您当前的位置: 首页 > 娱乐

ARP工作原理如下

2018-10-31 13:35:01

站被挂马现象越来越严重,今天下午14:00,专家解决站挂马难题请站长们提前加群听课,先加先占位,请大家保持状态。谢谢合作。群号: 什么是ARP

地址解析协议(Address Resolution Protocol,ARP)是在仅知道主机的IP地址时确定其物理地址的一种协议。因IPv4和以太的广泛应用,其主要用作将IP地址翻译为以太的MAC地址,但其也能在ATM和FDDIIP络中使用。从IP地址到物理地址的映射有两种方式:表格方式和非表格方式。ARP具体说来就是将络层(IP层,也就是相当于OSI的第三层)地址解析为数据连接层(MAC层,也就是相当于OSI的第二层)的MAC地址。

假设: 计算机A的IP为192.168.1.1,MAC地址为; 计算机B的IP为192.168.1.2,MAC地址为;

ARP工作原理如下:

在TCP/IP协议中,A给B发送IP包,在包头中需要填写B的IP为目标地址,但这个IP包在以太上传输的时候,还需要进行一次以太包的封装,在这个以太包中,目标地址就是B的MAC地址.

计算机A是如何得知B的MAC地址的呢?解决问题的关键就在于ARP协议。

在A不知道B的MAC地址的情况下,A就广播一个ARP请求包,请求包中填有B的IP(192.168.1.2),以太中的所有计算机都会接收这个请求,而正常的情况下只有B会给出ARP应答包,包中就填充上了B的MAC地址,并回复给A。

A得到ARP应答后,将B的MAC地址放入本机缓存,便于下次使用。

本机MAC缓存是有生存期的,生存期结束后,将再次重复上面的过程。

ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候,就会对本地的ARP缓存进行更新,将应答中的IP和MAC地址存储在ARP缓存中。因此,当局域中的某台机器B向A发送一个自己伪造的ARP应答,而如果这个应答是B冒充C伪造来的,即IP地址为C的IP,而MAC地址是伪造的,则当A接收到B伪造的ARP应答后,就会更新本地的ARP缓存,这样在A看来C的IP地址没有变,而它的MAC地址已经不是原来那个了。由于局域的络流通不是根据IP地址进行,而是按照MAC地址进行传输。所以,那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址,这样就会造成络不通,导致A不能Ping通C!这就是一个简单的ARP欺骗。

应用

在络执法官中,要想限制某台机器上,只要点击卡菜单中的权限,选择指定的卡号或在用户列表中点击该卡所在行,从右键菜单中选择权限,在弹出的对话框中即可限制该用户的权限。对于未登记卡,可以这样限定其上线:只要设定好所有已知用户(登记)后,将卡的默认权限改为禁止上线即可阻止所有未知的卡上线。使用这两个功能就可限制用户上。其原理是通过ARP欺骗发给被攻击的电脑一个假的关IP地址对应的MAC,使其找不到关真正的MAC地址,这样就可以禁止其上。

防御 ARP欺骗可以导致目标计算机与关通信失败

更可怕的是会导致通信重定向,所有的数据都会通过攻击者的机器,因此存在极大的安全隐患。

基与PC到PC的IP-MAC双向绑定可以解决ARP欺骗

但是对于不支持IP-MAC双向绑定的设备

就需要用可以绑定端口-MAC的交换来预防ARP欺骗

另外,Windows 2KSP4 XPSP1 的Arp-S绑定是无效的

需要升级到 2KSP5 或 XPSP2

页挂马原理

不管是访问服务器上的任何页,就连404的页面也会在html后加入:

IFRAME SRC= width =1 height=1 frameborder=0/IFRAME;,挂马的位置在html标记左右,上面这段恶意代码,它会每隔几秒加入代码,也就是说在输出具体的东西之前就被挂了,有时有有时又没有,不是页源代码问题,也没有在页源代码中加入恶意代码,即使重装服务器,格式化重分区过个硬盘,放上去站没多久一样再会出现这种情况.

首先就排除了站被入侵的可能,因为首页能加在那个位置只能是 title的地方,用js控制也不大可能.然后去看了i的设置也没有任何的异常,而且这个插入的代码有的时候出现有的时候不出现,说明不是站的问题了.打开同服务器的其他站也有这个情况发生,而且状况一一样.检查并且搜索挂马的关键字之后确定不是站程序的问题.

那么剩下的要么是IIS自己出了问题,要么是络的问题,因为数据是处理没有问题(这个由程序输出,而且即使是html都会出问题),经过一个一个排查,基本可以确定就是arp欺骗欺骗数据报走向,然后中间人修改一些定义的关键字.因为是络层次有问题(所以重做系统是没有用的).

目的:通过arp欺骗来直接挂马

优点:可以直接通过arp欺骗来挂马.

通常的arp欺骗的攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码但这样存在局限性:1.管理员经常不登陆,那么要很久才能监听到密码2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码.

优点:1.可以不用获得目标主机的权限就可以直接在上面挂马2.非常隐蔽,不改动任何目标主机的页面或者是配置,在络传输的过程中间直接插入挂马的语句.3.可以化的利用arp欺骗,从而只要获取一台同一vlan下主机的控制权,就可以化战果.

原理:arp中间人攻击,实际上相当于做了一次代理。

正常时候: A----B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机arp中间人攻击时候: A----C----B B----C----A

实际上,C在这里做了一次代理的作用

那么HTTP请求发过来的时候,C判断下是那个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如 iframe...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了.

防御专题

简单的办法就一命令OK,实现与关绑定,比如关是 192.168.0.1 比如关MAC ,好了我们直接用记事本保存代码为 arp -s 192.168.0.1 然后保存,改拓展名为bat 加入到服务器启动项,目前ARP攻击猖獗,ARP的目前为一的完美解决方案就是实现 本机与关的双向绑定。所谓ARP防火墙,只是起到暂时保护的作用,以上方法可以有效的防止服务器被人ARP挂马

SQL漏洞专题

简单一点:

对于int型的参数,如文章的id等,可以先判断是不是整数。

id =trim(request(id)) if id then if Not isNumeric(id) then ite请提供数字型参数 d end if id = clng(id) else ite请输入参数id d end if

这样的话,明小子系列就无法注入了。

也可以控制 '号输入就行了,再控制一些 SQL 关键字的这样更安全

比如

id=trim(request(id))

if instr(id,')0 or instr(id,insert)0 then ite 对不起,请不要注入本站 d end if

提醒大家,SQL只要打完必补丁,重要的是,千万别设置什么SA/123456 SA/123 SA/SA之类的弱口令,现在的小黑太多了,动不动就是全段扫描1433弱口令,在次提醒大家,千万别设置弱口令。基本服务器就安全(小黑是进不来的,高手嘛,说不准了,反正高手也不会动你的东西)

服务器安全之后门篇

我们今天主要讲解2003服务器

常见的问题,服务器一般都开3389 4899等,在次提醒大家,弱口令问题,现在什么小黑都有,千万别设置什么123 123456之类,修改3389 4899端口 建议停止微软的防火墙,直接在上,开放需要的端口。系统补丁,我想不用说,肯定要打的。也可采用国外的一款软件 黑冰(号称世界排第三,本人以前用过,感觉也就那样,不过确实不错)

本地安全策略设置密码强度,然后删出系统默认管理员,修改管理组,别留什么adminisrators 呵呵,不允许建立帐户,嘿嘿,绝吧。服务器杀毒软件必备!推荐使用麦咖啡。上次进了一批服务器,发现全是用麦咖啡(连联众的计费服务器,baidu的有一个服务器也是),设置OK基本百毒不侵(服务器好的建议使用,呵呵就可以防止什么鸽子啊,黑洞啊,红娘啊之类的东西装上了)。在次说明请大家检查自己的服务器登陆3389界面,别输入密码,先按5次SHIFT,看看,如果弹出c盘,或cmd 或则一个密码窗口,呵呵恭喜你,你的服务器被人玩了,小弟可帮大家解决,这个后门被誉为windows强悍后门。不需要密码验证,直接得到shell。为了广大站长朋友,此文章无任何技术难度。

上邪 于2007年10月22日

自卸车随车吊
标志制服
大棚管
推荐阅读
图文聚焦