有关MAC/IP原理浅析及解决方法

回了两篇关于MAC/IP的帖子,发现有研究的价值,发个帖子,滥竽充数一下

首先,学习一下理论

(大家不要着急,慢慢来,不过不要睡着了)

                              IP/MAC捆绑原理及ARP

链路层用mac,网络层用ip:

网络中传输的是IP地址--三层32位地址,终端需要的是MAC地址--两层48位地,

ARP(RARP)都属于3层协议


     网络通信中，两个节点想要通信，必须先知道源与目标的MAC地址。为了让系 

统能快速地找到远程节点的MAC，每一个本地的内核都保存有一个即时的查询表 

(ARP缓存)。 

     ARP中有映射远程主机的IP--->对应的MAC地址的一个列表。地址解析协议 

(ARP)缓存是一个TSR的数据结构，由本地的内核来管理的。Default ARP缓 

存中留有last 10 mins本地系统与之通信的节点的IP地址(和对应的MAC地址)。 

当一个远程MAC存在于本地ARP 缓存中，转换远程节点的IP地址为MAC地址 

no problem。然而，系统在知道一个远程IP，但MAC不在本地ARP缓存中时，是这 

样来获取远程MAC的：本地主机发送一个Broadcast package，询问各节点是否有对 

应的IP。回应是唯一的。在回应包中就包含此MAC。在收到返回包后，本地节点就 

会在本地ARP缓存中记录远程MAC。 

    如果将IP/MAC对应关系中那些合法IP地址建立静态的MAC/IP绑定，那么即使 

非法用户盗用IP地址,linux路由器在回应这些IP发出的连接请求时则不会通过arp协 

议询问其MAC,而是使用Linux建立的静态MAC, 发出应答数据,这样....... 


两种方法
1.
建立/etc/ether，指定正确的IP/MAC对应关系： 

168.192.12.6 XX:AS:YOUR:MAC:WISH:XX 

在/etc/rc.d/rc.local中加： 

arp -f 


2. 

# arp -i eth0 -s 168.192.12.6 XX:AS:YOUR:MAC:WISH:XX 

_____________________________________________________


理智告诉我们:缺憾同优点孪生

                        IP/MAC捆绑缺陷

这种方法本意是用来管理内网的IP,但无心插柳........不过,

缺陷随之表现:即router对发出的包不检查,即使网卡MAC 是未登记的,也可以向外发数据包,而且

可以用伪造的IP,(有的路由器检查源IP范围), 这时候伪造的IP也必须属于子网内的IP. 

还有的server是这样做的:把没有登记的IP对应的MAC一致设为XXXXXXXXXX,这种方法很危险,只要

把网卡的MAC改成XXXXXXXXXX, 就能以任何没有登记的IP出去.......

采用IP/MAC来防止IP盗用不是根本办法:因为不仅所有的网卡MAC都可以修改,而且网卡发

出包的源MAC地址并不是网卡本身write的,而由驱动或APP提供的:他们先从网卡上得到了MAC地址,

每次发送包的时候用此MAC地址,所以等于没有!配置程序修改MAC仅仅靠修改其driver就可以

(Win下利用NDIS就可以). 

注:但基于Link的TCP来说,伪造IP就不是"太"容易,需要TCP连接序号的预测的知识--大有学问呀.

   如有兴趣,到安全网站上去看看,尤其是国外的 

_____________________________________________________


                          软件修改MAC的原理


MAC写在ROM中,在网卡组帧时需要将MAC写入帧中,其并不是直接从ROM中写入帧的,
 
而是从网卡的ARegs中读出,然后由硬件写入帧中,ARegs的内容是Driver在网卡 

初始化时从ROM中读入的.
 
So,我们可以截取NC Driver中相关代码,进而修改MAC. 

在linux下简单实现

#/sbin/ifconfig eth0 down

#/sbin/ifconfig eth0 hw ether 00:AS:YOU:WISH:00

#/sbin/ifconfig eht0 up 

_____________________________________________________


                           关于Switch/MAC/Port

     一般的局域网采用HUB连接,如果换用Switch, 某些Switch可以锁定端口和MAC, 某个端口

只允许指定MAC接入,再加上IP/MAC绑定(还要将Switch加锁), 情况会好许多. 这时 

如有人盗用IP除了要改IP,改MAC,还要将机器搬过来换网线(只要在雇两个保安就可以解决:))

 
这是Linux的ifconfig后一般没有信息(除了log).关键在于合法IP的MAC地址是在router处定好的,

router不会发ARP查询MAC, 因此至少从router外来的包,ARP不会乱:IP的MAC合法,

而非法盗用的IP相当于进入promisc模式, 从合法IP机包中取出属于自己的IP包(port不对的丢弃).

ping, traceroute等ICMP双方(合法非法IP机)可以用, UDP也可以. 但TCP不行(telnet, ftp等),

即合法IP机TCP可用, 盗用者不可用(要是TCP也可以了, 那盗用IP就非常简单了, 根本不用改MAC,

ifconfig/route就可以了)


CU精华文章
路由器的网络地址转换、管理登陆限制、MAC与IP的绑定(作者:xjc1027)

http://chinaunix.net/jh/30/13886.html


_____________________________________________________

几个注意点

1.
攻击方法是把攻击者自己的服务器绑定成攻击目标的IP,这样后者无法正常工作:报警说某一个MAC

地址的IP与其冲突,如何利用这个MAC地址查找到当前的绑定IP?

如果是在同一个网段里的可以发arp请求包,然后再解析arp回复包,即取得mac地址,

至于不在一个网段内的就不能直接取mac了.


2.DHCp&MAC&IP
配置DHCP让一个具体的MAC绑定到一个固定的IP上完全可以，在isc的dhcpd中有一个host字段，

可以定义这个功能，在dhcpd.conf文件中有详细的例子.

自动分配固定内部IP给相应的MAC网卡,对不上MAC的不能上网,但可以强行写上IP,网关,DNS一样

可以上网.修改一下就能实现控制用户上网(不要让人知道你的网关)

 
内网ip最好不要像192.168.0.0/24一样,否则非上网权限用Winxp的用户无需写任何设置一样可以上
-----------------------------------------------------------------
dhcpd.conf 
option domain-name "your"; 
option routers 192.168.1.254; 
option domain-name-servers 192.168.1.254;61.144.56.101; 
ddns-update-style none; 
default-lease-time 88600; 
max-lease-time 887200; 

subnet 192.168.1.0 netmask 255.255.255.0 { 
# range 192.168.1.0 192.168.1.0; 

} 
host usr1 { #user1 
hardware ethernet 00:90:99:BD:85:F7; 
fixed-address 192.168.1.21; 
} 
host usr2 { #user2 
hardware ethernet 00:A0:C9:75:A7:45; 
fixed-address 192.168.1.22; 
} 
host usr3 { #user3
hardware ethernet 00:D0:09:59:02:DB; 
fixed-address 192.168.1.23; 
}

当MAC是以上的主机user1.2.3请求分配IP地址时,DHCP会固定的分配相应的IP
--------------------------------------------------------------------

关于用编程获得MAC.IP

CU精华区里有几篇文章很好

1.本地机

http://chinaunix.net/forum/viewtopic.php?t=85716&highlight=MAC

(作者:gadfly)

shell下大致方法:
ifconfig -a 
set - - 
Ip=$.............. 
MAC=$.......... 




2.子网其他机器

http://chinaunix.net/forum/viewtopic.php?p=870221&highlight=mac#870221

(解答者:gadfly)

---------------------------------------------------------------------

现在防地址盗用的最好方法:

 MAC/IP  +   VLAN/PVC

 VLAN +  PPPoE
 
 Port + MAC/IP
 
-----------------------------------------------------------------------

(有待完善)

beaf 回复于：2003-11-10 22:45:22

好文

網中人 回复于：2003-11-11 03:46:16

加油﹗  ^_^

RobinWang 回复于：2003-11-11 08:49:25

good

cgweb 回复于：2003-11-11 14:46:19

good

eagerly1 回复于：2003-11-11 19:40:54

It's beautiful!

双眼皮的猪 回复于：2003-11-12 15:37:45

看到大个写好文，小弟俺也顶一下... 不错... 有些问题，我还没了解到... 呵呵：） 又长见识了...

zou10000100 回复于：2005-06-16 21:31:21

有用

SkyBelieve 回复于：2005-07-17 00:09:26

做个记号。。

yunwuhen 回复于：2005-07-29 16:35:15

好文章

love2004 回复于：2005-08-06 20:23:24

EN 不错的文章 谢谢楼主

原文转自：http://www.ltesting.net