ARP攻击软件画画,描述ARP欺骗攻击的方法

导航：

• 1、受到Arp攻击怎么办？
• 2、ARP攻击---老问题
• 3、ARP欺骗攻击
• 4、什么是ARP软件？？？急！！！！

受到Arp攻击怎么办？

安装金山arp防火墙。

然后下载WinArpAttacker反击。

杀毒软件可能会对这个软件报毒，跳过就可以了。

----------------------------------

WinArpAttacker3.5中文教学手册

今天我们来学习一下WinArpAttacker这个ARP攻击软件的使用方法。

WinArpAttacker的界面分为四块输出区域。

第一个区域：主机列表区，显示的信息有局域网内的机器IP、MAC、主机名、是否在线、是否在监听、是否处于被攻击状态。

另外，还有一些ARP数据包和转发数据包统计信息，如

ArpSQ：是该机器的发送ARP请求包的个数

ArpSP：是该机器的发送回应包个数

ArpRQ：是该机器的接收请求包个数

ArpRQ：是该机器的接收回应包个数

Packets:是转发的数据包个数，这个信息在进行SPOOF时才有用。

Traffic：转发的流量，是K为单位，这个信息在进行SPOOF时才有用。

第二个区域是检测事件显示区，在这里显示检测到的主机状态变化和攻击事件。能够检测的事件列表请看英文说明文档。

主要有IP冲突、扫描、SPOOF监听、本地ARP表改变、新机器上线等。当你用鼠标在上面移动时，会显示对于该事件的说明。

第三个区域显示的是本机的ARP表中的项，这对于实时监控本机ARP表变化，防止别人进行SPOOF攻击是很有好处的。

第四个区域是信息显示区，主要显示软件运行时的一些输出，如果运行有错误，则都会从这里输出。

好，软件界面就讲到这里。

下面我们来说明一下几个重要功能。

一、扫描。

当点击“Scan”工具栏的图标时，软件会自动扫描局域网上的机器。并且显示在其中。

当点击“Scan checked"时，要求在机器列表中选定一些机器才扫描，目的是扫描这些选定机器的情况。

当点击"Advanced"时，会弹出一个扫描框。这个扫描框有三个扫描方式。

第一个是扫描一个主机，获得其MAC地址。

第二个方式是扫描一个网络范围，可以是一个C类地址，也可以是一个B类地址，建议不要用B类地址扫描，因为太费时间，对网络有些影响。

可设为本地的C类地址扫描，也可设为另一个C类地址，如192.168.0.1－254。也可以扫描成功。

第三个方式是多网段扫描，如果本机存在两个以上IP地址，就会出现两个子网选项。下面有两个选项，一个是正常扫描，扫描在不在线，另一个是反监听扫描，可以把

正在监听的机器扫描出来。

好，扫描功能就这些。下面我们讲攻击。

二、攻击

攻击功能有六个：

FLOOD：不间断的IP冲突攻击

BANGATEWAY：禁止上网

IPConflict：定时的IP冲突

SniffGateway：监听选定机器与网关的通讯

SniffHosts：监听选定的几台机器之间的通讯

SniffLan：监听整个网络任意机器之间的通讯，这个功能过于危险，可能会把整个网络搞乱，建议不要乱用。

所有的攻击在你觉得可以停止后都要点击STOP停止，否则将会一直进行。

FLOOD：选定机器，在攻击中选择FLOOD攻击，FLOOD攻击默认是一千次，你可以在选项中改变这个数值。

FLOOD攻击可使对方机器弹出IP冲突对话框，导致当机，因而要小心使用。

BANGATEWAY：选定机器，选择BANGATEWAY攻击。可使对方机器不能上网。

IPConflict：会使对方机器弹出IP冲突对话框。这次用本机来演示。

SniffGateway：监听对方机器的上网流量。发动攻击后用抓包软件来抓包看内容。我们可以看到Packets、

Traffic两个统计数据正在增加。我们现在已经可以看到对方机器的上网流量。

SniffHosts和SniffLan也类似，因而不再演示。

在选项中可以对攻击时间和行为进行控制。除了FLOOD是次数外，其他的都是持续的时间，如果是0则不停止。

下面的三个选项，一个是攻击后自动恢复ARP表，其他两个是为了保证被监听机器能正常上网因而要进行数据转发。建议都保持选择。

在检测事件列表中，我们刚才进行的攻击已经在检测事件列表中被检测出来。你在这里可以看到是否有人对你

进行攻击，以便采取措施。

好，攻击功能介绍到这里。

三、选项

Adapter是选择要绑定的网卡和IP地址，以及网关IP、MAC等信息。有时一个电脑中有许多网卡，你要选择正确的以太网网卡。

一个网卡也可以有多个IP地址，你要选择你要选择的那个IP地址。网关也是一样。

如果你在Gateway Mac中看到的是全0的MAC，那么可能没有正确获得网关MAC。你可以刷新一下来重新获得。

UPDATE是针对机器列表的更新来说的，其中有两个选项，

第一个是定时扫描网络来更新机器列表。

第二个是被动监听，从过往的数据包中获取新机器的信息。定时扫描可设定扫描间隔时间。

被动监听可以选择数据包类型，因为一些数据包可以是假的，因而获得的IP和MAC对可能是错误的。

所以要仔细选择。

DETECT第一个选项是说是不是要一运行就开始检测，第二个数据包个数是指每秒达到多少个数据包时才被认为是扫描，这个是与检测事件输出有关的。

第三个是在多少的时间内我们把许多相同的事件认为是一个事件，如扫描，扫描一个C网段时要扫描254个机器，会产生254个事件，当这些事件都在一定时间内

（默认是5分钟时，只输出一个扫描事件。）

ANALYSIS：只是一个保存数据包功能，供高级用户分析。

ARP代理：当你启用代理功能之后，这些选项才会有效。在Arp Packet Send Mode中，是要选择当谁发送ARP请求包时我要回应，

在Mac address中是要选定回应什么MAC地址，可以是本机、网关或者一个任意的MAC。

当局域网内的机器要访问其他机器或网关时，它会发出ARP请求询问包，如果你启用了该功能，软件就会自动回应你设定的MAC地址，因而你如果设的是错误的MAC，则许多机器可能都上不了网。

PROTECT：这是一个保护功能，当有人对你或者局域网内的机器进行ARP监听攻击时，它可以自动阻止。

其中有两个选项，一个是本机防护，防护本机不被SPOOF，第二是远程防护，也就是防护其它机器。不过估计第二个功能实现得不会好，因而SPOOF另外两机器时，

ARP包是不大可能到达本机的。但是本机防护还是较为实用。当你对本机进行禁止上网攻击时，软件能正确地检测到四个事件：

两个禁止访问事件，说0.0.0.0发送特别ARP包禁止本机和网关192.168.253.1通讯，第三个事件说一个IP－MAC对加入到本机ARP表中，且是错误的IP－MAC对，

最后一个事件说01-01-01-01-01-01已经被修改成正确的MAC:00-11-22-33-44-54，这就是PROTECT起作用了，软件根据机器列表中的MAC地址修改了ARP中的错误MAC。

下面的软件运行信息也证实了这一点。

四、手动发送ARP包

再讲一下手动发送ARP包的功能，这是给高级用户使用的，要对ARP包的结构比较熟悉才行。如果你知道ARP攻击原理，你可以在这里手工制作出任何攻击包。

按照以下步骤制作一个IP冲突包，冲突的对象是本机。

目标MAC是本机，源MAC可以是任意的MAC，目标IP和源IP都是本机IP，做完后发送试试。

如果操作正确你会看到IP冲突报警，软件也有检测出来，这是IP冲突包。

大家可以试试多种组合来测试一下，看看检测效果。

好了，WinArpAttacker的基本功能介绍就到这里，其他功能大家可以自己去试试，BYEBYE！

ARP攻击---老问题

ARP协议是“Address Resolution Protocol”（地址解析协议）ARP攻击软件画画的缩写。在局域网中，网络中实际传输ARP攻击软件画画的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

ARP协议的工作原理

在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的

我们以主机A（192.168.1.5）向主机B（192.168.1.1）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.1.1的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.1.1的MAC地址是00-aa-00-62-c6-09”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。

ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。

ARP攻击主要是存在于局域网网络中，局域网中若有一个人感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。

查看ARP缓存表

ARP缓存表是可以查看的，也可以添加和修改。在命令提示符下，输入“arp -a”就可以查看ARP缓存表中的内容了，

用“arp -d”命令可以删除ARP表中所有的内容；

用“arp -d +空格+ 指定ip地址” 可以删除指定ip所在行的内容

用“arp -s”可以手动在ARP表中指定IP地址与MAC地址的对应，类型为static(静态)，此项存在硬盘中，而不是缓存表，计算机重新启动后仍然存在，且遵循静态优于动态的原则，所以这个设置不对，可能导致无法上网.

ARP欺骗

其实，此起彼伏的瞬间掉线或大面积的断网大都是ARP欺骗在作怪。

从影响网络连接通畅的方式来看，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。

第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。

ARP欺骗木马只需成功感染一台电脑，就可能导致整个局域网都无法上网，严重的甚至可能带来整个网络的瘫痪。该木马发作时除了会导致同一局域网内的其他用户上网出现时断时续的现象外，还会窃取用户密码。如盗取QQ密码、盗取各种网络游戏密码和账号去做金钱交易，盗窃网上银行账号来做非法交易活动等，

维护方法

目前对于ARP攻击防护问题出现最多是绑定IP和MAC和使用ARP防护软件，也出现了具有ARP防护功能的路由器。我们来这三种方法。

静态绑定

最常用的方法就是做IP和MAC静态绑定，在网内把主机和网关都做IP和MAC绑定。

欺骗是通过ARP的动态实时的规则欺骗内网机器，所以我们把ARP全部设置为静态可以解决对内网PC的欺骗，同时在网关也要进行IP和MAC的静态绑定，这样双向绑定才比较保险。

方法：

开始-运行-CMD

对每台主机进行IP和MAC地址静态绑定。

通过命令，arp -s可以实现 “arp –s IP MAC地址 ”。

例如：“arp –s 192.168.10.1 AA-AA-AA-AA-AA-AA”。

如果设置成功会在PC上面通过执行 arp -a 可以看到相关的提示：

Internet Address Physical Address Type

192.168.10.1 AA-AA-AA-AA-AA-AA static(静态)

一般不绑定,在动态的情况下：

Internet Address Physical Address Type

192.168.10.1 AA-AA-AA-AA-AA-AA dynamic(动态)

查看本机MAC：IPCONFIG/ALL

使用ARP防护软件

目前关于ARP类的防护软件出的比较多了，大家使用比较常用的ARP工具主要是欣向ARP工具，Antiarp等。它们除了本身来检测出ARP攻击外，防护的工作原理是一定频率向网络广播正确的ARP信息。我们还是来简单说下这两个小工具。

欣向ARP工具

IP/MAC清单

选择网卡。如果是单网卡不需要设置。如果是多网卡需要设置连接内网的那块网卡。

IP/MAC扫描。这里会扫描目前网络中所有的机器的IP与MAC地址。请在内网运行正常时扫描，因为这个表格将作为对之后ARP的参照。

之后的功能都需要这个表格的支持，如果出现提示无法获取IP或MAC时，就说明这里的表格里面没有相应的数据。

ARP欺骗检测

这个功能会一直检测内网是否有PC冒充表格内的IP。你可以把主要的IP设到检测表格里面，例如，路由器，电影服务器，等需要内网机器访问的机器IP。

(补充)“ARP欺骗记录”表如何理解：

“Time”：发现问题时的时间；

“sender”：发送欺骗信息的IP或MAC；

“Repeat”：欺诈信息发送的次数；

“ARP info”：是指发送欺骗信息的具体内容.如下面例子：

time sender Repeat ARP info 22:22:22 192.168.1.22 1433 192.168.1.1 is at 00:0e:03:22:02:e8

这条信息的意思是：在22:22:22的时间,检测到由192.168.1.22发出的欺骗信息，已经发送了1433次，他发送的欺骗信息的内容是：192.168.1.1的MAC地址是00:0e:03:22:02:e8。

打开检测功能，如果出现针对表内IP的欺骗，会出现提示。可以按照提示查到内网的ARP欺骗的根源。提示一句，任何机器都可以冒充其他机器发送IP与MAC，所以即使提示出某个IP或MAC在发送欺骗信息，也未必是100％的准确。所有请不要以暴力解决某些问题。

主动维护

这个功能可以直接解决ARP欺骗的掉线问题，但是并不是理想方法。他的原理就在网络内不停的广播制定的IP的正确的MAC地址。

“制定维护对象”的表格里面就是设置需要保护的IP。发包频率就是每秒发送多少个正确的包给网络内所有机器。强烈建议尽量少的广播IP，尽量少的广播频率。一般设置1次就可以，如果没有绑定IP的情况下，出现ARP欺骗，可以设置到50－100次，如果还有掉线可以设置更高，即可以实现快速解决ARP欺骗的问题。但是想真正解决ARP问题，还是请参照上面绑定方法。

欣向路由器日志

收集欣向路由器的系统日志，等功能。

抓包

类似于网络分析软件的抓包，保存格式是.cap。

ARP欺骗攻击

不知道楼主用的是不是局域网，如果是那么就是你们整个局域网内某台电脑可能开P27等局域网控制软件限制你，如果经常出现这种情况建议找局域网没其他用户沟通沟通和平共处。如果你用的不是局域网，那么就是中病毒了，很可能网络上有人攻击你，强烈建议全盘彻底杀毒。常用电脑就要养成常维护，杀毒、更新补丁的习惯，摄像头不用就拔下来，不要打开乱七八糟的网页或者程序，这样电脑就不会经常出问题了。不知道是不是满意…

什么是ARP软件？？？急！！！！

就是你的机子里可能装ARP攻击软件画画了像P2P这种用ARP攻击来限制别人网速的软件ARP攻击软件画画，把那种软件关了就可以了，因为在你的网络里还有其ARP攻击软件画画他的如反P2P，或防火墙在，所以你的ARP攻击就会掉线，你的电脑没什么事的，只是有个软件在起作用，你不想用的话把它找出来关掉就行了，建义你装个金山清理专家或超级兔子把软件关掉或卸掉就行了