ARP原理和伪造攻击介绍
ARP协议：
ARP（英文全写：Address Resolution Protocol），翻译成中文的意思是“地址解析协议”。
在局域网中，网络以“帧”的形式传输数据，一个主机要和另一个主机进行直接通信，就必须要知道目标主机的MAC地址。显然，在双方通信之初，发送方是无法知道目标主机的MAC地址的。那么，目标主机的MAC地址，它就是通过“地址解析协议”获得的。
所谓的“地址解析”就是主机在发送“帧”之前，将目标主机的“IP地址”转换成目标主机的“MAC地址”的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
所以说从某种意义上讲ARP协议是工作在更低于IP协议的协议层。这也是为什么ARP欺骗更能够让人在神不知鬼不觉的情况下出现网络故障，危害会很隐蔽。
ARP欺骗原理：
ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。
当局域网中一台机器，反复向其他机器，特别是向网关，发送这样无效假冒的ARP应答信息包时，严重的网络堵塞就会开始。由于网关MAC地址错误，所以从网络中计算机发来的数据无法正常发到网关，自然无法正常上网。这就造成了无法访问外网的问题，由于很多时候网关还控制着我们的局域网LAN上网，所以这时我们的LAN访问也就出现问题了。
再通俗点的说，只要两台or多台主机在同一局域网，并且能ping通的情况下，使用arp -a 就能获取到你的mac地址，进而去通过arp欺骗进行伪造攻击
ARP欺骗—伪造网关
攻击者B伪造ARP报文（senderIP地址是网关的，senderMAC地址不是网关的），发送给网段内的主机A，那么主机A就会把网关的ip地址和伪造的mac地址缓存到arp缓存表内，导致主机A无法把要发给网关的消息送达网关，致使主机A无法正常访问外网
ARP欺骗网关
攻击者B伪造ARP报文（senderIP地址是主机A的，senderMAC地址不是主机A的），发送给网关，网关就把主机A的ip地址和伪造的mac地址缓存到网关arp缓存表内，导致网关无法给主机A发送消息，致使主机A无法正常访问外网
ARP欺骗其他主机
攻击者B伪造ARP报文（senderIP地址是主机C的，senderMAC地址不是主机C的），发送给主机A，主机A就把主机C的ip地址和伪造的mac地址缓存到主机A的arp缓存表内，导致主机A无法给主机C发送消息
ARP泛洪攻击
攻击者伪造大量不同ARP报文在同网段内进行广播，导致网关ARP表项被占满，合法用户的ARP表项无法正常学习，导致合法用户无法正常访问外网（也可以泛洪攻击其他主机）
ARP伪造攻击测试
注：此处我采用的是虚拟局域网，以win10为攻方，win7以及linux为被动方，自行测试时保证在同一局域网，能ping通，可获取到mac即可
测试环境：
1.同一局域网=同一网段
2.win10 ×1，win7×1，linux(centos7) ×1
3.科来网络分析系统(https://www.colasoft.com.cn/download/download-csnas.php)
测试流程：
1.获取mac地址：
通过ping对方主机ip，或者域名，若能通则可以获取mac地址，在cmd界面，用arp -a 获取该网段的ip以及mac。如果是所有主机，则mac就写全f
1.打开科来，选中网卡，点击数据包，先过滤，找到回复包，在找网关地址的那条数据包
2.右键–发送数据包到数据包生成器
3.看清图中要修改的部分，以及修改的目的
4.填写发送信息，选择网卡，然后设置发送频率
点开始让他！！！
跑起来！！！
测试结果我就以ping包为例了，具体实操请自行在浏览器查看。
可以看到上图的ping包丢包率是58%，中途我关掉，又重新ping了两次，才恢复正常。
测试结束！！
如何进行防御
1.ARP 高速缓存超时设置
在ARP高速缓存中的表项一般都要设置超时值，缩短这个这个超时值能够有用的避免ARP表的溢出。
2.静态ARP缓存表
每台主机都有一个暂时寄存IP-MAC的对应表ARP攻击就经过更改这个缓存来到达诈骗的意图，运用静态的ARP来绑定正确的MAC是一个有用的办法，在命令行下运用arp -a能够检查当时的ARP缓存表。
3.自动查询
在某个正常的时间，做一个IP和MAC对应的数据库，以后定时检查当时的IP和MAC对应联系是否正常，定时检查交流机的流量列表，检查丢包率。
4.下载防御arp攻击的小插件
1.360当中是有这么一个功能的，如果有这种arp欺骗他会第一时间拦截，并提示告警，还是挺智能化的，有兴趣的小伙伴可以去下载测试。文章来源：https://www.toymoban.com/news/detail-416366.html
2.同时360一旦发现有arp欺骗攻击的操作，也是有追踪ip的功能，只要把源地址和mac改了，就是追踪不到的，这就是为什么上述在数据包中要最好就修改的原因文章来源地址https://www.toymoban.com/news/detail-416366.html
到了这里，关于ARP伪造使用抓包工具进行ARP欺骗arp伪造攻击的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
