ARP单向欺骗与双向欺骗

一.介绍

什么是ARP：

ARP（Address Resolution Protocol，地址解析协议） 是局域网里的「地址翻译官」，核心作用就是把 IP 地址翻译成 MAC 地址，让设备能在局域网里找到对方。

什么是ARP单向欺骗：

ARP 单向欺骗，是指攻击者只向目标主机或者网关其中一方发送伪造的 ARP 响应包，只篡改这一方设备的 ARP 缓存表，让单一方向的网络流量经过攻击机，而不是完整的双向流量。

在这种情况下，目标设备会错误地把本该发给网关的数据包，全部发送到攻击者主机上。如果攻击者不做流量转发，目标设备会因为无法正常收发数据而直接断网；即便开启转发，也只能捕获到一半的流量，无法完整监听或篡改整个网络会话，只能实现简单的流量拦截或单向数据收集。

什么是ARP双向欺骗：

ARP 双向欺骗，是在单向欺骗的基础上，同时对目标主机和网关分别发送伪造的 ARP 响应报文，把双方的 ARP 缓存都进行篡改。

经过欺骗后，目标主机会把攻击者当成网关，网关也会把攻击者当成目标主机。此时，目标主机的所有上网流量、网关返回的所有下行数据，都会完整地经过攻击者主机，攻击者真正成为局域网中的中间人。

在开启流量转发的情况下，目标主机可以正常上网、不会断网，而攻击者则可以对经过的流量进行监听、抓取、篡改或定向劫持，实现完整的中间人攻击效果。

 二.ARP 欺骗的适用条件与局限性

 1.ARP 欺骗的适用条件

        1.1. 攻击机与目标必须在同一局域网（同一广播域），ARP 无法跨网段、跨路由器生效。        

        1.2. 目标主机与网关未做静态 ARP 绑定，否则伪造 ARP 报文无法覆盖缓存。 

        1.3. 网络设备未启用 ARP 安全防护（如端口安全、ARP 防火墙），避免异常报文被拦截。        

        1.4. 双向欺骗需开启攻击机 IP 转发，防止目标断网暴露攻击。         

        1.5. 目标流量未被 HTTPS、VPN 等强加密或隧道保护，否则无法获取明文。

2.ARP 欺骗的局限性

        2.1. 仅能在局域网内使用，适用范围有限。

        2.2. 易被检测与防御，异常 ARP 响应会被安全设备阻断。

        2.3. 对 HTTPS 类加密流量效果有限，无法直接解密、篡改。

        2.4. 易造成网络延迟、丢包、断网，隐蔽性差。

        2.5. 无法绕过网关级安全策略（如 ARP 防护、802.1X 认证）。

        2.6. 依赖目标设备对 ARP 响应的无条件信任，现代设备安全性提升会削弱其效果。

三.操作步骤

1.科来实现ARP单向欺骗

        1.1.打开科来，点击实时分析

        1.2.点击MAC地址扫描器

        1.3.筛选出目标IP地址，整行复制保存相关信息

        1.4.点击数据包生成器

        1.5.点击添加

        1.6.选择ARP数据包，时间差0.1秒，点击确定

        1.7.目的地址填写被攻击机的MAC地址，源地址可以伪造或者不动

        1.8.原MAC地址可以保持默认（如果上面的源地址选择了伪造，那么这里也要填写伪造的MAC地址），源IP地址填写网关的IP地址，目标MAC地址则填写被攻击机的MAC地址，目标IP地址填写被攻击机的IP地址

        1.9.都填写好后，点击发送

        1.11.勾选上突发模式和循环发送，次数选择0

        1.12.点击右上角的选择

        1.13.网卡选择的要保持一致

        1.14.点击开始就成功实现了ARP断网攻击，点击停止就会停止攻击

2.arpspoof实现ARP单向欺骗

        2.1.输入以下命令下载arpspoof

apt install dsniff

        2.2.输入以下命令查看kali的mac地址

ip a

        2.3.进行攻击（这样也可以实现断网攻击）

arpspoof -i eth0 -t 【目标IP】 -r 【网关IP】

3.arpspoof实现ARP双向欺骗

        3.1.双向欺骗只需要在之前的基础上开启转发即可

# 开启IP转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 验证IP转发状态（输出1则表示成功）
cat /proc/sys/net/ipv4/ip_forward

        3.2.再用之前的命令进行攻击即可

arpspoof -i eth0 -t 【目标IP】 -r 【网关IP】

        3.3.进入靶机，输入arp -a 可以看到网关的MAC地址变成了kali的

总结：

ARP（地址解析协议）是局域网二层核心协议，负责将 IP 地址解析为 MAC 地址，保障设备在局域网内正常通信。其无身份校验、无条件信任响应的设计缺陷，是 ARP 欺骗攻击的根源。

ARP 欺骗分为单向、双向两种：单向欺骗仅篡改目标或网关一方的 ARP 缓存，可实现断网攻击；双向欺骗同时篡改双方缓存，配合开启 IP 转发，能在目标正常上网的前提下，完成中间人流量劫持、嗅探与篡改。

ARP 欺骗的生效需满足：攻击机与目标同属一个局域网、未做静态 ARP 绑定、网络设备未启用 ARP 防护等条件；同时存在明显局限：仅适用于局域网、易被安全设备检测、对 HTTPS 等加密流量效果有限，无法跨网段实施。

通过arpspoof工具可快速发起欺骗，靶机执行arp -a可验证欺骗效果，是局域网渗透测试的经典技术，也是网络安全防护中需重点防范的攻击手段。