校园网ＡＲＰ木马的入侵与防范 尹 慧 （运河高等师范学校计算机系，江苏徐州２２１３００） 摘要：校园网络在高校及教育系统中已发挥出越来越重要的作用，推进了学校教学和管理的现代化、信息化， 改善了办学条件，同时也提高了教学质量。校园网络重要功能实现的条件必须是网络的稳定、安全、高效运行。然而， 现实的网络安全问题却日趋严重．校园网内木马泛滥，特别是近年来ＡＲＰ木马的出现，使得网络速度变慢，甚至阻 塞，无法正常运行，直接影响到学校的教学秩序。 关键词：校园网络：ＡＲＰ木马：Ｓｎｉｆｆｅｒ 中图分类号：Ｇ４３４ 文献标识码：Ａ 文章编号：１６７２—７８００（２０１０）１１—００８３—０２ 畅通必要条件。 １校园网存在ＡＲＰ木马的表象 ２．２ ＡＩ 协议的工作原理及缺陷 ２．２．１ ＡＲＰ协议的工作原理 校园网的瞬间掉线或大面积的断网的情况多数是由于 ＡＲＰ欺骗所导致＿１］。ＡＲＰ欺骗攻击已经成为破坏校园网正常运 局域网中同一网段两台ＰＣ通讯。一台ＰＣＢ要和另一台 行的首要原因ＡＲＰ欺骗木马的中毒现象表现为：使用局域网 ＰＣＡ通讯，首先需要知道ＰＣＡ的ＭＡＣ地址。 时突然掉线，之后恢复正常。比如客户端状态频频变红，用户频 ＰＣＢ先查找机器缓存中存贮的ＡＲＰ表（ＩＰ和ＭＡＣ对应关 繁断网，ＩＥ浏览器频繁出错，以及一些常用软件出现故障等。 系表），该表为动态刷新的。如果没有必须先发出一个ＡＲＰ请 如果局域网中是通过身份认证上网的，会突然出现可认证，但 求的广播报文．询问：ＩＰ地址是ＰＣＡ的ＭＡＣ地址是多少？ 不能上网的现象（无法ｐｉｎｇ通网关），重启计算机或在ＭＳ— 局域网里的ＰＣ都会收到ＡＲＰ请求报文．并查看自己的 ＤＯＳ窗口下运行命令ＡＲＰ—ｄ后，又可恢复上网。ＡＲＰ欺骗木 ＩＰ是否是ＰＣＡ，如果是则响应，反馈ＡＲＰ响应报文，响应报文 马只需成功感染一台计算机。就可能导致整个局域网无法上 中有ＰＣＡ的ＭＡＣ地址：ＭＡＣＡ。工作原理（见图１） 网，严重的甚至可能使整个网络瘫痪。该木马发作时除了会导 致同一局域网内的其他用户上网出现时断时续的现象外．还 会窃取用户密码。如盗取ＱＱ密码，盗取各种网络游戏密码和 账号，盗窃用户网上银行账号等等，这些都是木马的惯用手段， 给用户造成了很大的不便或巨大的经济损失。 ＡＲＰＩＩ￣应： ＡＲＰ请求： ＩＰＡ¨ＭＡＣＡ ＩＢ ？ ＩＰＡ－． ＭＡＣＡ ２ Ａｌ 欺骗分析 图１ ＡＲＰ工作原理 ２．２．２ ＡＲＰ协议的缺陷 ２．１ ＡＲＰ协议 按照ＲＦＣ的规定，ＰＣ在发ＡＲＰ响应时，不需要一定要先 ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏ１）地址解析协议［２ ３用于将 收到ＡＲＰ请求报文，局域网中任何一台ＰＣ都可以向网络内其 计算机的网络ＩＰ地址转化为物理ＭＡＣ地址。ＡＲＰ协议的基本 它ＰＣ通告：自己就是ＰＣＡ和ＭＡＣＡ的对应关系，这就给攻击 功能就是通过目标设备的ＩＰ地址，查询目标设备的ＭＡＣ地 者带来可乘之机Ｅ 。 址，以保证通信的顺利进行。在每台安装有ＴＣＰ／ＩＰ协议的计算 由于ＡＲＰ协议的缺陷，导致攻击者很容易发送虚假的ＡＲＰ 机里都有一个ＡＲＰ缓存表，表里的ＩＰ地址与ＭＡＣ地址是一 请求报文和响应报文，来扰乱局域网中被攻击主机的ＡＲＰ表． 一对应的，如果系统ＡＲＰ缓存表被修改不停的通知路由器一 从而使得网络中的合法主机无法正常上网或通讯中断。 系列错误的内网ＩＰ或者直接伪造一个虚假网关进行欺骗时． ２．３ Ａｌ 木马欺骗原理 网络就会出现大面积的掉线问题。ＡＲＰ攻击在现今的网络中 利用ＡＲＰ协议的缓存更新不需要验证的特点，就可以冒用 频频出现．有效的防范ＡＲＰ形式的网络攻击己成为确保网络 一个合法ＩＰ，对同网络的数据进行嗅探，而这正是ＡＲＰ欺骗病 收稿日期：２０１０—１０—２０ 作者简介：尹慧（１９７７一），男，江苏徐州人，运河高等师范学校计算机系助教，研究方向为计算机程序设计。 ２０１０￣１１期（下半月）软件导刊．教育技术８３＿ 毒所采用的手段。假设有３台主机分别为Ａ，Ｂ，Ｃ，其中主机Ｃ 已经感染了ＡＲＰ地址欺骗病毒 正常情况下．主机Ａ与主机Ｂ 正确的不同时就可以确定ＡＲＰ欺骗病毒已经在网络内发作。 例如正常情况下网络内网关地址１９２．１６８．１．９９对应的ＭＡＣ地 通信对于主机Ｃ是不可见的，但是，主机Ｃ利用ＡＲＰ欺骗技术， 实现了交换网络下的嗅探。其主要步骤如下：①主机ｃ向主机Ａ 发送一个非法ＡＲＰ响应，将主机Ａ的ＡＲＰ缓存中Ｂ的ＭＡＣ地 址篡改为Ｃ的ＭＡＣ地址；②主机Ｃ向主机Ｂ发送一个非法 ＡＲＰ响应．将主机Ｂ的ＡＲＰ缓存中Ａ的ＭＡＣ地址篡改为Ｃ的 址是００—０９一ＯＦ一８７—０２—７Ｃ．然而执行后却发现１９２．１６８．１．９９对 应的ＭＡＣ地址为００—１９…ＯＦ １７ ０２一ｌｃ。网关地址ＭＡＣ信息错 误或变化确认是ＡＲＰ病毒造成的。 （３）将错误的ＭＡＣ地址记录下来，为日后通过Ｓｎｉｆｆｅｒ排查 做准备。 ３．２从Ｓｎｉｆｅｒ下手揪出ＡＲＰ病毒 ＭＡＣ地址；⑧在主机Ｃ上启动ＩＰＦｏｒｗａｒｄ（ＩＰ转发）功能 。于是， 主机Ａ与主机Ｂ之间的通道由主机Ａ到主机Ｂ变成主机Ａ到 主机Ｃ再到主机Ｂ．主机Ｃ作为“中介”，转发主机Ａ与主机Ｂ 通信产生的所有数据包。这样．主机Ｃ竟然劫持了所有主机Ａ （１）按照实际需要将用来分析故障的笔记本连接到交换机 的镜像端口上。运行Ｓｎｉｆｆｅｒ，在Ｓｎｉｆｆｅｒ软件中打开ｄａｓｈｂｏａｒｄ面 板，这个面板主要是扫描当前网络中数据包的宏观信息，即什 和主机Ｂ之间通信的数据，这就是ＡＲＰ地址欺骗的过程。 么样的数据包有多少个。一般来说病毒都是以广播数据包来传 当主机冒充网关的情形下，由丁局域网中的电脑连接外网 播的．所以只需要查看每秒网络内的广播数据包数量就可以判 时，也就是登录互联网的时候，都要经过局域网中的网关转发 断病毒危害的严重与否。在ｄａｓｈｂｏａｒｄ面板中可以看到ｂｍａｄ． 一下，所有收发的数据都要先经过网关，再由网关发向互联网。 ｃａｓｔｓ／ｓ处显示的信息为２６个．也就是说对当前网络抓取结果 这也就意味着电脑Ｃ能截获并篡改所有局域网到互联网、互 是一秒钟有２６个广播数据包。和平常比要多一些。 联网到局域网的数据。欺骗过程如图２所示。 （２）在Ｓｎｉｆｆｅｒ软件中切换到ｈｏｓｔ ｔａｂｌｅ主机列表中．具体查 看到底哪个计算机发送的广播数据包最多。如果网络内有蠕虫 病毒，那么这台主机的广播量要远远大于其他主机。例如本例 中就会看到有一台计算机的广播数据包为１４３４４个，是其他正 常计算机发送包的１０００倍还多。可以判断该计算机有问题。 （３）在Ｓｎｉｆｆｅｒ软件中切换到协议分析标签（ｐｒｏｔｏｃｏｌ ｄｉｓｔｒｉ— ｂｕｔｉｏｎ，从图中可以看到网络内ＡＲＰ数据包占用的比例比较 大，达到了１２％以上，这是不正常的。一个正常的网络应该 １９２ ｌ６８ｌ ｚ ９９％以上数据包都是ＩＰ数据包，ＡＲＰ数据包小于１％。 ＭＡＣ Ｂ 图２ ＡＲＰ欺骗过程 （４）对嫌疑犯进行监控，针对发送广播量最大的主机进行 从影响网络连接通畅的方式来看．ＡＲＰ欺骗分为两种，一 抓包分析，能够发现他不断的欺骗网关，向外发送的数据包目 种是对路由器ＡＲＰ表的欺骗：另一种是对内网ＰＣ的网关欺 的地址都是连续的，声称他是１９２．１６８．２．０／２４网段的主机．从而 骗。①ＡＲＰ欺骗的原理是一截获网关数据。它通知路由器一系 造成其他主机无法和正确网关进行正常通讯，都被他欺骗。 列错误的内网ＭＡＣ地址．并按照一定的频率不断进行，使真实 （５）了解到出现问题计算机的ＭＡＣ地址后通过查询Ｓｎｉｆ－ 的地址信息无法通过更新保存在路由器中。结果路由器的所有 ｆｅｒ监控的数据，特别是查看该ＭＡＣ和真正网关地址通讯时数 数据只能发送给错误的ＭＡＣ地址，造成正常ＰＣ无法收到信 据包的内容找到它的ＩＰ地址。当然如果企业有ＤＨＣＰ服务器 息；②ＡＲＰ欺骗的原理是伪造网关。它的原理是建立假网关， 的话．也可以到ＤＨＣＰ服务器的地址租约池中查看该ＭＡＣ地 让被它欺骗的ＰＣ向假网关发数据，而不是通过正常的路由器 址对应的ＩＰ地址信息。总之可以通过多种方法来通过ＭＡＣ找 途径上网。在ＰＣ看来，即网络掉线。 到Ｉｐ地址，从而最终确定病毒的根源。 （６）找到这个有问题的ＭＡＣ地址和ＩＰ地址后，针对该计 ３分析确定ＡＲＰ地址欺骗攻击者位置 算机进行断网隔离杀毒。杀毒完毕连接到网络中问题全部解 决，网络恢复正常。 ３．１ 确认ＡＲＰ欺骗病毒发作 当校园网络中出现了网络速度变得非常缓慢，部分计算机 参考文献： 能够正常上网，但是会出现偶尔丢包的等现象时，就需要在本 ［１］ 徐非．ＡＲＰ协议的网络安全性研究［Ｊ］．上海电力学院学报，２００８ 机通过ＡＲＰ显示指令来确认病毒的发作了。 （２）：１６４—１６７． （１）通过“开始一＞运行”，输入ＣＭＤ指令后回车，进入命令 ［２］Ｒｉｅｈａｒｄ ＳｔｅｖｅｎｓＷ．ＴＣＰ／ＩＰ详解（卷ｌ：协议）［Ｍ］．北京：机械工业 提示窗口。 出版社．２０００． （２）在命令提示窗口中输入ＡＲＰ—ａ命令来查询本地计算 ［３］ 张舜，林红．ＡＲＰ协议的缺陷及ＡＲＰ欺骗的防范［Ｊ］．科协论坛 机的ＡＲＰ缓存信息。在显示列表中的ｐｈｙｓｉｃａｌ ａｄｄｒｅｓｓ列就是 （下半月），２０ｏ８（６）：８１—８１． 某ＩＰ对应的ＭＡＣ地址。如果没有进行任何ＭＡＣ与ＩＰ地址绑 ［４］邓清华，陈松乔＿Ａ即协议欺骗攻击及其防范［Ｊ］．微机发展，２００３ 定工作的话，ＡＲＰ模式列显示的都是ｄｙｎａｍｉｃ动态获得。当发 （８）：１２６—１２８． 现ＡＲＰ—ａ指令执行后显示信息网关地址对应的ＭＡＣ地址和 ［５］ 雷振甲＿网络工程师教程［Ｍ．北京：清华大学出版社，２００４． （责任编辑：邬江华） ＿８４ ２０１０￣１＾期（下半月｝软件导刊．教育技术