剖析ARP緩存感染攻擊(1)

回顧ARP

在“計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)：什么是NIC, MAC和ARP?” ( 參見譯者的這篇譯文 ) 一文中，我們解釋了地址解析協(xié)議 (ARP, Address Resolution Protocol) 是如何將網(wǎng)絡(luò)設(shè)備的MAC地址和其IP地址關(guān)聯(lián)起來(lái)的，這樣在同一個(gè)局域網(wǎng)內(nèi)的設(shè)備就能相互知道彼此的存在。ARP基本上就是一種網(wǎng)絡(luò)上的點(diǎn)名。

ARP，一個(gè)十分簡(jiǎn)單的協(xié)議，僅僅只包含了4種消息類型：

1.  ARP請(qǐng)求。計(jì)算機(jī)A詢問整個(gè)局域網(wǎng)，“Who has this IP address?” (“誰(shuí)的IP地址是這個(gè)？”，英文為本來(lái)報(bào)文里的ASCII碼消息，譯者注)

2.  ARP響應(yīng)。計(jì)算機(jī)B告訴計(jì)算機(jī)A，“I have that IP. My MAC address is [whatever it is].” (我的IP地址是那個(gè)。我的MAC地址是[XX:XX:XX:XX:XX:XX])

4.  反向ARP請(qǐng)求。和ARP請(qǐng)求的概念一樣，但是計(jì)算機(jī)A詢問，“Who has this MAC address?” (誰(shuí)的MAC地址是這個(gè)？)

4.  反向ARP響應(yīng)。計(jì)算機(jī)B告訴計(jì)算機(jī)A，“I have that MAC. My IP address is [whatever it is]” (我的MAC地址是那個(gè)。我的IP地址是XXX. XXX. XXX. XXX)

所有的網(wǎng)絡(luò)設(shè)備都有一個(gè)ARP映射表，就是內(nèi)存里的一小段存儲(chǔ)著目前該設(shè)備已經(jīng)匹配的IP地址和MAC地址對(duì)。ARP映射表確保該設(shè)備不會(huì)向它已經(jīng)通訊過(guò)的設(shè)備重復(fù)發(fā)送ARP請(qǐng)求。

這里是一次常規(guī)的ARP通信的例子。Jessica，一個(gè)接待員，告訴Word(指我們使用的微軟文檔編輯器，譯者注)打印最新的公司通信錄。這是她今天的第一個(gè)打印任務(wù)。她的計(jì)算機(jī) (IP地址是192.168.0.16) 希望發(fā)送這個(gè)打印任務(wù)到辦公室的惠普LaserJet打印機(jī) (IP地址是192.168.0.45)。所以Jessica的計(jì)算機(jī)就會(huì)像整個(gè)局域網(wǎng)廣播一個(gè)ARP請(qǐng)求去詢問，“Who has the IP address, 192.168.0.45?” (誰(shuí)的IP地址是192.168.0.45?)，如圖1.

局域網(wǎng)內(nèi)所有的設(shè)備都會(huì)忽略這個(gè)ARP請(qǐng)求，除了惠普LaserJet打印機(jī)。這臺(tái)打印機(jī)發(fā)現(xiàn)它的IP地址就是請(qǐng)求里的IP地址，于是它發(fā)送一個(gè)ARP響應(yīng)：“嘿，我的IP地址是192.168.0.45. 這是我的MAC地址：00:90:7F:12:DE:7F”，如圖2.

現(xiàn)在Jessica的計(jì)算機(jī)知道了這臺(tái)打印機(jī)的MAC地址。它現(xiàn)在能將這個(gè)打印任務(wù)發(fā)給正確的設(shè)備(打印機(jī)，譯者注)，并且在它的ARP映射表里將打印機(jī)的MAC地址00:90:7F:12:DE:7F和它的IP地址192.168.0.45關(guān)聯(lián)起來(lái)。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]