20CN网络安全小组第一代论坛
发表新主题  发表回复

个人资料 | 社区目录 用户登录 | | 论坛搜索 | 常见问题 | 论坛主页
  下一个最老的主题   下一个最新的主题
» 20CN网络安全小组第一代论坛   » 安 全 基 地   » 菜鸟乐园   » 关于ARP欺骗

   
作者 标题: 关于ARP欺骗
§溶
未注册


图标 1  发表于         编辑/删除帖子   引用原文回复  
本人最近看了ARP解析原理,但不知道怎样通过修改MAC地址来达到欺骗目的,希望谁能给俺一个大概指点
IP: 已记录
相思已久
未注册


图标 10  发表于         编辑/删除帖子   引用原文回复  
你一定是看了哪个什么黑客防线上的“ARP欺骗”吧~上面写的东西早就过时了!还是看看别的吧!我看书上分析的也不怎么样!
IP: 已记录
§溶
未注册


图标 1  发表于         编辑/删除帖子   引用原文回复  
我不是追求什么新的技术,只是我不懂,所以看书上说通过修改本地MAC地址,来欺骗ARP地址表,就是不知道是怎么来实现修改MAC地址的,A RP回应包是返回给真实MAC地址,还是我们自己伪装的MAC地址的网卡.不懂的技术永远都是新的嘛
IP: 已记录
第007元素
未注册


图标 1  发表于         编辑/删除帖子   引用原文回复  
ARP (Address Resolution Protocol)

地址解析协议

ARP是将IP地址与网络物理地址一一对应的协议。例如,在IP 4中,地址长度是32位。在以太网中,设备的地址是48位(物理机器地址也称为介质访问控制地址)。一张称为ARP的表,用来支持在MAC地址和I P地址之间的一一对应关系。它提供两者的相互转换。

它如何工作的:

当传送过来的包要传向一个LAN的主机时,当它到达网关时,网关要求ARP程序找到物理主机或与IP地址相对应的MAC地址。ARP程序在缓存中寻找,如果找到地址,就提供此地址,以便让此包转换成相应的长度和格式,以传送到此主机。如果未找到,A RP程序就在网上广播一个特殊格式的消息,看哪个机器知道与这个IP地址相关的MAC地址。如果一台机器发现那是自己的IP地址,它就发送回应,这样就指出了相应的地址。A RP程序就更新自己的缓存然后发送此包到回应的MAC地址。

因为不同协议的相应处理方法不同,所以有不同网络的地址解析请求。也有反向地址解析协议(RARP)供不知道IP地址的主机从ARP缓存中获得I P地址。

==================================================
在FDDI网络上进行IP和ARP传输

介绍

FDDI定义了物理层和数据链路层中的MAC子层中的标准。我们可以从下图看到FDDI和其它协议的关系。其中FDDI PHY指FDDI物理层协议,FDDI PMD指FDDI物理层介质依赖,而SMT代表基站管理(station management)。

本文描述在此环境中使用IP和ARP,这时不需要非要求FDDI与IEEE 802网络的一致性,但这不等于说这种一致性不重要。本文允许FDDI上的基站(计算机)和以太网上的基站(计算机)通过网桥相连。

包格式

IP数据报和ARP的请求与响应在FDDI网络上传输时,应该在802.2 LLC和子网访问协议(SNAP)和FDDI MAC和物理层上传送。必须使用802.2 LLC的1业通信,所有帧必须以无编号信息格式传送。SNAP中的24位组织代码(Organization Code)必须为0,余下16位对于IP设置为2048,对于ARP设置为2054。

地址解析

将IP地址映射到FDDI地址需要ARP的动态发现过程帮助。IP地址是人为指定的,每个主机必须知道自己的IP地址,并对ARP请求作出正确响应。A RP协议内有一些域这里需要提一下:

hrd
16位
硬件类型代码

pro
16 位
协议类型代码

hln
8位
硬件地址位数

pln
8位
协议地址位数

op
16位
操作码

指定到IEEE 802网络的硬件代码为6,而以太网为1,因为这两者的数值不同,因此在桥接环境中会引起问题,为了避免问题,ARP包以硬件代码1传输。I P的协议代码为2048,硬件地址长度为6,IP协议地址长度为4,操作码1代表请求,2代表应答。

广播地址

广播地址必须映射到FDDI广播地址(全1地址)。

支持多播

IP多播地址映射到FDDI组地址时,可以将低23位IP地址放入低23位FDDI组地址01-00-5E-00-00-00中,例如IP多播地址为224.255.0.2,则F DDI组地址为01-00-5E-7F-00-02。在传输时,它的各位会在字节中位置从高到低互换。因此传输时它会变为:80-00-7A-FE-00-40。

尾格式

有一些UNIX 4.X BSD版本的系统为利用VAX机上的虚拟内存使用不同的打包机制,因此这些主机在直接接入FDDI时不使用尾部。

字节顺序

IP数据报在FDDI上传输时是作为一系列8位字节传输的。

MAC层的问题

包大小

FDDI MAC说明定义了最大为大小为9000字符(4500字节),包括2字节的头。如果减去LLC/SNAP头也就只有4470字节能够利用了。但是这4470中的一些空间还要为M AC以后的发展留下空间,因此,FDDI的MTU为4352字节,其中4096字节的数据,256字节的头信息。网关必须能够接收大小和MTU一样大的数据包,并能够对它进行分段。主机也要能够接收M TU大小的数据包,但是主机一般不要发送大于576字节的数据包,除非它明确知道目的主机能够接收。主机可能通过TCP的最大段长度选项告诉对方主机它希望的包大小。F DDI上的数据报比一般Internet上的数据报要大,因此当主机向非本局域网的主机发送数据报时要注意这一点。最好发送小一点的数据报,不要让网关进行分段,这样会影响效率。F DDI没有最小包大小限制。为了在桥接环境下和以太网进行通信,FDDI应该能够接收尾部填充字节的数据。

其它MAC层问题

FDDI MAC不要求16位和48位地址机器能够完全互联。但是它要求16位机器能够有48位机的功能,而且要求16位和48位机器能够接收对方的广播信息。为了避免互联上的问题,在I P和ARP上只使用48位地址。FDDI MAC定义了两类LCC帧,同步的和异步的。异步帧通过优先机制控制,拥有两级令牌,限制级的和非限制级的。只有使用非限制级令牌和异步帧才是要求F DDI要求互联的。所有IP和ARP帧以异步LCC帧的非限制级令牌传输,优先级不是全局处理的问题,是本地处理的问题。对于实现者来说,也应该实现对I P和ARP包以同步帧和限制级令牌形式的接收。在包传输后,FDDI提供帧复制(C)和地址确认标记(A),对它们的使用要看本地网络管理者和实现者的需要了,可以根据这些标记和其它相关信息进行链路层重发,A RP缓冲项目失效等。

关于IEEE 802.2的问题

虽然没必要支持IP和ARP,但是所有实现者必须能够支持IEEE 802.2一类服务,以下描述的是要实现的最小功能集,有一些功能和支持SNAP SAP不直接相关,但这些功能是LCC实现的最普通部分。802.2一类LCC要求支持UI,XID命令和响应,TEST命令和响应,网络结点不需要能够发出这些命令,但是要能够给出这些命令的应答。

编码

SSAP地址的低位设置为0表示这是命令帧,而响应帧则设置为1。UI命令的LCC控制域值为3;在Poll/Final位关闭时,XID命令与响应在LCC 控制域的值为175,反之,LCC控制域的值为191;在Poll/Final位关闭时,TEST命令与响应在LCC控制域的值为227,反之,LCC控制域的值为2 43。

过程

如果设置了Poll位,忽略UI响应和命令,如果SNAP SAP不在DSAP或SSAP域中,UI命令不被作为IP或ARP包处理。当XID或TEST命令到达时,必须返回相应的应答。如果DSAP是SNAP SAP(170),NULL SAP(0)或GLOBAL SAP(255)时,XID和TEST命令才必须被响应,如果包括其它值则不必响应。具体的响应格式如下:

目的MAC
从命令的源MAC复制而来

源MAC
设置为接收命令主机(或结点)的MAC

DSAP
从命令的SSAP中复制而来

SSAP
如果命令中的DSAP是SNAP SAP或GLOBAL SAP,设置为171;如果命令中的DSAP是NULL SAP,设置为1

在对XID或TEST命令进行响应时,响应中Final位的值必须由命令中的Poll位复制而来。

IP: 已记录

 
发表新主题  发表回复 关闭主题 突出主题 移动主题 删除主题 下一个最老的主题   下一个最新的主题
 - 适于打印的主题视图
转到:
联系我们 | 20CN网络安全小组

Powered by Infopop Corporation
UBB.classic™ 6.5.0
NetDemon修改版 1.5.0, 20CN网络安全小组 版权所有。