深入解析ARP欺騙攻擊防護(hù)之根本防護(hù)

針對(duì)ARP攻擊的防制，常見(jiàn)的方法，可以分為以下三種作法：

1、利用ARP echo傳送正確的ARP訊息：通過(guò)頻繁地提醒正確的ARP對(duì)照表，來(lái)達(dá)到防制的效果。

2、利用綁定方式，固定ARP對(duì)照表不受外來(lái)影響：通過(guò)固定正確的ARP對(duì)照表，來(lái)達(dá)到防制的效果。

3、舍棄ARP協(xié)議，采用其它尋址協(xié)議：不采用ARP作為傳送的機(jī)制，而另行使用其它協(xié)議例如PPPoE方式傳送。

以上三種方法中，前兩種方法較為常見(jiàn)，第三種方法由于變動(dòng)較大，適用于技術(shù)能力較佳的應(yīng)用。下面針對(duì)ARP攻擊的根本防護(hù)加以說(shuō)明。

不堅(jiān)定的ARP協(xié)議

一般計(jì)算機(jī)中的原始的ARP協(xié)議，很像一個(gè)思想不堅(jiān)定，容易被其它人影響的人，ARP欺騙/攻擊就是利用這個(gè)特性，誤導(dǎo)計(jì)算機(jī)作出錯(cuò)誤的行為。ARP攻擊的原理，互聯(lián)網(wǎng)上很容易找到，這里不再覆述。原始的ARP協(xié)議運(yùn)作，會(huì)附在局域網(wǎng)接收的廣播包或是ARP詢(xún)問(wèn)包，無(wú)條件覆蓋本機(jī)緩存中的ARP/MAC對(duì)照表。這個(gè)特性好比一個(gè)意志不堅(jiān)定的人，聽(tīng)了每一個(gè)人和他說(shuō)話都信以為真，并立刻以最新聽(tīng)到的信息作決定。

就像一個(gè)沒(méi)有計(jì)劃的快遞員，想要送信給"張三"，只在馬路上問(wèn)"張三住那兒？"，并投遞給最近和他說(shuō)"我就是！"或"張三住那間！"，來(lái)決定如何投遞一樣。在一個(gè)人人誠(chéng)實(shí)的地方，快遞員的工作還是能切實(shí)地進(jìn)行；但若是旁人看快遞物品值錢(qián)，想要欺騙取得的話，快遞員這種工作方式就會(huì)帶來(lái)混亂了。

我們?cè)倩貋?lái)看ARP攻擊和這個(gè)意志不堅(jiān)定快遞員的關(guān)系。常見(jiàn)ARP攻擊對(duì)象有兩種，一是網(wǎng)絡(luò)網(wǎng)關(guān)，也就是路由器，二是局域網(wǎng)上的計(jì)算機(jī)，也就是一般用戶(hù)。攻擊網(wǎng)絡(luò)網(wǎng)關(guān)就好比發(fā)送錯(cuò)誤的地址信息給快遞員，讓快遞員整個(gè)工作大亂，所有信件無(wú)法正常送達(dá)；而攻擊一般計(jì)算機(jī)就是直接和一般人謊稱(chēng)自己就是快遞員，讓一般用戶(hù)把需要傳送物品傳送給發(fā)動(dòng)攻擊的計(jì)算機(jī)。

由于一般的計(jì)算機(jī)及路由器的ARP協(xié)議的意志都不堅(jiān)定，因此只要有惡意計(jì)算機(jī)在局域網(wǎng)持續(xù)發(fā)出錯(cuò)誤的ARP訊息，就會(huì)讓計(jì)算機(jī)及路由器信以為真，作出錯(cuò)誤的傳送網(wǎng)絡(luò)包動(dòng)作。一般的ARP就是以這樣的方式，造成網(wǎng)絡(luò)運(yùn)作不正常，達(dá)到盜取用戶(hù)密碼或破壞網(wǎng)絡(luò)運(yùn)作的目的。

現(xiàn)階段唯一解決方案----雙向綁定

以上以思想不堅(jiān)定的快遞員情況，說(shuō)明了常見(jiàn)的ARP攻擊防制方法。ARP攻擊利用的就是ARP協(xié)議的意志不堅(jiān)，只有以培訓(xùn)的方式讓ARP協(xié)議的意志堅(jiān)定，明白正確的工作方法，才能從根本解決問(wèn)題。只是依賴(lài)頻繁的提醒快遞員正確的作事方法，但是沒(méi)有能從快遞員意志不堅(jiān)的特點(diǎn)著手，就好像只管不教，最終大家都很累，但是效果仍有限。面對(duì)這種新興攻擊，取巧用省事的方式準(zhǔn)備，最后的結(jié)果可能是費(fèi)事又不管用，必須重新來(lái)過(guò)。

ARP攻擊雙向綁定雖然對(duì)管理帶來(lái)一定的工作量，但是其效果確是從根本上解決了問(wèn)題。關(guān)于ARP的防護(hù)的內(nèi)容，還希望大家多多學(xué)習(xí)。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]