简介一份面向网络攻防初学者的ARP欺骗验证型实验报告源自西南科技大学网络攻防与对抗课程实验三。报告基于Cain工具与Winpcap库在Windows XP与Windows 7双虚拟机环境下完整演示ARP欺骗的配置、实施与抓包验证涵盖实验背景、环境搭建、详细操作步骤、结果分析、讨论及自评并附telnet与ftp服务开启命令适合高校学生、安全爱好者对照复现或撰写实验报告时参考。实验过程细致记录了MAC地址扫描、ARP规则添加、欺骗启动和ARP缓存对比等环节能帮助读者规避初次使用Cain时常遇的配置误区。包内仅含1个doc文档大小1.99MB内容精炼但流程完整可直接作为实验指导或报告模板。已有2379人学习下载验证了其实用价值。通过阅读可掌握ARP缓存伪造、中间人攻击、网络嗅探等关键知识点同时了解Cain图形化操作与常见踩坑问题有助于快速完成同类实验并理解网络攻防对抗原理。1. 为什么网络攻防课要把ARP欺骗单列成一轮实验在“西南科技大学网络攻防与对抗实验三ARP欺骗实验”这门课里多数第一次接触网络攻防的人都会有这种错觉ARP欺骗这么老的技术还有必要专门占一次实验课这种错觉源自只把ARP欺骗当成“断网工具”。断网只是它最粗暴的一种落地形式真正值得玩味的是原理局域网通信赖以运行的ARP缓存表能被任意一台同网段主机改写而改写动作本身不触发任何告警。对网络攻防从业者来说这次实验同时揭开中间人攻击和流量审计两扇门实验目标不是“把靶机搞断线”而是验证欺骗发生在哪一步、缓存表被改成什么样子、以及事后从抓包里如何把这个过程还原出来。实验面向已经会配IP、会用Wireshark抓包、能分清二层和三层概念的人属于攻防基础链路里性价比最高的一环。2. ARP协议的工作流程与欺骗触发点2.1 从一次Ping看ARP请求与应答的完整往返当靶机ping 192.168.1.1时内核先查询ARP缓存表发现没有网关的MAC条目于是构造一个二层广播帧目标MAC填ff:ff:ff:ff:ff:ff目标IP填192.168.1.1发送端IP和发送端MAC填靶机自己的值。网关收到广播后判断目标IP是自己就回一个单播ARP应答携带“发送端IP192.168.1.1、发送端MAC网关真实MAC”。靶机把这个组合写进缓存表随后的Ping数据才被封装成以太网帧发出去。整个过程有两个容易被忽略的细节第一ARP请求是广播但应答是单播接收方不验证“应答方是否真的被询问过”只要操作码是2就可能被采纳第二交换机全程只按MAC表转发帧不关心IP与MAC的对应关系是否合理。这两个细节构成了ARP欺骗的协议基础。用抓包软件看ARP报文头部字段可以按下面这张表对照理解字段长度字段值与欺骗时的异常表现硬件类型2字节以太网为1协议类型2字节IPv4为0x0800硬件地址长度1字节以太网MAC为6协议地址长度1字节IPv4为4操作码2字节1为请求2为应答欺骗包通常用2发送端MAC6字节正常应为主机真实MAC欺骗时是攻击机MAC发送端IP4字节正常应为主机真实IP欺骗时写成被冒充者IP目标MAC6字节请求时填0应答时填请求方MAC目标IP4字节请求时填被询问的IP应答时填请求方IP2.2 欺骗能成立的三条前提第一条攻击机、靶机、网关必须在同一个二层广播域。ARP请求是广播帧出了三层设备就没人转发所以ARP欺骗天然针对内网同网段场景跨网段时先要过路由器路由器是否信任内部主机是另一回事。第二条目标机的ARP缓存不会校验应答来源合法性。Linux内核接收ARP应答时即便对应条目已经存在只要满足“接收到的应答能覆盖已有条目”的基本规则就会直接刷新缓存。这个刷新过程没有挑战应答机制也没有签名校验。第三条攻击包必须能抢在真实主机之前到达目标。arpspoof这类工具默认以每秒几十到上百次的频率持续发送伪造应答目的就是让目标机缓存长期停留在错误条目上防止被真实网关的正常应答纠正。搞懂这三条前提后面所有命令都只是在循环验证同一个事实信任不设防的二层协议只要有人愿意构造包就能篡改通信路径。2.3 实验拓扑与地址规划实验课的经典拓扑是攻击机、靶机、网关三者同处一个C类网段。如果只有一台电脑最稳妥的布置是VMware里建两台虚拟机攻击机用Kali靶机用Ubuntu或Windows网络适配器都选“仅主机模式VMnet1”这样能隔绝办公室或宿舍里的人为干扰。网关地址可以用VMware给VMnet1分配的子网网关也可以用宿主机上网卡的地址关键是三者必须互通。# 靶机上查看ARP缓存确认网关条目正常 ip neigh show # 攻击机扫描同网段存活主机确认三层可达 sudo arp-scan --interfaceeth0 --localnet# 验证连通性的最小操作交互式Ping三次 ping -c 3 192.168.1.1arp-scan输出的每一行是IP与MAC的对应关系实验开始前先用它固定一份“真实基线”。这份基线在后面验证欺骗时非常有用因为抓包里出现的任何一个非基线MAC对应网关的应答都值得多看一眼。地址规划建议如下表具体数字可以随VMware的子网段调整角色IP地址系统网卡接口攻击机192.168.1.10Kali Linuxeth0靶机192.168.1.100Ubuntu 22.04eth0网关192.168.1.1VMware虚拟网关VMnet13. 用arpspoof和Ettercap在实验网里完成双向ARP欺骗3.1 安装工具与打开内核转发Kali默认不带arpspoof需要从dsniff套件里安装。Ettercap同理。这里直接给出两条安装命令后面实验三的所有操作都依赖这两个工具# 攻击机Kali安装arpspoof与ettercap sudo apt update sudo apt install -y dsniff ettercap-text-only# 开启内核IP转发否则双向欺骗后靶机无法通过攻击机访问网关 echo 1 | sudo tee /proc/sys/net/ipv4/ip_forwardip_forward必须开因为双向欺骗的本质是让靶机和网关都把报文交给攻击机转发。若不开转发靶机Ping网关会卡在攻击机这一侧表现为“完全断网”这种结果反而掩盖了中间人转发的效果。注意/proc/sys/net/ipv4/ip_forward是临时参数重启后失效实验场景里够用。3.2 arpspoof的双向欺骗组合单一方向的arpspoof只会把靶机的网关条目指向攻击机但网关一侧还认为靶机的MAC没变这会导致靶机访问外网的响应包绕过攻击机。做中间人必须同时欺骗两个方向# 终端1欺骗靶机让靶机以为网关是攻击机的MAC sudo arpspoof -i eth0 -t 192.168.1.100 192.168.1.1 # 终端2欺骗网关让网关以为靶机是攻击机的MAC sudo arpspoof -i eth0 -t 192.168.1.1 192.168.1.100-i指定监听接口-t后面跟两个参数第一个是目标主机第二个是被冒充的主机。上述第一条命令的含义是向192.168.1.100不停发送“发送端IP192.168.1.1、发送端MAC攻击机MAC”的ARP应答第二条同理只是目标与冒充对象互换。两条命令同时运行后靶机和网关之间的双向报文都会先经过攻击机攻击机依赖已开启的IP转发功能把报文原样广播或发送出去。# 验证转发是否生效检查计数器是否增长 cat /proc/net/stat/arp_cache执行期间如果看到靶机上原本正常的Ping出现几百毫秒的延迟波动或者丢包率上升说明转发路径已经发生变化。3.3 Ettercap命令行模式做中间人Ettercap的-M arp:remote模式同时接管两个目标省去开两个终端的麻烦而且它在完成ARP欺骗后还能直接挂载抓包过滤更适合后续做流量分析。实验三里推荐用它作为arpspoof的对照实验# 中间人攻击目标网关与靶机 sudo ettercap -T -q -M arp:remote /192.168.1.1// /192.168.1.100//参数说明-T表示文本界面-q静默模式用于减少屏幕上刷屏的包数量-M arp:remote指定使用ARP欺骗的远程中间人攻击后面的两条“/IP//”分别是目标A和目标B斜杠中间的网段、端口留空表示只做ARP欺骗不做端口过滤。Ettercap启动后会自动在后台持续发送ARP应答并在屏幕上打印它看到的连接按q退出时会发送一次恢复包把目标机的ARP缓存恢复成真实状态。3.4 欺骗生效的三个可观测现象抓包之前先看三个能直接证明欺骗生效的现象这也是实验三验证环节最常见的评分点# 靶机上查看网关的ARP条目MAC应变成攻击机的MAC arp -a # 攻击机上查看收到的转发包确认能看见靶机访问网关的TCP连接 sudo tcpdump -i eth0 host 192.168.1.100 and port 80第一靶机的ARP表里网关条目MAC不再是00:50:56:e4:xx:xx而是攻击机的MAC。第二靶机Ping网关延迟明显增加因为报文在二层兜了一个圈子。第三攻击机的tcpdump能直接看到靶机发往网关的HTTP请求说明流量已经被截获。这三个现象只要出现一个欺骗链路就已经建立。4. 用Wireshark验证ARP欺骗并定位异常包4.1 抓包前的三个过滤条件Wireshark在靶机、网关和攻击机三个位置抓到的视角不同实验三建议在靶机上抓包因为靶机是被欺骗方能最直观看到异常ARP应答。打开Wireshark后先设置三个过滤表达式分别用于缩小范围和定位异常过滤表达式作用arp只看ARP报文过滤掉所有IP数据包arp.opcode 2只看ARP应答欺骗包几乎全是应答eth.addr 00:0c:29:aa:bb:01只显示攻击机MAC参与的所有帧# 命令行抓包过滤只抓ARP并显示MAC地址抓够200个包自动停止 sudo tcpdump -i eth0 arp -n -e -c 200-n不做反向域名解析-e打印帧头里的源MAC与目标MAC这两个参数是ARP分析里最常用的组合。抓包停止后把输出导入文件再用Wireshark打开能同时看文本和图形化界面。4.2 识别欺骗流量的三个特征正常的ARP请求是“谁在问”和“被问的IP”两种信息通常是一问一答。欺骗发生时抓包里会同时出现三类特征同一时刻出现大量目标IP相同但发送端MAC不同的应答说明有主机在抢答连续几秒内出现同一IP与同一MAC反复绑定的重复应答这是工具在续期欺骗应答帧的目标MAC与目标IP不匹配正常应答目标MAC一定是请求方地址而伪造包经常忽略这一点。对着4.1的抓包结果逐条比对基本能确认哪几条是攻击机发出的。4.3 从Wireshark导出可疑帧的命令行验证找出一条可疑ARP应答后记下它的Frame编号可以直接用tshark按编号导出避免在图形界面里手动复制十六进制数据# 导出第128帧的完整字段 tshark -r capture.pcap -Y frame.number 128 -V# 统计每个MAC发起的ARP应答数量数量异常者大概率是攻击机 tshark -r capture.pcap -Y arp.opcode 2 -T fields -e eth.src | sort | uniq -c第一条命令打印该帧所有协议字段能看到发送端IP与MAC是否矛盾。第二条命令统计应答次数正常网关的应答频率很低而arpspoof会把同一记录刷数十次这个计数本身就是判断依据。4.4 实验三常见失败现象与排查方法现场表现可能原因排查手段靶机ARP表刷新后又变回真实MACarpspoof进程被系统杀掉或网卡休眠攻击机前台运行命令观察是否持续输出攻击机能Ping通网关但靶机Ping不通网关仅开启单向欺骗漏掉欺骗网关那一侧检查两个arpspoof终端是否都在运行Wireshark抓不到任何ARP包三层交换机开启了DAI或端口安全换到汇聚交换机端口或使用“仅主机”模式靶机显示网关MAC正确但网页打不开开启了转发但关闭了NAT或路由规则查看iptables -t nat -L POSTROUTING是否缺失MASQUERADE5. 实验后的加固静态ARP绑定与交换机端口安全5.1 在网关与终端双向做ARP条目固化实验三的防御落地点首推静态ARP绑定。它的思路是把“IP-MAC”对应关系写死在系统缓存里让内核不再接受任何动态ARP应答的覆盖。Linux和Windows都有对应的固化命令# Linux靶机上把网关IP固定到真实MAC sudo ip neigh replace 192.168.1.1 lladdr 00:50:56:e4:xx:xx dev eth0 nud permanent# Windows靶机上把网关IP固定到真实MAC netsh interface ipv4 set neighbors 12 192.168.1.1 00-50-56-e4-xx-xxnud permanent表示邻居状态永久有效与此相对的是nud stale和nud reachable后者仍会被ARP应答刷新。静态绑定后攻击机再发伪造应答靶机会因为缓存条目处于permanent状态而直接丢弃。但要注意这条链路只防住了终端侧网关一侧同样需要做绑定否则流量路径依然可能被截断。5.2 用arptables丢弃非授权ARP应答静态绑定适合主机数量少的实验网生产网段主机一多就只能靠交换机和访问控制兜底。Linux上可以用arptables在主机侧做一道包过滤把来源IP与来源MAC不匹配的ARP包直接丢掉# 安装arptables并清空默认规则 sudo apt install -y arptables sudo arptables -F # 网关IP的应答包里MAC不是真实网关MAC的一律丢弃 sudo arptables -A INPUT -s 192.168.1.1 --source-mac ! 00:50:56:e4:xx:xx -j DROP# 查看当前生效的ARP过滤规则 sudo arptables -L -v-s 192.168.1.1匹配声称自己是网关IP的包--source-mac后面的“非”语法表示只要源MAC不是指定值就命中规则-j DROP丢弃。这个规则放在攻击机与靶机两台机器上都有效实验验证时重新运行arpspoof再用arptables -L -v看计数器增长情况即可确认拦截生效。5.3 验证加固效果的三个动作第一重新运行arpspoof持续欺骗五分钟后在靶机执行arp -a观察网关MAC是否仍然指向真实MAC。第二攻击机上运行tcpdump抓包统计到达靶机的ARP包数量能收到包且靶机缓存不变说明包被上层丢掉。第三用ip neigh show检查靶机邻居条目状态permanent条目的state一列应显示PERMANENT出现STALE或REACHABLE说明绑定未生效或系统版本对状态处理不同。这套组合做完ARP欺骗从构造、触发、验收到防御形成闭环复盘时只需回看抓包文件和arptables的计数就能一条条说清每步改了什么这也是实验三最值得保留的交付物。本文还有配套的精品资源点击获取