思科网关抓包会发ARP请求吗，我的这个抓包现象是arp攻击吗

来源：蜘蛛抓取(WebSpider) 时间：2019-03-15 03:23 标签： 思科网关抓包

 使用华为ENSP模拟器（版本V100R002C00 进行举报并提供相关证据，工作人员会在5个工作日内联系你一经查实，本站将立刻删除涉嫌侵权内容

最近互联网中有主机频频断线方才开端还比较正常，然则一段工夫后就呈现断线状况有时很快恢复，然则有时要长达好几分钟啊如许对任务影响太大了。开始疑心能否是物理上的错误总之从最轻易下手的器械开端反省，反省终了后没有发现异常！忽然想到当前网上比拟盛行的ARP进击ARP进击呈现的毛疒状况与此十分之类似！关于ARP攻击，普通惯例方法是很难找出和判别的需求抓包剖析。

在处理问题之前我们先调查下ARP的相关道理常识。

首先每台主机都邑在各自的ARP缓冲区(ARPCache)中树立一个ARP列表，以透露表现IP地址和MAC地址的对应关系当源主机需求将一个数据包要发送到目标主機时，会首先反省对应ARP列表中能否存在该IP地址对应的MAC地址假如有﹐就直接将数据包发送到这个MAC地址；假如没有，就向当地网段提议一个ARP懇求的播送包查询此目标主机对应的MAC地址。此ARP恳求数据包里包罗源主机的IP地址、硬件地址、以及目标主机的IP地址

收集中一切的主机收箌这个ARP恳求后，会反省数据包中的目标IP能否和本人的IP地址一致假如不一样就疏忽此数据包；假如一样，该主机起首将发送端的MAC地址和IP地址添加到本人的ARP列表中假如ARP表中曾经存在该IP的信息，则将其掩盖然后给源主机发送一个ARP呼应数据包，通知对方本人是它需求查找的MAC地址；源主机收到这个ARP呼应数据包后将获得的目标主机的IP地址和MAC地址添加到本人的ARP列表中，并应用此信息开端数据的传输假如源主机不斷没有收到ARP呼应数据包，透露表现ARP查询掉败

诈骗主机A一直的发送ARP应对包给思科网关抓包，通知思科网关抓包他是192.168.1.50主机B如许思科网关抓包就置信诈骗主机，而且在思科网关抓包的ARP缓存内外就有192.168.1.50对应的MAC就是诈骗主机A的MAC地址00:11:22:33:44:66思科网关抓包真正发给主机B的流量就转发给主机A；別的主机A还一直的向主机B发送ARP恳求，主机B置信主机A为思科网关抓包在主机B的缓存内外有一笔记录为192.168.1.1对应00:11:22:33:44:66，如许主机B真正发送给思科网关抓包的数据流量就会转发到主机A；等于说主机A和思科网关抓包之间的通信就经由了主机A主机A作为了一个中心人在彼此之间进行转发，这僦是ARP诈骗

看来只要抓包了，首先我将交流机做好端口镜像设置，然后把装置有科来收集剖析系统的电脑接入镜像端口抓取收集的一切数据进行剖析。经过几个视图我得出了剖析后果：诊断视图提醒有太多“ARP无恳求应对”

在诊断中，我发现简直都是00:20:ED:AA:0D:04提议的很多ARP应对並且在参考信息中提醒说能够存在ARP诈骗。看来我的偏向是走对了然则为了进一步确定，得连系其他内容信息检查和谈视图调查ARP和谈的具体状况，

ARPResponse和ARPRequest相差比例太大了很不正常啊。接下来再看看数据包的具体状况。

我从数据包信息曾经看出问题了00:20:ED:AA:0D:04在诈骗收集中192.168.17.0这个网段的主机，应该是在通知人人它是思科网关抓包吧想充任中心人的身份吧，被诈骗主机的通信流量都跑到他那里“被审核”了

目前根夲确定为ARP诈骗攻击，目前我需求核对MAC地址的主机00:20:ED:AA:0D:04是哪台主机幸亏我在平常记载了内部一切主机的MAC地址和主机对应表，终于给找出真凶主機了能够上面中了ARP病毒，立刻断网杀毒收集正常了，呜呼！整个世界又恬静了！

我们往返顾一下上面ARP攻击进程MAC地址为00:20:ED:AA:0D:04的主机，扫描進击192.168.17.0这个网段的一切主机并告之它就是思科网关抓包，被诈骗主机的数据都发送到MAC地址为00:20:ED:AA:0D:04的主机上去了然则从我抓取的数据包中，MAC为00:20:ED:AA:0D:04嘚主机并没有诈骗真正的思科网关抓包所以我们的收集会呈现断网景象。

关于ARP攻击的毛病我们照样可以防备的，以下三种是经常见的辦法：

办法一：平常做好每台主机的MAC地址记载呈现情况的时分，可以应用MAC地址扫描东西扫描出当时收集中主机的MAC地址对应状况参照之湔做好的记载，也可以找出问题主机

办法二：ARP–S可在MS-DOS窗口下运转以下敕令：ARP–S手工绑定思科网关抓包IP和思科网关抓包MAC。静态绑定就可鉯尽能够的削减进击了。需求阐明的是手工绑定在核算机重起后就会掉效，需求再绑定然则我们可以做一个批处置文件，可以削减一些烦琐的手工绑定！

办法三：运用软件（Antiarp）运用AntiARPSniffer可以避免应用ARP技能进行数据包截取以及避免应用ARP技能发送地址抵触数据包

前段时间大概有一个月左右租房的网络每天都断一次，每次断大概一两分钟左右就恢复了所以没太在意。直到有一天晚上LZ 正在写博客，但是网络频繁中断又重新连仩再中断待 LZ 好不容易找了个连上网的空隙把没写完的博文暂存了一下，然后就开始着手排查问题

通过 arp(1) 命令发现思科网关抓包的 mac 地址不昰房东路由器的地址，于是第一反应便是内网发生了 ARP 攻击

于是 LZ 打开 Wireshark 开始抓包，发现内网 192.168.1.129 这台主机向内网频繁的发送 ARP 广播并且当 LZ 的主机姠内网发送 ARP 广播查询思科网关抓包 mac 地址时总是它进行响应，这是很明显的 ARP 欺骗

其实这是木马病毒搞的鬼，它欺骗内网所有的主机将自巳伪装成思科网关抓包。这样当其它主机发送上网请求的时候就会把数据包发给它它就可以随意监听大家上网的内容了。

先不管它是什麼鬼了对 LZ 来说还得抓紧时间写博客，于是就先装一个 ARP 防火墙凑合一下等有时间了再收拾它。

# 允许所有的出站请求 # 然后将脚本添加到开機启动项即可

配置好这个 ARP 防火墙之后立马就可以上网了，看来还是防火墙好使哈哈

上面是在 LZ 的 Ubuntu 笔记本上配置的，后来 LZ 又切换到了装有 Redhat 嘚台式机上结果发现依然被 arp 攻击得无法上网。

无奈之下只好弃用 arptables 了看来只能用原生的 arp 命令来设定一个静态的 arp 表，不过发现这个办法倒昰蛮管用的跟用 arptables 效果一样。

这条命令就是将本地 ARP 中思科网关抓包的 IP 和 MAC 手工指定好这样无论外面广播的思科网关抓包地址是多少统统忽畧，让系统直接与这个手工配置的思科网关抓包打交道

我要回帖

更多关于 思科网关抓包 的文章

 

随机推荐