| 网站首页 | 范文 | 演讲致词 | 汇报体会 | 总结报告 | 公文方案 | 领导讲话 | 党建工会 | 论文 | 文档 | 书信 | 
您现在的位置: 范文大全网 >> 论文 >> 计算机论文 >> 正文 用户登录 新用户注册
解析ARP病毒攻击技术与防御策略           
解析ARP病毒攻击技术与防御策略
【摘 要】arp病毒位列十大病毒排行榜第四位,而且目前arp地址欺骗技术已经被越来越多的病毒所采用,成为病毒发展的一个新趋势。本文还较深入和直观地介绍了arp协议的基本原理、基本工作过程、arp欺骗技术以及其对策,
【关键词】arp协议 arp欺骗

近年来,arp攻击十分频繁,arp病毒位列十大病毒排行榜第四位,而且目前arp地址欺骗技术已经被越来越多的病毒所采用,成为病毒发展的一个新趋势。如何防范arp攻击越来越受到了网管的重视。

一、arp协议工作原理

在tcp/ip协议中,每一个网络结点是用ip地址标识的,ip地址是一个逻辑地址。而在以太网中数据包是靠48位mac地址(物理地址)寻址的。因此,必须建立ip地址与mac地址之间的对应(映射)关系,arp协议就是为完成这个工作而设计的。
tcp/ip协议栈维护着一个arp cache表,在构造网络数据包时,首先从arp表中找目标ip对应的mac地址,如果找不到,就发一个arp request广播包,请求具有该ip地址的主机报告它的mac地址,当收到目标ip所有者的arp reply后,更新arp cache.arp cache有老化机制。
arp协议是建立在信任局域网内所有结点的基础上的,它很高效,但却不安全。它是无状态的协议,不会检查自己是否发过请求包,也不管(其实也不知道)是否是合法的应答,只要收到目标mac是自己的arp reply包或arp广播包(包括arp request和arp reply),都会接受并缓存。LOcAlhOsT这就为arp欺骗提供了可能,恶意节点可以发布虚假的arp报文从而影响网内结点的通信,甚至可以做“中间人”。

二、arp病毒分析

当局域网内某台主机运行arp欺骗的木马程序时,会欺骗局域网内所有主机和路由器,让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网,切换的时候用户会断一次线。切换到病毒主机上网后,如果用户已经登陆了传奇服务器,那么病毒主机就会经常伪造断线的假像,那么用户就得重新登录传奇服务器,这样病毒主机就可以盗号了。
下面就bkdr_npfect.a病毒进行分析
1.病毒的组件
本文研究的病毒样本有三个组件构成:
%windows%\\system32\\loadhw.exe(108,386 bytes)……病毒组件释放者”
%windows%\\system32\\drivers\\npf.sys(119,808 bytes)……“发arp欺骗包的驱动程序”
%windows%\\system32\\msitinit.dll (39,952 bytes)……“命令驱动程序发arp欺骗包的控制者”
2.病毒运作基理
loadhw.exe执行时会释放两个组件npf.sys和msitinit.dll。
loadhw.exe释放组件后即终止运行。
注意:病毒假冒成winpcap的驱动程序,并提供winpcap的功能。客户若原先装有winpcap,npf.sys将会被病毒文件覆盖掉。随后msitinit.dll将npf.sys注册(并监视)为内核级驱动设备:“netgroup packet filter driver”msitinit.dll还负责发送指令来操作驱动程序npf.sys (如发送apr欺骗包,抓包,过滤包等)以下从病毒代码中提取得服务相关值:binarypathname="system32\\drivers\\npf.sys"starttype= service_auto_startservicetype=service_kernel_driverdesiredaccess= service_all_accessdisplayname = "netgroup packet filter driver"servicename = "npf"并将loadhw.exe注册为自启动程序:[hkey_local_machine\\software\\microsoft\\\currentversion\\runonce] dwmytest =loadhw.exe注:由于该项位于runonce下,该注册表启动项在每次执行后,即会被系统自动删除。

三、查找arp攻击源头

定位arp攻击源头
主动定位方式:因为所有的arp攻击源都会有其特征——网卡会处于混杂模式,可以通过arpkiller这样的工具扫描网内有哪台机器的网卡是处于混杂模式的,从而判断这台机器有可能就是“元凶”。
被动定位方式:在局域网发生arp攻击时,查看交换机的动态arp表中的内容,确定攻击源的mac地址;也可以在局域居于网中部署sniffer工具,定位arp攻击源的mac。
使用nbtscan可以取到pc的真实ip地址、机器名和mac地址,如果有“arp攻击”在做怪,可以找到装有arp攻击的pc的ip、机器名和mac地址。
命令:“nbtscan -r 192.168.16.0/24”(搜索整个192.168.16.0/24网段,即192.168.16.1-192.168.16.254);或“nbtscan 192.168.16.25-137”搜索192.168.16.25-137网段,即192.168.16.25-192.168.16.137。输出结果第一列是ip地址,最后一列是mac地址。

四、arp防御对策

各种网络安全的对策都是相对的,主要要看网管平时对网络安全的重视性了。下面介始一

[1] [2] 下一页

  • 上一个论文:

  • 下一个论文:


  • 看了《解析ARP病毒攻击技术与防御策略》的网友还看了:
    [今日更新]从社会语言学角度解析幽默笑话
    [今日更新]工程管理理论解析与体系构建
    [今日更新]从传播学的角度解析当前热门网络事件
    [免费范文]解析当前中国体育社团
    [免费范文]解析当前体育教学中学生胆怯心理的形成及克服方法
    [免费范文]解析当前义务教育阶段学校体操教学与改革
    [免费范文]解析乒乓球比赛心理干预问题
    [免费范文]解析当前体育专业大学生人格问题
    [免费范文]解析当前川渝地区高校体育产业发展问题
    [法律论文]解析保险合同之不可抗辩条款

    计算机论文
    普通论文网络运行中掉话问题的研究分析
    普通论文计算机局域网的安全性分析
    普通论文探析网络辅助答疑系统的设计与实
    普通论文浅谈云计算在中小型图书馆中的应
    普通论文浅谈计算机在森林病虫害预测预报
    普通论文论基于人工智能的计算机辅助教学
    普通论文试论情景教学模式在高职计算机教
    普通论文软交换的网络结构及其安全方案探
    普通论文浅谈安防行业网站的SEO项目实
    普通论文永煤矿区铁路城郊站储装运改造方
    普通论文研究网格计算相关技术与应用
    普通论文试论大型系统软件项目管理的方法
    论文
    普通论文[免费范文]零售之王沃尔玛如何让员
    普通论文[法律论文]关于我国股东代表诉讼制
    普通论文[免费范文]企业家应具备八大战略观
    普通论文[今日更新]浅谈中国当前的收入差距
    普通论文[今日更新]浅谈初中数学教师的数学
    普通论文[经济论文]股指期货——中国资本市
    普通论文[企业管理]试析高校学生公窝管理的
    普通论文[免费范文]xx市环保局文明单位自查
    范文大全
    普通范文[演讲稿]电力局党政工新年演讲稿
    普通范文[范文大全]电子商务项目可行性研究
    普通范文[范文大全]学校食堂管理工作汇报
    普通范文[范文大全]年终考察干部动员讲话
    普通范文[范文大全]第一季度人事劳动工作情
    普通范文[范文大全]供销联社党委关于发展党
    普通范文[科学发展观]乡镇干部科学发展观民主
    普通范文[范文大全]县财政局驻村工作队工作
    演讲致词
    普通演讲[开业开幕]在招商引资项目签约仪式上
    普通演讲[会议发言稿]强化责任  负重拼搏
    普通演讲[会议发言稿]高三教师表彰会发言稿
    普通演讲[竞聘演讲稿]税务副处级干部竞聘演讲辞
    普通演讲[交际礼仪范文]怎样交流有学问 避免谈话雷
    普通演讲[开业开幕]通信分公司开业庆典主持词
    工作范文
    普通公文方案[常用公文]学校关于开展德育工作争星
    普通公文方案[公文写作]关于全市农业产业化龙头企
    普通总结[调研报告]粮食批发市场调研报告
    普通公文方案[公文写作]项目管理过程中风险分析的
    普通总结[工作计划]学院共青团工作要点
    普通公文方案[公文写作]公司电话管理规定
    普通公文方案[公文写作]信访稳定工作责任制实施意
    普通公文方案[公文写作]“供电连万家”团员“五四
    普通汇报体会[征文演讲]某县林业工作发展成就总结
    普通总结[工作汇报]关于召开民主生活会的情况
    普通公文方案[公文写作]网络教育与企业培训
    普通公文方案[企划方案]公安机关开展发扬传统坚定