再仔細看了一下ARP數(shù)據(jù)包，終于恍然大悟欺騙原理。
是這樣的，為了能和其他機器通訊，局域網(wǎng)上的各個機器都緩存了ARP列表（ARP列表可以簡單理解成“一個IP地址對應一個MAC地址”）。機器要通過網(wǎng)關(guān)和其他機器通訊，其實是在局域網(wǎng)內(nèi)發(fā)了查詢ARP請求（可以簡單理解成“網(wǎng)關(guān)啊，請把你的MAC地址告訴我好嗎？”）；網(wǎng)關(guān)收到此類請求后，就會發(fā)送ARP回應報文，回應網(wǎng)關(guān)的MAC。這樣，某個機器就會把通訊數(shù)據(jù)發(fā)到網(wǎng)關(guān)的MAC上。
那么運行了p2pOver之類的軟件后是怎么欺騙的呢？簡單起見，我們設(shè)使用了p2pOver的機器為”A”，”A”的MAC地址為”M”。
首先，”A”通過ARP查詢得到真實的網(wǎng)關(guān)MAC，和不停地輪詢局域網(wǎng)上其他主機（IP）及其MAC。
其次，”A”不停地給局域網(wǎng)上其他主機發(fā)送偽造的ARP回應報文：告訴他們網(wǎng)關(guān)的MAC是”M”；
同時，”A”也不停給交換機發(fā)送偽造的ARP回應報文：告訴真正的網(wǎng)關(guān)局域網(wǎng)上所有主機的MAC地址為”M”。
因為是不停地發(fā)送報文，到了最后：局域網(wǎng)上的其他主機以為網(wǎng)關(guān)就是”A”，真正的網(wǎng)關(guān)以為局域網(wǎng)上的所有通訊只來自”A”。也就是”A”變成了事實上的中轉(zhuǎn)中心：不僅可以截取其他主機的流量和數(shù)據(jù)，還能隨心所欲地截斷網(wǎng)絡(luò)通訊。
ARP欺騙防治從欺騙原理，不難推出防治關(guān)鍵就是想辦法不接收錯誤的ARP回應報文：
1) 使用智能交換機，綁定網(wǎng)內(nèi)所有IP-MAC。這樣也就不需要ARP查詢才能知道MAC。
2) 還有一個辦法，就是在網(wǎng)內(nèi)所有機器上綁定死網(wǎng)關(guān)的MAC（下面適用于WinXP）：
在網(wǎng)絡(luò)正常情況下：
arp -a 網(wǎng)關(guān)IP（如192.168.1.1），查詢到正確的網(wǎng)關(guān)MAC
然后綁定網(wǎng)關(guān)MAC：
arp -s 網(wǎng)關(guān)IP 網(wǎng)關(guān)MAC在執(zhí)行arp -a，看到網(wǎng)關(guān)IP和MAC是靜態(tài)（Static）的，就可以了