局域网安全攻防

Mac洪水攻击和防护

mac学习机制

一开始，该交换机中没有mac地址表信息，则该交换机应该学习一下，如果将两个主机PC1和PC2连接到该交换机，则当PC1要与PC2通信时，PC1的数据帧交换机局域网交换机安全，交换机将在交换机的mac表中记录PC1的MAC地址和连接到PC1的端口，但是交换机的mac地址表不包含PC2的mac地址信息和端口绑定，因此交换机将把数据帧发送到完整的网络发送广播. 当主机接收到数据帧时，它将比较目标MAC地址与自己的目标MAC地址. 如果相同，它将作出响应；如果不同，则将被丢弃. 当PC2接收到具有相同mac地址的数据帧时，它将做出响应. 当响应的数据帧流过交换机时，交换机会将响应的数据帧的mac地址信息和输入的端口记录在交换机的mac地址表中，然后交换机将查找目标mac响应数据帧对应的地址当交换机发现PC1的MAC地址表信息已经存在时，将根据绑定到PC1的端口号直接将响应数据帧发送给PC1，从而完成MAC地址学习.

mac老化机制

如果交换机很长时间未与主机通信，则它将从mac地址表中删除主机的mac地址，并在下次通信时再次学习该地址.

Mac地址泛洪攻击

通过伪造许多未知的MAC地址进行通信. 交换机继续学习后，交换机的mac地址表已满，老化后无法将正常的主机mac地址添加到交换机的mac地址表中. 强制将交换机广播，以便攻击主机可以获取两个主机之间的通信数据

Mac地址泛洪攻击测试

实验环境:

kali中有一个名为macof的工具，可以用于mac Flood攻击测试. 这次使用macof在攻击机上进行测试，其IP地址为192.168.2.130

以下实验中使用的开关均使用中国数字DCRS6200设备

PC1是Windows XP主机，其IP地址为192.168.2.140

PC2是中国数字设备的DCFW防火墙，其IP地址为192.168.2.2

开始测试

在攻击之前，我们首先检查交换机的mac地址信息

使用macof的Macof泛洪攻击

再次检查交换机的mac地址表，您可以看到mac地址表中充满了许多伪造的mac

现在在PC1（即PC2）上访问DCFW，并打开wireshark进行

wireshark过滤规则是ip.addr == 192.168.2.140和http

可以在Wireshark上监视PC1传递的用户名和密码

针对Mac泛洪攻击的保护

进行mac洪泛攻击时，交换机的CPU使用率很高

1. 可以在攻击者所连接的端口上配置端口安全性功能，以防止攻击者发起mac泛洪攻击

CS6200-28X-EI（config-if-ethernet1 / 0/5）#sw port-security#启用端口安全性

CS6200-28X-EI（config-if-ethernet1 / 0/5）#sw端口安全性最大值5#将接口上允许的最大MAC地址数设置为5

CS6200-28X-EI（config-if-ethernet1 / 0/5）#sw端口安全性MAC地址00-0c-29-b0-81-4f#绑定指定的mac地址并将其添加到交换机在交换机的运行配置中，交换机的端口接收源mac数据帧，并将其与设置的mac地址进行比较. 如果它们是一致的，它们将被转发. 如果不一致，则将丢弃源mac数据帧

DCRS（config-if-ethernet1 / 0/5）#sw port-security mac-address sticky#启用mac地址粘性，粘性可以配置端口以动态获取MAC地址，然后将这些MAC地址保存到运行中组态. 如果禁用了“端口安全性”功能，则粘性安全性MAC地址将保留在运行的配置中.

DCRS（config-if-ethernet1 / 0/5）#sw端口安全违反限制#将安全违反操作设置为安全违反限制模式. 默认情况下，它是安全关闭模式. 安全违反限制模式将丢弃地址中未经授权的数据帧，创建日志消息并发送SNMP陷阱消息. 可以将DCRS（config-if-ethernet1 / 0/5）#sw端口安全冲突用于其他安全冲突操作吗？看看

2. 配置访问管理功能还可以阻止攻击机发起的Mac Flood攻击

AM（访问管理），也称为访问管理，它使用信息（源IP地址

）收到的数据包

将

或源IP +源MAC）与配置的硬件地址池（AM池）进行比较，如果找到，则将其转发，否则将其丢弃.

DCRS（config）#am enable#在配置模式下启用身份验证管理

DCRS（config-if-ethernet1 / 0/5）#am port#输入攻击机器的接口并配置端口启用

DCRS（config-if-ethernet1 / 0/5）#am mac-ip-pool 01-00-5e-00-00-16 192.168.2.22#配置mac-ip地址池并指定用户的源MAC地址和源IP地址信息，启用AM后，AM模块将拒绝所有IP数据包（仅允许IP地址池中成员的源地址通过）

arp欺骗攻击与保护

ARP协议

ARP（地址解析协议）通过解析网络层地址以找到网络协议数据包中的数据链路层地址，是网络协议数据包中极为重要的网络传输协议. 以太网协议中规定，同一局域网中的主机需要知道目标主机的MAC地址才能直接与另一主机通信. 在TCP / IP协议中，网络层和传输层仅关心目标主机的IP地址. 这导致以下事实: 当在以太网中使用IP协议时，数据链路层的以太网协议仅接收上层IP协议提供的数据中目标主机的IP地址. 因此，需要一种根据目的主机的IP地址获取目的主机的MAC地址的方法. 这就是ARP协议的作用. 所谓的地址解析是主机在发送帧之前将目标IP地址转换为目标MAC地址的过程.

每个安装了TCP / IP协议的主机（包括网关）都有一个ARP缓存表. 该表中存储了该网络中每台计算机的IP地址和MAC地址之间的映射关系.

如果PC1要与PC2通信，它将首先检查其自己的ARP缓存表. 如果PC2的IP地址和MAC地址之间存在映射关系，它将直接将数据帧发送到PC2. 如果不是，它将广播ARP请求和请求. 包含PC2的IP地址. 当PC2收到来自PC1的ARP请求时，它将PC1的IP地址和Mac地址存储在其ARP缓存表中，然后将ARP答复回复给PC1. 这时，PC1收到回复，PC-2 IP地址和PC-2 MAC地址将被缓存在arp表中.

ARP欺骗的原理

假设PC3是攻击机，则PC3将向PC1发送ARP请求，请求中的IP地址是PC2的IP地址，而Mac地址是PC3的地址，并且还将向PC2的IP地址为PC1的IP地址，Mac地址为PC3的MAC地址，因此PC1和PC2在ARP缓存表中都具有PC3的Mac地址. 如果PC1和PC2相互通信，则它们实际上会将数据发送到PC3. 将数据帧从PC3转发到目标地址，实际上PC3在这里充当中间人，从而完成了ARP欺骗

ARP攻击测试

此测试是为了测试局域网中IP为192.168.179.131的主机

首先，您需要在攻击机器上启用IP转发功能

查看目标主机的arp缓存表

开始攻击. 此处使用命令行工具arpspoof. 在Kali中，有许多用于ARP欺骗的工具. 如果使用图形界面进行操作，则可以选择ettercap工具

再次检查目标主机的arp高速缓存表，发现网关的MAC地址已更改为攻击机的MAC地址. ARP欺骗成功. 目前，您可以使用一些数据包捕获工具来获取他的信息

ARP欺骗保护

1. 配置访问管理功能以防止攻击者发起的arp欺骗攻击

内容与Mac Flood防御方法相同

2. 配置IP DHCP侦听绑定功能以防止攻击者发起的arp欺骗

DHCP侦听将创建DHCP侦听绑定表. 对于绑定表中已经存在的与mac和ip相关的主机，无论是通过dhcp获取还是通过静态指定局域网交换机安全，只要它与该表匹配即可. 如果它不在表中，则会阻止相应的流量.

DCRS（Config）#ip dhcp snooping enable#启用DHCP Snooping功能

DCRS（Config）#ip dhcp绑定启用

DCRS（Config）#ip dhcp snooping绑定arp

DCRS（Config）#interface以太网0/0/1

DCRS（Config-Ethernet0 / 0/1）#ip dhcp snooping trust#将接口配置为可信接口

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-265084-1.html