无ARP欺骗的嗅探技术

二、实战

工作环境为上述的4口swith，软件以cncert的httphijack 为例，应用为A主机劫持C主机的数据。

以下是劫持过程(da为目的MAC,sa为源MAC)

1.A发送任意da=网关.mac、sa=B.mac的数据包到网关。

这样就表明b.mac 对应的是port.a，在一段时间内，交换机会把发往b.mac 的数据帧全部发到a主机。这个时间一直持续到b主机发送一个数据包，或者另外一个da=网关.mac、sa=b.mac的数据包产生前。

图2

2.A 主机收到网关发给B的数据，记录或修改之后要转发给B，在转发前要

发送一个请求B.MAC的广播，这个包是正常的

MAC信息为：da=FFFFFFFFFF、sa=a.mac。

这个数据帧表明了a.mac对应port.a，同时会激发b主机响应一个应答包

MAC信息为：da=a.mac、sa=b.mac

这个数据帧表明了 b.mac对应port.b

至此，对应关系已经恢复，A主机将劫持到的数据可顺利转发至B

图3

3. 转发劫持到的数据到B，完成一次劫持

三、攻击特点

1.由于这种攻击方法具有时间分段特性，所以对方的流量越大，劫持频率也越低，网络越稳定。

2.隐蔽性强，基于1的特殊性和工作本质，可以在ARP防火墙和双向绑定的环境中工作。

四、如何防护

高级的交换机可以采用ip+mac+port 绑定，控制CAM表的自动学习。目前尚无软件可以防护此类攻击

五、利用工具

1.httphijack beta 2 说明：http会话劫持

2.ssclone 说明：交换环境下的会话复制软件(gmail,qqmail,sohumail…..)

3.skiller 说明：流量控制

上一页  [1] [2]