无ARP欺骗的嗅探技术

tl)y,KuL2u8gL D0ARP欺骗的攻击和防御技术都比较成熟了，这里也不再阐述。此次重点讲解如何不用ARP欺骗进行嗅探以及会话劫持的技术原理，实际的攻击方法是进行MAC欺骗。IXPUB技术博客2On8q|h#E!S
Q
j$EJ

Y
n!zO J VO:jV0一、原理：

在开始之前我们先简单了解一下交换机转发过程：交换机的一个端口收到一个数据帧时，首先检查改数据帧的目的MAC地址在MAC地址表(CAM)对应的端口，如果目的端口与源端口不为同一个端口，则把帧从目的端口转发出去，同时更新MAC地址表中源端口与源MAC的对应关系；如果目的端口与源端口相同，则丢弃该帧。IXPUB技术博客hvr}5mo"m)S
IXPUB技术博客?%k^8],DH4op8u
有如下的工作场景：IXPUB技术博客i:H'l?3w

一个4口的switch,端口分别为Port.A、Port.B、Port.C、Port.D对应主机 A,B,C，D，其中D为网关。IXPUB技术博客(^5W3flMI'|E^

当主机A向B发送数据时，A主机按照OSI往下封装数据帧，过程中，会根据IP地址查找到B主机的MAC地址，填充到数据帧中的目的MAC地址。发送之前网卡的MAC层协议控制电路也会先做个判断，如果目的MAC相同于本网卡的MAC，则不会发送，反之网卡将这份数据发送出去。Port.A接收到数据帧，交换机按照上述的检查过程，在MAC地址表发现B的MAC地址(数据帧目的MAC)所在端口号为Port.B，而数据来源的端口号为Port.A，则交换机将数据帧从端口Port.B转发出去。B主机就收到这个数据帧了。
8{MG7E,B1J]0
)I5|6n
x EKN0图1IXPUB技术博客;r.`.J.u9JX

/L-V:sBi5p%F7I-e0这个寻址过程也可以概括为IP->MAC->PORT,ARP欺骗是欺骗了IP/MAC的应关系，而MAC欺骗则是欺骗了MAC/PORT的对应关系。比较早的攻击方法是泛洪交换机的MAC地址，这样确实会使交换机以广播模式工作从而达到嗅探的目的，但是会造成交换机负载过大，网络缓慢和丢包甚至瘫痪，我们不采用这种方法。

二、实战IXPUB技术博客)[0QB!vI `

工作环境为上述的4口swith，软件以cncert的httphijack 为例，应用为A主机劫持C主机的数据。

;M,k _T0`0G@,@0以下是劫持过程(da为目的MAC,sa为源MAC)

1.A发送任意da=网关.mac、sa=B.mac的数据包到网关。

-XvT*B1F;Qk0这样就表明b.mac 对应的是port.a，在一段时间内，交换机会把发往b.mac 的数据帧全部发到a主机。这个时间一直持续到b主机发送一个数据包，或者另外一个da=网关.mac、sa=b.mac的数据包产生前。
-]vyPqo5B#~} z0IXPUB技术博客'jr$nU*e^q^|,Y%u
图2

zRABgeY&W `02.A 主机收到网关发给B的数据，记录或修改之后要转发给B，在转发前要IXPUB技术博客7o7i/h;j0] s!~?1vb
x

发送一个请求B.MAC的广播，这个包是正常的

MAC信息为：da=FFFFFFFFFF、sa=a.mac。IXPUB技术博客'kqF/RT:a_

]H6U!p6Kk6w0这个数据帧表明了a.mac对应port.a，同时会激发b主机响应一个应答包IXPUB技术博客
z/f|A
V:M,xZ

n I$BHW'i3F2`0MAC信息为：da=a.mac、sa=b.mac

]bJoK,VI4K0这个数据帧表明了 b.mac对应port.bIXPUB技术博客FZ:@.kx

~5M P4J J0至此，对应关系已经恢复，A主机将劫持到的数据可顺利转发至B
k(\|)X
l-G0IXPUB技术博客Z+q3`f&y+JC
图3IXPUB技术博客 u.@"SOz%P

t%O}1P c4b-b u03. 转发劫持到的数据到B，完成一次劫持

(l NN)[AmD0三、攻击特点IXPUB技术博客v6G#sz)E5R

1.由于这种攻击方法具有时间分段特性，所以对方的流量越大，劫持频率也越低，网络越稳定。IXPUB技术博客
UZ+q0MzK

2.隐蔽性强，基于1的特殊性和工作本质，可以在ARP防火墙和双向绑定的环境中工作。

四、如何防护IXPUB技术博客s ^+Mo e:K

高级的交换机可以采用ip+mac+port 绑定，控制CAM表的自动学习。目前尚无软件可以防护此类攻击

五、利用工具

1.httphijack beta 2 说明：http会话劫持IXPUB技术博客T*DS
E-p ]s:|

2.ssclone 说明：交换环境下的会话复制软件(gmail,qqmail,sohumail…..)IXPUB技术博客 w
ZkT1kQ;~

3.skiller 说明：流量控制IXPUB技术博客'agM3c)u5s$X4X'QM
b)R2Aj

20088115013863