作者Mahoutsukai (魔法使い)
看板AntiVirus
標題[問題] 如何有效防共用網路的ARP攻擊?
時間Mon Mar 15 21:39:13 2010
住處有人狂用P2P 同時兼具ARP攻防能力 疑是懂得使用 DNS欺騙 及 TCP劫持
房東不懂電腦 對於開IE有網頁就斷定OK 殊不知大家已被限速至56K等級
以下切入正題
之前用XP: 卡巴隱形模式 + COMODO防火牆 + 360ARP防火牆 + NetFree(自由上網)
+ 綁定Gate + TCP Filter
狀況: 綁定GATE及自己的IP&MAC成為靜態 NetFree開三個增強模式持續綁定
COMODO防火牆擋住部分不合規定的封包(含部分ARP及ICMP封包)
360ARP防火發現對方偽裝成192.168.1.1 快速變換MAC發動偽造ARP封包
由ARP table發現正式GATE會暫時消失(是否被成功偽裝及取代?)
由掃封包發現許多TCP ACK封包遺失(大約4/5) TELNET及FTP亦然 只有UDP正常
故只有UDP軟體能正常運作 疑似TCP劫持 但使用TCP filter狀況似乎沒改善
與中華電信及hinet溝通過 路由正常 並將DNS綁定在指定的DNS伺服 亦無改善
嘗試取代該攻擊電腦IP&MAC(有時360會發現ARP攻擊源)
也許是P2POver、網路執法官或聚生網管
但對方似乎有使用"防IP衝突"功能 不但擠不進去且GATE可能也是假的(正的不定時消失)
目前聽說新版聚生網管新版有突破ARP防火牆能力 且可主動誘導
是否有適當的反制方法?
另外請問 在Win7 64bit下 怎樣的防護軟體組合 可以抵擋上述攻擊?
先謝謝各為先進!
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 118.169.75.55
1F：推 HNoMokou:怎麼覺得這不像是中毒而像是網路道德問題啊...= =a 03/15 22:14
2F：推 striving:一模一樣的狀況我也碰到 對方快速變換MAC 不斷挾持路由 03/15 22:59
3F：→ striving:arp任何防火牆都沒辦法完全擋住 對方會吃掉你的封包 03/15 23:00
4F：→ striving:上網就變極慢極慢!!! 03/15 23:00
5F：推 striving:這問題真的極煩 我去搞了一個反p2pover 也沒什麼鬼用 03/15 23:02
6F：推 Tequila7211:通常就是在switch做MＡＣ與ＰＯＲＴ的鎖定 03/15 23:13
7F：→ Tequila7211: cisco 的一定有這種功能 其餘的則要看牌子 鎖上後 03/15 23:14
8F：→ Tequila7211:對方變換MAC就無法上網 也可以設定好限速功能 03/15 23:15
9F：→ Tequila7211:從網路硬體下手是最快的解決之道 03/15 23:15
10F：推 darkroad:這沒辦法在端點處理, 只能用防止ARP Poisoning的Switch 03/16 12:14
11F：推 junorn:處理ARP攻擊根本方式是帶著折凳去找發送攻擊的人才是.. 03/16 12:38
12F：→ y3k:推拿折凳 03/16 13:17