有关MAC/IP原理浅析及解决方法

| |
[不指定 2005/12/28 22:46 | by ipaddr ]
转至CU

                            IP/MAC捆绑原理及ARP

链路层用mac,网络层用ip:

网络中传输的是IP地址--三层32位地址,终端需要的是MAC地址--两层48位地,

ARP(RARP)都属于3层协议


    网络通信中,两个节点想要通信,必须先知道源与目标的MAC地址。为了让系  

统能快速地找到远程节点的MAC,每一个本地的内核都保存有一个即时的查询表  

(ARP缓存)。  

    ARP中有映射远程主机的IP--->对应的MAC地址的一个列表。地址解析协议  

(ARP)缓存是一个TSR的数据结构,由本地的内核来管理的。Default ARP缓  

存中留有last 10 mins本地系统与之通信的节点的IP地址(和对应的MAC地址)。  

当一个远程MAC存在于本地ARP 缓存中,转换远程节点的IP地址为MAC地址  

no problem。然而,系统在知道一个远程IP,但MAC不在本地ARP缓存中时,是这  

样来获取远程MAC的:本地主机发送一个Broadcast package,询问各节点是否有对  

应的IP。回应是唯一的。在回应包中就包含此MAC。在收到返回包后,本地节点就  

会在本地ARP缓存中记录远程MAC。  

   如果将IP/MAC对应关系中那些合法IP地址建立静态的MAC/IP绑定,那么即使  

非法用户盗用IP地址,linux路由器在回应这些IP发出的连接请求时则不会通过arp协  

议询问其MAC,而是使用Linux建立的静态MAC, 发出应答数据,这样.......  


两种方法
1.
建立/etc/ether,指定正确的IP/MAC对应关系:  

168.192.12.6 XX:AS:YOUR:MAC:WISH:XX  

在/etc/rc.d/rc.local中加:  

arp -f  


2.  

# arp -i eth0 -s 168.192.12.6 XX:AS:YOUR:MAC:WISH:XX  

_____________________________________________________


理智告诉我们:缺憾同优点孪生

                       IP/MAC捆绑缺陷

这种方法本意是用来管理内网的IP,但无心插柳........不过,

缺陷随之表现:即router对发出的包不检查,即使网卡MAC 是未登记的,也可以向外发数据包,而且

可以用伪造的IP,(有的路由器检查源IP范围), 这时候伪造的IP也必须属于子网内的IP.  

还有的server是这样做的:把没有登记的IP对应的MAC一致设为XXXXXXXXXX,这种方法很危险,只要

把网卡的MAC改成XXXXXXXXXX, 就能以任何没有登记的IP出去.......

采用IP/MAC来防止IP盗用不是根本办法:因为不仅所有的网卡MAC都可以修改,而且网卡发

出包的源MAC地址并不是网卡本身write的,而由驱动或APP提供的:他们先从网卡上得到了MAC地址,

每次发送包的时候用此MAC地址,所以等于没有!配置程序修改MAC仅仅靠修改其driver就可以

(Win下利用NDIS就可以).  

注:但基于Link的TCP来说,伪造IP就不是"太"容易,需要TCP连接序号的预测的知识--大有学问呀.

  如有兴趣,到安全网站上去看看,尤其是国外的  

_____________________________________________________


                         软件修改MAC的原理


MAC写在ROM中,在网卡组帧时需要将MAC写入帧中,其并不是直接从ROM中写入帧的,
 
而是从网卡的ARegs中读出,然后由硬件写入帧中,ARegs的内容是Driver在网卡  

初始化时从ROM中读入的.
 
So,我们可以截取NC Driver中相关代码,进而修改MAC.  

在linux下简单实现

#/sbin/ifconfig eth0 down

#/sbin/ifconfig eth0 hw ether 00:AS:YOU:WISH:00

#/sbin/ifconfig eht0 up  

_____________________________________________________


                          关于Switch/MAC/Port

    一般的局域网采用HUB连接,如果换用Switch, 某些Switch可以锁定端口和MAC, 某个端口

只允许指定MAC接入,再加上IP/MAC绑定(还要将Switch加锁), 情况会好许多. 这时  

如有人盗用IP除了要改IP,改MAC,还要将机器搬过来换网线(只要在雇两个保安就可以解决:))

 
这是Linux的ifconfig后一般没有信息(除了log).关键在于合法IP的MAC地址是在router处定好的,

router不会发ARP查询MAC, 因此至少从router外来的包,ARP不会乱:IP的MAC合法,

而非法盗用的IP相当于进入promisc模式, 从合法IP机包中取出属于自己的IP包(port不对的丢弃).

ping, traceroute等ICMP双方(合法非法IP机)可以用, UDP也可以. 但TCP不行(telnet, ftp等),

即合法IP机TCP可用, 盗用者不可用(要是TCP也可以了, 那盗用IP就非常简单了, 根本不用改MAC,

ifconfig/route就可以了)


CU精华文章
路由器的网络地址转换、管理登陆限制、MAC与IP的绑定(作者:xjc1027)

http://chinaunix.net/jh/30/13886.html


_____________________________________________________

几个注意点

1.
攻击方法是把攻击者自己的服务器绑定成攻击目标的IP,这样后者无法正常工作:报警说某一个MAC

地址的IP与其冲突,如何利用这个MAC地址查找到当前的绑定IP?

如果是在同一个网段里的可以发arp请求包,然后再解析arp回复包,即取得mac地址,

至于不在一个网段内的就不能直接取mac了.


2.DHCp&MAC&IP
配置DHCP让一个具体的MAC绑定到一个固定的IP上完全可以,在isc的dhcpd中有一个host字段,

可以定义这个功能,在dhcpd.conf文件中有详细的例子.

自动分配固定内部IP给相应的MAC网卡,对不上MAC的不能上网,但可以强行写上IP,网关,DNS一样

可以上网.修改一下就能实现控制用户上网(不要让人知道你的网关)

 
内网ip最好不要像192.168.0.0/24一样,否则非上网权限用Winxp的用户无需写任何设置一样可以上
-----------------------------------------------------------------
dhcpd.conf  
option domain-name "your";  
option routers 192.168.1.254;  
option domain-name-servers 192.168.1.254;61.144.56.101;  
ddns-update-style none;  
default-lease-time 88600;  
max-lease-time 887200;  

subnet 192.168.1.0 netmask 255.255.255.0 {  
# range 192.168.1.0 192.168.1.0;  

}  
host usr1 { #user1  
hardware ethernet 00:90:99:BD:85:F7;  
fixed-address 192.168.1.21;  
}  
host usr2 { #user2  
hardware ethernet 00:A0:C9:75:A7:45;  
fixed-address 192.168.1.22;  
}  
host usr3 { #user3
hardware ethernet 00:D0:09:59:02:DB;  
fixed-address 192.168.1.23;  
}

当MAC是以上的主机user1.2.3请求分配IP地址时,DHCP会固定的分配相应的IP
--------------------------------------------------------------------

关于用编程获得MAC.IP

CU精华区里有几篇文章很好

1.本地机

http://chinaunix.net/forum/viewtopic.php?t=85716&highlight=MAC

(作者:gadfly)

shell下大致方法:
ifconfig -a  
set - -  
Ip=$..............  
MAC=$..........  



2.子网其他机器

http://chinaunix.net/forum/viewtopic.php?p=870221&highlight=mac#870221

(解答者:gadfly)

---------------------------------------------------------------------

现在防地址盗用的最好方法:

MAC/IP  +   VLAN/PVC

VLAN +  PPPoE
 
Port + MAC/IP
 
-----------------------------------------------------------------------

Net | 评论(0) | 引用(22) | 阅读(3877)