日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

ARP網(wǎng)絡(luò)攻擊解決方案：如何查找攻擊者

云知道

ARP攻擊現(xiàn)在經(jīng)常發(fā)生，遇到這些問題怎么辦呢？請看下面筆者給出的解決方法！
前段時間經(jīng)常有用戶打電話抱怨上網(wǎng)時斷時續(xù)，有時甚至提示連接受限、根本就無法獲得IP（我們單位用的是動態(tài)IP） 。交換機(jī)無法ping通，而指示燈狀態(tài)正常 。重啟交換機(jī)后客戶機(jī)可以上網(wǎng)，但很快又濤聲依舊！嚴(yán)重影響了用戶使用，甚至給用戶造成了直接經(jīng)濟(jì)損失，（我們單位很多人都在炒股、炒基金，由于無法及時掌握行情，該出手時無法出手 。）
根據(jù)用戶描述的情形和我們多次處理的經(jīng)驗(yàn)，可以肯定是由于網(wǎng)絡(luò)中存在ARP攻擊（ARP欺騙）所致 。至于什么是ARP攻擊，我就不用再說了吧 。知道了問題所在，但如何解決呢？
雖然可以采用在交換機(jī)綁定MAC地址和端口、在客戶機(jī)綁定網(wǎng)關(guān)IP和MAC地址的“雙綁”辦法預(yù)防，但由于網(wǎng)管的工作量太大，且不能保證所有的用戶都在自己的電腦上綁定網(wǎng)關(guān)IP和MAC地址，所以我們采取以下措施來預(yù)防和查找ARP攻擊 。
我們推薦用戶在自己的電腦上安裝ColorSoft開發(fā)的ARP防火墻（原名Anti ARP Sniffer），該軟件通過在系統(tǒng)內(nèi)核層攔截虛假ARP數(shù)據(jù)包以及主動通告網(wǎng)關(guān)本機(jī)正確的MAC地址，可以保障安裝該軟件的電腦正常上網(wǎng)；攔截外部對本機(jī)的ARP攻擊和本機(jī)對外部的ARP攻擊 。
如果發(fā)現(xiàn)內(nèi)部ARP攻擊，直接處理本機(jī)就行了；如果發(fā)現(xiàn)外部ARP攻擊，則根據(jù)實(shí)際情況通過攻擊者的IP地址和/或MAC地址查找該攻擊者電腦 。
好了，讓我們一起行動吧 。
1、在同一網(wǎng)段的電腦上下載ARP防火墻、安裝、運(yùn)行 。第一天，一切正常，沒發(fā)現(xiàn)攻擊行為 。第二天，開機(jī)不到半小時就發(fā)現(xiàn)了ARP攻擊，如圖1 。

圖1 ARP防火墻發(fā)現(xiàn)外部ARP攻擊
2、為了不冤枉好人，進(jìn)一步確認(rèn)攻擊者的MAC地址 。進(jìn)入核心交換機(jī)，查看該網(wǎng)段的MAC地址表 。我們的核心交換機(jī)是華為的，鍵入命令“Display arp vlan xx”（xx為所要查找ARP攻擊網(wǎng)段的VLAN號），回車 。顯示如圖2所示結(jié)果 。
圖2 核心交換機(jī)上顯示的MAC地址表
為了方便查看，我們將該數(shù)據(jù)拷貝到Word中并按MAC地址排序 。在Word中，選中該數(shù)據(jù)，從“表格”菜單中選擇“排序”菜單項(xiàng)，彈出“排序文字”窗口，“主要關(guān)鍵字”選“域 3”即MAC地址，如圖3 。
圖3 排序MAC地址表
排序后很容易就可以看到有四個IP地址對應(yīng)于同一個MAC地址（如表1）！我們知道MAC地址是全球唯一的，這與ARP防火墻檢測到的結(jié)果相吻合，現(xiàn)在MAC地址0011-5b2d-5c03所對應(yīng)的電腦肯定有問題了 。這些IP中應(yīng)該只有xxx. xxx. xx.92是真實(shí)的，其余的都是偽造的 。由于我們的電腦一直在監(jiān)測，該攻擊者電腦剛對外攻擊，就被檢測到了，所以它偽造的IP地址還不多，我曾經(jīng)發(fā)現(xiàn)過偽造了近10個IP地址的情形，而該網(wǎng)段總共有二十多臺電腦 。
表1 偽造的IP地址
xxx. xxx. xx.178 0011-5b9d-7246 xxx. xxx. xx.188 0011-5b9d-7246 xxx. xxx. xx.197 0011-5b9d-7246 xxx. xxx. xx.92 0011-5b9d-7246 3、查找ARP攻擊者 。
如果是靜態(tài)IP，找出IP地址登記表，很容易就可找到發(fā)送ARP攻擊的電腦 。由于我們用的是動態(tài)IP，又沒有每臺電腦的MAC地址，所以雖然知道了攻擊者的IP地址和MAC地址，但是萬里長征還只邁出了第一步 。
我們的DHCP服務(wù)器是基于Microsoft Windows 2003的，打開DHCP管理器，從地址租約里查看IP地址xxx. xxx. xx.92對應(yīng)的計(jì)算機(jī)名，是隨機(jī)的，沒什么意義 。（有時候根據(jù)計(jì)算機(jī)名，可以推斷出該計(jì)算機(jī)的主人 。）
登錄到有所要查找網(wǎng)段VLAN的各接入層交換機(jī)上，逐一查看該交換機(jī)上的MAC地址表 。
我們用的是安奈特的交換機(jī)，在Web界面下按VLAN查詢MAC地址表，看是否有MAC地址為0011-5b9d-7246的記錄 。一直查到第15臺交換機(jī)，才終于找到罪魁禍?zhǔn)?，結(jié)果如圖4，可以看出該MAC地址對應(yīng)于交換機(jī)的第16口 。別的廠家的可網(wǎng)管交換機(jī)也都有查看MAC地址的功能 。

推薦閱讀