从抓包分析角度分析arp攻击
什么是arp攻击？
ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗 ， 能够在网络中产生大量的ARP通信量使网络阻塞 ， 攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目 ， 造成网络中断或中间人攻击 。 所以要判断网络中是否有arp攻击 ， 一个重要的判断依据是：内网是否有大量的异常arp响应包
ARP攻击数据包分析过程
1.检查内网是否有大量异常的arp响应包
网络越大arp响应包就有可能越多 ， 如果仅从arp响应包的数量来看 ， 并不能准确判断内网是否存在arp异常响应 。 要准确判断内网是否存在arp欺骗 ， 需要看arp响应包数量是否远远大于arp请求包的数量 ， arp响应包远远大于arp请求包的情况见下图：
文章图片
2.找出发送大量arp回应包的MAC地址
对arp协议包进行分析 ， 发现MAC地址00:0B:2F:00:AD:80大量发送arp响应包的情
文章图片
3.确认对应MAC地址是否存在伪装其他IP的情况
从其他非arp协议的通信看 ， 192.168.1.254对应的MAC地址是：00:0E:A0:00:81:BB ， 可以判断00:0B:2F:00:AD:80有伪装成192.168.1.254的情况 ， 如下图所示：
文章图片
4.确认问题MAC地址的真实IP
从其他非arp协议（netbios协议）的通信看 ， MAC地址：00:0B:2F:00:AD:80使用的IP是192.168.1.22 ， 判断00:0B:2F:00:AD:80正在使用的IP就是192.168.1.22 ， 如下图所示：
文章图片
5.分析结论
【从抓包分析角度分析arp攻击】MAC地址：00:0B:2F:00:AD:80使用的IP是192.168.1.22 ， 伪装成192.168.1.254
推荐阅读
- 路虎库存成灾，从68万降到45万仍无人问津，经销商：给钱就卖！
- 央视新闻客户端这条传播链从1到200才两周！恐怖的投币练歌房：唱5首歌飞沫遍身
- 电机正转与反转的几种解决方法(附电路图的分析)
- 粤港澳大湾区战略呼唤网红经济助力
- 掌声5G+AI声像分析，掌声里的“共振时刻”
- 从24号开始，佳音上门，好运连连，事业顺风顺水的4个星座
- 为扳倒汉兰达，这豪车拼了，从32万降到26万，起步2.0T爆241马力
- 3艘宙斯盾舰逼近领海，委内瑞拉不再放狠话，2艘幽灵从港口消失
- 约旦海岸线26公里，一部分从沙特交换来，付出多大代价？
- 中美蜜月期下的暗战，从超-7战斗机立项到下马背后鲜为人知的博弈