男教官：好的, 那么我们来讨论一下如何检测ARP中毒攻击｡
首先, 让我向您展示ARP表｡
因此, 在我们的Windows设备（也就是我们经常攻击的设备）中,
我将运行一个命令arp-a, 列出ARP表中的所有条目｡
因此, 每台计算机都有一个ARP表,
该表将IP地址与Mac地址相关联｡
因此, 我们可以看到路由器的IP地址,
即10｡ 20. 14. 1,
与Mac地址52-54相关联,
并且它以35-00结束｡
这是路由器IP的Mac地址｡
因此, ARP中毒的工作方式与我们之前讨论的一样,
它之所以工作, 是因为每个请求都是可信的, 客户端接受响应, 即使他们没有发送请求｡
所以黑客所做的就是向客户端发送一个响应,
告诉他们自己就是路由器｡
所以客户会接受这一点, 这是值得信任的｡
它将接受响应,
即使它没有发送请求｡
然后, 我们将向路由器发送另一个响应,
告诉他们我们是客户端｡
它将修改路由器和客户端的ARP表中的条目,
对于客户端, 它将包含黑客的Mac地址,
并将其与路由器的IP地址相关联｡
基本上会发生的是, 它会修改这里的Mac地址,
并将其更改为攻击者的Mac地址｡
而不是路由器的真实Mac地址｡
一旦发生这种情况, 黑客将处于连接的中间,
他们将能够读取､ 分析和修改数据包, 因为数据包将流经黑客设备｡
我们来运行ARP中毒｡
一个普通的ARP中毒攻击, 就像我们经常做的那样｡
当我回到这里时,
我将执行相同的命令｡
所以我要再做一次arp-a｡
请注意Mac地址将有何不同｡
所以路由器的Mac地址, 以前是这个｡
当我们运行这个命令时,
Mac地址变成了这个｡
这里的Mac地址是攻击者使用的网卡的Mac地址｡
如果我在这里执行一个ifconfig命令,
您会看到这是Mac地址,
与这里显示的地址相同｡
因此, 这是发现ARP中毒攻击的最简单的方法｡
这不是最方便的方法,
因为如果你真的想检查你是否被ARP毒害,
你将不得不继续执行这个命令,
并继续比较条目｡
有一个叫做XRP的工具,
它可以自动为你完成这项工作, 它适用于Linux和Windows｡
所以我已经下载了｡
你可以在谷歌上搜索XRP, 然后下载它｡
非常容易下载和安装,
我只是要运行它｡
我会先阻止攻击, 然后再运行工具｡
现在请注意, 当您停止攻击时,
IP地址将返回到原来的地址｡
因此, 您可以看到路由器的Mac地址已恢复为路由器的默认正确值｡
我现在运行XRP,
您可以看到一切正常｡
你可以看到, 这些条目和我们做arp-a时做的非常相似｡
因此, 我们有了与之关联的IP地址和Mac地址｡
这个工具的基本功能就是自动监控｡
每当发生变化时, 它就会知道发生了错误,
因为每个IP地址都应该有一个唯一的Mac地址｡
网络中不应存在重复项｡
所以我将进行另一次ARP中毒攻击, 就像我们之前做的那样｡
当我们来到这里时, 您会看到XRP正在向我们发出通知,
告诉我们发生了一些事情｡
它告诉我们路由器的Mac地址是10｡
20. 14. 1. IP从这个变成了那个｡
如果我们看这里, 我将单击“确定”,
如果我们看这里, 我们可以看到受影响的计算机是路由器､
我自己的计算机和攻击者｡
抱歉, 这是我, 这是袭击者｡
所以基本上我们知道机器在10｡ 20. 14. 203正在尝试进行ARP中毒攻击｡
因为它是路由器的Mac地址已更改为的地址｡
因此, 我们知道这是攻击者的机器｡
所以这个工具非常方便,
因为它会自动为我们进行监控, 并且在有人试图ARP毒害网络时会告诉我们｡