linux arp攻击(arp攻击是什么)
大家好，如果您还对linux arp攻击不太了解，没有关系，今天就由本站为大家分享linux arp攻击的知识，包括arp攻击是什么的问题都会给大家分析到，还望可以解决大家的问题，下面我们就开始吧！
让Linux系统有效防御ARP攻击的实用技巧
Windows下的用户可以使用antiArp防火墙，基本上能解决问题，可是喜欢linux的兄弟姐妹们怎么办呢，我今天就遇到这个档子烦心事
解决linux下ARP攻击的方法
我用的是fedora core 6，我先把几个镜像文件挂上，用关键字arp一搜，就搜到了arptables，和arpwatcher首先是arpwatcher了，它好像只能监控本机ip/arp地址的改变之类的，好像不能防止arp攻击。再一看arptables，立马想到了iptables，装上一看，果然，命令行都一模一样。可是问题来了，保持本机不受arp攻击很简单(用静态arp绑定就可以了)，但是人家网关也还是要受到攻击，俺们又不是网络管理员，网关我只能“远观而不能亵玩“!
此路不通，俺们改道，arping这个东西映入我的眼帘，回到shell，发现已经安装拉：
“arping- send ARP REQUEST to a neighbour host“arping [-AbDfhqUV] [-c count] [-w deadline] [-s source]-I interface destination-U Unsolicited ARP mode to update neighbours’ ARP caches. No replies are expected.
关键命令：
arping-U-I发送包的网卡接口-s源ip目的ip
实例：
假设你的eth0接口对应的ip为192.168.1.1,网关为192.168.1.255你就可以使用
arping-U-I eth0-s 192.168.1.1 192.168.1.255
方法二
管理员用户登录,打开终端输入
1、#arp-a>/etc/ethers
将ip和mac地址导入ethers
2、#vi/etc/ethers
编辑文件格式，ethers文件内容必须格式如下多余的全部删除，改成形式ip mac
192.168.1.X XX:XX:XX:XX:XX
192.168.1.X XX:XX:XX:XX:XX
...
//注意mac大写，而且没有O只有零，ip和mac空格
3、#vi/etc/rc.d/rc.local//打开并显示/etc/rc.d/rc.local文件，启动项文件
#i//编辑
//启动的时候执行arp-f按照/etc/ethers中的内容绑定
在/etc/rc.d/rc/local文件中最后加一行
arp-f
ESC退出编辑
:wq//保存编辑
4、#arp-f//执行保存的绑定
(ethers里不包括网关mac否则会报错)
这只能防住一些arp攻击，如果将网内所有ip mac导入ethers文件，能有效的防止arp攻击
1、nmap-sP 192.168.11.0/24
扫描，结果我的arp表里就有那个网段所有机器的mac，将所有信息复制至/etc/ethers文件
2、3、4同上
linux防火墙如何防御ARP攻击
windows下放arp攻击可以用金山ARP防火墙，把网关ip和MAC填上，然后选项里把安全模式的钩勾上就基本没什么问题。Linux没找到这么现成的东西，baidu google上找了一些方法，都自己试过一遍，不是非常管用。
进行arp攻击要做两件事情：
1、欺骗目标机器，攻击机器A告诉目标机器B：我是网关！
2、欺骗网关，攻击机器A告诉网关：我是B！
也就是A进行双向欺骗。
这样做以后目标机器B发给网关的数据包都让攻击机器A给没收了，没有发给网关，所以B就上不了网了。要让B能上网，A需要将从B收到的包转发给网关。(有时候开P2P终结这之类的软件的时候发现别人上不了网了，有时候是因为自己有一个NB的防火墙，有时侯是其他原因，从被控制的机器上发过来的包没有能转发给网关，所以。。。)
我在网上找了一些关于Linux怎么防arp攻击的文章，基本上有这么几种做法。
1、绑定IP-MAC。通过arp-s或者 arp-f。我就咬定哪个是网关了，你们谁说的话我都不信！
但是有个缺点，必须双向绑定IP-MAC，如果你无法控制路由器，不能在网关那里设置静态IP，这个方法就无效了。
2、既然控制不了网关，我只能告诉网关哪个才是真正的我了。向网关发送自己的IP和MAC。也就是告诉网关：我才是XXX。
（1）用arping，或者arpspoof(arpsniffer)。
命令：arping-U-I网卡接口-s源IP目标IP
由于命令里面没有指定网关的MAC，所以形同虚设，效果不好。
（2）用arpoison或者ARPSender，可以指定MAC，效果算是比较好，但有时候还是不行。
命令：arpoison-i网卡接口-d网关IP-s我的IP-t网关MAC-r我的MAC
参考了这篇文章：
我用Wireshark看了一下，发现虽然我指定了目标的MAC，但是我的机器依然会间歇性地往攻击机器发送我的IP和MAC，然后攻击机器利用我的MAC进行双向欺骗。
所以我想，有没有什么办法不让除了网关之外的其他人知道我的MAC呢？后来就找到了一下这篇文章。
文章地址：
文章内容：(因为原文地址访问非常慢所以在这里贴出来)
Linux/FreeBSD防止ARP欺骗的一种被动方法(隐藏MAC)
作者: Knight日期: 2008-11-17 14:15
文章作者：Helvin
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）
首先对国内某些IDC不负责任的行为表示抗议
一般欺骗机器通过ARP Request获得网关的MAC，然后同样方法获得你服务器的MAC进行双向欺骗，然后sniffer密码，挂马之类。
国内几乎所有的IDC都是几百服务器公用一个网关的。然后上百个服务器总有几个有漏洞的，然后你就被ARP欺骗挂马或者抓密码了
下面介绍的是Linux利用arptables来防止ARP Request获得你的MAC。这样攻击者会认为你的服务器是不存在的（本来很复杂的，需要patch编译内核什么的，上周才发现还有一个 arptables，免编译内核，现在把方法写一下）
Debian/Ubuntu：（runas sudo）CentOS/RHAS叫arptables_jf
引用:
apt-get install arptables
arptables-A INPUT--src-mac!网关MAC-j DROP
arptables-A INPUT-s!网关IP-j DROP
如果你有本网的内网机器要互联，可以引用:
arptables-I INPUT--src-mac你的其他服务器MAC ACCEPT
如果你的MAC已经被欺骗机器拿到，那只能ifconfig ethx hw ether MAC来修改了
有一定的危险性，请酌情测试，你也可以疯狂刷新网关+本机ARP绑定，看具体需要
还要注意这个时候不要发出ARP Request到除网关以外的其他IP，其后果可能是被其他机器拿到MAC
补充一个FreeBSD下的隐藏MAC的方法
首先sysctl net.link.ether.ipfw=1开启IPFW ether层过滤功能（网桥模式要使用sysctl net.link.ether.bridge_ipfw=1）
然后
ipfw add 00005 allow ip from any to any MAC网关MAC any/*打开你到网关的通信*/
ipfw add 00006 allow ip from any to any MAC any网关MAC/*打开网关到你的通信*/
/*........中间你可以添加本网段内需要互联的IP地址MAC双向通信........*/
ipfw add 00010 deny ip from any to any MAC any any/*关闭所有其他MAC的任何响应*/
如果服务器作为内网网关使用，可以在内网网卡界面
ifconfig em1-arp/*关闭ARP响应(假设em0是内网网卡)*/
arp-f/etc/arp.list/*设置静态ARP表*/
以下是ARP(8)关于arp.list格式的描述，
Cause the file filename to be read and multiple entries to be set
in the ARP tables. Entries in the file should be of the form
hostname ether_addr [temp] [pub]
with argument meanings as given above. Leading whitespace and
empty lines are ignored. A `#' character will mark the rest of
the line as a comment.
我觉得可以把绑定IP-MAC+ arposion+ MAC隐藏的方法综合起来
转自
LINUX下ARP欺骗攻击说明与防范
一、关于ARP欺骗的说明
近期来，很多网吧遭遇一类病毒，导致网吧频繁断线，具体的原因，是因为某些外挂和应用程序携带了一种能进行ARP欺骗的病毒。ARP欺骗其实并不是新鲜的事情，很多老的网吧工具工具，譬如网络执法官等，就是使用ARP攻击来导致网吧整体或者部分机器掉线的。
ARP是工作在IP层与数据链路层之间的一个桥梁，起的作用是查询给定的IP地址所对应的网卡物理地址(MAC地址)。虽然我们在平时和网络上的机器通信的时候，我们一般是给定了对方的IP地址，看起来，我们是通过IP地址和对方进行通信的，好像只要知道对方的IP地址，我们就可以和对方通信了。实际上并不是这样，IP是一个高层的协议，实际上，计算机之间的连接建立还是要依赖于低层的电信号或者光信号，还是需要在媒介这个层次进行连接和通信。而用来标示数据链路的地址就是MAC地址。MAC地址是网卡在出厂的时候就烧制在网卡的芯片上的，理论上来讲，这一地址是全球唯一的。当然，也可以通过程序来更改这一地址。
当我们需要跟某一IP地址进行通信的时候，本机的操作系统会根据所设置的IP地址和子网掩码来判断目标地址和自己是否处于同IP网络中，如果在同一IP网络，则操作系统会通过目标地址的IP地址来查询对端的MAC地址，然后和对端在数据链路层建立连接；如果目标地址和自身不在同一IP网络，则本机会查询网关的MAC地址，和网关在数据链路层建立连接。而完成通过IP地址解析MAC地址的内核模块，就是ARP(Address Resolution Protocol)。
而目前引起网吧频繁掉线的病毒，其原理就是对正常的ARP解吸工作进行了干扰和欺骗。一方面，它欺骗网关，将网关上的MAC地址与IP地址对应关系搞混乱，这样，网关就无法和工作站建立正确的数据链路层的连接，依赖与数据链路层的TCP/UDP连接就更无法正常进行了。另一方面，它欺骗客户端，将客户端上网关的MAC地址篡改，这样就会导致工作站无法正确的在数据链路层上和网关建立联系，也就失去了和外网的连接。
由于ARP协议在工作的时候，并不进行验证和确认，Windows类操作系统，只要接受到ARP REPLY的信息，马上就会更新自己的ARP缓存表。而数据链路层的协议，本身就缺乏安全机制，因此，ARP欺骗是很难防御的，尤其是在网吧环境中，缺乏比较好的网络设备的情况下。胜天网络紧急开发出的防ARP欺骗程序只是一个应急版本，可以有效的防御针对网关和客户端的ARP欺骗，不仅可以应对目前的病毒ARP攻击，也可以有效的防御认为的使用工具进行的ARP攻击。
二、胜天网络ARP欺骗防护程序客户端程序BMacclient.exe的使用方法
1、在网吧其中一台工作站上，下载BMacclient.exe程序，双击运行；
2、BMacclient.exe运行后，会直接隐藏到系统托盘，请在托盘图标上点右键-设置；
此时会弹出设置窗口，在备注一栏里填上说明，譬如网关，此选项未必填项；
在IP地址栏里填上网关IP，一般我们只需要绑定网关就可以了；
填好网关IP后，点解析MAC地址。程序会自动解析出网关的MAC地址；
填好后，直接点添加，然后保存，退出。
3、将BMacclient.exe文件，放到电影服务器上一个可以被下面所有客户机正常访问的目录，然后在网娱平 台的系统维护模块中增加一个开机更新项，设置每台工作站将BMacclient.exe工具复制到本地。
4、在系统维护模块中，同时增加一个开机启动项，设置每台工作站启动BMacclient.exe程序。
5、进入网娱平台的系统维护模块，进行一次参数上传操作，这样可以把刚才所设置的参数更新到每台工作 站上。其他的工作站上的BMacclient.exe程序就不需重复设置。
6、其他工作站，只需要重新启动一次，就可以自动下载BMacclient.exe程序，并自动按照你所设置的参数 来运行防护程序了。三、胜天网络ARP欺骗防护程序网关(服务器)端程序BmacForGetway.exe的使用方法
由于病毒不仅仅攻击客户端，同时也攻击网关，因此，仅仅对客户端进行防护是不够的。网关上也必须针对ARP欺骗进行防护。网吧的网关如果是使用Windows类操作系统，则可以运行BmacForGetway.exe程序，如果是Linux类操作系统，则可以使用linux自身的MAC地址静态绑定的功能，并可以通过BmacForGetway.exe程序方便的收集全网络的MAC地址信息。 Windows类网关上BmacForGetway.exe程序的使用方法
1、在网关上下载BmacForGetway.exe程序。双击运行；
2、BmacForGetway.exe运行后，会直接隐藏到系统托盘，请在托盘图标上点右键-设置；
此时会弹出设置窗口，窗口从整体上分为左右两个部分，左边是绑定设置窗口，右边是MAC地址扫描工具窗口。我们首先，要进行全网 的MAC地址扫描。请先输入你的IP地址的范围，譬如你使用192.168.1.0/255.255.255.0这一地址段，则在第一个窗口里填192.168.1， 然后设置从1到254。点开始，很快就会扫描出全网的MAC地址。如果有多个网段，请重复这个步骤，目前只能一次扫描一个C类网段地 址。
3、在扫描出全网MAC地址后，点中间的“-”按钮，将会把扫描出的MAC全部添加到左边的绑定栏目中。在绑定到IP栏目中，填上内部网 卡的IP地址，然后点保存，再点开始就可以了。 Linux类网关上静态绑定的使用方法
1、首先利用BmacForGetway.exe程序，扫描出全网的MAC地址；具体操作请参考Windows类网关上BmacForGetway.exe使用方法的第1、2两个 步骤。
2、将扫描出的MAC地址与IP地址对应数据点“-”导出到左边绑定窗口，然后点“另存为Linux格式”。则会生成一个ethers的文件。
3、将ethers文件，通过sftp或者其他方式拷贝到linux网关的/etc/目录下。
4、输入命令arp-f,系统将会找到/etc/ethers文件，并对IP地址和MAC地址的对应关系静态绑定。
5、如果希望网关每次重新启动都绑定一次，则请在/etc/rc.local文件或者/etc/rc.d/rc.local文件中增加一行， arp-f即可。
