LINUX下ARP欺骗攻击说明与防范

一、关于ARP欺骗的说明
    近期来，很多网吧遭遇一类病毒，导致网吧频繁断线，具体的原因，是因为某些外挂和应用程序携带了一种能进行ARP欺骗的病毒。ARP欺骗其实并不是新鲜的事情，很多老的网吧工具工具，譬如网络执法官等，就是使用ARP攻击来导致网吧整体或者部分机器掉线的。
    ARP是工作在IP层与数据链路层之间的一个桥梁，起的作用是查询给定的IP地址所对应的网卡物理地址(MAC地址)。虽然我们在平时和网络上的机器通信的时候，我们一般是给定了对方的IP地址，看起来，我们是通过IP地址和对方进行通信的，好像只要知道对方的IP地址，我们就可以和对方通信了。实际上并不是这样，IP是一个高层的协议，实际上，计算机之间的连接建立还是要依赖于低层的电信号或者光信号，还是需要在媒介这个层次进行连接和通信。而用来标示数据链路的地址就是MAC地址。MAC地址是网卡在出厂的时候就烧制在网卡的芯片上的，理论上来讲，这一地址是全球唯一的。当然，也可以通过程序来更改这一地址。
    当我们需要跟某一IP地址进行通信的时候，本机的操作系统会根据所设置的IP地址和子网掩码来判断目标地址和自己是否处于同IP网络中，如果在同一IP网络，则操作系统会通过目标地址的IP地址来查询对端的MAC地址，然后和对端在数据链路层建立连接；如果目标地址和自身不在同一IP网络，则本机会查询网关的MAC地址，和网关在数据链路层建立连接。而完成通过IP地址解析MAC地址的内核模块，就是ARP(Address Resolution Protocol)。
    而目前引起网吧频繁掉线的病毒，其原理就是对正常的ARP解吸工作进行了干扰和欺骗。一方面，它欺骗网关，将网关上的MAC地址与IP地址对应关系搞混乱，这样，网关就无法和工作站建立正确的数据链路层的连接，依赖与数据链路层的TCP/UDP连接就更无法正常进行了。另一方面，它欺骗客户端，将客户端上网关的MAC地址篡改，这样就会导致工作站无法正确的在数据链路层上和网关建立联系，也就失去了和外网的连接。
    由于ARP协议在工作的时候，并不进行验证和确认，Windows类操作系统，只要接受到ARP REPLY的信息，马上就会更新自己的ARP缓存表。而数据链路层的协议，本身就缺乏安全机制，因此，ARP欺骗是很难防御的，尤其是在网吧环境中，缺乏比较好的网络设备的情况下。胜天网络紧急开发出的防ARP欺骗程序只是一个应急版本，可以有效的防御针对网关和客户端的ARP欺骗，不仅可以应对目前的病毒ARP攻击，也可以有效的防御认为的使用工具进行的ARP攻击。