关于IP冲突和ARP攻击的问题

zhanghui

近来有很多人问IP冲突和ARP攻击的问题，我来在这里向大家阐述一下：

首先要明白什么是ARP
    如果你在命令提示下输入 arp -a，输出看起来应该是像这样：
Interface: 192.168.1.2 --- 0x10003
  Internet Address      Physical Address      Type
  192.168.1.1           00-90-cc-a4-74-3f     dynamic
这里第一列显示的是ip地址，第二列显示的是和ip地址对应的网络接口卡的硬件地址（MAC），第三列是该ip和mac的对应关系类型。

    可见，arp是一种将ip转化成以ip对应的网卡的物理地址的一种协议，或者说ARP协议是一种将ip地址转化成MAC地址的一种协议。它靠维持在内存中保存的一张表来使ip得以在网络上被目标机器应答。

    为什么要将ip转化成mac呢？简单的说，这是因为在tcp网络环境下，一个ip包走到哪里，要怎么走是靠路由表定义。但是，当ip包到达该网络后，哪台机器响应这个ip包却是靠该ip包中所包含的mac地址来识别。也就是说，只有机器的mac地址和该ip包中的mac地址相同的机器才会应答这个ip包。因为在网络中，每一台主机都会有发送ip包的时候。所以，在每台主机的内存中，都有一个 arp--> mac 的转换表。通常是动态的转换表（注意在路由中，该arp表可以被设置成静态）。也就是说，该对应表会被主机在需要的时候刷新。这是由于以太网在子网层上的传输是靠48位的mac地址而决定的。

    通常主机在发送一个ip包之前，它要到该转换表中寻找和ip包对应的mac地址。如果没有找到，该主机就发送一个ARP广播包，看起来象这样子；"我是主机xxx.xxx.xxx.xxx , mac是xxxxxxxxxxx ,ip为xxx.xxx.xxx.xx1的主机请告之你的mac来" ip为xxx.xxx.xxx.xx1的主机响应这个广播，应答ARP广播为："我是xxx.xxx.xxx.xx1,我的mac为xxxxxxxxxx2",于是，主机刷新自己的ARP缓存，然后发出该ip包。

     IP冲突和ARP攻就是合法的IP地址被其他非法的MAC取代，到这里大家应该明白了，单纯在网关或服务器上做MAC绑定并不能解决问题。下面是解决问题的正确办法:
   
    1、在客户机上绑定网关和服务器的IP和MAC地址。这样不管谁和网关冲突，我的机器就认这个mac是我的网关。
arp -s 192.168.1.1 aa-bb-cc-dd-ee-ff

    2、换智能交换机，做IP和MAC地址绑定。

7up13

禁好的贴！做乜无人顶！！我顶！

ed_wqan

几百台客户机很累
而且，系统重装后又怎么办？

zhanghui

原帖由 ed_wqan 于 2005-9-15 22:13 发表
几百台客户机很累
而且，系统重装后又怎么办？

加到启动中。
总比上不了网在解决好的多

temp2003

还是防不住 网络执法官攻击客户机啊..

zhanghui

原帖由 temp2003 于 2005-9-29 17:07 发表
还是防不住 网络执法官攻击客户机啊..

没用过网络执法官，说说原理。
还有就是管理人员是干什么的？

DreamCat

楼主忘记了一点。ARP表也是自动释放的，UNIX类大致是 15 分钟自动更新一次静态表，除非你做软件定时更新。。。。。
1、在客户机上绑定网关和服务器的IP和MAC地址。这样不管谁和网关冲突，我的机器就认这个mac是我的网关。
这个只能解决自己的。如果某个主机发送向路由器发送错误的ARP表，一样会出错。

张浩峰

用　网管型的交换机　解决的应该可以吧？没条件试验

ttsee

好东东，COPY！

不开窍

要XP及以上的系统才支持ARP -S绑定吧?

听说WIN2000不支持ARP -S绑定IP和MAC地址.

[ 本帖最后由 不开窍 于 2005-10-27 16:48 编辑 ]

qingtian

好贴,多谢晒了!

wgl21

顶下先！！

毛仁友

网上有教你做脚本，在gpedit.msc里面的系统-登陆添加脚本就OK啦。

malkin

原帖由 毛仁友 于 2005-11-11 19:10 发表
网上有教你做脚本，在gpedit.msc里面的系统-登陆添加脚本就OK啦。

是什么脚本来着？？？

jkclm

arp -s 没用的  arp 攻击时 刷新你的arp 表的