1、何使用Sniffer Pro監(jiān)控ARP欺騙 (1)2007-10-28 15:47:17     來源：互聯(lián)網(wǎng)  瀏覽次數(shù)：19  文字大小：【大】【中】【小】簡介：一、使用sniffer pro監(jiān)控ARP 實際上，使用sniffer pro程序的監(jiān)控功能可以更方便、更為迅速的幫助我們定位問題。步驟一：首先，我們在已經(jīng)做了端口鏡像的機(jī)器上啟動snffer pro程序。選擇菜單欄中MonitorDe .關(guān)鍵字：sniffer pro arp 欺騙 一、使用sniffer pro監(jiān)控ARP 實際上，使用sniffer

2、pro程序的監(jiān)控功能可以更方便、更為迅速的幫助我們定位問題。步驟一：首先，我們在已經(jīng)做了端口鏡像的機(jī)器上啟動snffer pro程序。選擇菜單欄中MonitorDefine Filter 來定義我們需要的過濾器。在彈出的define Filter對話框中選擇ProfilesNew 來新建一個過濾器，我們這里取名為ARP。圖1（點擊查看大圖）步驟二：點擊Advanced高級標(biāo)簽，我們這里選中ARP協(xié)議。單擊OK后完成過濾器的新建。圖2（點擊查看大圖）步驟三：系統(tǒng)默認(rèn)過濾器為Default，我們來選擇剛才新建過濾器ARP。首先，選擇MonitorSelect Filter。圖3（點擊查看大圖）步驟

3、四：在彈出的對話框中點擊ARP。在這里要注意的是：一定要把Apply monitor勾選。點擊確定后，過濾器定義和選擇工作準(zhǔn)備完畢。圖4（點擊查看大圖） 步驟五：鼠標(biāo)點擊工具欄中Host Table按鈕（聯(lián)網(wǎng)圖標(biāo)），在彈出的子窗口中選擇Detail工具（放大鏡圖標(biāo)）。注意觀察本圖同之前程序使用默認(rèn)Default Filter過濾器的不同之處。現(xiàn)在，按照我們的定義，監(jiān)視器內(nèi)Protocol(協(xié)議類型)僅包括IP_ARP.這對于我們查找問題，層次上更加分明。這里需要注意的是：這里的Address（地址）以IP或者機(jī)器名的形式顯示，如果顯示MAC，請先使用ToolsAddress book

4、進(jìn)行掃描，IP-MAC的顯示轉(zhuǎn)換后，將有利于我們快速定位節(jié)點。網(wǎng)內(nèi)終端中所有ARP廣播包的和，合計后等于Broadcast數(shù)據(jù)包（廣播包）。圖5（點擊查看大圖） 步驟六：我們先來觀察，在正常網(wǎng)絡(luò)狀況下，ARP協(xié)議的TOP流量分布圖，這將方便我們的區(qū)分、判斷。鼠標(biāo)點擊左邊工具欄中的Bar（柱形圖標(biāo)），我們知道Bar會將目前數(shù)據(jù)包流量排行前10位，通過動態(tài)柱型圖的方式顯示出來。同上圖的Detail（詳細(xì)顯示方式）一樣，只不過Bar在界面上對于觀察者來講更為直觀。需要注意的是：Broadcast（網(wǎng)內(nèi)所有節(jié)點的廣播）占TOP排行第一位。其它節(jié)點依次排開。但是，流量差距不大。圖6（點擊查看大

5、圖） 步驟七：我們再來觀察，網(wǎng)內(nèi)存在ARP欺騙情況時流量排行圖。請仔細(xì)對比上述兩圖。我們會發(fā)現(xiàn)問題的所在：TOP1 節(jié)點219.238.*.111占據(jù)網(wǎng)內(nèi)最大ARP流量。TOP2中的流量急速增大且與TOP3差距懸殊。我們知道，在網(wǎng)絡(luò)常的情況下，不同節(jié)點的ARP流量會有差距，但應(yīng)該相差不大。同時我們對比在網(wǎng)絡(luò)正常情況下ARP流量TOP圖，并以它做為基準(zhǔn)，問題就顯而易見了。這里需要解釋的是，Broadcast在下圖中排行第二，為什么呢？因為Broadcast是網(wǎng)內(nèi)廣播總計，但ARP分為請求（廣播）、和回應(yīng)（單播）兩種，當(dāng)219.238.*.111的回應(yīng)（也就是單播數(shù)量）大于ARP請求（廣

6、播的數(shù)量）將可能出現(xiàn)ARP總流量大于Broadcast的情況，這也印證我們在開場所說的：當(dāng)節(jié)點出現(xiàn)ARP欺騙時，它會向網(wǎng)內(nèi)ARP reply。圖7（點擊查看大圖）步驟八：再來看看節(jié)點219.238.*.111的traffic map （通信圖），幾乎與網(wǎng)內(nèi)所有節(jié)點都有ARP通信。同時與節(jié)點wangguan(網(wǎng)關(guān))通信數(shù)據(jù)量最大。至于它為什么最大？在文章開始介紹ARP時提過，這里不在贅述。圖8（點擊查看大圖）通過專用sniffer程序監(jiān)視異常ARP 除了NAI Sniffer pro 以外，網(wǎng)絡(luò)上還提供有很多專用的ARP監(jiān)視工具，這些工具也是sniffer的一種，只是在功能上更有針對性，大多數(shù)界

7、面也很簡單、友好。這里我們簡單介紹由國內(nèi)欣全向公司開發(fā)，頗為流行的免費ARP檢測工具：“欣向巡路之ARP工具1.1Beta” ,大家可以從直接下載。和很多數(shù)據(jù)包捕獲工具一樣，在程序安裝運行前，需要提前安裝WinPcap驅(qū)動。使用方法：步驟一：使用方法很簡單。首先選擇網(wǎng)卡，程序會根據(jù)網(wǎng)卡掃描出相應(yīng)網(wǎng)段IP-MAC清單。但需要注意，IP-MAC清單的掃描務(wù)必在網(wǎng)絡(luò)內(nèi)正常的情況下。步驟二：添加ARP檢測范圍，一般將網(wǎng)關(guān)或者路由的IP填入即可。步驟三：啟動 ARP檢測。這個時候，如果網(wǎng)絡(luò)內(nèi)出現(xiàn)ARP欺騙，程序則會報警，并用紅色字體在“ARP欺騙紀(jì)錄”上標(biāo)注。如下圖所示：圖9（點擊查看大圖）步驟四：如果發(fā)現(xiàn)ARP欺騙紀(jì)錄后，應(yīng)該如何處理，防止斷線呢？這個時候可以使用軟件中“主動維護(hù)”功能來修復(fù)網(wǎng)絡(luò)。這個功能的含義是：定義好網(wǎng)關(guān)正確IP-MAC，在網(wǎng)內(nèi)以一定頻率廣播，來修復(fù)網(wǎng)絡(luò)。注意：使用了本功能后，網(wǎng)內(nèi)被欺騙的機(jī)器，受正確ARP廣播的影響，ARP緩存表暫時恢復(fù)正常，請盡快處理出現(xiàn)故障機(jī)器。圖1（點擊查看大圖）總結(jié)：在網(wǎng)絡(luò)出現(xiàn)故障時，有經(jīng)驗的網(wǎng)絡(luò)管理員通常都能夠迅速發(fā)現(xiàn)故障并加以排除，這是基于網(wǎng)絡(luò)管理員自身技能素養(yǎng)、對環(huán)境的了解、和經(jīng)驗。但是在網(wǎng)絡(luò)日益發(fā)展的今天，網(wǎng)絡(luò)應(yīng)用、規(guī)模、手段都在急速膨脹，僅僅依靠對環(huán)境的了解和經(jīng)驗顯然是不夠的。因此，