文章內(nèi)容

菜鳥分析網(wǎng)絡(luò)執(zhí)法官

發(fā)布時(shí)間: 2012/8/25 19:24:52

最近在論壇上看到很多貼子在討論網(wǎng)絡(luò)執(zhí)法官的問題。菜鳥我正好知道這回事情.人道"人之患好為人師" 手里忍不住,就寫點(diǎn)東西吧. 我也很忙.又沒有MM,又沒有MONEY....暈倒有點(diǎn)跑題.

OK,閑話少說,切如正題.
要了解網(wǎng)絡(luò)執(zhí)法官的原理.
就要先了解局域網(wǎng)的通信的原理.

前面我們看到了.在以太網(wǎng)上傳輸?shù)亩际蔷哂幸蕴W(wǎng)頭的數(shù)據(jù)包.
也就是局域網(wǎng)上連個(gè)機(jī)器相互通訊就要知道對(duì)方的MAC地址.

看看具體的過成
比如一臺(tái)netbug的機(jī)器要和一臺(tái)o3的機(jī)器通訊.

首先.netbug要知道o3的IP地址.(這就要用到dns協(xié)議,暫時(shí)我們略過)
netbug知道了o3的IP后,就可以組裝IP協(xié)議層以上的包了.
但前面已經(jīng)說了.要在以太網(wǎng)上傳輸數(shù)據(jù),就必須有一個(gè)的MAC,

要找MAC,netbug首先在自己的arp緩存里找是否有這個(gè)條目.
大家可以在cmd環(huán)境下.

C:\>arp -a

Interface: 192.168.0.225 --- 0x2
Internet Address Physical Address Type
192.168.0.4 00-80-ad-77-e2-9a dynamic
192.168.0.9 00-e0-4c-39-15-f2 dynamic
192.168.0.10 00-e0-4c-39-19-a5 dynamic
192.168.0.12 00-10-b5-4d-4b-b7 dynamic

看到?jīng)]有?
如果IP所對(duì)應(yīng)的MAC在這里沒有.那netbug就會(huì)用到我們以前所講的arp協(xié)議.

發(fā)送一個(gè)廣播.如果在局域網(wǎng)上發(fā)現(xiàn)中間的IP和自己的IP符合,就發(fā)回ARP回應(yīng).

ff ff ff ff ff ff 00 e0 4c 82 8f ba 08 06 00 01
08 00 06 04 00 01 00 e0 4c 82 8f ba c0 a8 00 27
00 00 00 00 00 00 c0 a8 00 01 20 20 20 20 20 20
20 20 20 20 20 20 20 20 20 20 20 20

00 01:ethern
08 00:IP
06:hardware address length
04:Protocol address length
00 01:Opertion type
00 e0 4c 82 8f ba :sender hardware address
c0 a8 00 27: sender IP address 192.168.0.39
00 00 00 00 00 00:receiver hardware address 00 00 00 00 00 00 broadcast
c0 a8 00 01:receiver ip address 192.168.0.1
20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20:the data fixed.

如果沒有回應(yīng),那netbug就會(huì)把網(wǎng)關(guān)的MAC做為對(duì)方的MAC
然后封裝ethern網(wǎng)包.發(fā)送出去.

OK,原理就說到這里,大家看出什么漏洞了嗎?
對(duì),如果我門在arp緩存里修改網(wǎng)關(guān)的mac那.netbug就上去網(wǎng)了.

那如何遠(yuǎn)程去修改對(duì)方的arp緩存呢?
有辦法.
就是arp的一個(gè)屬性.免費(fèi)arp.
1.一個(gè)主機(jī)可以通過她來確定另一個(gè)主機(jī)是否設(shè)置了相同的IP地址.
2.如果發(fā)送免費(fèi)ARP的主機(jī)正好改變了硬件地址.那這個(gè)分組就可以更新其它主機(jī)緩存中的硬件地址.

本文出自：億恩科技【1tcdy.com】

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]