ARP攻击软件学习_安装防范arp攻击的软件

导航：

• 1、关于arp攻击
• 2、ARP攻击用什么软件
• 3、受到Arp攻击怎么办？
• 4、如何处理ARP的攻击技巧
• 5、arp攻击如何解决？

关于arp攻击

一、ARP概念

咱们谈ARP之前，还是先要知道ARP的概念和工作原理，理解了原理知识，才能更好去面对和分析处理问题。

1.1ARP概念知识

ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。

IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。

1.2ARP工作原理

首先，每台主机都会在自己的ARP缓冲区中建立一个 ARP列表，以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP地址对应的MAC地址，如果有，就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。

例如：

A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA

B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB

根据上面的所讲的原理，我们简单说明这个过程：A要和B通讯，A就需要知道B的以太网地址，于是A发送一个ARP请求广播（谁是192.168.10.2 ，请告诉192.168.10.1），当B收到该广播，就检查自己，结果发现和自己的一致，然后就向A发送一个ARP单播应答（192.168.10.2 在BB-BB-BB-BB-BB-BB）。

1.3ARP通讯模式

通讯模式（Pattern Analysis）：在网络分析中，通讯模式的分析是很重要的，不同的协议和不同的应用都会有不同的通讯模式。更有些时候，相同的协议在不同的企业应用中也会出现不同的通讯模式。ARP在正常情况下的通讯模式应该是：请求 - 应答 - 请求 - 应答，也就是应该一问一答。

二、常见ARP攻击类型

个人认为常见的ARP攻击为两种类型：ARP扫描和ARP欺骗。

2.1ARP扫描（ARP请求风暴）

通讯模式（可能）：

请求 - 请求 - 请求 - 请求 - 请求 - 请求 - 应答 - 请求 - 请求 - 请求...

描述：

网络中出现大量ARP请求广播包，几乎都是对网段内的所有主机进行扫描。大量的ARP请求广播可能会占用网络带宽资源；ARP扫描一般为ARP攻击的前奏。

出现原因（可能）：

病毒程序，侦听程序，扫描程序。

如果网络分析软件部署正确，可能是我们只镜像了交换机上的部分端口，所以大量ARP请求是来自与非镜像口连接的其它主机发出的。

如果部署不正确，这些ARP请求广播包是来自和交换机相连的其它主机。

2.2ARP欺骗

ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。所以在网络中，有人发送一个自己伪造的ARP应答，网络可能就会出现问题。这可能就是协议设计者当初没考虑到的！

2.2.1欺骗原理

假设一个网络环境中，网内有三台主机，分别为主机A、B、C。主机详细信息如下描述：

A的地址为：IP：192.168.10.1 MAC: AA-AA-AA-AA-AA-AA

B的地址为：IP：192.168.10.2 MAC: BB-BB-BB-BB-BB-BB

C的地址为：IP：192.168.10.3 MAC: CC-CC-CC-CC-CC-CC

正常情况下A和C之间进行通讯，但是此时B向A发送一个自己伪造的ARP应答，而这个应答中的数据为发送方IP地址是192.168.10.3（C的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（C的MAC地址本来应该是CC-CC-CC-CC-CC-CC，这里被伪造了）。当A接收到B伪造的ARP应答，就会更新本地的ARP缓存（A被欺骗了），这时B就伪装成C了。同时，B同样向C发送一个ARP应答，应答包中发送方IP地址四192.168.10.1（A的IP地址），MAC地址是BB-BB-BB-BB-BB-BB（A的MAC地址本来应该是AA-AA-AA-AA-AA-AA），当C收到B伪造的ARP应答，也会更新本地ARP缓存（C也被欺骗了），这时B就伪装成了A。这样主机A和C都被主机B欺骗，A和C之间通讯的数据都经过了B。主机B完全可以知道他们之间说的什么：）。这就是典型的ARP欺骗过程。

注意：一般情况下，ARP欺骗的某一方应该是网关。

2.2.2两种情况

ARP欺骗存在两种情况：一种是欺骗主机作为“中间人”，被欺骗主机的数据都经过它中转一次，这样欺骗主机可以窃取到被它欺骗的主机之间的通讯数据；另一种让被欺骗主机直接断网。

◆第一种：窃取数据（嗅探）

通讯模式：

应答 - 应答 - 应答 - 应答 - 应答 - 请求 - 应答 - 应答 -请求-应答...

描述：

这种情况就属于我们上面所说的典型的ARP欺骗，欺骗主机向被欺骗主机发送大量伪造的ARP应答包进行欺骗，当通讯双方被欺骗成功后，自己作为了一个“中间人“的身份。此时被欺骗的主机双方还能正常通讯，只不过在通讯过程中被欺骗者“窃听”了。

出现原因（可能）：

木马病毒

嗅探

人为欺骗

◆第二种：导致断网

通讯模式：

应答 - 应答 - 应答 - 应答 - 应答 - 应答 - 请求…

描述：

这类情况就是在ARP欺骗过程中，欺骗者只欺骗了其中一方，如B欺骗了A，但是同时B没有对C进行欺骗，这样A实质上是在和B通讯，所以A就不能和C通讯了，另外一种情况还可能就是欺骗者伪造一个不存在地址进行欺骗。

对于伪造地址进行的欺骗，在排查上比较有难度，这里最好是借用TAP设备（呵呵，这个东东好像有点贵勒），分别捕获单向数据流进行分析！

出现原因（可能）：

木马病毒

人为破坏

一些网管软件的控制功能

三、常用的防护方法

搜索网上，目前对于ARP攻击防护问题出现最多是绑定IP和MAC和使用ARP防护软件，也出现了具有ARP防护功能的路由器。呵呵，我们来了解下这三种方法。

3.1静态绑定

最常用的方法就是做IP和MAC静态绑定，在网内把主机和网关都做IP和MAC绑定。

欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以解决对内网PC的欺骗，同时在网关也要进行IP和MAC的静态绑定，这样双向绑定才比较保险。

方法：

对每台主机进行IP和MAC地址静态绑定。

通过命令，arp -s可以实现 “arp –s IP MAC地址 ”。

例如：“arp –s192.168.10.1 AA-AA-AA-AA-AA-AA”。

如果设置成功会在PC上面通过执行arp -a 可以看到相关的提示： Internet Address Physical Address Type

192.168.10.1AA-AA-AA-AA-AA-AA static(静态)

一般不绑定,在动态的情况下：

Internet AddressPhysical AddressType

192.168.10.1 AA-AA-AA-AA-AA-AA dynamic(动态)

说明：对于网络中有很多主机，500台，1000台...，如果我们这样每一台都去做静态绑定，工作量是非常大的。。。。，这种静态绑定，在电脑每次重起后，都必须重新在绑定，虽然也可以做一个批处理文件，但是还是比较麻烦的！

3.2使用ARP防护软件

目前关于ARP类的防护软件出的比较多了，大家使用比较常用的ARP工具主要是欣向ARP工具，Antiarp等。它们除了本身来检测出ARP攻击外，防护的工作原理是一定频率向网络广播正确的ARP信息。我们还是来简单说下这两个小工具。

3.2.1欣向ARP工具

俺使用了该工具，它有5个功能：

A. IP/MAC清单

选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。

IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。

之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。

B.ARP欺骗检测

这个功能会一直检测内网是否有PC冒充表格内的IP。你可以把主要的IP设到检测表格里面，例如，路由器，电影服务器，等需要内网机器访问的机器IP。

(补充)“ARP欺骗记录”表如何理解：

“Time”：发现问题时的时间；

“sender”：发送欺骗信息的IP或MAC；

“Repeat”：欺诈信息发送的次数；

“ARP info”：是指发送欺骗信息的具体内容.如下面例子：

timesenderRepeatARP info 22:22:22192.168.1.22 1433192.168.1.1 is at 00:0e:03:22:02:e8

这条信息的意思是：在22:22:22的时间,检测到由192.168.1.22发出的欺骗信息，已经发送了1433次，他发送的欺骗信息的内容是：192.168.1.1的MAC地址是00:0e:03:22:02:e8。

打开检测功能，如果出现针对表内IP的欺骗，会出现提示。可以按照提示查到内网的ARP欺骗的根源。提示一句，任何机器都可以冒充其他机器发送IP与MAC，所以即使提示出某个IP或MAC在发送欺骗信息，也未必是100％的准确。所有请不要以暴力解决某些问题。

C.主动维护

这个功能可以直接解决ARP欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内不停的广播制定的IP的正确的MAC地址。

“制定维护对象”的表格里面就是设置需要保护的IP。发包频率就是每秒发送多少个正确的包给网络内所有机器。强烈建议尽量少的广播IP，尽量少的广播频率。一般设置1次就可以，如果没有绑定IP的情况下，出现ARP欺骗，可以设置到50－100次，如果还有掉线可以设置更高，即可以实现快速解决ARP欺骗的问题。但是想真正解决ARP问题，还是请参照上面绑定方法。

D. 欣向路由器日志

收集欣向路由器的系统日志，等功能。

E.抓包

类似于网络分析软件的抓包，保存格式是.cap。

3.2.1Antiarp

这个软件界面比较简单，以下为我收集该软件的使用方法。

A.填入网关IP地址，点击〔获取网关地址〕将会显示出网关的MAC地址。点击[自动防护]即可保护当前网卡与该网关的通信不会被第三方监听。注意：如出现ARP欺骗提示，这说明攻击者发送了ARP欺骗数据包来获取网卡的数据包，如果您想追踪攻击来源请记住攻击者的MAC地址，利用MAC地址扫描器可以找出IP 对应的MAC地址.

B.IP地址冲突

如频繁的出现IP地址冲突，这说明攻击者频繁发送ARP欺骗数据包，才会出现IP冲突的警告，利用Anti ARP Sniffer可以防止此类攻击。

C.您需要知道冲突的MAC地址，Windows会记录这些错误。查看具体方法如下：

右击[我的电脑]--[管理]--点击[事件查看器]--点击[系统]--查看来源为[TcpIP]---双击事件可以看到显示地址发生冲突，并记录了该MAC地址，请复制该MAC地址并填入Anti ARP Sniffer的本地MAC地址输入框中(请注意将:转换为-)，输入完成之后点击[防护地址冲突]，为了使MAC地址生效请禁用本地网卡然后再启用网卡，在CMD命令行中输入Ipconfig /all，查看当前MAC地址是否与本地MAC地址输入框中的MAC地址相符，如果更改失败请与我联系。如果成功将不再会显示地址冲突。

注意:如果您想恢复默认MAC地址,请点击[恢复默认],为了使MAC地址生效请禁用本地网卡然后再启用网卡。

3.3具有ARP防护功能的路由器

这类路由器以前听说的很少，对于这类路由器中提到的ARP防护功能，其实它的原理就是定期的发送自己正确的ARP信息。但是路由器的这种功能对于真正意义上的攻击，是不能解决的。

ARP的最常见的特征就是掉线，一般情况下不需要处理一定时间内可以回复正常上网，因为ARP欺骗是有老化时间的，过了老化时间就会自动的回复正常。现在大多数路由器都会在很短时间内不停广播自己的正确ARP信息，使受骗的主机回复正常。但是如果出现攻击性ARP欺骗(其实就是时间很短的量很大的欺骗ARP，1秒有个几百上千的)，它是不断的发起ARP欺骗包来阻止内网机器上网，即使路由器不断广播正确的包也会被他大量的错误信息给淹没。

可能你会有疑问：我们也可以发送比欺骗者更多更快正确的ARP信息啊？如果攻击者每秒发送1000个ARP欺骗包，那我们就每秒发送1500个正确的ARP信息！

面对上面的疑问，我们仔细想想，如果网络拓扑很大，网络中接了很多网络设备和主机，大量的设备都去处理这些广播信息，那网络使用起来好不爽，再说了会影响到我们工作和学习。ARP广播会造成网络资源的浪费和占用。如果该网络出了问题，我们抓包分析，数据包中也会出现很多这类ARP广播包，对分析也会造成一定的影响。

ARP攻击用什么软件

ARP防火墙建议: ARPtiarp

下载地址

自己研究下设置，如果攻击比较强，那在这里里把防御等级改成主动防御，防御等级调高点

另外，进攻是最好的防御，安装好ARP防火墙后，再装个P2P终结者，不过局域网的这种斗争是个长期的过程，你在这里能找到方法，别人也能找到。最好是互相沟通下好，

简单点的，你会点CMD命令吧，双绑IP和路由也可以防止ARP攻击，我给你个开机自动绑定路由MACIP和你电脑的MACIP的批处理文件，你设置在开机自动启动里面，重启电脑，这样可以有效防止ARP欺骗。我就是用这个的，还不错

把一下命令复制在记事本里，然后保存，重命名文件名为，REARP.bat , 然后把这个批处理文件放在程序启动里，重启电脑，这样每次开机后都会自动删除非法MAC绑定，并重新绑定路由和你电脑的MACIP,试试吧，

@echo OFF

arp -d

if %~n0==arp exit

if %~n0==Arp exit

if %~n0==ARP exit

echo 正在获取本机信息.....

:IP

FOR /f "skip=13 tokens=15 usebackq " %%i in (`ipconfig /all`) do Set IP=%%i GOTO MAC

:MAC

echo IP:%IP%

FOR /f "skip=13 tokens=12 usebackq " %%i in (`ipconfig /all`) do Set MAC=%%i GOTO GateIP

:GateIP

echo MAC:%MAC%

arp -s %IP% %MAC%

echo 正在获取网关信息.....

FOR /f "skip=17 tokens=13 usebackq " %%i in (`ipconfig /all`) do Set GateIP=%%i GOTO GateMac

:GateMac

echo GateIP:%GateIP%

ping %GateIP% -t -n 1

FOR /f "skip=3 tokens=2 usebackq " %%i in (`arp -a %GateIP%`) do Set GateMAC=%%i GOTO Start

:Start

echo GateMAC:%GateMAC%

arp -s %GateIP% %GateMAC%

@pause

echo 操作完成!!!

运行之后，你在CMD里面， 输入 arp -a 看下路由IP和你IP后面的状态是不是static, 如果是说明绑定成功，Ok了，

受到Arp攻击怎么办？

安装金山arp防火墙。

然后下载WinArpAttacker反击。

杀毒软件可能会对这个软件报毒，跳过就可以了。

----------------------------------

WinArpAttacker3.5中文教学手册

今天我们来学习一下WinArpAttacker这个ARP攻击软件的使用方法。

WinArpAttacker的界面分为四块输出区域。

第一个区域：主机列表区，显示的信息有局域网内的机器IP、MAC、主机名、是否在线、是否在监听、是否处于被攻击状态。

另外，还有一些ARP数据包和转发数据包统计信息，如

ArpSQ：是该机器的发送ARP请求包的个数

ArpSP：是该机器的发送回应包个数

ArpRQ：是该机器的接收请求包个数

ArpRQ：是该机器的接收回应包个数

Packets:是转发的数据包个数，这个信息在进行SPOOF时才有用。

Traffic：转发的流量，是K为单位，这个信息在进行SPOOF时才有用。

第二个区域是检测事件显示区，在这里显示检测到的主机状态变化和攻击事件。能够检测的事件列表请看英文说明文档。

主要有IP冲突、扫描、SPOOF监听、本地ARP表改变、新机器上线等。当你用鼠标在上面移动时，会显示对于该事件的说明。

第三个区域显示的是本机的ARP表中的项，这对于实时监控本机ARP表变化，防止别人进行SPOOF攻击是很有好处的。

第四个区域是信息显示区，主要显示软件运行时的一些输出，如果运行有错误，则都会从这里输出。

好，软件界面就讲到这里。

下面我们来说明一下几个重要功能。

一、扫描。

当点击“Scan”工具栏的图标时，软件会自动扫描局域网上的机器。并且显示在其中。

当点击“Scan checked"时，要求在机器列表中选定一些机器才扫描，目的是扫描这些选定机器的情况。

当点击"Advanced"时，会弹出一个扫描框。这个扫描框有三个扫描方式。

第一个是扫描一个主机，获得其MAC地址。

第二个方式是扫描一个网络范围，可以是一个C类地址，也可以是一个B类地址，建议不要用B类地址扫描，因为太费时间，对网络有些影响。

可设为本地的C类地址扫描，也可设为另一个C类地址，如192.168.0.1－254。也可以扫描成功。

第三个方式是多网段扫描，如果本机存在两个以上IP地址，就会出现两个子网选项。下面有两个选项，一个是正常扫描，扫描在不在线，另一个是反监听扫描，可以把

正在监听的机器扫描出来。

好，扫描功能就这些。下面我们讲攻击。

二、攻击

攻击功能有六个：

FLOOD：不间断的IP冲突攻击

BANGATEWAY：禁止上网

IPConflict：定时的IP冲突

SniffGateway：监听选定机器与网关的通讯

SniffHosts：监听选定的几台机器之间的通讯

SniffLan：监听整个网络任意机器之间的通讯，这个功能过于危险，可能会把整个网络搞乱，建议不要乱用。

所有的攻击在你觉得可以停止后都要点击STOP停止，否则将会一直进行。

FLOOD：选定机器，在攻击中选择FLOOD攻击，FLOOD攻击默认是一千次，你可以在选项中改变这个数值。

FLOOD攻击可使对方机器弹出IP冲突对话框，导致当机，因而要小心使用。

BANGATEWAY：选定机器，选择BANGATEWAY攻击。可使对方机器不能上网。

IPConflict：会使对方机器弹出IP冲突对话框。这次用本机来演示。

SniffGateway：监听对方机器的上网流量。发动攻击后用抓包软件来抓包看内容。我们可以看到Packets、

Traffic两个统计数据正在增加。我们现在已经可以看到对方机器的上网流量。

SniffHosts和SniffLan也类似，因而不再演示。

在选项中可以对攻击时间和行为进行控制。除了FLOOD是次数外，其他的都是持续的时间，如果是0则不停止。

下面的三个选项，一个是攻击后自动恢复ARP表，其他两个是为了保证被监听机器能正常上网因而要进行数据转发。建议都保持选择。

在检测事件列表中，我们刚才进行的攻击已经在检测事件列表中被检测出来。你在这里可以看到是否有人对你

进行攻击，以便采取措施。

好，攻击功能介绍到这里。

三、选项

Adapter是选择要绑定的网卡和IP地址，以及网关IP、MAC等信息。有时一个电脑中有许多网卡，你要选择正确的以太网网卡。

一个网卡也可以有多个IP地址，你要选择你要选择的那个IP地址。网关也是一样。

如果你在Gateway Mac中看到的是全0的MAC，那么可能没有正确获得网关MAC。你可以刷新一下来重新获得。

UPDATE是针对机器列表的更新来说的，其中有两个选项，

第一个是定时扫描网络来更新机器列表。

第二个是被动监听，从过往的数据包中获取新机器的信息。定时扫描可设定扫描间隔时间。

被动监听可以选择数据包类型，因为一些数据包可以是假的，因而获得的IP和MAC对可能是错误的。

所以要仔细选择。

DETECT第一个选项是说是不是要一运行就开始检测，第二个数据包个数是指每秒达到多少个数据包时才被认为是扫描，这个是与检测事件输出有关的。

第三个是在多少的时间内我们把许多相同的事件认为是一个事件，如扫描，扫描一个C网段时要扫描254个机器，会产生254个事件，当这些事件都在一定时间内

（默认是5分钟时，只输出一个扫描事件。）

ANALYSIS：只是一个保存数据包功能，供高级用户分析。

ARP代理：当你启用代理功能之后，这些选项才会有效。在Arp Packet Send Mode中，是要选择当谁发送ARP请求包时我要回应，

在Mac address中是要选定回应什么MAC地址，可以是本机、网关或者一个任意的MAC。

当局域网内的机器要访问其他机器或网关时，它会发出ARP请求询问包，如果你启用了该功能，软件就会自动回应你设定的MAC地址，因而你如果设的是错误的MAC，则许多机器可能都上不了网。

PROTECT：这是一个保护功能，当有人对你或者局域网内的机器进行ARP监听攻击时，它可以自动阻止。

其中有两个选项，一个是本机防护，防护本机不被SPOOF，第二是远程防护，也就是防护其它机器。不过估计第二个功能实现得不会好，因而SPOOF另外两机器时，

ARP包是不大可能到达本机的。但是本机防护还是较为实用。当你对本机进行禁止上网攻击时，软件能正确地检测到四个事件：

两个禁止访问事件，说0.0.0.0发送特别ARP包禁止本机和网关192.168.253.1通讯，第三个事件说一个IP－MAC对加入到本机ARP表中，且是错误的IP－MAC对，

最后一个事件说01-01-01-01-01-01已经被修改成正确的MAC:00-11-22-33-44-54，这就是PROTECT起作用了，软件根据机器列表中的MAC地址修改了ARP中的错误MAC。

下面的软件运行信息也证实了这一点。

四、手动发送ARP包

再讲一下手动发送ARP包的功能，这是给高级用户使用的，要对ARP包的结构比较熟悉才行。如果你知道ARP攻击原理，你可以在这里手工制作出任何攻击包。

按照以下步骤制作一个IP冲突包，冲突的对象是本机。

目标MAC是本机，源MAC可以是任意的MAC，目标IP和源IP都是本机IP，做完后发送试试。

如果操作正确你会看到IP冲突报警，软件也有检测出来，这是IP冲突包。

大家可以试试多种组合来测试一下，看看检测效果。

好了，WinArpAttacker的基本功能介绍就到这里，其他功能大家可以自己去试试，BYEBYE！

如何处理ARP的攻击技巧

以下是OMG小编为大家收集整理的文章，希望对大家有所帮助。

从原理和应用谈解决ARP攻击的方法：

很多网吧和企业网络不稳，无故掉线，经济蒙受了很大的损失。根据情况可以看出这是一种存在于网络中的一种普遍问题。出现此类问题的主要原因就是遭受了ARP攻击。现在ARP不只是协议的简写，还成了掉线的代名词。由于其变种版本之多，传播速度之快，很多技术人员和企业对其束手无策。下面就来给大家从原理到应用谈一谈这方面的话题。希望能够帮大家解决此类问题，净化网络环境。

在局域网中，通过ARP协议来完成IP地址转换为第二层物理地址，实现局域网机器的通信。ARP协议对网络安全具有重要的意义。这是建立在相互信任的基础上。如果通过伪造IP地址和MAC地址实现ARP欺骗，将在网络中产生大量的ARP通信量使网络阻塞、掉线、重定向、嗅探攻击。

我们知道每个主机都用一个ARP高速缓存，存放最近IP地址到MAC硬件地址之间的映射记录。windows高速缓存中的每一条记录的生存时间一般为60秒，起始时间从被创建时开始算起。默认情况下，ARP从缓存中读取IP-MAC条目，缓存中的IP-MAC条目是根据ARP响应包动态变化的。因此，只要网络上有ARP响应包发送到本机，即会更新ARP高速缓存中的IP-MAC条目。如：X向Y发送一个自己伪造的ARP应答，而这个应答中的数据发送方IP地址是192.168.1.3(Z的IP地址)，MAC地址是DD-DD-DD-DD-DD-DD(Z的真实MAC地址却是CC-CC-CC-CC-CC-CC，这里被伪造了)。当Y接收到X伪造的ARP应答，就会更新本地的ARP缓存(Y可不知道被伪造了)。那么如果伪造成网关呢?

Switch上同样维护着一个动态的MAC缓存，它一般是这样，首先，交换机内部有一个对应的列表，交换机的端口对应MAC地址表Port n - Mac记录着每一个端口下面存在那些MAC地址，这个表开始是空的，交换机从来往数据帧中学习。因为MAC-PORT缓存表是动态更新的，那么让整个 Switch的端口表都改变，对Switch进行MAC地址欺骗的Flood，不断发送大量假MAC地址的数据包，Switch就更新MAC-PORT缓存，如果能通过这样的办法把以前正常的MAC和Port对应的关系破坏了，那么Switch就会进行泛洪发送给每一个端口，让Switch基本变成一个 HUB，向所有的端口发送数据包，要进行嗅探攻击的目的一样能够达到。也将造成Switch MAC-PORT缓存的崩溃，如下面交换机中日志所示：

Internet 192.168.1.4 0000b.cd85.a193 ARPAVlan256

Internet 192.168.1.5 0000b.cd85.a193 ARPAVlan256

Internet 192.168.1.6 0000b.cd85.a193 ARPAVlan256

Internet 192.168.1.7 0000b.cd85.a193 ARPAVlan256

Internet 192.168.1.8 0000b.cd85.a193 ARPAVlan256

Internet 192.168.1.9 0000b.cd85.a193 ARPAVlan256

ARP攻击时的主要现象

网上银行、保密数据的频繁丢失。当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。切换到病毒主机上网后，如果用户已经登陆服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录服务器，这样病毒主机就可以窃取所有机器的资料了。

网速时快时慢，极其不稳定，但单机进行光纤数据测试时一切正常。局域网内频繁性区域或整体掉线，重启计算机或网络设备后恢复正常

由于ARP欺骗的木马程序发作的时候会发出大量的数据包导致局域网通讯拥塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP欺骗的木马程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再次断线。

ARP的解决办法：

目前来看普遍的解决办法都是采用双绑,具体方法：

先找到正确的 网关 IP 网关物理地址 然后 在客户端做对网关的arp绑定。

步骤一：

查找本网段的网关地址，比如192.168.1.1，以下以此网关为例。在正常上网时，“开始→运行→cmd→确定”，输入：arp -a，点回车，查看网关对应的Physical Address。

比如：网关192.168.1.1 对应0A-0B-0C-0D-0E-0F。

步骤二：

编写一个批处理文件rarp.bat，内容如下：

@echo off

arp -d

arp -s 192.168.1.1 0A-0B-0C-0D-0E-0F

保存为：rarp.bat。

步骤三：

运行批处理文件将这个批处理文件拖到“windows→开始→程序→启动”中。

但双绑并不能彻底解决ARP问题，IP冲突以及一些ARP变种是不能应对的。

再有就是采用防ARP的硬件路由，但价格很高,并且不能保证在大量攻击出现地情况下稳定工作.那么现在就没有，有效并能够彻底的解决办法了吗?有的，那就是采用能够以底层驱动的方式工作的软件，并全网部署来防范ARP问题.

此类软件是通过系统底层核心驱动，以服务及进程并存的形式随系统启动并运行，不占用计算机系统资源。这种方式不同于双绑。因为它是对通信中的数据包进行分析与判断，只有合法的包才可以被放行。非法包就被丢弃掉了。也不用担心计算机会在重启后新建ARP缓存列表，因为是以服务与进程相结合的形式 存在于计算机中，当计算机重启后软件的防护功能也会随操作系统自动启动并工作。

目前满足这一要求的并能出色工作的软件推荐大家选用ARP卫士，此软件不仅仅解决了ARP问题，同时也拥有内网洪水防护功能与P2P限速功能。

ARP卫士在系统网络的底层安装了一个核心驱动,通过这个核心驱动过滤所有的ARP数据包,对每个ARP应答进行判断,只有符合规则的ARP包,才会被进一步处理.这样,就实现防御了计算机被欺骗. 同时,ARP卫士对每一个发送出去的ARP应答都进行检测,只有符合规则的ARP数据包才会被发送出去,这样就实现了对发送攻击的拦截...

洪水拦截：通过此项设置，可以对规则列表中出现了SYN洪水攻击、UDP洪水攻击、ICMP洪水攻击的机器进行惩罚。当局域网 内某台计算机所发送的SYN报文、UDP报文、ICMP报文超出此项设置中所规定的上限时，“ARP卫士”客户端将会按 照预设值对其进行相应惩罚。在惩罚时间内，这台计算机将不会再向网络内发送相应报文。但惩罚不会对已建立 的连接产生影响。

流量控制：通过此项设置，可以对规则列表中的所有计算机进行广域网及局域网的上传及下载流量进行限制(即所谓的网络 限速)。鼠标右键单击“排除机器列表”窗口即可对其中内容进行修改、编辑。存在于“排除机器列表”中的IP地址将不 会受到流量控制的约束。

ARP Guard(ARP卫士)的确可以从根本上彻底解 决ARP欺骗攻击所带来的所有问题。它不仅可以保护计算机不受ARP欺骗攻击的影响，而且还会对感染了ARP攻击病毒或欺骗木马的 病毒源机器进行控制，使其不能对局域网内其它计算机进行欺骗攻击。保持网络正常通讯，防止带有ARP欺骗攻击的机器对网内计 算机的监听，使浏览网页、数据传输时不受ARP欺骗者限制。

总体来看我觉得这个软件是目前市面上最好的了。同时在线客服工作也很负责。但有些时候对于网管来说还是不太方便。比如管理端换了IP。那么下面的客户端只能重新指向新的IP。再有软件不能对所有的无盘系统都支持。对LINUX操作系统也不能支持。希望这些能够尽快被软件开发商注意并及时更新。好了，说了这么多，希望能够给大家解决ARP掉线问题，提供帮助。

arp攻击如何解决？

arp -darp -s 网关地址 网关mac地址arp -s 路由器ip地址 路由器mac

把上边的命令保全为bat文件在每台电脑上运行（你的主机应该可以控制所有电脑吧）， 在非还原状态下运行上面命令可以解决问题。

另外源ip地址和源mac地址可以伪造的，所以楼主怎么查也不会查出结果，这个是arp协议的缺陷，对于arp攻击我们只能防御.

其实问题就是这么简单，为了防止arp病毒更改mac 与网关或路由器的ip对应可以在每台电脑上安装arp防火墙，这样就可以根绝问题了，希望对你有帮助。如果希望了解更多建议学习下arp协议.

--------------------------------------------------------------------

今天突然记起了杂志上的一个软件 ~ 网络执法官~ 非常强大的反arp攻击软件 可以检测到源mac!!

标签：ARP攻击软件学习