使用arpwatch和arping来排查ARP攻击

zyp

ARPWATCH监听广播域内的ARP通信，记录每台设备的IP与MAC的对应关系，当发生变化时，发邮件通知。
ARP攻击的常见迹象就是发现网关的MAC地址变生变化。
当然,ARPWATCH不是万能的。因为一般情况下，你的安装arpwatch的服务器不可能总是能接收到整个网络的arp事件。想要完全监听，不得不在交换上做端口镜象。
( h; n. c, N0 X5 b另外，对路由器的攻击，因为攻击包是发给路由器的，假如在适当的位置没有端口镜象的支持，也是收不到任何信息的，所以也发现不了攻击。
####################
# ARP攻击监控、处理
) h& n- |. V2 W9 ?, t' B####################
#系统环境：CentOS 5.2
#
  e* `0 [3 K+ r1 w7 k3 A9 |" g, a# 安装 ARPWACTH
yum -y install arpwatch
& B. u/ }  T, A% w6 Q5 ]+ w9 u& Z# P, r# 设备成自动启动
& ^+ T8 C2 j0 Achkconfig arpwatch on
3 S% W6 M! w& b# 启动arpwatch服务
serivce arpwatch start 、/etc/init.d/arpwatch start
# 设置arpwatch
vi /etc/sysconfig/arpwatch
% y, v& |. `5 X  L0 V+ b# -u : defines with what user id arpwatch should run
! l' N+ k3 j- ^) u# -e : the where to send the reports
# -s : the -address
4 _- m6 p, @4 fOPTIONS=”-u pcap -e  -s ‘root (Arpwatch)’”
使用arping查询得到mac地址
2 a! W7 X, K+ @) e# 遍历VLAN内的MAC地址
#!/bin/bash
for i in `seq 254` ; do
6 R! q! z1 e) l  K7 t$ X( b1 Marping -c2 210.51.44.$i | awk ‘/Unicast reply from/{print $4,$5}’ | sed ’s/\[//' | sed 's/\]//’
done
6 z; C% F- M/ P/ O& t报警样例：
6 n; c' A5 P) k' o6 Y" Shostname:
ip address: 210.51.44.1
9 c( b0 [; K+ |% c. D: ]ethernet address: 0:0:24:5b:bb:ac
ethernet vendor: CONNECT AS
old ethernet address: 0:b:bf:29:d0:56
3 X: l/ L0 s3 \: c6 Rold ethernet vendor: Cisco Systems
1 Q9 B' B* F) y6 ]/ u0 C5 [3 htimestamp: Sunday, December 7, 2008 14:46:34 +0800
9 P/ E& e" v  C/ J" O4 f  Gprevious timestamp: Sunday, December 7, 2008 14:46:34 +0800
delta: 0 seconds
其中，知道网关正确的MAC是0:b:bf:29:d0:56,所以0:0:24:5b:bb:ac就是攻击者的MAC地址（有一点需要注意，MAC地址也是可以改变的）。使用arping遍历同网段的IP，得到MAC列表，再grep出这个MAC的IP地址即可。可以把这个MAC地址表保存起来，下次使用。当然，要保证这个文件是正确的，所以还是需要保持更新。