说实话干安全这一行我第一次抓到真正的ARP攻击流量并不是在炫酷的攻防演练里而是在帮一家公司排查网络不定时掉线的时候。症状非常典型办公区某台电脑网线好好的、IP配置也正常但每隔几分钟就断网一次过几十秒自己又好了。常规的网线、驱动、交换机排查全做了一遍毫无结果。最后在主机上抓包才发现网关的MAC地址在那一瞬间变了身——这就是一次教科书级别的ARP欺骗。所以我觉得有必要把这套东西从头到尾捋清楚。这篇文章没有打算教任何人去搞破坏而是从理解攻击原理的角度把断网型和流量劫持型ARP攻击的完整实验流程复现出来。看懂攻击是怎么发生的你才真正知道交换机上的DAI、主机里的静态ARP绑定到底在防什么。适合刚入门的安全学习者、驻场运维、还有被内网玄学故障折磨过的网管。1. 理解ARP协议网络里最没防备的广播信使1.1 ARP的日常使命把IP地址翻译成MAC地址先说点基础但绝不能跳过的内容。以太网环境里两台设备真正通信靠的是MAC地址但人跟人沟通用的是IP地址所以中间需要一个翻译官这就是ARPAddress Resolution Protocol地址解析协议。假设同一网段内有主机A192.168.20.100和主机B192.168.20.200A想给B发数据包。A首先查看自己的ARP缓存表看有没有B对应的MAC记录。如果有直接用如果没有A会往整个广播域发一个ARP请求谁有192.168.20.200的IP请把你的MAC地址告诉我。正常情况下只有B才会对这个请求做出响应——B回复自己的MAC地址这个响应叫ARP应答ARP Reply。A收到后把这对映射关系写进自己的ARP缓存表后续发包就不再广播了。问题就出在这个缓存表上。这个表里的记录不是永久有效的大部分系统里静态记录的过期时间大约是300秒动态学习的记录可能更短。过期后系统会重新发起ARP请求去刷新这条记录。而系统怎么判断新学到的MAC地址是不是可信答案是——它完全不做判断谁回应它就信谁。这个不设防的信任就是ARP攻击能成立的根基。1.2 两个致命弱点无状态与无验证我一直觉得ARP攻击能这么泛滥核心原因是它犯了两个网络协议设计上的原罪。第一个问题是无状态。ARP应答报文根本不需要对应一个合法的ARP请求。你随便抓一个网卡伪造一个ARP Reply扔到局域网里内容是IP 192.168.20.1 的MAC地址是 00:0c:29:aa:bb:cc接到这条信息的主机都不需要经过任何验证就会用这个新MAC覆盖掉自己缓存表里的旧记录。这相当于有个陌生人突然敲你家门说楼上是你家亲戚他已经搬家了你连核实都不核实就真以为是这样。第二个问题是无验证。ARP协议没有内置任何认证机制来确定报文的发送者是否合法也无法验证应答内容是否真实。当然后来有了DAI动态ARP检测这类安全手段但那是额外做的防护不是ARP协议本身的属性。这两个弱点加在一起就形成一个可怕的事实在一个普通的二层交换网络里任何一台接入设备都可以冒充任意一台其他设备的MAC地址而且没有任何一个协议层面的机制能拦住它。1.3 断网与劫持两种效果的路径差异利用ARP欺骗可以做两件性质相似但效果完全不同的事一开始很多人搞混我自己也绕了很久。第一件事是单边欺骗效果是断网。攻击者盯上的通常是局域网的网关比如192.168.20.1。攻击者向受害主机持续发送伪造的ARP应答谎称网关192.168.20.1对应的MAC地址是攻击者网卡的MAC。受害主机收到后就会更新自己的ARP缓存把发往网关的流量全部发给攻击者。如果攻击者不做任何善后也就是不开启IP转发那受害主机的数据包到了攻击者网卡上就没人管了网络自然就断了。数据出去没人接等于把信件全扔进了枯井。第二件事是双向欺骗效果是流量劫持。攻击者不仅骗受害主机让它以为攻击者就是网关同时也骗网关让网关以为攻击者就是受害主机。这样一来受害主机发往外部的流量先到攻击者攻击者开启IP转发再把包转给真正的网关网关回给受害主机的流量也先经过攻击者攻击者转给受害主机。攻击者站在中间所有的流量都从自己网卡上过了一遍这就是中间人。这两种形态其实是可以动态切换的很多教材里说ARP攻击会导致断网和ARP攻击可以窃取流量都对区别只在于攻击者有没有打开IP转发这个开关。下面我用一个表格把两个形态的观察特征整理出来攻击形态欺骗目标攻击者转发受害主机现象是否可见明文流量单边欺骗断网型只骗受害主机不开访问外网超时ping网关不通看不到流量全被丢弃双向欺骗劫持型同时骗受害主机和网关开启网络正常但响应变慢可以在攻击机上抓到完整会话2. 搭建实验环境把攻击装进沙盒再动手2.1 三虚拟机拓扑设计实话说我第一次做ARP实验是在公司正规办公网上做的做完就被旁边的老同事训了一顿。这种演示必须在完全隔离的实验环境里跑千万别拿生产网络练手。我用的环境是三台虚拟机跑在VMware Workstation上网络模式选的LAN区段对VirtualBox用户来说类似选项是内部网络。这个模式有个关键好处虚拟机之间互相能通信但虚拟机完全访问不了宿主机所在的物理办公网也不具备外网能力。这样即使实验过程中出现各种理解偏差也不会影响真实网络里的设备。三台虚拟机的角色分配是这样的角色系统IP地址备注受害主机Windows 7关闭防火墙192.168.20.100模拟普通办公终端攻击主机Kali Linux192.168.20.50自带全套渗透工具网关节点Ubuntu Server192.168.20.1开启IP转发模拟企业出口路由器为什么网关也自己搭原因有两点一是实验里经常需要观察网关侧的设计用真实路由器反而不方便因为真网关的性能指标和日志不一定可控二是在LAN区段里没有真实的DHCP服务器手动配置IP更干净。如果你只是做演示受害主机也可以换成任何一台开启了网络调试功能的Linux但Windows对ARP缓存表的变化展示更直观所以我还是保留了这个选择。2.2 攻击工具怎么选合适比炫酷重要在实验环境里攻击工具的选择其实取决于你想演示到多深。我试过三种主流的工具各有各的适用面这里做个对比工具所属套装核心能力适用场景arpspoofdsniff只能做ARP欺骗不做解密抓包教学演示、验证攻击原理最合适Ettercap独立工具ARP欺骗中间人抓包分析过滤插件图形界面演示效果好Bettercap独立工具模块化设计支持HTTP/HTTPS劫持等有编程基础做复杂验证时很好用我最终用的是arpspoof来做主演示原因很简单它的命令参数最少每一步动作都很透明配合Wireshark和tcpdump可以看到最原始的攻击报文。Ettercap和Bettercap虽然功能更全但对新手来说图形界面或复杂的选项反而容易掩盖攻击的本质。做实验不是为了炫技而是为了把原理推到最亮处。2.3 环境验证先确认基线是通的任何一次可复现的实验都要先确认什么都没做时网络是通的。这一步很多人会跳过导致后面出了问题说不清楚是攻击造成的还是环境本身有毛病。我在三台虚拟机上分别做了这样几步验证受害主机ping攻击主机192.168.20.50确认同网段直连正常。受害主机ping网关192.168.20.1确认可以正常访问外网。这里因为没有真实外网我就在网关上开了个HTTP服务用受害主机去访问网关的网页作为后面劫持验证的基准。在攻击主机上执行ip neigh show确认能看到受害主机和网关的MAC记录。在Windows上对应的命令是arp -a。这些命令的结果在实验前要截图留底。等你做完攻击、恢复环境后再跑一遍同样的命令对比就能很清楚地看到ARP缓存表在攻击前后的差异——这是整个演示最有说服力的证据。3. 断网攻击演示一条伪应答让目标失联3.1 攻击前的状态确认目标视角的ARP记录断网攻击的完整实验我建议按确认基线—发起攻击—观察现象—恢复环境—验证缓存这个链路来走。首先在受害主机上打开命令提示符敲arp -a。正常情况下应该能看到192.168.20.1 对应网关的真实MAC地址这里假设是 00:0c:29:11:22:33192.168.20.50 对应攻击主机的MAC地址假设是 00:0c:29:aa:bb:cc这个输出是整个实验的对照组。如果你对这一步不敏感后面攻击成功后发生了什么会有说服力。3.2 发起单边欺骗与效果观察在攻击主机上打开终端执行arpspoof -i eth0 -t 192.168.20.100 192.168.20.1我来解释一下这条命令的每个参数在干什么参数含义-i eth0指定攻击主机的网卡接口-t 192.168.20.100指定要欺骗的目标也就是受害主机192.168.20.1要冒充的IP地址也就是网关执行这条命令后arpspoof会不停地向受害主机发送伪造的ARP应答报文报文的源IP是192.168.20.1源MAC地址却是攻击主机的MAC。受害主机收到这个应答后会无条件更新ARP缓存表——它根本不会去验证这个应答是不是我主动请求的。此时再去受害主机上执行arp -a你就会看到墙角塌了网关192.168.20.1对应的MAC地址已经变成了攻击主机的MAC00:0c:29:aa:bb:cc。再去ping 192.168.20.1结果是请求超时访问网页也一样打不开。原因就是受害主机把发往网关的所有包都给了攻击者而攻击者没有开启IP转发这些包到攻击者的网卡上就丢了。3.3 为什么断网而不是劫持单边欺骗的流量有去无回一定要理解这件事的本质断网不是攻击者做了什么而是攻击者没做什么。攻击者只需要让目标把数据包交到自己的网卡上然后什么都不管对目标来说网络就断了。这就是ARP欺骗断网和真正把网线剪断的效果差异——剪网线是物理不可逆的ARP欺骗断网只要攻击者停止发送伪造应答受害主机在ARP缓存老化后就能自行恢复。这里还有一个常见困惑如果目标是访问外网发出的数据包经过三层路由是不是就不会经过网关实际上并不是。正常情况下192.168.20.100这个主机访问外部IP比如公网地址它会判断目标IP不在同一网段于是把数据包交给默认网关192.168.20.1。所以受害主机发的包第一步就是给网关的。攻击者只要冒充网关就等于截获了所有目标出网流量。3.4 演示中的边界何时停止欺骗很多人在演示时踩过一个坑攻击会话开着忘了关导致受害主机长时间失联等实验完成后受害主机上的部分应用会话已经断得七七八八了重新打开要等很久。控制台里按 CtrlC 就可以停止arpspoof。停止之后受害主机上的ARP缓存表不是立刻恢复的——Windows的ARP缓存有一定的过期时间通常是几十秒到几分钟不等。如果你想让环境快速恢复可以强制刷新ARP缓存# Windows arp -d *删除全部ARP记录后系统会在下一次通信时重新发起ARP请求重新学习各设备的正确MAC地址。这样网络就重新通了。我的建议是每一次攻击演示都要做完整的恢复动作不要留着伪造的ARP记录余热。这不仅是实验习惯更是在真实环境中避免误伤的基础素养。4. 流量劫持与中间人监听双向欺骗的完整链路4.1 打开IP转发让流量路过而不是断掉断网演示不难难的是理解怎么从断网切到劫持。关键开关就在Linux主机的IP转发配置上。攻击主机默认是net.ipv4.ip_forward 0也就是不转发任何数据包。你想要让受害主机的流量优雅地从攻击者这里路过、再流出去就必须把转发打开sysctl -w net.ipv4.ip_forward1执行后可以再确认一下sysctl net.ipv4.ip_forward如果输出结果是1说明转发已开启。这个开关一开攻击者就不再是拦路抢劫的劫匪而是变成了暗中调包的快递中转站。你可以把整个过程理解成寄快递正常情况是你直接把快递交给快递员快递员送到收发室中间人攻击是有人在你楼下冒充快递员收走你的包裹转个手又交给真正的快递员。包裹还是到了收发室但中途被拆开看过了一圈。4.2 两组欺骗命令同时维护两张伪ARP表双向欺骗需要两条arpspoof进程同时运行。第一屏已经有一条命令在骗受害主机现在第二个终端再开一条arpspoof -i eth0 -t 192.168.20.1 192.168.20.100对比一下两条命令的区别第一条骗受害主机网关192.168.20.1的MAC是攻击者MAC第二条骗网关受害主机192.168.20.100的MAC是攻击者MAC这两条命令的actions一定要在理解的基础上去执行。如果照抄了命令但没理解你会在实际部署中出各种问题——比如目标IP全写反了导致攻击半天没有效果。此时在攻击主机上可以分别检查两条进程ps aux | grep arpspoof看到两条进程都健在之后去受害主机上验证结果ping网关如果通了说明转发已经生效再去arp -a查网关的MAC会发现仍然指向攻击者。也就是说流量明明是通的但通信链路已经被架空了——这是典型的隐蔽中间人状态。4.3 抓包验证亲眼看到明文流量中间人状态建立后最关键的一步是验证流量确实被看到了。在攻击主机的第二个终端上启动tcpdump监听eth0接口tcpdump -i eth0 -n -s 0 -w arp_mitm.pcap host 192.168.20.100然后去受害主机上用浏览器访问网关上搭建的HTTP服务随便登录一个测试页面输入一个假账号密码比如username: admin / password: test123。再回到攻击机等十几秒用tcpdump或者Wireshark打开刚才保存的 pcap 文件tcpdump -r arp_mitm.pcap -A port 80你会在-A输出里直接看到请求正文包括那个假账号密码。这就是明文HTTP流量被中间人劫持后的效果。这里想顺带说明如果是HTTPS流量情况会完全不一样。在只有ARP中间人、没有伪造证书的情况下浏览器会报证书错误因为加密会话的两端并不匹配。攻击者能拿到的是加密密文而不是原始内容。这也是为什么现在的互联网服务全面普及HTTPS后ARP劫持造成的隐私泄密规模比以前小了很多——不是说攻击失效而是攻击获取的收益被加密大幅压缩了。4.4 进阶扩展DNS欺骗与图片替换有了ARP中间人作为底层通路上面可以叠加很多应用层攻击。最常见的两个演示是DNS劫持和图片替换。DNS劫持的原理是中间人截获受害主机的DNS查询请求后伪造一个看起来合法的DNS应答把目标域名指向攻击者指定的IP比如一个假的钓鱼页面。在实验环境里我用Bettercap的dns.spoof模块配合一个通向本地HTTP服务的hosts映射来演示。这个效果非常直观受害主机上明明输入的域名是对的打开后却看到的是另一台服务器上的页面。图片替换就更经典了。Ettercap有一个插件可以在HTTP流量经过时把所有页面里的图片替换成指定图片。你在受害主机上打开新闻网站的外部链接实验环境里只放一个测试网页看到满屏图片变成同一张Logo那种当场被劫持的视觉冲击力比任何文字描述都强。这些扩展操作有一个共同的底线依然只能在隔离实验网络里做而且做完要全部关掉把环境恢复原样。5. 检测与防御交换机防护、绑定与主动监控5.1 从受害主机视角发现异常即便不发生严重的断网现象ARP欺骗也不是无迹可寻的。站在受害主机的角度有几个非常直接的检测手段第一是观察ARP缓存表。在Windows上如果网关的MAC地址经常变化一会儿是真的一会儿是另一个地址基本可以断定有人在伪造网关。命令是arp -a第二是用ping做验证。先ping一下网关IP看是否通如果有中间人在场但没有丢弃流量开转发的形态ping可能一直正常这时候要结合上面的ARP表对比才能判断。第三是使用持续监控工具。Windows下可以用arpwatch类似的工具Linux下更常见它会在局域网内出现异常ARP广播时发出告警。在一个干净的网络里ARP请求和应答的频率是很低的一旦出现大量非活跃设备的ARP应答就值得怀疑。5.2 网络侧防御交换机DAI与DHCP Snooping原理网络层面最能快速兜底的是交换机上的DAIDynamic ARP Inspection动态ARP检测功能以及它依赖的DHCP Snooping。DHCP Snooping的核心动作是交换机监听DHCP报文把每台设备的IP、MAC、端口、租约时间记录到一张DHCP绑定表里。DAI在此基础上对经过交换机的每一个ARP报文做检查——ARP报文里的源IP和源MAC必须与DHCP绑定表里的一致否则直接丢弃并记录一条安全告警。这里的逻辑是先把可信的IP-MAC映射关系建立起来再校验所有ARP报文的合法性从二层入口就把伪造ARP报文挡在门外。你说攻击者能不能伪造一个静态IP的设备能但前提是攻击者在交换机上所处的端口没有被配置成可信端口否则所有ARP帧都会过DAI校验。要说明的是DAI通常在中高端交换机上才具备普通家用路由器一般没有这个能力。家用场景主要靠下一步的主机侧防御。5.3 主机侧防御静态ARP表与加密通信在主机层面最原始但有效的方式是静态ARP表。我们可以在受害主机上手动指定网关的MAC地址Windows管理员权限命令提示符arp -s 192.168.20.1 00-0c-29-11-22-33Linuxip neigh add 192.168.20.1 lladdr 00:0c:29:11:22:33 nud permanent dev eth0这样手动绑定的记录不会因为任何后来的ARP应答而被改写攻击者发的伪应答报文会直接被系统忽略。缺点也很明显——一旦网关设备换了网卡或换了IP就必须手动同步更新否则连正常的网络也访问不了。比静态ARP更省心的方案是靠加密通信保底。就算中间人劫持了流量如果传输层用的是HTTPS、SSH、SFTP这类加密协议攻击者能看到的也只是密文。我在日常工作中对用户的建议永远是核心流量一律走加密协议不要在明文HTTP里传输任何敏感信息然后结合网络侧的DAI和主机侧的巡检多层防护才能让ARP攻击发挥不出作用。5.4 一劳永逸的思路把信任机制升级从协议设计角度看ARP攻击的根源是信任广播。要让内网变得更安全光靠静态绑定和DAI还不够得把信任机制升级一下。现在越来越多企业内网在接入层启用802.1X认证。它要求终端设备先通过身份认证才有资格访问网络资源这就在源头上把能不能接入网络和接入后是谁绑定起来ARP伪装难度大得多。你也可以把有线和无线接入统一纳入准入体系让访客终端和办公终端处在不同的VLAN里进一步收紧广播域——因为ARP攻击是广播域内的攻击减小广播域本身就是一种防御。还有一件事值得留意IPv6环境里的邻居发现协议NDP同样存在类似ARP欺骗的问题比如伪造邻居通告报文。别以为升级到IPv6就高枕无忧了防护思路是一致的——要么在交换机上开启RARouter Advertisement保护要么在终端上配置SeNDSecure Neighbor Discovery本质都是不轻信未经认证的邻居消息。讲到这里整条ARP攻击与防御的链路就完整了。我个人在实际操作中最大的体会是攻击演示本身并不难难的是始终带着实验结束必须恢复环境的意识以及带着我是为了看清楚防御点在哪的目的去做实验。建议你也动手搭一套三虚拟机环境在完全隔离的沙盒里把单边欺骗、双向欺骗、DNS劫持依次跑一遍再用DAI和静态绑定反击回去。每个环节抓包留档多对比几次你对这套机制的理解绝对比看十篇文章都扎实。
