局域网内ARP攻击 - 网络安全 - 51CTO技术论坛

社区导航: 专家门诊网络技术操作系统数据库程序设计系统应用考试认证 CIO及信息化站长交流综合交流下载基地 51CTO产品服务

【设为首页 | 收藏本站】

51CTO技术论坛» 网络安全 » 局域网内ARP攻击 [ 打印] [ 订阅] [ 收藏] [ 推荐给朋友] [ 本帖文本页]

论坛跳转:

feirang

新新人类

帖子 66
精华 0
无忧币 15
积分 75
阅读权限 20

注册日期 2006-10-9

最后登录 2008-5-22

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-15 23:25　　标题：局域网内ARP攻击
＜上一帖 | 下一帖＞

公司总部有300多台电脑可以上内外网,装有mcafee8.5(最近刚上线的,以前用的是norton的),但从本周二下午开始有部分同事反映机器只能上内网OA,不能上外网,当时初步判断可能是网络管理员在防火墙做了策略,将此IP进行了封杀,但在更换其它备用IP后,故障依旧,怀疑有可能是病毒感染,此时将此情况报告给网络管理员,请其协助处理,且将这几台机器断网杀毒.
另因本人机器装有360的ARP防火墙,老是提示有ARP病毒攻击,根据ARP防火墙获得的MAC地址,用nbtscan进行查找,没有发现内网有此MAC地址,网络管理员在核心交换机上进行全网扫描也没有发现此mac地址.可以肯定此MAC地址是伪造的.
周三早上差不多一半的电脑不能上外网,暂时做一个代理服务器,让不能上网的机器先上网,现向各位高手请教,怎样才能找到发起ARP攻击的真正mac地址?谢谢各位了!

用户必读，51CTO积分系统调整通知

2007-11-15 23:25

1楼

[ 顶部 ]

小王

主版主

帖子 2959
精华 9
无忧币 16123
积分 10255
阅读权限 150

注册日期 2005-11-5

最后登录 2008-7-23

离线

[查看资料] [发短消息] [Blog]

[个人主页]

发表于:2007-11-16 08:27　

找到一个anti arp的工具，在网内找台计算机装上，过一会就可以找到arp源头了

【勿在QQ和网游上浪费生命】

2007-11-16 08:27

2楼

[ 顶部 ]

yangfanlengdie 性别:男

初级工程师

帖子 3361
精华 2
无忧币 6194
积分 3302
阅读权限 50
来自 (保密)

注册日期 2007-1-19

最后登录 2008-7-23

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-16 08:45　

论坛有人上传过单机版的，我正在使用。建议楼主直接去搜索AntiARP4.2beta1破解版，前两天还看人再传。

然后，用他检测你的攻击源的IP，而不是mac，

C到底该不该学，看看这个就明白

2007-11-16 08:45

3楼

[ 顶部 ]

MgYxJ

主版主

帖子 1195
精华 1
无忧币 3950
积分 4633
阅读权限 150

注册日期 2007-4-4

最后登录 2008-7-24

在线

[查看资料] [发短消息] [Blog]

发表于:2007-11-16 08:54　

在客户机上运行arp -a查看网关地址有没有被欺骗

最简单的方法就是绑定本地及网关IP跟MAC地址试一下

2007-11-16 08:54

4楼

[ 顶部 ]

ldzyzj01

技术员

帖子 354
精华 0
无忧币 66
积分 374
阅读权限 30
来自 (保密)

注册日期 2007-6-13

最后登录 2008-7-13

离线

[查看资料] [发短消息] [Blog]

[个人主页]

发表于:2007-11-16 09:01　

ding qi.....

网络工程师到底该不该去考CCIE认证？

2007-11-16 09:01

5楼

[ 顶部 ]

wjadm

助理工程师

帖子 1058
精华 4
无忧币 2385
积分 1509
阅读权限 40
来自 (保密)

注册日期 2007-7-11

最后登录 2008-7-2

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-16 09:38　

http://bbs.51cto.com/viewthread.php?tid=423147&highlight=
看看有没有帮助

改变一生的五句话

2007-11-16 09:38

6楼

[ 顶部 ]

小侠唐在飞

助理工程师

帖子 1537
精华 2
无忧币 2336
积分 1809
阅读权限 40
来自 (保密)

注册日期 2006-6-15

最后登录 2008-5-20

离线

[查看资料] [发短消息] [Blog]

[个人主页]

发表于:2007-11-16 10:40　

安全卫士360最新版就有一个ARP保护工具,能保护还能查到源

【欢迎访问小侠唐在飞技术博客http://xiaoxia.blog.51cto.com】

2007-11-16 10:40

7楼

[ 顶部 ]

feirang

新新人类

帖子 66
精华 0
无忧币 15
积分 75
阅读权限 20

注册日期 2006-10-9

最后登录 2008-5-22

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-16 10:58　

谢谢各位了,anti arp sinffer我一直在使用,它提示攻击IP是我的网关IP

用户必读，51CTO积分系统调整通知

2007-11-16 10:58

8楼

[ 顶部 ]

feirang

新新人类

帖子 66
精华 0
无忧币 15
积分 75
阅读权限 20

注册日期 2006-10-9

最后登录 2008-5-22

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-16 11:04　

我的网关IP是192.168.106.1,真正MAC地址是"00-1A-2F-85-17-BF",但arp sinffer提示攻击我的IP也是192.168.106.1,MAC地址"00-00-0C-07-AC-18",我都不知道怎样去查?

用户必读，51CTO积分系统调整通知

2007-11-16 11:04

9楼

[ 顶部 ]

CayenneX5

新新人类

帖子 22
精华 0
无忧币 17
积分 22
阅读权限 20

注册日期 2007-7-5

最后登录 2008-7-8

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-16 12:38　

感觉对付 ARP 攻击完全变成了体力活

网络工程师到底该不该去考CCIE认证？

2007-11-16 12:38

10楼

[ 顶部 ]

kangke

新新人类

帖子 16
精华 0
无忧币 45
积分 11
阅读权限 20
来自 (保密)

注册日期 2007-1-18

最后登录 2008-7-7

离线

[查看资料] [发短消息] [Blog]

[个人主页]

发表于:2007-11-16 13:48　

antiarp ，等一段时间大约5-10分钟不等就可以找到真正的攻击源ip及mac

网络工程师到底该不该去考CCIE认证？

2007-11-16 13:48

11楼

[ 顶部 ]

langke521
新新人类

帖子 14
精华 0
无忧币 -28
积分 14
阅读权限 20

注册日期 2007-11-20

最后登录 2008-2-13

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-20 12:17　

软件只能起到辅助作用，真正有效的还是土方法，绑定每天机器的IP和网关，设置为开机启动

网络工程师到底该不该去考CCIE认证？

2007-11-20 12:17

12楼

[ 顶部 ]

mikang
技术员

帖子 275
精华 0
无忧币 201
积分 351
阅读权限 30

注册日期 2006-12-6

最后登录 2008-3-10

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-21 12:58　　标题：希望对楼主有用`````

希望对楼主有用`````

附件(查看下载说明): [ARP木马病毒专杀工具] ARP木马病毒专杀工具.rar (2007-11-21 12:58,大小:571.25 K)
该附件被下载 5 次您下载该主题帖内所有附件同时将被扣掉2点无忧币　查看分数政策说明

附件(查看下载说明): [360AntiArp防火墙] 360AntiArp防火墙.rar (2007-11-21 12:58,大小:116.25 K)
该附件被下载 3 次您下载该主题帖内所有附件同时将被扣掉2点无忧币　查看分数政策说明

2007-11-21 12:58

13楼

[ 顶部 ]

luoyuehansong 性别:男

技术员

帖子 155
精华 0
无忧币 2277
积分 323
阅读权限 30

注册日期 2007-11-21

最后登录 2008-7-13

离线

[查看资料] [发短消息] [Blog]

发表于:2007-11-21 15:36　　标题：回复 #1 feirang 的帖子

响网络连接通畅的方式来看，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。
第一种ARP欺骗的原理是&mdash mdash;截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是&mdash mdash;伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了
而你的情况当然属于后者，建议你用下面的软件，找出伪照你的网关的机器，处理之

Anti Arp iffer 的用法
下载地址：http://www.wipe.edu.cn/Files/wlzx/Antiarp.rar
双击Antiarp文件，
输入网关地址（网关地址获取方式：[开始] [程序] [附件]菜单下调出“命令提示符”，输入ipconfig，其中Default Gateway即为网关地址）；点击获取网关MAC地址，点击自动防护保证当前网卡与网关的通信不被第三方监听。
点击恢复默认，然后点击防止地址冲突，如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数据包。

右击[我的电脑][管理]点击[事件查看器]点击[系统]查看来源为[TcpIP]-双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入Anti ARP iffer的本地MAC地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig /all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符，如果成功将不再会显示地址冲突。
注：1、如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡；本软件不支持多网卡，部分网卡可能更改MAC会无效。

网络工程师到底该不该去考CCIE认证？

2007-11-21 15:36

14楼

[ 顶部 ]

qhsltarui

新新人类