首先,学习一下理论
(大家不要着急,慢慢来,不过不要睡着了)
IP/MAC捆绑原理及ARP
链路层用mac,网络层用ip:
网络中传输的是IP地址--三层32位地址,终端需要的是MAC地址--两层48位地,
ARP(RARP)都属于3层协议
网络通信中，两个节点想要通信，必须先知道源与目标的MAC地址。为了让系
统能快速地找到远程节点的MAC，每一个本地的内核都保存有一个即时的查询表
(ARP缓存)。
ARP中有映射远程主机的IP--->对应的MAC地址的一个列表。地址解析协议
(ARP)缓存是一个TSR的数据结构，由本地的内核来管理的。Default ARP缓
存中留有last 10 mins本地系统与之通信的节点的IP地址(和对应的MAC地址)。
当一个远程MAC存在于本地ARP 缓存中，转换远程节点的IP地址为MAC地址
no problem。然而，系统在知道一个远程IP，但MAC不在本地ARP缓存中时，是这
样来获取远程MAC的：本地主机发送一个Broadcast package，询问各节点是否有对
应的IP。回应是唯一的。在回应包中就包含此MAC。在收到返回包后，本地节点就
会在本地ARP缓存中记录远程MAC。
如果将IP/MAC对应关系中那些合法IP地址建立静态的MAC/IP绑定，那么即使
非法用户盗用IP地址,linux路由器在回应这些IP发出的连接请求时则不会通过arp协
议询问其MAC,而是使用Linux建立的静态MAC, 发出应答数据,这样.......
两种方法
1.
建立/etc/ether，指定正确的IP/MAC对应关系：
168.192.12.6 XX:AS:YOUR:MAC:WISH:XX
在/etc/rc.d/rc.local中加：
arp -f
2.
# arp -i eth0 -s 168.192.12.6 XX:AS:YOUR:MAC:WISH:XX
_____________________________________________________
理智告诉我们:缺憾同优点孪生
IP/MAC捆绑缺陷
这种方法本意是用来管理内网的IP,但无心插柳........不过,
缺陷随之表现:即router对发出的包不检查,即使网卡MAC 是未登记的,也可以向外发数据包,而且
可以用伪造的IP,(有的路由器检查源IP范围), 这时候伪造的IP也必须属于子网内的IP.
还有的server是这样做的:把没有登记的IP对应的MAC一致设为XXXXXXXXXX,这种方法很危险,只要
把网卡的MAC改成XXXXXXXXXX, 就能以任何没有登记的IP出去.......
采用IP/MAC来防止IP盗用不是根本办法:因为不仅所有的网卡MAC都可以修改,而且网卡发
出包的源MAC地址并不是网卡本身write的,而由驱动或APP提供的:他们先从网卡上得到了MAC地址,
每次发送包的时候用此MAC地址,所以等于没有!配置程序修改MAC仅仅靠修改其driver就可以
(Win下利用NDIS就可以).
注:但基于Link的TCP来说,伪造IP就不是"太"容易,需要TCP连接序号的预测的知识--大有学问呀.
如有兴趣,到安全网站上去看看,尤其是国外的
_____________________________________________________
软件修改MAC的原理
MAC写在ROM中,在网卡组帧时需要将MAC写入帧中,其并不是直接从ROM中写入帧的,
而是从网卡的ARegs中读出,然后由硬件写入帧中,ARegs的内容是Driver在网卡
初始化时从ROM中读入的.
So,我们可以截取NC Driver中相关代码,进而修改MAC.
在linux下简单实现
#/sbin/ifconfig eth0 down
#/sbin/ifconfig eth0 hw ether 00:AS:YOU:WISH:00
#/sbin/ifconfig eht0 up
_____________________________________________________
关于Switch/MAC/Port
一般的局域网采用HUB连接,如果换用Switch, 某些Switch可以锁定端口和MAC, 某个端口
只允许指定MAC接入,再加上IP/MAC绑定(还要将Switch加锁), 情况会好许多. 这时
如有人盗用IP除了要改IP,改MAC,还要将机器搬过来换网线(只要在雇两个保安就可以解决)
这是Linux的ifconfig后一般没有信息(除了log).关键在于合法IP的MAC地址是在router处定好的,
router不会发ARP查询MAC, 因此至少从router外来的包,ARP不会乱:IP的MAC合法,
而非法盗用的IP相当于进入promisc模式, 从合法IP机包中取出属于自己的IP包(port不对的丢弃).
ping, traceroute等ICMP双方(合法非法IP机)可以用, UDP也可以. 但TCP不行(telnet, ftp等),
即合法IP机TCP可用, 盗用者不可用(要是TCP也可以了, 那盗用IP就非常简单了, 根本不用改MAC,
ifconfig/route就可以了)
CU精华文章
路由器的网络地址转换、管理登陆限制、MAC与IP的绑定(作者jc1027)
http://chinaunix.net/jh/30/13886.html
_____________________________________________________
几个注意点
1.
攻击方法是把攻击者自己的服务器绑定成攻击目标的IP,这样后者无法正常工作:报警说某一个MAC
地址的IP与其冲突,如何利用这个MAC地址查找到当前的绑定IP?
如果是在同一个网段里的可以发arp请求包,然后再解析arp回复包,即取得mac地址,
至于不在一个网段内的就不能直接取mac了.
2.DHCp&MAC&IP
配置DHCP让一个具体的MAC绑定到一个固定的IP上完全可以，在isc的dhcpd中有一个host字段，
可以定义这个功能，在dhcpd.conf文件中有详细的例子.
自动分配固定内部IP给相应的MAC网卡,对不上MAC的不能上网,但可以强行写上IP,网关,DNS一样
可以上网.修改一下就能实现控制用户上网(不要让人知道你的网关)
内网ip最好不要像192.168.0.0/24一样,否则非上网权限用Winxp的用户无需写任何设置一样可以上
-----------------------------------------------------------------
dhcpd.conf
option domain-name "your";
option routers 192.168.1.254;
option domain-name-servers 192.168.1.254;61.144.56.101;
ddns-update-style none;
default-lease-time 88600;
max-lease-time 887200;
subnet 192.168.1.0 netmask 255.255.255.0 {
# range 192.168.1.0 192.168.1.0;
}
host usr1 { #user1
hardware ethernet 00:90:99:BD:85:F7;
fixed-address 192.168.1.21;
}
host usr2 { #user2
hardware ethernet 00:A0:C9:75:A7:45;
fixed-address 192.168.1.22;
}
host usr3 { #user3
hardware ethernet 000:09:59:02B;
fixed-address 192.168.1.23;
}
当MAC是以上的主机user1.2.3请求分配IP地址时,DHCP会固定的分配相应的IP
--------------------------------------------------------------------
关于用编程获得MAC.IP
CU精华区里有几篇文章很好
1.本地机
http://chinaunix.net/forum/viewtopic.php?t...6&highlight=MAC
(作者:gadfly)
shell下大致方法:
ifconfig -a
set - -
Ip=$..............
MAC=$..........
2.子网其他机器
http://chinaunix.net/forum/viewtopic.php?p...ight=mac#870221
(解答者:gadfly)
---------------------------------------------------------------------
现在防地址盗用的最好方法:
MAC/IP+ VLAN/PVC
VLAN +PPPoE
Port + MAC/IP
-----------------------------------------------------------------------
(有待完善) 看得晕乎，但有收获 其实，即使没有TCP/IP技术，MAC仍然是必需的。 交换机是工作在MAC层的.路由器工作在TCP/IP层.但还是依赖于MAC地址,经过路由的MAC地址都被替换成下个网段的MAC地址.
页:
[1]