浅谈ARP病毒攻击的原理和防治策略

admin管理员组

文章数量:1558098

2024年5月20日发(作者：)

信息　

麟麓　

科学　

浅谈ＡＲＰ病毒攻击的原理和防治策略　

刘士贤　

（辽宁职业学院计算机科学系辽宁铁岭ｌ１２００１）　

摘要：　自去年９月份以来，我院出现局域网频繁掉线的问题，给正常的教育教学带来极大的不便，造成这种现象的原因有很多，但主要是ＡＲＰ攻击造成的。　

ＡＲＰ协议存在着很多缺陷，攻击者正是利用这些漏洞实施ＡＲＰ地址欺骗，对局域网的通信造成威胁。因此，通过对ＡＲＰ协议的工作过程以及ＡＲＰ欺骗原理进行分析，找　

到防治ＡＲＰ攻击的方法，借此来达到维护局域网络安全的目的。　

关键词：ＡＲＰ协议；ＡＲＰ欺骗；ＡＲＰ攻击：ＡＲＰ防治　

中图分类号：ＴＰ３９３．０８文献标识码：Ａ文章编号：１６７１－－７５９７（２０１０）０２２００４７－－０２　

１　ＡＲＰ病毒攻击的原理　

１．１　ＡＲＰ协议　

次是计算机Ａ，Ｂ，Ｃ。其中Ａ的地址为：ＩＰ：１９２．１６８．１．１　ＭＡＣ：ＡＡ一从一ＡＡ—　

ＡＡ—ＡＡ一从：Ｂ的地址为：ＩＰ：１９２．１６８．１．２　ＭＡＣ：ＢＢ—ＢＢ一踮一ＢＢ—ＢＢ－ＢＢ：Ｃ的　

地址为：ＩＰ：１９２．１６８．１．３　ＭＡＣ：ＣＣ—ＣＣ—ＣＣ—ＣＣ—ＣＣ－ＣＣ。　

ＡＲＰ协议是“Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ”（地址解析协议）的缩　

写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的　

ＭＡＣ地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要　

知道目标主机的ＭＡＣ地址。但这个目标ＭＡＣ地址是如何获得的昵？它就是通　

过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标　

ＩＰ地址转换成目标ＭＡＣ地址的过程。ＡＲＰ协议的基本功能就是通过目标设备　

的ＩＰ地址，查询目标设备的ＭＡＣ地址，以保证通信的顺利进行。　

在局域网中，通过ＡＲＰ协议来完成ＩＰ地址转换为第二层物理地址（即　

ＡＣ地址）的，ＡＲＰ协议对网络安全具有重要的意义。Ｍ　

正常情况下，每台主机都会在自己的ＡＲＰ缓冲区中建立一个ＡＲＰ列表，　

以表示ＩＰ地址和ＭＡＣ地址的对应关系。当源主机需要将一个数据包要发送到　

目的主机时，会首先检查自己ＡＲＰ列表中是否存在该ＩＰ地址对应的ＭＡｃ地　

址，如果有，就直接将数据包发送到这个ＭＡＣ地址；如果没有，就向本地网　

段发起一个ＡＲＰ请求的广播包，查询此目的主机对应的ＭＡＣ地址。此ＡＲＰ请求　

数据包里包括源主机的ＩＰ地址、硬件地址、以及目的主机的ＩＰ地址。网络　

中所有的主机收到这个ＡＲＰ请求后，会检查数据包中的目的ＩＰ是否和自己的　

ＩＰ地址一致。如果不相同就忽略此数据包　如果相同，该主机首先将发送　

端的ＭＡＣ地址和ＩＰ地址添加到自己的ＡＲＰ列表中，如果ＡＲＰ表中已经存在该　

ＩＰ的信息，则将其覆盖，然后给源主机发送一个ＡＲＰ响应数据包，告诉对方　

自己是它需要查找的ＭＡＣ地址；源主机收到这个ＡＲＰ响应数据包后，将得到　

的目的主机的ＩＰ地址和ＭＡＣ地址添加到自己的ＡＲＰ列表中，并利用此信息开　

始数据的传输。　

从上面可以看出，ＡＲＰ协议的基础就是信任局域网内所有的人，那么　

就很容易实现在以太网上的ＡＲＰ欺骗。更何况ＡＲＰ协议是工作在更低于ＩＰ协　

议的协议层，因此它的危害就更加隐蔽。　

Ｉ．２　ＡＲＰ协议的缺陷　

第二步：正常情况下，在Ａ计算机上运行＞ＡＲＰ—ａ查询ＡＲＰ缓存表应该　

出现如下信息：Ｉｎｔｅｒｆａｃｅ：１９２．１６８．１．１　ｏｎ　Ｉｎｔｅｒｆａｃｅ　０ｘ１０００００３　

Ｉｎｔｅｒｎｅｔ　Ａｄｄｒｅｓｓ　Ｐｈｙｓｉｃａｌ　Ａｄｄｒｅｓｓ　Ｔｙｐｅ　

１９２．１６８．１．３　ＣＣ—ＣＣ—ＣＣ—ＣＣ—ＣＣ－ＣＣ　ｄｙｎａｍｉｃ　

第三步：在计算机Ｂ上运行ＡＲＰ欺骗程序，来发送ＡＲＰ欺骗包。Ｂ向Ａ发　

送一个自己改写的ＡＲＰ应答，而这个应答中的数据标识为发送方ＩＰ地址：　

１９２．１６８．１０．３（Ｃ的ＩＰ地址），ＭＡＣ地址是ＤＤ—ＤＤ一叻一ＤＤ－ＤＤ—ＤＤ（Ｃ的ＭＡＣ地址　

本来应该是ＣＣ－ＣＣ－ＣＣ—ＣＣ—ＣＣ—ＣＣ，这里被伪造了）。当Ａ接收到Ｂ伪造的　

ＡＲＰ应答，就会更新本地的ＡＲＰ缓存（Ａ可不知道被伪造了）。而且Ａ不知道　

其实是从Ｂ发送过来的，Ａ这里只有１９２．１６８．１０．３（Ｃ的ＩＰ地址）和无效的　

∞一ＤＤ—ＤＤ一肋一肋一ＤＤ　ｍａｃ地址。　

第四步：欺骗完毕后，我们再在Ａ计算机上运行＞ＡＲＰ—ａ来查询ＡＲＰ缓存　

信息。你会发现原来正确的信息现在已经出现了错误。　

Ｉｎｔｅｒｆａｃｅ：１９２．１６８．１．１　ｏｎ　Ｉｎｔｅｒｆａｃｅ　Ｏｘ１０００００３　

Ｉｎｔｅｒｎｅｔ　Ａｄｄｒｅｓｓ　Ｐｈｙｓｉｃａｌ　ＡｄｄｒｅｓＳ　Ｔｙｐｅ　

１９２．１６８．１．３　ＤＤ—ＤＤ—ＤＤ—ＤＤ－ＤＤ－ＤＤ　ｄｙｎａｍｉｃ　

在上面例子中，计算机Ａ上的关于计算机Ｃ的ＭＡＣ地址已经错误了，所　

以以后从Ａ计算机访问Ｃ计算机１９２．１６８．１．３这个地址也会被ＡＲＰ协议错误的　

解析成ＭＡＣ地址为ＤＤ一叻一ＤＤ－ＤＤ—ＤＤ—ＤＤ的。这样，Ａ与Ｃ之间就永远无法建立　

连接。当局域网中一台机器，反复向其他机器，特别是向网关、发送这样　

无效假冒的ＡＲＰ应答信息包时，严重的网络堵塞就会开始。由于网关ＭＡＣ地　

址错误，所以从网络中计算机发来的数据无法正常发到网关，自然也就无　

法正常上网，这就造成了无法访问外网的问题，另外由于很多时候网关还　

控制着我们的局域网ＬＡＮ上网，所以这时我们的ＬＡＮ访问也就出现问题了。　

２　ＡＲＰ痨毒攻击的防治策略　

２．１常见ＡＲＰ欺骗形式　

常见的ＡＲＰ欺骗有以下五种形式：　

１）假冒ＡＲＰ　ｒｅｐｌｙ包（单播）　

ｘｘｘ．ｘｘｘ．ＸＸＸ．ＸＸＸ，Ｉ　ｈａｖｅ　ＩＰ　ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ　ａｎｄ　ｍｙ　ＭＡＣ　ｉｓ　ＺＺ—　

ＺＺ—ＺＺ—ＺＺ—ＺＺ—ＺＺ．　

ＡＲＰ协议是建立在信任局域网内所有结点的基础上的，它很高效，但　

却不安全。它是无状态的协议，不会检查自己是否发过请求包，也不管　

（其实也不知道）应答是否合法，只要收到目标ＭＡＣ是自己的ＡＲＰ　ｒｅｐｌｙ包　

或ａｒｐ广播包（包括ＡＲＰ　ｒｅｑｕｅｓｔ和ＡＲＰ　ｒｅｐｌｙ），都会接受并出入缓存表　

［２］。这就为ＡＲＰ欺骗提供了可能，恶意节点可以发布虚假的ＡＲＰ报文从而影　

响网内结点的通信，甚至可以做“中间人”。　

２）假冒ＡＲＰ　ｒｅｐｌｙ包（广播）　

Ｈｅｌｌｏ　ｅｖｅｒｙｏｎｅ！　Ｉ　ｈａｖｅ　ＩＰ　ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ　ａｎｄ　ｍｙ　ＭＡＣ　ｉｓ　ＺＺ—　

ＺＺ—ＺＺ—ＺＺ—ＺＺ－ＺＺ．　

１．３　ＡＲＰ病毒攻击的原理　

既然ＡＲＰ存在缺陷，就必定会被人所利用：首先我们可以肯定一点的　

就是发送ＡＲＰ欺骗包是通过一个恶毒的程序自动发送的，正常的ＴＣＰ／ＩＰ网络　

是不会有这样的错误包发送的，而人工发送又比较麻烦。也就是说当黑客　

如果没有运行这个恶毒程序的话，网络上通信应该是一切正常的，保留在　

向所有人散布虚假的ＩＰ／ＭＡＣ　

３）假冒ＡＲＰ　ｒｅｑｕｅｓｔ（广播）　

Ｉ　ｈａｖｅ　ＩＰ　ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ　ａｎｄ　ｍｙ　ｈ【ＡＣ　ｉｓ　ＹＹ—ＹＹ—ＹＹ—ＹＹ—ＹＹ—ＹＹ．　

Ｗｈｏ　ｈａｓ　ＩＰ　ＺＺＺ．ＺＺＺ．ＺＺＺ．ＺＺＺ？ｔｅｌｌ　ｍｅ　ｐｌｅａｓｅ！　

各个计算机上的ＡＰ２缓存表也应该是正确的，只有程序启动，开始发送错误　

ＡＲＰ信息以及ＡＲＰ欺骗包后才会让某些计算机访问网络出现问题。接下来我　

们来阐述ＡＲＰ病毒攻击的原理。　

第一步：假设有这样一个网络，一个Ｈｕｂ或交换机连接了３台机器，依　

表面为找ＩＰ　ＺＺＺ．ＺＺＺ．ＺＺＺ．ＺＺＺ的ＭＡＣ，实际是广播虚假的ＩＰ、ＭＡＣ映射　

（ＸＸＸ，ＹＹＹ）．　

４）假冒ＡＲＰ　ｒｅｑｕｅｓｔ（单播）　

信息　

科学　

ＶＡ　嚣　

５）使用代理ＩＰ的传输。　

已知ＩＰ　ＺＺＺ．ＺＺＺ．ＺＺＺ．ＺＺＺ的ＭＡＣ　

Ｈｅｌｌ０　ＩＰ　ＺＺＺ．ＺＺＺ，ＺＺＺ．ＺＺＺ！　Ｉ　ｈａｖｅ　ＩＰ　ＸＸＸ。ＸＸＸ，Ｘｘｘ．ＸＸＸ　ａｎｄ　ｍｙ　

ＡＣ　ｉＳ　ＹＹ—ＹＹ—ＹＹ—ＹＹ—ＹＹ－ＹＹ．Ｍ　

６）硬件屏蔽主机。设置好你的路由，确保ＩＰ地址能到达合法的路　

径。　

５）假冒中间人　

欺骗主机（ＭＡＣ为　）上启用包转发，向主机ｂａｈ发假冒ＡＲＰ　Ｒｅｐｌｙ：　

ＡＡＡ．ＡＡＡ．ＡＡＡ．ＡＡＡ，Ｉ　ｈａｖｅ　ＩＰ　ＢＢＢ．ＢＢＢ．ＢＢＢ．ＢＢＢ　ａｎｄ　ｍｙ　ＭＡＣ　ｉｓ删一　

ｍ卜ＭＭ—ｍｆ＿ＭＭ一删．　

７）定期用响应的ＩＰ包中获得一个ＲＡＲＰ请求，然后检查ＡＲＰ响应的真实　

性。　

８）管理员定期检查主机上的ＡＲＰ缓存表是否异常。　

９）使用防火墙连续监控网络。　

通过以上几种综合的方法来解决ＡＲＰ病毒攻击是行之有效的，虽然　向主机ＢＢＢ发假冒ＡＲＰ　Ｒｅｐｌｙ：　

ＢＢＢ．ＢＢＢ．ＢＢＢ．８ＢＢ，Ｉ　ｈａｖｅ　ＩＰ　ＡＡＡ．Ａ从．ＡＡＡ．ＡＡＡ　ａｎｄ　ｍｙ　ＭＡＣ　ｉｓ删一　

ＡＲＰ病毒版本不断更新、不断升级，但是如果能够提前做好防治工作，相信　

ＡＲＰ的危害会减少到最小的程度。　

３结束语　

由于ＡＲＰ是一种存在缺陷的协议，所有它成为了网络攻击的对象。近　

删一ＭＭ一删一删一姗．　

由于ＡＲＰ　Ｃａｃｈｅ的老化机制，有时还需要做周期性连续欺骗。局域网　

内的主机想访问外部主机，就必须经过网关。将网关的ＩＰ与错误的姒ｃ地址　

对应，就成了大部分ＡＲＰ欺骗行为所选择的做法。利用网关的ＩＰ地址进行的　

ＡＲＰ欺骗，其危险之处在于攻击者可以借此控制用户主机的网络数据流向，　

即可以指定用户主机向哪个ＭＡＣ发送数据。这样整个的网络便被攻击者利用　

了，而整个网络中的主机也随之失去了无安全保障，当攻击者抓到了一些　

重要的包文的时候，用户的隐藏信息，如密码，帐号，银行卡信息就可能　

被攻击者窃取。　

２　２　ＡＲＰ病毒攻击的防治策略　

１）不要把网络安全信任关系建立在ＩＰ基础上或ＭＡＣ基础上，　（ＲＡＲＰ同　

年来，ＡＲＰ病毒攻击一直很猖獗，给用户带来了极大的损失。但是只要我们　

了解它，进行更加有效的防范，就能减少ＡＲＰ攻击的危害。同时我们还要积　

极探索网络安全技术，维护网络安全，促进信息社会的健康有序发展。　

参考文献：　

［１］袁家政，计算机网络安全与应用技术［枷．北京：清华大学出版社　

２００６．　

样存在欺骗的问题），理想的关系应该建立在ＩＰ＋ＭＡＣ基础上。　

２）设置静态的ＭＡｃ—ＭＰ对应表，不要让主机刷新你设定好的转换　

表。　

［２］Ｓｔｅｖｅｎｓ　Ｗ　Ｒ．ＴＣＰ／ＩＰ详解（卷１）协议［Ｍ］．北京：机械工业出版社　

２００８．　

［３］赵均、陈克非，ＡＲＰ协议安全漏洞分析及其防御方法［Ｊ］．信息安全与通　

３）除非很有必要，否则停止使用ＡＲＰ，将ＡＲＰ做为永久条目保存在对　

应表中。　

４）使用ＡＲＰ服务器。通过该服务器查找自己的ＡＲＰ转换表来响应其他　

机器的ＡＲＰ广播。　

信保密，２００６．　

作者简介：　

刘士贤（１９６６一），男，汉族，辽宁铁岭人，工学学士，副教授，主要研　

究方向：计算机网络技术　

（上接第２２页）　

Ｂ开关保护上的配合，虽然Ｂ开关的过流Ｉ段定值远小于Ａ开关的过流Ｉ段定　

值，但是一旦Ｂ站末端发生三相短路，故障电流势必能同时满足Ａ开关及　

Ｂ开关的动作电流值及时限，造成了保护无选择性动作，扩大了停电范　

围，酿成事故　问题二，其次Ａ开关的过流Ⅱ段取值过大，这样不但不满　

足本线路末端两相故障时有１．５倍的灵敏度，甚至根本就无法保护到线路　

末端的两相短路，造成了Ａ开关的过流ＩＩ段的保护死区，所以Ｂ开关的过流　

Ｉ段与之配合也就成了无稽之谈，同时，一旦Ａ站线路末端两相故障时，只　

有靠Ａ开关的过流Ⅲ段来切除故障电流，加大了对主设备的损害程度，同　

时因为Ａ站主变中后备动作电流整定较小，时限为１．５ｓ，所以和Ａ开关的过　

３对策墨建议　

１）定值计算是决定保护装置正确动作的关键环节。高度的工作责任　

心是定值计算人员应具备的，其次整定计算工作应严格遵守整定计算基本　

原则或本公司制定的继电保护整定方案及运行说明，局部问题自行消化，　

满足继电保护和安全自动装置可靠性、选择性、灵敏性、速动性的要求，　

在不满足时应合理取舍。　

２）定值单的执行，必须有正式的定值单为凭证，保护投入前必须由　

当值调度员与现场人员进行核对，确认无误。因大部分运行人员对装置内　

部不熟悉，建议保护定值放置后核对由继电保护部门执行，多一层把关；　

应建立继电保护定值单的闭环管理措施，建立定值单执行签转制度。参与　

定值单执行的各部门人员应严肃定值单执行工作。　

４结束语　

流ＩＩＩ段仅靠０．３ｓ的时限来配合，这样对系统来说也是一大隐患。　

解决方案：针对Ａ开关和Ｂ开关过流Ｉ段可能会同时动作的情况，我建　

议有两种方法改进：①Ａ开关的过流Ｉ段整定细则２应改为按躲过Ｂ站　

３５ｋＶ母线故障来整定，缩小Ａ开关的过流Ｉ段的保护范围；②停用Ｂ站Ｂ开　

关重合闸，这样就满足前面本公司继电保护整定方案及运行说明的第一　

条，很好的解决了其配合问题。针对以上问题二，建议Ａ站Ａ开关的过流ｌＩ　

保护定值的整定计算一定要按原则执行，每一条每一步都要有其存在　

的依据，在不违背上级保护要求的情况下，可以根据本级电网的运行方式　

及负荷性质，灵活的处理好继电保护的四要素之间的关系：灵敏性、选择　

段整定值去小一点，如果不考虑１．５倍灵敏度的因素，本线路末端两相故　

障理论动作值大约１８２５Ａ，我们可以取１６００Ａ，这样我们就可以保证过流ＩＩ　

段没有死区，这样的话保护同样伸进Ｂ站ｌＯｋＶ母线，但是通过重合闸的补　

救，依然满足要求。　

性、可靠性、快速性，千万不能存在保护的死区或是导致保护越级动作。　

保护定值的执行与管理也很重要，任何疏忽都是事故的源泉。以上分析希　

望大家给以指导，互相交流，共同解决问题。　

案例３：某３５ｋＶ变电所ｌＯｋＶ线路在几天内的同一时间段内均出现过流　

保护动作，重合不成功，且通知供电所巡线后均汇报查无异常，然后试送　

成功的情况，于是安排变电人员检查变电设备，变电人员汇报变电设备查　

无异常，所以怀疑保护定值整定存在问题，于是检查该线路的整定方案，　

并未发现异常。最后再次安排变电人员检查变电设备后发现问题所在，该　

线路的保护动作值根本就没有达到定值单下达的动作值，立即通知现场检　

查保护装置定值放置情况，结果发现该装置定值放置错误，发生误整定事　

故。即通知将定值恢复正常，随后类似情况不再发生。　

作者简介：　

参考文献：　

［１３射阳供电公司，继电保护整定方案及运行说明，２００７年　

董永念（１９７９一），男，本科，助理工程师，主要从事电力调度兼公司运　

方专职。　

本文标签： 地址定值保护协议网络