使用Cain进行DNS劫持、ARP欺骗
抓包监听网络线路
1.监听网络线路进行高效的数据包分析的一个关键决策是在哪里放置数据包嗅探器，以恰当的捕获网络数据。
数据包分析师通常把这个过程称之为监听网络线路。
简而言之，将数据包嗅探器安置在网络上恰当的物理位置的过程。
但是嗅探数据包并不像将一台笔记本电脑连入网络中那么的简单。
安置嗅探器的挑战是考虑种类繁多的用来连接网络的硬件设备。
1.1.混杂模式混杂模式实际上是一种允许网卡能够查看到所有流经网络线路数据包的驱动模式。
网络设备上的网卡驱动会识别出这个数据包对于他们来说没有任何用处，于是将数据包丢弃，而不是传递给CPU进行处理。
将目标不是这台接收主机的数据包进行丢弃可以显著的提高网络处理性能，但是这对于数据包分析师来说不是个好消息。
作为分析师，我们通常哟啊线路上传输每一个数据包，这样我们才不会担心丢失任何关键的信息。
我们可以使用网卡的混杂模式来确保能捕获所以网络流量。
现在网卡一般都支持混杂模式。
1.2.在集线器的网络中进行嗅探在使用集线器连接的网络中进行嗅探，对于任何数据包分析师来说，都是一个梦想。
流经集线器的所有网络数据包都会被发送到每一个集线器的连接的端口。
要分析一台连接到集线器上的电脑的网络通信，所需要做的就是将数据包嗅探器连接到集线器的任意一个空闲端口。
令人遗憾的是，集线器网络已经是非常罕见了，因为集线器网络传输效率很低，已经基本被淘汰了。
1.3.在交换网络中进行嗅探交换机是现在网络环境中最常见的连接设备类型，通过广播、单播与多播方式传输数据提供了高效的方法，设备还可以同时发送和接收数据。
然后这给数据包嗅探带来了一些复杂的因素。
当你将嗅探器连接到交换机上的一个端口时，你将只能看到端口所属VLAN内的广播数据包，以及由你自己电脑传输与接收的数据包。
从一个交换式网络中从一个目标设备捕获网络流量的基本方法如下4钟:端口镜像，集线器接出，使用网络分流器，ARP欺骗攻击。
1.3.1.端口镜像端口镜像是在交换式网络中捕获一个目标设备所以网络通信最简单的方法。
我来黑GOOGLE,CAIN骗你没商量
网页 ，让整 个局 域 网 中的用 户打 ￣ Ｇ ｏ ｌ 网址 “ ｔ ： ｏ ｇｅ ｈｔ ／ ｐ ／ 择 自 己用来 嗅探 的网卡 ，一般 选择 正 确显 示 ｌ地 址 的那 Ｐ
金 毒 系 清 专 ２版 正 上 ｆ 版 清 家 查杀 氓 功 的 础上 增 了 页 挂 等 Ｎｅ ｆｎ ｓ ４ 山 霸 统 理 家 本 式 线了 新 本 理专 在 流 软件 能 基 ， 加 网 防 马 ０ ｔｒ ｄ ３ ｆｅ
树 中的 “ ＡＲＰ—ＤＮＳ” 项 目 ，再 在 右 边 的 窗 口列 表 空 白处点 击一 下 鼠标左 键 ， 激 活 工 具 栏 上 的 黑 色 十 字 “ ｄ ｔ ｉｔ Ａｄ ｏ Ｌｓ”按钮 。点击 该 按 钮 ，弹 出 新 建 ＤＮＳ域 名欺 骗 对话框 （ 图９）。在 “ Ｓ Ｒｅ ｕ ｓ ｍｅ 如 ＤＮ ｑ ｅ ｔＮａ ” （请 求 ＤＮＳ域 名 ）中 填入 要 正 常访 问 的 网 站 ，这 里 为 Ｇｏ ｇｌ的 网页 “ ｏ ｅ ＷＷＷ．ｏ ｇｅＣ ” ，然后在 “Ｐ Ａ ｒ ｓ ｇ ｏ ｌ．Ｒ Ｉ ｄ ｅ ｓ
实用 功能．而且值得 一提 的是 加入 了独特 的电脑系统安全 评分系统。
维普资讯
个 （ 图５）。确 定后 关 如 闭 对 话 框 ，点 击 工 具 栏
上 的 “ ｔｒＳｏ ｉ” Ｓａｔ ｔｐ Ｓｎｆ ／ 按 钮 。 再 选 择 下 方 的 “ ｉ ｅ ”选 项 页 ，点 Ｓｎｆ ｒ ｆ
ｇ ｏ ｌ．ｔ 中入 侵与 某大 网站 处 于 同一 网段 中的主 机后 ，进 行ＡＲ “ ｏ ｇｅ ｈｍ”进 行 编辑 ，修 改成 自己黑过 的 网页 ，然 Ｐ 后 保存 网页 编辑修 改 。 域 名欺骗 ，从 而使 用攻 击的范 围扩 大到 整个 Ｉｔｒｅ 中 ， ｎｅ ｎ ｔ 运 行 “ 雨 紫 而不仅 限于局 域 网中。 ｎ 务 Ｃａｎ＆ Ａｂ ｌ ４９．是 一个 图 形界 面 的黑 客攻 击 利 轩ＡＳＰ Ｗｅｂ Ｅ ｉ ｅ ． ６ ｖ
论文局域网ARP欺骗攻击及安全防范策略
发送伪造的ARP报 文
攻击者通过发送伪造的ARP报文 ，将错误的MAC地址映射到正 确的IP地址上。
监听数据流
攻击者监听目标主机与其他主机 或网络之间的数据流，并获取敏 感信息。
实施攻击
攻击者可实施多种攻击手段，如 中间人攻击、会话劫持等。
03
局域网ARP欺骗攻击的防范措施
静态ARP防范措施
静态ARP绑定
实验环境及工具
01
网络拓扑
构建包括路由器、交换机、PC等设备的局域网环境。
02
硬件设备
高性能计算机、网络交换机、路由器等。
03
软件工具
snort、winshark、kali linux等抓包和分析工具。
实验过程及结果
实验设备连接
将路由器、交换机、PC等设备连接在一起，形成 一个完整的局域网络。
数据包捕获
提醒用户谨慎使用公共网络
用户在使用公共网络时需要谨慎，不轻易使用未知来源的WiFi，避免在网络中泄露个人信息。
加强安全审计
建立安全审计制度
建立完善的安全审计制度，对网络安全事件进行记录和分析，发现并防范潜 在的安全威胁。
定期审计网络设备和软件
定期审计网络设备和软件的安全性，发现并修复可能存在的安全漏洞。
ARP欺骗攻击是一种网络安全攻击 技术，攻击者通过发送伪造的ARP 报文，使局域网内的设备无法正确 地寻址，从而达到非法访问或篡改 数据的目的。
VS
ARP欺骗攻击主要利用了ARP协议 的安全漏洞，使得攻击者可以在网 络中伪装成合法设备，进而进行各 种恶意行为。
ARP欺骗攻击的危害
1 2
拒绝服务攻击
通过检测网络中的ARP报文，及时发现ARP欺骗攻击，并采取防范措施。
arp欺骗原理及过程
arp欺骗原理及过程ARP欺骗原理及过程ARP（Address Resolution Protocol）是一种用于将IP地址映射到MAC地址的协议。
在局域网中，每个设备都有一个唯一的MAC地址，而IP地址则由路由器分配。
当一个设备需要与另一个设备通信时，它需要知道目标设备的MAC地址才能发送数据包。
这时候就需要使用ARP协议来获取目标设备的MAC地址。
ARP欺骗是一种网络攻击方式，攻击者利用ARP协议的工作原理伪造网络中某个设备的MAC地址，使得其他设备将数据包发送到攻击者指定的目标设备上，从而实现窃取信息、中间人攻击等恶意行为。
1. ARP协议工作原理在局域网中，每个设备都有一个唯一的IP地址和MAC地址。
当一个设备需要与另一个设备通信时，它首先会查询本地缓存中是否已经记录了目标IP地址对应的MAC地址。
如果没有找到，则会发送一个ARP请求广播包到整个网络中。
ARP请求广播包包含以下信息：- 源IP地址：发出请求广播包的设备IP地址- 源MAC地址：发出请求广播包的设备MAC地址- 目标IP地址：要查询MAC地址对应的目标IP地址- 目标MAC地址：广播包中填充0当其他设备收到ARP请求广播包时，会检查其中的目标IP地址是否与自己的IP地址匹配。
如果匹配，则会向请求广播包的设备发送一个ARP响应包，其中包含自己的MAC地址。
ARP响应包包含以下信息：- 源IP地址：响应广播包的设备IP地址- 源MAC地址：响应广播包的设备MAC地址- 目标IP地址：发出请求广播包的设备IP地址- 目标MAC地址：发出请求广播包的设备MAC地址当发出请求广播包的设备收到ARP响应包时，就可以将目标IP地址对应的MAC地址记录在本地缓存中，并开始与目标设备进行通信。
2. ARP欺骗原理在局域网中，每个设备都可以发送ARP请求和ARP响应。
攻击者可以利用这一点发送伪造的ARP响应数据包，欺骗其他设备将数据发送到攻击者指定的目标设备上。
局域网ARP欺骗和攻击解决方法
局域网ARP欺骗和攻击解决方法网络安全是目前关注度很高的点之一，其中一个网络攻击就是ARP欺骗攻击，现在已经成了破坏网吧经营的罪魁祸首，那ARP欺骗攻击如何解决呢?下面就由小编和大家说一下局域网ARP欺骗和攻击的的解决方法。
步骤如下：一、设置前准备1、当使用了防止ARP欺骗功能(IP和MAC绑定功能)后，最好是不要使用动态IP，因为电脑可能获取到和IP与MAC绑定条目不同的IP，这时候可能会无法上网，通过下面的步骤来避免这一情况发生吧。
2、把路由器的DHCP功能关闭：打开路由器管理界面，“DHCP 服务器”->“DHCP服务”，把状态由默认的“启用”更改为“不启用”，保存并重启路由器。
3、给电脑手工指定IP地址、网关、DNS服务器地址，如果您不是很清楚当地的DNS地址，可以咨询您的网络服务商。
二、设置防止ARP欺骗路由器1、具备这种一功能的路由器产品很多，下面我们以某一款路由器为例，设置路由器防止ARP欺骗。
打开路由器的管理界面可以看到如下的左侧窗口：2、可以看到比之前的版本多出了“IP与MAC绑定”的功能，这个功能除了可以实现IP和MAC绑定外，还可以实现防止ARP欺骗功能。
打开“静态ARP绑定设置”窗口如下：3、注意，默认情况下ARP绑定功能是关闭，请选中启用后，点击保存来启用。
打开“ARP映射表”窗口如下：4、这是路由器动态学习到的ARP表，可以看到状态这一栏显示为“未绑定”。
如果确认这一个动态学习的表没有错误，也就是说当时不存在arp欺骗的情况下(如果网络是正常运行的，而且不同的IP对应的MAC地址不一样，一般是没有错误的) ，我们把这一个表进行绑定，并且保存为静态表，这样路由器重启后这些条目都会存在，达到一劳永逸的效果。
点击“全部绑定”，可以看到下面界面：5、可以看到状态中已经为已绑定，这时候，路由器已经具备了防止ARP欺骗的功能，上面的示范中只有三个条目，如果您的电脑多，操作过程也是类似的。
cain使用教程
CAIN使用教程五月 11, 2011CAIN是一个WINDOWS平台上的破解各种密码，嗅探各种数据信息，实现各种中间人攻击的软件。
首先下载cain软件CAIN下有两个程序，一个是CAIN主程序，一个是Abel服务程序。
Abel服务程序需要手动进行安装。
正确安装CAIN后从CAIN目录下拷贝和到C:\Windows\System32目录下，运行安装，并在服务里设置为自动启动。
运行CAIN，主界面如图所示我们先来看看CAIN的几个大类的使用，大类页面如下图一．解密器：解密器的作用主要是读取缓存中保存的各种密码。
你可以点击左边的各选项然后点击上面的你就可以在右边的窗口看到保存在缓存中的密码。
我的电脑中我都看到了我MSN 的账号和密码，曾经登陆路由的账号和密码，邮箱的密码。
举例：点击左边的无线网络口令，再点击上面的在右边的窗口你可以看到你曾经正确使用过的无线的密码都保存在这里，如下图所示。
大家可以清楚的看到SSID和后面的密码。
二．网络这个网络主要用来鉴别各域控制器，SQLserver，打印服务，远程拨入，终端服务等。
网络的左侧用来浏览网络结构和连接远程主机。
连接到主机就可列出用户名，工作者，服务，共享资源等。
如下图，我们清楚的看到SMM-DB1开启了IPC$默认共享连接和文件夹共享。
同时也可以搜索到计算机的用户组和组的用户名，虽然NT版本以后不能建立空连接了，但是还是可以通过提取SID来获得Admin的账号，因为管理员的SID总是500。
如下图所示三．嗅探器（包含局域网的嗅探和ARP欺骗）嗅探器是CAIN的重点，很多人用CAIN主要就是用这个嗅探器和ARP欺骗。
CAIN 中的嗅探器，主要嗅探局域网内的有用信息，比如各类密码等。
CAIN中的ARP的欺骗，原理是操纵两台主机的ARP缓存表，以改变它们之间的正常通信方向，这种通信注入的结果就是ARP欺骗攻击，利用ARP欺骗可以获得明文的信息。
1．程序配置首先点击菜单的配置按钮出现下图所示的配置菜单首先选择用于嗅探的以太网卡（可以是有线网卡也可以是无线网卡），本文中将选择第二个无线网卡。
ARP欺骗的原理，攻击，防御
ARP欺骗的原理，攻击，防御ARP协议简介 ARP是Address Resolution Protocol （地址解析协议）的缩写。
在以太⽹中，两台主机想要通信，就必须要知道⽬标主机的MAC （Medium/Media Access Control,介质访问控制）地址，如何获取⽬标主机的MAC地址呢？这就是地址解析协议ARP的⼯作。
地址解析协议的基本功能就是在主机发送数据之前将⽬标IP转换为MAC地址，完成⽹络地址到物理地址的映射，以保证两台主机能够正常通信。
ARP缓存表 任何⼀台主机安装了 TCP/IP协议都会有ARP缓存表，该表保存了这个⽹络（局域⽹）中各主机IP对应的MAC地址，ARP缓存表能够有效地保证数据传输的⼀对⼀特性。
在Windows 中可以使⽤arp-a命令来查看缓存表，结果如下：C:\>arp -aInterface: 192.168.1.8 0x20002Internet Address Physical Address192.168.1.1 00-27-19-66-48-84192.168.1.12 2c-d0-5a-05-8e-fl 在此时的ARP缓存表中可以看到，192.168.1.12对应的MAC地址为2c-d0-5a-05-8e-fl,并且类型为动态。
如果主机在⼀段时间内不与此IP 通信，将会删除对应的条⽬。
⽽静态ARP缓存条⽬是永久性的。
在Windows中建⽴静态类型的ARP缓存表可以使⽤arp -s命令，如： C:\>arp -s 192.168.1.23 f4-b7-e2-8f-ld-91 〃建⽴静态缓存表查看ARP缓存表可以发现，192.168.1.23类型已经变为静态，内容如下: C:\>arp -aInterface: 192.168.1.8 —— 0x20002Internet Address Physical Address Type192.168.1.1 00-27-19-66-48-84 dynamic192.168.1.23 f4-b7-e2-8f-ld-91 static如果想要清空ARP缓存表，可以使⽤arp -d命令；如果想删除单个条⽬，则可以使⽤arp -d ip命令。
arp欺骗原理
arp欺骗原理ARP欺骗原理是一种利用ARP（地址解析协议）的漏洞，对局域网内的设备进行网络攻击的方法。
ARP协议是用于将IP地址转换为物理MAC地址的协议。
一般情况下，设备在进行网络通信时会先发送一个ARP请求，询问特定IP地址的设备的MAC地址。
然后接收到该请求的设备会返回一个包含自己MAC地址的ARP响应。
这样，源设备就可以将目标设备的IP与MAC地址关联起来，从而建立通信。
ARP欺骗利用的是ARP协议没有验证对方身份的漏洞。
攻击者可以通过伪造ARP请求或响应，将自己的MAC地址伪装成目标设备的MAC地址，以欺骗其他设备。
具体来说，下面是ARP欺骗的过程：1. 攻击者向局域网内发送ARP请求，询问目标设备的MAC地址。
2. 正常情况下，目标设备会回复一个包含自己MAC地址的ARP响应给攻击者。
3. 攻击者接收到ARP响应后，将自己的MAC地址伪装成目标设备的MAC地址，并不断发送伪造的ARP响应给其他设备。
4. 其他设备在接收到伪造的ARP响应后，会更新自己的ARP缓存表，将目标设备的IP地址与攻击者的MAC地址关联起来。
5. 当其他设备要与目标设备进行通信时，会将数据发送给攻击者的MAC地址，而攻击者则可以选择拦截、篡改、窃取这些数据。
通过ARP欺骗，攻击者可以获取其他设备的通信数据，进行拦截、篡改甚至窃取敏感信息。
此外，攻击者也可以通过将自己的MAC地址伪装成路由器的地址，实施中间人攻击，劫持网络通信。
为了防止ARP欺骗，可以采取以下措施：1. 搭建虚拟局域网（VLAN）进行隔离，限制ARP欺骗的范围。
2. 使用静态ARP表，手动添加设备的MAC地址与对应IP地址的映射，避免受到伪造的ARP响应的影响。
3. 定期清除ARP缓存表，更新设备的MAC地址。
4. 在网络中使用密钥认证机制，如802.1X，限制未授权设备的接入。
5. 使用加密的通信协议，确保数据在传输过程中的安全性。
以上是ARP欺骗的原理和防范措施的简要介绍，这种攻击方法在实际中仍然存在，并需要网络管理员和用户采取一系列的措施来保护网络安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
经过前面的准备，终于到了要进行DNS欺骗了，如果没有这一步，前面的所作的都是白搭，拿出工具“cain2.8工具”，运行“cain”如图6
图6
点击“嗅探”，再点击上面的那个网卡图标“开始嗅探”，再点击那个黑色的十字，在弹出的对话框中目标网络里，选择“子网中的所有计算机”也你可以选自定义范围，大家可以根据自身的情况来选。
确定。
软件会自动扫描出网里的所有电脑。
如图7。
好了，再点击下面的那个“ARP”，再点击上面的那个黑色十字，在弹出的“新建ARP 欺骗”的对话框，左边选你要欺骗的IP地址：192.168.0.100，右边选被欺骗IP的目标网关192.168.0.1，最后确定。
如图8
字串3 图8
再点击“DNS欺骗”，然后依然点击那个黑色的十字，如图9，弹出一个DNS欺骗的对话框。
图9
在请求DNS域名栏中填入192.168.0.100正常要访问的网站，如，然后在“用来改写响应包的IP地址”栏中填入IP：192.168.0.92，意思是说，当主机192.168.0.100访问时要跳到我们所给出的IP地址192.168.0.92，再确定。
最后点击“开始/停止ARP欺骗”，DNS欺骗工作正式开始了。