使用Wireshark檢測ARP欺騙

最新 12-27

本文描述了一種稱為ARP欺騙的攻擊，並解釋了如何使用Wireshark捕獲它。

想像一下，一個老電影里的反派和他的下屬正在通過電話交談，英雄攔截了這個電話來聆聽他們的談話的完美中間人（MITM）的場景。現在將此擴展到網路，攻擊者攔截兩台計算機之間的通信。

以下是關於攻擊者可以對攔截流量做出什麼的兩種可能性：

1.被動攻擊（也被稱為竊聽或只監聽流量）：這些可以顯示明文（未加密）登錄ID和密碼等敏感信息。

2.主動攻擊：這些修改流量，可以用於重播，欺騙等各種類型的攻擊。

可以針對密碼系統，網路等發起MITM攻擊。在本文中，我們將討論限制為使用ARP欺騙的MITM攻擊。

ARP欺騙

納粹德國宣傳部長約瑟夫·戈培爾（Joseph Goebbels）名言：「如果你說出一個足夠大的謊言並不斷重複，人們終將會相信它。只有在國家能夠保護人民免受謊言的政治、經濟和/或軍事後果的情況下，謊言才能得以維持。因此變得至關重要的國家使用它的所有權力來壓制異議，真理是謊言的死敵，因此通過擴展,事實是國家的最大的敵人。

因此，讓我們從ARP協議的角度來解釋臭名昭著的納粹政權的領導人的這句話：如果反覆告訴設備一個特定的MAC地址屬於哪個設備，設備最終會相信你，即使情況不是這樣。而且，只要你不斷地告訴設備，設備就會記住這個MAC地址。因此，不保護ARP緩存對網路安全是危險的。

注意：從網路安全專業人士的角度來看，絕對有必要不斷監測ARP流量，並將其限制在一個門檻以下。許多管理型交換機和路由器可以配置為監視和控制低於閾值的ARP流量。

一個MITM攻擊是很容易理解的使用語境。攻擊者試圖監聽任意兩台設備之間的通信，比如受害者的計算機系統和路由器，將通過發送主動提供的ARP請求（這意味著發送出去的ARP應答數據包未收到ARP請求），將發起ARP欺騙攻擊回復具有以下源地址的數據包：

向受害者的計算機系統：路由器IP地址和攻擊者的PC MAC地址;

向路由器：受害者的計算機IP地址和攻擊者的PC的MAC地址。

在連續收到這樣的報文後，由於ARP協議的特性，路由器和受害者的PC的ARP緩存將中毒如下：

路由器（Router）：攻擊者的PC的MAC地址，以受害者的IP地址進行註冊;

受害者的PC：攻擊者PC的MAC地址，與路由器的IP地址相對應。

Ettercap工具

ARP欺騙是最常見的MITM攻擊類型，可以使用Linux下的Ettercap工具啟動（http://ettercap.github.io/ettercap/downloads.html）。一些網站聲稱擁有Windows可執行文件。雖然我從來沒有測試過這些。你可以在任何Linux發行版上安裝這個工具，或者使用發行版，比如捆綁了它的Kali Linux。

該工具具有命令行選項，但其GUI更容易，可以使用以下命令啟動：