Reference:
1.嚴格來說不是改gateway的arp table(gateway通常是一台router或是adsl小烏龜,netcut沒有權限是無法登入修改裡面的設定的),而是不斷的發送錯誤arp封 包(錯誤的reply封包),讓區網內的電腦無法將封包正確的送出區網,造成無法連到區網外部的情況.
2.只是單方面的arp綁定是有漏洞的,比較完整的做法是雙向綁定,也就是包含gateway上的設定以及機台上的設定都要做到靜態綁定(arp -s)的動作
來源:資安論壇
週六, 十二月 16, 2006, 20:18 - 電腦共合國
這幾個星期宿舍有部分地區出現ARP攻擊的情況,造成零星災情(癱瘓整個網段或幾寢室不等),為了維護多數使用者的權益,關閉發送ARP攻擊封包的部分網 孔(封鎖IP無效,ARP運作在L2),事件發生至此暫時落幕,緊接而來的抱怨癱瘓了網管人員(每個人都裝無辜[凸]),於是又恢復連線,剛開始沒有異 狀,直到半夜...!@#$%^&*()@$@%$#^#
Netcut症狀
1.網路時好時壞(5-10分鐘斷一次)
2."修復連線"後正常
3.arp -a指令查到的閘道位址與事實不符
網路上找了一下發現大部分流傳的解決方法是把閘道寫入static arp table,不過這個方法在小弟實測後破功,可能是新版的netcut(2.06)不只會欺騙目標電腦也會欺騙閘道,除非閘道也寫入static arp table不過宿舍設備沒有這個功能,就算目標電腦沒有被欺騙但是閘道會被欺騙,根據網路上的資料顯示目前有做ARP防護的交換器並不多,難道就這樣擺濫 嗎?終於我在網路上找到一個用vb寫的arp table清除工具,他會自動去清除ARP Cache的資料,小弟就模仿用Java寫了一個
Anti-netcut,這個工具會每隔1.8秒執行一次"arp -d *"指令,當網路程式要連線時找不到閘道MAC會送出詢問,這樣就能修正在閘道上錯誤的MAC,不過這個程式造成網路上ARP廣播封包增加的情況。
說這麼多似乎都沒有講到怎麼抓ARP攻擊,這個要從這些ARP攻擊程式是怎麼來的說起,一直以來我們都認為只有Netcut會造成這樣的情況(因 為他比較有名,操作也比較簡單),直到小弟在網路上找到幾篇網咖業者的討論文,內容是說最近某款遊戲的外掛含有ARP攻擊的"附加功能",後來小弟去求證 這個消息,發現滿多款外掛都會這樣...!@#$%^&*(%^&#%^*
抓ARP攻擊只有一個方法那就是用Sniffer去看網路上的ARP封包
1.Wireshark(原Ethereal)
2.Anti-arp Sniffer
來源:http://nansen.ispaz.blogdns.org/blog/index.php?entry=entry061216-201836