网络ARP协议与病毒防范技术 中文版 PDF清晰版

网络ARP协议与病毒防范技术
1 ARP协议的利用和相关原理介绍
ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会
对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，在上面的假设网络
中，B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192．168．10．3(C的IP
地址)，MAC地址是DD—DD…DD DDDD—DD(C的MAC地址本来应该是CC…CC CC CC—CC—CC，这里
被伪造了)。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存，将本地的IP—MAC对应表更换
为接收到的数据格式，由于这一切都是A的系统内核自动完成的，A可不知道被伪造了。
ARP欺骗的主要用途就是在交换网络中的进行嗅探。如果网络中存在相同IP地址的主机的时候。就
会报告出IP地址冲突的警告。比如某主机B规定IP地址为192．168．0．1，如果它处于开机状态，那么其它
机器A更改IP地址为192．168．0．1就会造成IP地址冲突。其原理就是：主机A在连接网络(或更改IP地
址)的时候就会向网络发送ARP包广播自己的IP地址。如果网络中存在相同IP地址的主机B，那么B就
会通过ARP来reply该地址，当A接收到这个reply后，A就会跳出IP地址冲突的警告，当然B也会有警
告。因此用ARP欺骗可以来伪造这个ARPreply，从而使目标一直遭受IP地址冲突警告的困扰。
如果在一个局域网内通过网关上网，那么连接外部的计算机上的ARP缓存中就存在网关IP-MAC对应
记录。如果该记录被更改，那么该计算机向外发送的数据包总是发送到了错误的网关硬件地址上，这样，
该计算机就不能够上网了。这主要是通过ARP欺骗进行的，有两种办法达到这样的目的。
1)向目标发送伪造的ARP应答数据包，其中发送方的IP地址为网关的地址，而MAC地址则为—个
伪造的地址。当目标接收到该ARP包，那么就更新自身的ARP缓存。如果该欺骗一直持续下去，那么目
标的网关缓存一直是—个被伪造的错误记录。当然，如果有些了解的人查看ARP—a，就知道问题所在了。
2)欺骗网关。向网关发送伪造的ARP应答数据包，其中发送方的IP地址为目标的IP地址。而MAC
地址则为—个伪造的地址。这样，网关上的目标ARP记录就是—个错误的，网关发送给目标的数据报都是
使用了错误的MAC地址。这种情况下，目标能够发送数据到网关，却不能接收到网关的任何数据。同时，
目标自己查看ARP-a却看不出任何问题来。