服务器ARP攻击与防范方法总结

ARP欺骗原理：

在局域网中，通信前必须通过ARP协议来完成IP地址转换为第二层物理地址（即MAC地址）。ARP协议对网络安全具有重要的意义，但是当初ARP方式的设计没有考虑到过多的安全问题，给ARP留下很多的隐患，ARP欺骗就是其中一个例子。而ARP欺骗攻击就是利用该协议漏洞，通过伪造MAC地址实现ARP欺骗的攻击技术。

　　在同一局域网内的电脑都是通过MAC地址进行通讯的。方法为，PC和另一台设备通讯，PC会先寻找对方的IP地址，然后在通过ARP表（ARP表里面有所以可以通讯IP和IP所对应的MAC地址）调出相应的MAC地址。通过MAC地址与对方通讯。也就是说在内网中各设备互相寻找和用来通讯的地址是MAC地址，而不是IP地址。

　　网内的任何一台机器都可以轻松的发送ARP广播，来宣称自己的IP和自己的MAC.这样收到的机器都会在自己的ARP表格中建立一个他的ARP项，记录他的IP和MAC地址。如果这个广播是错误的其他机器也会接受。有了这个方法欺骗者只需要做一个软件，就可以在局域网内进行ARP欺骗攻击了。
ARP的发现：

　　ARP的通病就是掉线，在掉线的基础上可以通过以下几种方式判别，1.一般情况下不需要处理1分钟之内就可以回复正常上网。因为ARP欺骗是由时限，过了期限就会自动的回复正常。而且现在大多数路由器都会在很短时间内不停广播自己的正确ARP，使受骗的机器回复正常。但是如果出现攻击性ARP欺骗（其实就是时间很短的量很大的欺骗ARP，1秒有个几百上千的），他是不断的通过非常大量ARP欺骗来阻止内网机器上网，即使路由器不断广播正确的包也会被他大量的错误信息给淹没。2.打开被骗机器的DOS界面，输入ARP -A命令会看到相关的ARP表，通过看到的网关的MAC地址可以去判别是否出现ARP欺骗，但是由于时限性，这个工作必须在机器回复正常之前完成。如果出现欺骗问题，ARP表里面会出现错误的网关MAC地址，和真实的网关MAC一对黑白立分。

ARP攻击解决办法

windows服务器

一台服务器几乎所有网站打开网页HTML都被自动加上如<iframe src=XXXX >的iframe代码，经检查程序、JS、CSS的时间都没有被修改。

这种样式的代码，有的在头部，有的在尾部，部分杀毒软件打开会报毒，打开HTML或ASP、PHP页面，在源码中怎么也找不到这段代码。

首先你可以随意建一个HTML文件上传到服务器，通过网站打开，如发现这个文件加入了iframe代码那说明中招了。

解决办法

第一种方法：检查IIS文档页脚

注意红框处，无特殊情况文档页脚是不会被启用的，如果你看到这里勾选并指向了一个本地HTML文件，你可以打开指向本地文件查看是否为木马病毒代码。

第二种方法：检查MetaBase.xml文件

MetaBase.xml是IIS里的一个配置文件，位置是：

检查是否被添加上如下一段代码：

DefaultDocFooter=后面一般都是跟一个本地的文件，木马病毒就在这里了，把这段删除即可。

特别提示：MetaBase.xml无法直接修改，需要停止IIS服务才能修改，或者在IIS管理器中右击本地计算机–选择属性，勾选”允许直接编辑配置数据库”，这样就可以在不停止IIS的情况下编辑metabase.xml文件。

第三种方法：检查ISAPI筛选器

目前这些DLL加载的文件，任何一款杀毒软件和杀木马软件还不能有效发现并杀掉，还得靠肉眼来实现。所以方法也很简单：

打开IIS，右键点击网站，属性——找到ISAPI选项卡，检查下里面是否多了一些陌生的DLL文件。如果有陌生的DLL删除，重启IIS即可。

第四种方法：检查global.asa木马

先解释一下这个代码的作用：因为global.asa 文件是网站启动的文件，当一个网站被用户访问的时候，会执行Application_Start代码段的内容，当一个用户第一次访问时会执行Session_Start代码段的内容，所以此段代码的作用就是当访问的时候自动下载获取木马内容，上面遇到的就是跳转性作用的木马代码。

global.asa木马一样平常不会影响网站的正常运行，黑客一样平常行使global.asa木马不是为了来破坏网站的运行，他们与网站黑链类似，一样平常是对网站的seo/seo.html" target="_blank">搜索引擎收录产生特别很是恶劣的影响。常体现为搜索引擎收录大量莫名其妙的网站题目，而这些题目绝对不是本身网站发布的内容，点击链接进入的依然是本网站的页面，但题目不同，点击百度快照发现百度提醒：“对不起，您所查看的网页不许可百度保存其快照，您可以直接访问某某网址”，没错!这说明你的网站已经中招了!它的直接后果是网站在搜索引擎的排名降落或者彻底消散，紧张的还会让访问者在访问你的网站的时候电脑中毒!

global.asa这个文件一般是在根目录下的，属于系统文件只能在cmd命令下强制删除。如果自己不会删除的话你可以找自己的空间商让他们给你删除这个木马。

特别提示：以上方法均不起作用

上面提到的这些防ARP攻击的方法，都是从网上搜的，所有的方法起码重复了三遍，但是问题依旧没有解决，后面才知道，IFRAME被植入有两种情况：

一、就是有人在你的IIS上动了手脚，方法查找被修改的配置文件，或直接重装。

二、如果你重装还是没有解决，那就是ARP欺骗攻击，和你同一个服务器的局域网段的其他服务器有问题，装ARP防火墙和向网管反映这个情况。解决这个问题要使用排除法找到真正原因，对症下药：)

花了大量时间排查，整整耽误了11个小时，后面才恍然大悟，原以为是自己服务器出问题了，没想到是局域网段其他服务器的问题。后面装了个360ARP防火墙才解决此问题。

linux中解决的办法就是静态arp

假设网关的IP是192.168.0.1的我们要 先得到网关的正确MAC的先ping的下网关:
　　ping 192.168.0.1
　　然后运行arp查看arp缓存Cache中的网关MAC:
　　localhost~$ arpAddress        HWtype  HWaddress         Flags Mask     Interface192.168.0.1    ether  00:12:34:56:78:9A     C              eth0

这里得到的网关MAC假定 为00:12:34:56:78:9A的C代表这个绑定是保存在缓冲里的的我们要做的就是把这个IP和 MAC静态的绑定在的起的首先建立/etc/ethers文件的输入以下内容:
　　192.168.0.1 00:12:34:56:78:9A
　　保存退出的的后便是应 用这个静态绑定:
　　localhost~$ arp -f
　　再运行arp查看:
　　localhost~$ arpAddress        HWtype  HWaddress         Flags Mask     Interface192.168.0.1    ether  00:12:34:56:78:9A     CM             eth0

多了个M的表示静态网关 的OK收工～
　　另外的如果你不会和局域网内的用户通讯的话的那么可以干脆 把arp解析关掉的假定你的网卡是eth0的那么可以运行:

localhost~$ 的config eth0 -arp
　　这样对付那些终结者软件Software就可以了的但是真的有人想攻击的话的这样还是不够的的的攻击者还可以欺骗网关的解决的办法就是在网关和 局域网内机器上做双向绑定的原理思路方法同上的