表1 ARP緩存表
|
主機(jī) |
IP地址 |
MAC地址 |
主機(jī) |
|
網(wǎng)關(guān) |
192.168.16.254 |
xx-xx-xx-xx-xx-xx |
網(wǎng)關(guān) |
|
A |
192.168.16.1 |
aa-aa-aa-aa-aa-aa |
A |
我們以主機(jī)A（192.168.16.1）上網(wǎng)為例。當(dāng)發(fā)送數(shù)據(jù)時(shí)，主機(jī)A會(huì)在自己的ARP緩存表中尋找是否有網(wǎng)關(guān)的IP地址。如果找到了，也就知道了目標(biāo)MAC地址，直接把目標(biāo)MAC地址寫入幀里面發(fā)送就可以了；如果在ARP緩存表中沒(méi)有找到相對(duì)應(yīng)的IP地址，主機(jī)A就會(huì)在網(wǎng)絡(luò)上發(fā)送一個(gè)廣播，目標(biāo)MAC地址是“FF.FF.FF.FF.FF.FF”，這表示向同一網(wǎng)段內(nèi)的所有主機(jī)發(fā)出這樣的詢問(wèn)：“192.168.16.254的MAC地址是什么？”網(wǎng)絡(luò)上其他主機(jī)并不響應(yīng)ARP詢問(wèn)，只有網(wǎng)關(guān)接收到這個(gè)幀時(shí)，才向主機(jī)A做出這樣的回應(yīng)：“192.168.16.254的MAC地址是xx-xx-xx-xx-xx-xx”。這樣，主機(jī)A就知道了網(wǎng)關(guān)的MAC地址，它就可以向網(wǎng)關(guān)發(fā)送信息了。同時(shí)它還更新了自己的ARP緩存表，下次再向網(wǎng)關(guān)發(fā)送信息時(shí)，直接從ARP緩存表里查找就可以了。ARP緩存表采用老化機(jī)制，在一段時(shí)間內(nèi)如果表中的某一行沒(méi)有使用，就會(huì)刪除，這樣可以大大減少ARP緩存表的長(zhǎng)度，加快查詢速度。
當(dāng)局域網(wǎng)內(nèi)某臺(tái)主機(jī)運(yùn)行ARP欺騙的木馬程序時(shí)，會(huì)欺騙局域網(wǎng)內(nèi)所有主機(jī)和路由器，讓所有上網(wǎng)的流量必須經(jīng)過(guò)病毒主機(jī)。其他用戶原來(lái)直接通過(guò)路由器上網(wǎng)現(xiàn)在轉(zhuǎn)由通過(guò)病毒主機(jī)上網(wǎng)，切換的時(shí)候用戶會(huì)斷一次線。當(dāng)ARP欺騙的木馬程序停止運(yùn)行時(shí)，用戶會(huì)恢復(fù)從路由器上網(wǎng)，切換過(guò)程中用戶會(huì)再斷一次線。
于是我們?cè)诰W(wǎng)關(guān)交換機(jī)的“系統(tǒng)歷史記錄”中看到大量如下類似的信息：
%1/15/2006 18:32:30-SYSM-5-IP COLLISION:Rcv src IP 10.4.1.26 arped
00-00-93-64-48-d2 By 00-00-b4-52-43-10 resided in port 16 |
這個(gè)消息代表了用戶的MAC地址發(fā)生了變化，在ARP欺騙木馬開始運(yùn)行的時(shí)候，局域網(wǎng)主機(jī)的MAC地址更新為病毒主機(jī)的MAC地址。
雙向綁定防止ARP欺騙
我們可以采用雙向綁定的方法來(lái)解決并且防止ARP欺騙。
（1）在PC上綁定路由器的IP和MAC地址。
（2）在路由器上綁定用戶主機(jī)的IP和MAC地址。
對(duì)于網(wǎng)絡(luò)運(yùn)營(yíng)商來(lái)說(shuō)，在不方便進(jìn)行雙向綁定時(shí)，只有通過(guò)管理員經(jīng)常查閱路由器日志，盡早發(fā)現(xiàn)相關(guān)提示信息，斷開問(wèn)題用戶連接的辦法來(lái)保障其他用戶正常上網(wǎng)。本新聞共
2頁(yè),當(dāng)前在第
2頁(yè)
1 2 
