米花星 胡曦明 馬苗 李鵬

摘要：針對(duì)傳統(tǒng)計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)教學(xué)中存在的實(shí)驗(yàn)場(chǎng)所固定、實(shí)驗(yàn)學(xué)時(shí)受限、實(shí)驗(yàn)內(nèi)容單一等問(wèn)題，提出了一種基于移動(dòng)互聯(lián)網(wǎng)以手機(jī)APP作為實(shí)驗(yàn)操作端，開(kāi)展ARP安全性實(shí)驗(yàn)的方法。以手機(jī)端Web瀏覽的攻擊和防御為教學(xué)案例，通過(guò)手機(jī)開(kāi)展中間人攻擊和移動(dòng)互聯(lián)網(wǎng)抓包，實(shí)現(xiàn)了移動(dòng)互聯(lián)網(wǎng)ARP攻擊的可視化和數(shù)據(jù)量化分析，為實(shí)驗(yàn)教學(xué)信息化提供了新的途徑。

關(guān)鍵詞：移動(dòng)互聯(lián)網(wǎng)；手機(jī)；ARP；安全；實(shí)驗(yàn)教學(xué)

中圖分類(lèi)號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2018）14-0138-04

Abstract： Aiming at the problems existing in the traditional computer network experiment teaching， such as the fixed place of experiment， the limited time of experiment， and the unitary content of experiment， a method of ARP security experiment based on mobile Internet and mobile APP as experimental operation terminal is proposed. Taking the attack and defense of mobile web browsing as a teaching case， man-in-the-middle attacks and mobile Internet packet capture were carried out through mobile phones， which enabled visualization and quantitative analysis of mobile internet ARP attacks， providing a new approach for experimental teaching informatization.

Key words： mobile internet； mobile phone； ARP； safety； experiment teaching

1 引言

計(jì)算機(jī)網(wǎng)絡(luò)是計(jì)算機(jī)及相關(guān)專(zhuān)業(yè)的一門(mén)專(zhuān)業(yè)必修課[1，2]， 教學(xué)內(nèi)容主要圍繞計(jì)算機(jī)網(wǎng)絡(luò)五層協(xié)議展開(kāi)，如何開(kāi)展好網(wǎng)絡(luò)協(xié)議實(shí)驗(yàn)教學(xué)一直都是教學(xué)工作的重點(diǎn)和難點(diǎn)[3]。通常計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)教學(xué)需要在專(zhuān)門(mén)的網(wǎng)絡(luò)實(shí)驗(yàn)室進(jìn)行，師生的實(shí)驗(yàn)操作時(shí)間受到學(xué)時(shí)和實(shí)驗(yàn)室安排的限制[4，5]，而且由于實(shí)驗(yàn)操作設(shè)備數(shù)量和功能的限制造成實(shí)驗(yàn)內(nèi)容單一，往往容易導(dǎo)致學(xué)生對(duì)實(shí)驗(yàn)教學(xué)參與的積極性不高，在有限的實(shí)驗(yàn)教學(xué)時(shí)間內(nèi)學(xué)習(xí)效率較低[6]。

隨著移動(dòng)互聯(lián)網(wǎng)的發(fā)展，智能手機(jī)在學(xué)生群體中得以普及，在手機(jī)上安裝和使用電子商務(wù)、即時(shí)通訊等APP已成為學(xué)生日常生活必不可少的部分[7，8]。如果能夠利用學(xué)生的手機(jī)開(kāi)展計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)教學(xué)，那么就可以將學(xué)生在日常生活中已經(jīng)養(yǎng)成的手機(jī)操作習(xí)慣和心理依賴(lài)應(yīng)用到實(shí)驗(yàn)教學(xué)中來(lái)，從而不僅可以極大地提高學(xué)生的實(shí)驗(yàn)操作積極性，而且可以通過(guò)利用APP的豐富功能實(shí)現(xiàn)對(duì)原有實(shí)驗(yàn)教學(xué)內(nèi)容的開(kāi)發(fā)。為此，本文提出了一種基于移動(dòng)互聯(lián)網(wǎng)以手機(jī)APP作為實(shí)驗(yàn)操作端，開(kāi)展ARP安全性實(shí)驗(yàn)的方法。

2 ARP安全性實(shí)驗(yàn)原理

地址解析協(xié)議（Address Resolution Protocol，ARP），是負(fù)責(zé)將IP地址轉(zhuǎn)換為物理地址的網(wǎng)絡(luò)層協(xié)議[9]。ARP協(xié)議建立在局域網(wǎng)內(nèi)主機(jī)間相互信任的基礎(chǔ)之上，具有廣播性、無(wú)狀態(tài)性、無(wú)認(rèn)證性和動(dòng)態(tài)性[10，11]。運(yùn)行ARP協(xié)議的主機(jī)可以主動(dòng)向局域網(wǎng)內(nèi)的其他主機(jī)發(fā)送假的ARP請(qǐng)求包和ARP應(yīng)答包[12]，而局域網(wǎng)內(nèi)的主機(jī)只要收到和自己MAC地址一致的數(shù)據(jù)包，不論數(shù)據(jù)包內(nèi)IP和MAC映射是否真實(shí)有效，都會(huì)更改自己的ARP緩存[13，14]，這就導(dǎo)致局域網(wǎng)內(nèi)的主機(jī)特別容易遭受ARP攻擊。

3 基于手機(jī)的ARP安全性實(shí)驗(yàn)教學(xué)

3.1 教學(xué)設(shè)計(jì)

基于移動(dòng)互聯(lián)網(wǎng)，以手機(jī)APP作為實(shí)驗(yàn)操作端開(kāi)展ARP安全性實(shí)驗(yàn)，實(shí)驗(yàn)教學(xué)設(shè)計(jì)如圖1所示。

（1） 實(shí)驗(yàn)環(huán)境搭建和攻擊嗅探

在攻擊手機(jī)上使用手機(jī)APP作為實(shí)驗(yàn)操作端，開(kāi)展ARP安全性實(shí)驗(yàn)。首先，手機(jī)需要獲得Root權(quán)限，獲得Root權(quán)限后并不影響手機(jī)的正常使用，也不會(huì)對(duì)手機(jī)的安全帶來(lái)任何危害。

選擇一款安全可控并且適用于教學(xué)實(shí)驗(yàn)的手機(jī)APP來(lái)實(shí)現(xiàn)ARP的攻擊是整個(gè)實(shí)驗(yàn)技術(shù)實(shí)現(xiàn)的重要環(huán)節(jié)，名為zANTI的APP廣泛適用于各類(lèi)場(chǎng)景，不僅可以映射整套網(wǎng)絡(luò)并嗅探其中的cookie還可以支持多種攻擊，如中間人攻擊，網(wǎng)絡(luò)掃描，會(huì)話(huà)劫持MAC地址欺騙等。要使用zANTI的所有功能，需要在手機(jī)上安裝BusyBox（一個(gè)集成和壓縮了許多Linux命令和工具的軟件）。

實(shí)驗(yàn)過(guò)程需要安裝Tcpdump作為手機(jī)抓包工具，同時(shí)需要安裝終端模擬器作為命令輸入輸出界面。

KingRoot ，zANTI，BusyBox，Tcpdump和終端模擬器都是安全的APP，不會(huì)對(duì)手機(jī)的正常使用造成任何影響，用戶(hù)可在實(shí)驗(yàn)完成后可以將其安全卸載。

（2） 手機(jī)移動(dòng)Web可視化

攻擊手機(jī)掃描網(wǎng)絡(luò)后，選擇其中一個(gè)IP地址進(jìn)行中間人攻擊，攻擊結(jié)果將在攻擊手機(jī)和被攻擊手機(jī)上顯示。

（3） 數(shù)據(jù)量化分析

手機(jī)連接網(wǎng)絡(luò)后，在終端模擬器上輸入Tcpdump的相關(guān)命令抓取攻擊過(guò)程中的ARP報(bào)文，并對(duì)其進(jìn)行量化分析。

（4） 防御

針對(duì)分析結(jié)果，提出基于手機(jī)的ARP防御措施。

3.2 教學(xué)實(shí)例

3.2.1 實(shí)驗(yàn)環(huán)境

本實(shí)驗(yàn)用一臺(tái)教師手機(jī)開(kāi)放熱點(diǎn)，名字：test，網(wǎng)關(guān)IP：172.27.35.1，學(xué)生手機(jī)連接教師手機(jī)所開(kāi)放的熱點(diǎn)，網(wǎng)關(guān)、攻擊手機(jī)和被攻擊手機(jī)的實(shí)驗(yàn)環(huán)境如表2。

3.2.2 攻擊嗅探

（1） 掃描網(wǎng)絡(luò)

本文主要利用zANTI的中間人攻擊功能在手機(jī)上實(shí)現(xiàn)ARP攻擊。打開(kāi)zANTI，掃描所連接的網(wǎng)絡(luò)，掃描結(jié)果如表3。

（2） 中間人攻擊

中間人攻擊選項(xiàng)如表4所示，選擇掃描到的某一個(gè)IP地址（除本機(jī)和網(wǎng)關(guān)），通過(guò)中間人截獲網(wǎng)絡(luò)數(shù)據(jù)包，實(shí)現(xiàn)手機(jī)ARP攻擊移動(dòng)web可視化。這里選擇IP地址為172.27.35.3的手機(jī)作為被攻擊手機(jī)進(jìn)行以下攻擊。

① 中間人——查看已記錄請(qǐng)求和圖像

在已記錄的請(qǐng)求里面可以看到被攻擊者所瀏覽網(wǎng)頁(yè)的鏈接，點(diǎn)擊鏈接后可以查看被攻擊者正在瀏覽的頁(yè)面。在已記錄的圖像中可以查看攻擊者所訪問(wèn)過(guò)的頁(yè)面的一些圖片。

② 中間人——替代圖片

從攻擊手機(jī)上選擇一張圖片替換被攻擊手機(jī)正在瀏覽的網(wǎng)頁(yè)上所顯示的圖片。以訪問(wèn)電子商務(wù)為例，替代圖片后，web頁(yè)面計(jì)算機(jī)網(wǎng)絡(luò)課本的圖片被替換為了指定圖片，結(jié)果如圖3所示。

3.2.3 手機(jī)ARP攻擊的量化分析

（1） 查看手機(jī)ARP緩存

中間人攻擊前，在終端模擬器輸入命令：cat proc/net/arp查看網(wǎng)關(guān)和被攻擊機(jī)的ARP緩存，結(jié)果如表5和表6。

（2） 手機(jī)抓包

中間人攻擊前，使用終端模擬器根據(jù)具體需求輸入Tcpdump的相關(guān)操作命令截獲攻擊手機(jī)和被攻擊手機(jī)上的網(wǎng)絡(luò)數(shù)據(jù)包。本次實(shí)驗(yàn)使用以下命令：/data/local/tcpdump –i any –p –s 0 –w /storage/arp.pcap。意為按包長(zhǎng)截取所有通過(guò)網(wǎng)絡(luò)接口的數(shù)據(jù)包并將分組直接寫(xiě)入文件中。

（3） ARP協(xié)議分析

當(dāng)使用zANTI掃描網(wǎng)絡(luò)時(shí)，攻擊機(jī)不知道網(wǎng)絡(luò)有多少主機(jī)，所以會(huì)把整個(gè)網(wǎng)絡(luò)掃描一遍。該網(wǎng)絡(luò)內(nèi)的主機(jī)一旦收到和自己IP地址對(duì)應(yīng)的ARP請(qǐng)求包時(shí)便會(huì)應(yīng)答，回復(fù)該主機(jī)IP+MAC給攻擊手機(jī)。將圖4、圖5所截獲的數(shù)據(jù)包導(dǎo)入wireshark，數(shù)據(jù)包顯示如圖6、圖7：

（4） ARP欺騙數(shù)據(jù)包分析

此時(shí)攻擊手機(jī)已經(jīng)知道局域網(wǎng)中的其他主機(jī)的MAC地址信息，通過(guò)報(bào)文可以看到攻擊手機(jī)開(kāi)始對(duì)IP地址為172.27.35.3的用戶(hù)和網(wǎng)關(guān)進(jìn)行ARP欺騙。d0：37：42：41：d1：e3是攻擊手機(jī)的MAC地址，他真正的IP地址為172.27.35.2，但是攻擊手機(jī)卻欺騙被攻擊手機(jī)，聲稱(chēng)網(wǎng)關(guān)IP地址172.27.35.1所對(duì)應(yīng)的MAC地址是其本身。而被攻擊手機(jī)不論數(shù)據(jù)包內(nèi)IP和MAC映射是否真實(shí)有效，都會(huì)更改自己的ARP緩存，網(wǎng)關(guān)IP地址被覆蓋，生成了錯(cuò)誤的ARP映射，使被攻擊手機(jī)將流量交給了攻擊手機(jī)。同理，攻擊手機(jī)覆蓋掉網(wǎng)關(guān)ARP緩存中172.27.35.3的ARP映射，形成中間人。被攻擊手機(jī)和網(wǎng)關(guān)的流量都將通過(guò)攻擊手機(jī)，網(wǎng)絡(luò)數(shù)據(jù)被截獲。數(shù)據(jù)包如圖8。

（5） 改變ARP緩存

之后，攻擊手機(jī)不斷詢(xún)問(wèn)被攻擊手機(jī)的MAC地址信息并給被攻擊手機(jī)發(fā)送假的ARP報(bào)文。

（6） 攻擊結(jié)果分析

此時(shí)再次查看網(wǎng)關(guān)和被攻擊手機(jī)的ARP緩存，網(wǎng)關(guān)的ARP緩存中IP地址為172.27.35.3的MAC地址被替換為攻擊手機(jī)的MAC地址：d0：37：42：41：d1：e3，同樣被攻擊手機(jī)的ARP緩存中IP地址為172.27.35.1的MAC地址被替換為攻擊手機(jī)的MAC地址：d0：37：42：41：d1：e3。ARP緩存如表7、表8。由此證明：中間人攻擊成功。

4 移動(dòng)端的ARP防御

（1） 動(dòng)態(tài)ARP檢測(cè)（Dynamic ARP Inspection，DAI）

交換機(jī)記錄每個(gè)接口對(duì)應(yīng)的IP地址和MAC地址，即PORT-MAC-IP，生成DAI檢測(cè)表。交換機(jī)檢測(cè)每個(gè)接口發(fā)送回來(lái)的ARP回應(yīng)包，根據(jù)DAI檢測(cè)表判斷是否違規(guī)，若違規(guī)則丟棄此數(shù)據(jù)包并對(duì)接口進(jìn)行懲罰（軟關(guān)閉或靜默處理）。

（2） 交換機(jī)或路由器做IP-MAC地址綁定

網(wǎng)絡(luò)設(shè)備中的ARP表一般都是動(dòng)態(tài)更新的，這樣網(wǎng)絡(luò)攻擊者就可以通過(guò)發(fā)送偽造MAC地址的方法使得被攻擊手機(jī)形成錯(cuò)誤的ARP映射，所以我們將IP地址和MAC地址綁定，就可以有效防止ARP攻擊。

（3） 劃分VLAN

VLAN就是一個(gè)邏輯廣播域，通過(guò)VLAN技術(shù)可以在局域網(wǎng)中創(chuàng)建多個(gè)子網(wǎng)，ARP廣播不能跨子網(wǎng)或網(wǎng)段傳播，這樣就在局域網(wǎng)中隔離了廣播，即使部分網(wǎng)段受到ARP攻擊，這些攻擊也只能在小范圍起作用，不會(huì)發(fā)生大范圍的網(wǎng)絡(luò)事故。

（4） 在手機(jī)上安裝ARP防火墻

在手機(jī)上安裝ARP防火墻可以檢測(cè)到ARP攻擊，以DrpidSheepGuard為例，它可以幫助手機(jī)檢測(cè)網(wǎng)絡(luò)中的ARP嗅探。當(dāng)檢測(cè)到ARP嗅探時(shí)，會(huì)提示本機(jī)受到了ARP攻擊。

（5） 靜態(tài)綁定IP地址

給手機(jī)設(shè)置靜態(tài)IP而非通過(guò)DHCP動(dòng)態(tài)分配也可有效地防止ARP攻擊。這種方法在日常生活中最易使用，它的配置也很簡(jiǎn)單。打開(kāi)手機(jī)WLAN，在連接的網(wǎng)絡(luò)下，選擇修改網(wǎng)絡(luò)，在高級(jí)設(shè)置里選擇靜態(tài)并設(shè)置IP地址、網(wǎng)關(guān)IP地址等，注意：將DNS設(shè)置為網(wǎng)關(guān)的IP地址。

5 總結(jié)

傳統(tǒng)的計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)教學(xué)往往是先進(jìn)行理論學(xué)習(xí)，之后在固定的實(shí)驗(yàn)室開(kāi)展，實(shí)驗(yàn)學(xué)時(shí)受到限制，實(shí)驗(yàn)內(nèi)容單一。本文針對(duì)現(xiàn)有計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)中存在的上述問(wèn)題，提出了一種基于移動(dòng)互聯(lián)網(wǎng)以手機(jī)APP作為實(shí)驗(yàn)操作端，開(kāi)展ARP安全性實(shí)驗(yàn)的實(shí)驗(yàn)教學(xué)設(shè)計(jì)和教學(xué)案例。在本教學(xué)案例中通過(guò)手機(jī)端進(jìn)行Web瀏覽的攻擊和防御，并進(jìn)行移動(dòng)互聯(lián)網(wǎng)抓包，實(shí)現(xiàn)了移動(dòng)互聯(lián)網(wǎng)ARP攻擊的可視化和數(shù)據(jù)量化分析，不僅極大地提高學(xué)生的實(shí)驗(yàn)操作積極性，而且可以通過(guò)利用APP的豐富功能實(shí)現(xiàn)對(duì)原有實(shí)驗(yàn)教學(xué)內(nèi)容的開(kāi)發(fā)，為實(shí)驗(yàn)教學(xué)信息化提供了新的途徑。隨著移動(dòng)互聯(lián)網(wǎng)的發(fā)展，智能手機(jī)將會(huì)不斷應(yīng)用于計(jì)算機(jī)網(wǎng)絡(luò)的方方面面。在課堂教學(xué)中有效的利用智能手機(jī)可以豐富計(jì)算機(jī)網(wǎng)絡(luò)教學(xué)的內(nèi)容和方式，支撐教學(xué)模式創(chuàng)新，培養(yǎng)學(xué)生的自主學(xué)習(xí)能力和創(chuàng)新能力。

參考文獻(xiàn) ：

[1] 王小耿.計(jì)算機(jī)網(wǎng)絡(luò)課程教改探索[J].電腦知識(shí)與技術(shù)，2016，12（36）：139-140.

[2] 謝銳兵.開(kāi)放教育《計(jì)算機(jī)網(wǎng)絡(luò)》優(yōu)質(zhì)課程建設(shè)研究[J].電腦與電信，2015（3）：57-59.

[3] 曹杰，婁建樓，劉志穎，奚洋.計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)教學(xué)系統(tǒng)設(shè)計(jì)[J].電腦知識(shí)與技術(shù)，2016，12（2Z）：51-52.

[4] 徐生煒.高校計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)教學(xué)模式的探討[J].實(shí)驗(yàn)科學(xué)與技術(shù)，2012（6）.

[5] 劉鎖蘭，孔立智，宦娟，王洪元.計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)室的優(yōu)化建設(shè)研究[J].信息通信.2013（8）：127-128.

[6] 邊勝琴，王建萍，崔曉龍.計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)室建設(shè)與實(shí)驗(yàn)教學(xué)改革[J]. 實(shí)驗(yàn)室研究與探索，2017，36（2）：259-262.

[7] 方獻(xiàn)梅，高曉波，覃琪，韋靜.基于智能手機(jī)的移動(dòng)學(xué)習(xí)在大學(xué)生群體中的應(yīng)用研究[J].電腦知識(shí)與技術(shù)，2017，13（2）：94-95.

[8] 宋秋艷.智能手機(jī)APP對(duì)學(xué)生的影響分析[J].電腦知識(shí)與技術(shù)，2014（9X）：6126-6127.

[9] 季永煒.ARP攻擊和實(shí)現(xiàn)原理解析[J].電腦知識(shí)與技術(shù)，2012，8（5）：1019-1021.

[10] 盧艷，李輝.交換式局域網(wǎng)ARP欺騙嗅探技術(shù)研究[J].計(jì)算機(jī)工程與應(yīng)用，2013，49（1）：94-97.

[11] 王紹龍，王劍，馮超.ARP欺騙攻擊的取證和防御方法[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2016（10）：27-28.

[12] 胡朝清.基于ARP欺騙局域網(wǎng)的攻擊原理及防范措施[J].中國(guó)科技信息，2014（11）：125-127.

[13] 米沃奇.淺析局域網(wǎng)ARP攻擊與防御[J].電腦知識(shí)與技術(shù)，2016（8）：110-113.

[14] 靳燕.ARP攻擊實(shí)驗(yàn)仿真及防范技術(shù)分析[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2016（7）：29-30.