ARP欺骗攻击介绍

之前有讲过ARP攻击中如何获取目标主机的登录账号密码信息，即流量监听。然而ARP攻击不仅仅限于此。通过ARP欺骗还可以实现断网攻击和窃取目标主机正在浏览的图片信息。

PART1 使用场景

你发现家里的WIFI总是有人蹭网，但是忘记了路由器的登录密码，WIFI密码设置太复杂又怕自己记不住，导致总有人破解蹭你的网络，每个月的网费也超标了，明明自己都没怎么用。此时你希望能够断掉他们的网。

或者你的室友通宵打游戏，键盘声音很吵，影响你的睡眠，提醒了几次也没有用，此时你希望能够“优雅”地断掉他的网络。

又或者你的室友半夜偷偷看视频或浏览图片时突然笑出声，你也很好奇他在看什么，但又不想直接问他。

PART2 什么是ARP

ARP，即地址解析协议，是一个用于根据IP地址获取MAC地址的TCP/IP协议。在OSI模型中，网络工作被分为七层，IP地址位于第三层（网络层），而MAC地址位于第二层（数据链路层），它们之间没有直接的联系。

在通过以太网发送IP数据包时，需要封装第三层和第二层的包头。由于发送时只知道目标IP地址，不知道MAC地址，并且不能跨越第二层和第三层，因此需要地址解析协议来根据网络层IP数据包包头中的IP地址信息解析出目标MAC地址，以确保通信正常进行。

通信原理

当PC1要与PC2进行通信时，地址解析协议可以将PC2的IP地址解析为PC2的MAC地址。工作流程如下：

1. PC1根据自己的路由表内容确定用于访问PC2的转发IP地址是192.168.1.2。然后PC1在自己的本地ARP缓存中检查是否有PC2的匹配MAC地址。
2. 如果没有找到，PC1将向本地网络上的所有主机发送广播包，询问192.168.1.2的MAC地址。每台主机都会接收到PC1发送的ARP广播包请求并检查自己的MAC地址是否匹配，如果不匹配则丢弃ARP请求。
3. PC2确认与自己的MAC地址匹配，然后将PC1的IP地址和MAC地址添加到本地ARP缓存中，并直接将包含自己MAC地址的回复消息发送给PC1。
4. 当PC1收到PC2发送的ARP回复消息时，会将PC2的IP和MAC地址映射更新到自己的ARP缓存中，这样PC1就可以与PC2进行通信了。

什么是ARP欺骗

从ARP的通信原理可以看出，ARP请求以广播形式发送，网络上的所有主机都可以自主发送应答消息，并且其他主机在收到应答报文时并不会检测该报文的真实性就将其记录在自己的MAC地址转换表中。如果此时有一台攻击机在PC1和PC2之间，伪造ARP应答报文，声称自己是PC2，那么PC1就会中招，原本要发给PC2的数据都会发送给攻击机，从而实现对PC1的ARP欺骗。

ARP欺骗可以导致目标主机与网关通信失败，甚至会导致通信重定向，所有的数据都会经过攻击者的电脑，从而监听目标主机的所有流量数据，因此存在很大的安全隐患。

PART4 ARP断网攻击和窃取图片

请注意，未经允许不得随意攻击他人电脑，以下内容仅供学习参考。

实验环境：

• Kali Linux：192.168.19.218
• 目标Windows7：192.168.19.101

要实现攻击，需要确保这两台设备处于同一个网络环境下并且可以相互通信。

断网攻击

1. 使用Nmap扫描同一网段中存活的主机。发现目标主机192.168.19.101，Nmap还可以查看目标主机的操作系统信息，以确定我们的攻击目标，可以是手机或电脑。

2. 执行arpspoof命令，开始进行断网攻击。注意命令格式，先是目标IP，然后是网关IP。此时我们回到目标主机，在浏览器中访问网站，发现已经无法正常打开网页。直到我们停止攻击，否则目标电脑将一直无法正常上网。在Kali中按下Ctrl+Z暂停攻击，目标主机现在可以正常上网了。

监听窃取图片

如果你以为ARP欺骗只能窃取账号密码和断网，那你就想得太简单了。接下来我们来监听一下目标主机正在访问的内容。

1. 开启端口转发。开启端口转发的目的是让攻击者将截获的数据转发到真正的网关，以便让目标主机不断网，并隐藏我们的行踪，不让目标主机产生怀疑。编辑/etc/sysctl.conf配置文件，取消注释并将值改为1，即可开启端口转发功能。

2. 继续进行arpspoof攻击，此时要注意命令中网关和目标IP的位置。目标主机仍然可以正常访问网站