协议获得的将不是目的主机的真实MAC地址，而是一台可以通往局域网外的路由器的某个端口的MAC地址。于是此后发送主机发往目的主机的所有帧，都将发往该路由器，通过它向外发送。这种情况称为ARP代理(ARP Proxy)。

二、arp攻击的原理

三、什么是ARP欺骗

在局域网中，黑客经过收到ARP Request广播包，能够偷听到其它节点的 (IP, MAC) 地址, 黑客就伪装为A，告诉B (受害者) 一个假地址，使得B在发送给A 的数据包都被黑客截取，而A, B 浑然不知。

四、arp的攻击方式：

1、ip地址冲突

Arp病毒制造者制造出局域网上有另一台主机与受害主机共享一个IP的假象。大量的攻击数据包能令受害主机耗费大量的系统资源。

①单播型的IP地址冲突

数据链路层记录的目的物理地址为被攻击主机的物理地址，这样使得该arp数据包只能被受攻击主机所接收，而不被局域网内其他主机所接收，实现隐蔽式攻击。

②广播型的IP地址冲突

数据链路层记录的目的物理地址为广播地址，这样使得局域网内的所有主机都会接收到该arp数据包，虽然该arp数据包所记录的目的IP地址不是受攻击主机的IP地址，但是由于该arp数据包为广播数据包，这样受攻击主机也会收到。

2、arp泛洪攻击

攻击主机持续把伪造的mac-ip映射对发给受害的主机，对于局域网内的所有主机和网管进行广播，抢占网络带宽和干扰正常通信。

3、arp扫描攻击

Arp攻击者向局域网发送arp请求，从而获得正在运行主机的IP和MAC地址的映射对。攻击源通过对arp扫描获得所要攻击的IP和mac地址，从而为网络监听、盗取用户数据，实现隐蔽式攻击做准备。

4、虚拟主机攻击

黑客通过在网络内虚拟构建网卡，将自己虚拟成网络内的一台主机，拥有虚拟的物理地址和IP地址。使得占用局域网内的IP地址资源，使得正常运行的主机会发生IP地址冲突，并且大量的虚拟主机攻击会使得局域网内的主机无法正常获得IP地址。

5、ARP欺骗攻击

目的是向目标主机发送伪造的arp应答，并使目标主机接收应答中的IP与MAC间的映射，并以此更新目标主机缓存。从而影响链接畅通。其方式有：冒充主机欺骗网关，原理是截获网关数据和冒充网关欺骗主机，原理是伪造网关。

五、arp攻击防患措施

1、在客户端静态绑定IP地址和MAC地址

进入命令行arp –a命令查看，获取本机的网关IP地址和网关mac地址

编写一个批处理内容为：

@echo off

arp -d

arp –s 网关的IP地址自己的mac地址

保存放置到开机启动项里

2、设置arp服务器

指定局域网内部的一台机器作为arp服务器，专门保存且维护可信范围内的所有主机的IP地址与mac地址的映射记录。该服务器通过查阅自己的arp缓存的静态记录，并以被查询主机的名义相应局域网内部的arp请求，同时设置局域网内部其他主机只是用来自arp服务器的arp响应。

3、交换机端口设置

通过划分VLAN和交换机端口绑定，以图防范ARP，也是常用的防范方法。做法是细致地划分VLAN，减小广播域的范围，使ARP在小范围内起作用，而不至于发生大面积影响。同时，一些网管交换机具有MAC地址学习的功能，学习完成后，再关闭这个功能，就可以把对应的MAC和端口进行绑定，避免了病毒利用ARP攻击篡改自身地址。也就是说，把ARP攻击中被截获数据的风险解除了。这种方法确实能起到一定的作用。

不过，VLAN和交换机端口绑定的问题在于：

①没有对网关的任何保护，不管如何细分VLAN，网关一旦被攻击，照样会造成全网上网的掉线和瘫痪。

②把每一台电脑都牢牢地固定在一个交换机端口上，这种管理太死板了。这根本不适合移动终端的使用，从办公室到会议室，这台电脑恐怕就无法上网了。在无线应用下，又怎么办呢?还是需要其他的办法。

③实施交换机端口绑定，必定要全部采用高级的网管交换机、三层交换机，整个交换网络的造价大大提高。

因为交换网络本身就是无条件支持ARP操作的，就是它本身的漏洞造成了ARP攻击的可能，它上面的管理手段不是针对ARP的。因此，在现有的交换网络上实施ARP防范措施，属于以子之矛攻子之盾。而且操作维护复杂，基本上是个费力不讨好的事情。

4、ARP个人防火墙

在一些杀毒软件中加入了ARP个人防火墙的功能，它是通过在终端电脑上对网关进行绑定，保证不受网络中假网关的影响，从而保护自身数据不被窃取的措施。ARP防火墙使用范围很广，有很多人以为有了防火墙，ARP攻击就不构成威胁了，其实完全不是那么回事。

ARP个人防火墙也有很大缺陷：

①它不能保证绑定的网关一定是正确的。如果一个网络中已经发生了ARP欺骗，有人在伪造网关，那么，ARP个人防火墙上来就会绑定这个错误的网关，这是具有极大风险的。即使配置中不默认而发出提示，缺乏网络知识的用户恐怕也无所适从。

②ARP是网络中的问题，ARP既能伪造网关，也能截获数据，是个“双头怪”。在个人终端上做ARP防范，而不管网关那端如何，这本身就不是一个完整的办法。ARP个人防火墙起到的作用，就是防止自己的数据不会被盗取，而整个网络的问题，如掉线、卡滞等，ARP个人防火墙是无能为力的。

因此，ARP个人防火墙并没有提供可靠的保证。最重要的是，它是跟网络稳定无关的措施，它是个人的，不是网络的。

5、安装监听软件

可以安装sniffer软件，监听网络中的arp包，由于ARP欺骗往往使用广播形式传播，即使在交换机环境下也明显能监听到某PC端正在狂发arp包，可以定位到arp病毒源主机。

6、反欺骗

通过命令设置一个错误的网关地址，反欺骗arp病毒，然后再添加一条静态路由，设置正确的网关用于正常的网络访问。

Q5: arp攻击是什么?

简单来说就是有个机子中了病毒,它伪造IP地址和你冲突,或是伪造网关,便你的计算机不能正常的接收数据,从而掉线

ARP（AddressResolutionProtocol）地址解析协议用于将计算机的网络IP地址转化为物理MAC地址。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，如果系统ARP缓存表被修改不停的通知路由器一系列错误的内网IP或者干脆伪造一个假的网关进行欺骗的话，网络就肯定会出现大面积的掉线问题。ARP攻击在现今的网络中频频出现，有效的防范ARP形式的网络攻击已成为确保网络畅通必要条件。

英文原义：Address

Resolution

Protocol

中文释义：（RFC-826）地址解析协议

局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址以保证通信的顺利进行。

注解：简单地说，ARP协议主要负责将局域网中的32为IP地址转换为对应的48位物理地址，即网卡的MAC地址，比如IP地址为192.168.0.1网卡MAC地址为00-03-0F-FD-1D-2B。整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机向该主机发送一个含有IP地址和MAC地址数据包，通过MAC地址两个主机就可以实现数据传输了。

应用：在安装了以太网网络适配器的计算机中都有专门的ARP缓存，包含一个或多个表，用于保存IP地址以及经过解析的MAC地址。在Windows中要查看或者修改ARP缓存中的信息，可以使用arp命令来完成，比如在Windows

XP的命令提示符窗口中键入“arp

-a”或“arp

-g”可以查看ARP缓存中的内容；键入“arp

-d

IPaddress”表示删除指定的IP地址项（IPaddress表示IP地址）。arp命令的其他用法可以键入“arp

/?”查看到.

黄金Ж羚羊

回答时间

2007-12-26

20:53

检举