网络欺骗攻击(4).ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,第四章 网络欺骗攻击,1,）,IP,欺骗攻击,2,）,ARP,欺骗攻击,3,）,DNS,欺骗攻击,4,）,E-mail,欺骗攻击,5,）,ICMP,重定向攻击,6,）网络钓鱼（,Web,欺骗攻击）,攻击者,C,10.50.50.50,受害者,B,（目标主机）,10.10.5.5,被冒充者,A,10.10.20.30,IP,数据包,源地址：,10.10.20.30,目标地址：,10.10.5.5,4.1 IP,欺骗攻击,1,、,IP,欺骗攻击的基本概念,IP,欺骗就是通过,IP,地址的使得某台主机能够伪装成另外一台主机，从而骗取对目标主机的访问权限，入侵目标主机的一种攻击。,4.1 IP,欺骗攻击,1,、,IP,欺骗攻击的基本概念,1,）,IP,数据报在进行路由、接收和处理时，路由器、目标主机都不对源,IP,地址的合法性进行判断，而,TCP/IP,协议栈在发送数据时，又允许用户修改,IP,报文的头部。这样，通过修改,IP,源地址，就可以达到欺骗的目的。,A,B,4.1 IP,欺骗攻击,1,、,IP,欺骗攻击的基本概念,2,）为了便于主机之间的信息沟通，某些操作系统允许主机之间建立信任关系。,A,B,echo“A,usernameA,”,/.,rhosts,usernameA,usernameB,r,开头的命令,（,rlogin,）,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,1,）单向攻击（盲目飞行攻击）,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,1,）单向攻击（盲目飞行攻击）,单向攻击操作简单，涉及的技术层次也很低，缺点明显。,被冒充者,A,受害者,B,攻击者,C,SYN,包,A,的,IP,地址,SYN+ACK,包,RST,报文,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,2,）源路由攻击,源路由攻击是利用了,IP,数据报的源路由选项机制来控制数据报转发路径，进而实现会话监听的,137,严格的源站选择,131,宽松的源站选择,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,2,）源路由攻击,137,严格的源站选择,131,宽松的源站选择,A,B,IP1,IP2,IP3,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,2,）源路由攻击,131,被冒充者,A,受害者,B,攻击者,C,A,的,IP,地址,IP,C,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,3,）,TCP,会话劫持,会话劫持（,Session Hijack,）就是在一次正常的通信中，攻击者作为第三方参与其中，它可以对会话进行监听，也可以将恶意数据插入到会话流中，甚至可以取代某一方接管会话。,被冒充者,A,受害者,B,攻击者,C,你好，我是,A,下线！,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,3,）,TCP,会话劫持,被冒充者,A,受害者,B,攻击者,C,认证,明文传输,会话劫持不仅可以实现监听，而且攻击者可以绕过口令破解和身份认证。,再安全的身份认证机制也不能抵挡会话劫持的攻击！,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,3,）,TCP,会话劫持,IP,地址伪造技术,在构造,IP,数据报的时候，篡改源,IP,地址,SYN Flood,技术,一种针对,TCP,连接的拒绝服务攻击,TCP,序列号猜测技术,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,3,）,TCP,会话劫持,TCP,序列号猜测技术,报文段,2,SYN+ACK:1 Seq:4800 Ack:1201,报文段,1,SYN:1 Seq:1200,时间,时间,报文段,3,ACK:1 Seq:1201 Ack:4801,URG,ACK,PSH,RST,SYN,FIN,1201,4801,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,3,）,TCP,会话劫持,TCP,序列号猜测技术,A,B,seq,=19C6B98B,确认号,=69C5473E,报文长度,=2,字节,seq,=69C5473E,确认号,=19C6B98D,如果对方期望的下一个序列号是,2345,，而攻击者发送的数据包序号是,5555,，那么接受者发现出错后就会请求重新同步。,TCP,会话劫持的过程与案例分析,攻击者,C,10.50.50.50,受害者,B,（目标主机）,10.10.5.5,被冒充者,A,10.10.20.30,1,）对主机,A,实施,TCP SYN Flood,攻击,SYN,TCP,会话劫持的过程与案例分析,攻击者,C,10.50.50.50,受害者,B,（目标主机）,10.10.5.5,被冒充者,A,10.10.20.30,2,）向主机,B,的某个端口发送一个,TCP,的连接请求，了解,ISN,基值和变化规律,SYN,BSD,、,Linux,系统，每秒钟序列号增加,128000,，这样，每隔,9.32,小时，序列号就要折返一次。,每当调用,TCP connect(),函数建立一个,TCP,会话时，在会话持续期间，每秒钟序列号增加,64000,TCP,会话劫持的过程与案例分析,攻击者,C,10.50.50.50,受害者,B,（目标主机）,10.10.5.5,被冒充者,A,10.10.20.30,3,）利用,IP,地址伪造技术，伪装成被信任主机,A,，向主机,B,发送,TCP,连接请求,IP,数据包,源地址：,10.10.20.30,目标地址：,10.10.5.5,SYN,SYN+ACK,TCP,会话劫持的过程与案例分析,攻击者,C,10.50.50.50,受害者,B,（目标主机）,10.10.5.5,被冒充者,A,10.10.20.30,4,）等待一段时间，再次伪装成主机,A,向,B,发送同步确认，完成第三次握手,IP,数据包,源地址：,10.10.20.30,目标地址：,10.10.5.5,ACK,SYN+ACK,TCP,序列号的猜测技术,CB,：,SYN,（,ISN,C,）,攻击者,C,B C,：,SYN,（,ISN,B,），,ACK,（,ISN,C,+1,）,受害者,B,（目标主机）,CB,：,ACK,（,ISN,B,+1,）,被冒充者,A,C,（,A,）,B,：,SYN,（,ISN,B,）,SYN,（,ISN,B,）,+ACK,0.5RTT,0.5RTT,0.5RTT,ISN,B,=ISN,B,+1.5RTT128000,+,N64000,C,（,A,）,B,：,ACK,（,ISN,B,+1,）,TCP,序列号的猜测技术,如果猜出的序列号,ISN,B,目标主机的期望值，目标主机会认为这个数据报是提前到达的报文，它会缓存在目标主机中，等前面序列号的报文到达后，一并处理。,TCP,会话劫持的过程与案例分析,攻击者,C,10.50.50.50,受害者,B,（目标主机）,10.10.5.5,被冒充者,A,10.10.20.30,5,）如果三次握手连接成功,在这个连接上，向目标主机发送远程命令（例如：,rlogin,）,（,rlogin,）,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,4,）会话劫持的工具,Juggernaut,可以进行,TCP,会话攻击的网络,sniffer,程序,Hunt,功能与,Juggernaut,类似,TTY Watcher,免费程序，针对单一主机上的连接,IP Watcher,商用的会话劫持工具,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,5,）,IP,欺骗攻击的防御,路由器内置欺骗过滤器,包过滤,192.168.0.0,入口过滤,192.168.0.17,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,5,）,IP,欺骗攻击的防御,路由器内置欺骗过滤器,包过滤,192.168.0.0,出口过滤,202.119.1.17,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,5,）,IP,欺骗攻击的防御,关闭路由器的源路由功能,通过,IP source-route,命令设置路由器禁止使用源路由。,不允许通过互联网使用信任关系,4.1 IP,欺骗攻击,2,、,IP,欺骗技术,5,）,IP,欺骗攻击的防御,使用加密通信或者使用安全的通信协议，例如：,SSH,VPN,安全的,Telnet,协议等。,使用安全的操作系统,出口过滤,4.2 ARP,欺骗攻击,ARP,欺骗攻击具有原理简单、容易实现的特点，因此在网络攻防中应用广泛。,1,、太网环境下，主机间的通信,4.2 ARP,欺骗攻击,1,）太网的,MAC,（,Media Access Control,）地址,1,、太网环境下，主机间的通信,网卡生产厂家（,OUI,）,厂家自行分配,Organizationally Unique Identifier,4.2 ARP,欺骗攻击,1,、太网环境下，主机间的通信,一个捕获的,ARP,数据报案例,（,6,字节）,（,6,字节）,（,2,字节）,数据,1,帧数据,DLC Header,ARP,：,0 x0806,IP,：,0 x0800,4.2 ARP,欺骗攻击,1,、太网环境下，主机间的通信,ARP,00-d0-f8-fb-29-e3,00-d1-ff-bb-45-12,ARP,的缓存表,在,dos,命令行下，输入：,arp,a,1,、太网环境下，主机间的通信,局域网内通信,IP,源地址,P1,IP,目标地址,P4,数据,目标,MAC,M4,源,MAC,M1,数据,DLC Header,1,、太网环境下，主机间的通信,跨局域网通信,IP,源地址,P1,IP,目标地址,PB,数据,目标,MAC,MRa,源,MAC,M1,数据,RT,目标,MAC,MB,源,MAC,MRb,数据,4.2 ARP,欺骗攻击,1,）,ARP,（,Address Resolution Protocol,，地址解析协议）是将,IP,地址解析成,MAC,地址的协议；,2,）当一台主机需要向另一台主机发送数据时，,2,、,ARP,的工作原理,A,B,C,直接发送,发送网关,发送,ARP,请求,4.2 ARP,欺骗攻击,2,、,ARP,的工作原理,4.2 ARP,欺骗攻击,3,）为了提高通信的可靠性，,ARP,缓存表采用了老化机制，每一条记录都设置了生存时间，例如,2,、,ARP,的工作原理,Router,，,4,小时,服务器，,10,分钟或更多,Windows95,，,120,秒,当主机收到一个新的应答包时，它会利用,IP,与,MAC,新的映射关系取代缓存中旧的记录，以确保内容的新鲜。,4.2 ARP,欺骗攻击,1,）在局域网内，数据传输是通过,MAC,地址实现的。,IP,地址与,MAC,地址的映射依赖,ARP,缓存表。但是，,ARP,缓存表的实现不具备任何认证机制。,3,、,ARP,协议的安全问题,ARP,请求,ARP,应答,4.2 ARP,欺骗攻击,2,）在没有主机发送,ARP,请求的情况下，任何主机都可以发送,ARP,应答数据报。并且，这将导致源主机内,ARP,缓存表的非法更新。,3,、,ARP,协议的安全问题,ARP,缓存表,ARP,应答,ARP,应答,4.2 ARP,欺骗攻击,4,、,ARP,欺骗攻击的实现,2,主机,C,的,MAC,主机,B,的,IP,4.2 ARP,欺骗攻击,4,、,ARP,欺骗攻击的实现,攻击者,4.2 ARP,欺骗攻击,5,、,ARP,欺骗网页劫持,网页劫持的目标是截获、修改,Web,服务器发送给客户机的,Web,页面，达到窃听、篡改的目的。,HTTP,请求,HTTP,响应,HTTP,响应,4.2 ARP,欺骗攻击,5,、,ARP,欺骗网页劫持,1,）客户端网页劫持,网关,G,的,ARP,缓存,IP,（,A,）,MAC,（,A,）,IP,（,A,）,MAC,（,C,）,客户机,A,攻击者,C,服务器,B,网关,G,2,主机,C,的,MAC,主机,A,的,IP,4.2 ARP,欺骗攻击,5,、,ARP,欺骗网页劫持,1,）客户端网页劫持,网关,G,的,ARP,缓存,IP,（,A,）,MAC,（,C,）,客户机,A,攻击者,C,服务器,B,网关,G,HTTP,请求,HTTP,请求,HTTP,响应,HTTP,请求,HTTP,响应,HTTP,响应,4.2 ARP,欺骗攻击,5,、,ARP,欺骗网页劫持,2,）服务器端网页劫持,Web,服务器的,ARP,缓存,IP,（,G,）,MAC,（,G,）,IP,（,G,）,MAC,（,C,）,客户机,A,攻击者,C,服务器,B,网关,G,2,主机,C,的,MAC,网关,G,的,IP,ARP,欺骗,4.2 ARP,欺骗攻击,5,、,ARP,欺骗网页劫持,2,）服务器端网页劫持,Web,服务器的,ARP,缓存,IP,（,G,）,MAC,（,C,）,客户机,A,攻击者,C,服务器,B,网关,G,HTTP,请求,HTTP,请求,HTTP,响应,HTTP,响应,4.2 ARP,欺骗攻击,6,、,ARP,欺骗工具,实施,ARP,欺骗的攻击工具：,WinArpAttacker,NetFuke,Zxarps,防御,ARP,欺骗的工具：,AntiArpSniffer,安天,ARP,欺骗检测工具,4.2 ARP,欺骗攻击,7,、,ARP,欺骗的检测和防范,1,）,ARP,检测,使用数据包捕获软件，例如,Wireshark,Sniffer Pro,WinDump,分析,ARP,数据包,监视,ARP,缓存表,当主机遭遇,ARP,欺骗攻击时，其,ARP,缓存表会出现,1,个,IP,地址对应,2,个,MAC,的情况。,4.2 ARP,欺骗攻击,7,、,ARP,欺骗的检测和防范,2,）,ARP,防御,静态绑定,Arp s IP,地址,MAC,地址,使用,ARP,服务器,使用,ARP,防攻击软件工具,ARPFix,AntiARP,等,4.3 DNS,欺骗攻击,1,）为了便于书写和记忆，人们使用域名来表示互联网上的主机。但是，浏览器在访问一台主机时，仍然需要使用主机的,IP,地址。为此，就需要一台服务器，提供域名到,IP,地址的转换服务。这台服务器就是,DNS,服务器。,1,、,DNS,的基本概念与工作原理,4.3 DNS,欺骗攻击,2,）在,Internet,网上，当一台客户机试图访问一台,Web,服务器时，我们首先会在浏览器的地址栏中输入服务器的域名。,1,、,DNS,的基本概念与工作原理,DNS,Web,202.115.66.77,Http,页面请求,Http,页面响应,4.3 DNS,欺骗攻击,3,）如果一台主机向,DNS,服务器发送了一个域名解析服务请求，但是，该,DNS,服务器缓存中没有对应域名的,IP,地址，这时，怎么办？,1,、,DNS,的基本概念与工作原理,4.3 DNS,欺骗攻击,4,）为了降低,DNS,服务器的负担，域名,IP,地址映射关系会动态存储在,DNS,服务器的高速缓存中。,1,、,DNS,的基本概念与工作原理,4.3 DNS,欺骗攻击,2,、,DNS,安全缺陷,DNS,DNS,查询报文,DNS,应答报文,UDP 53,4.3 DNS,欺骗攻击,3,、,DNS,欺骗攻击,DNS,查询报文（,ID=666,）,伪造,DNS,应答报文（,ID=666,）,4.3 DNS,欺骗攻击,3,、,DNS,欺骗攻击,DNS,查询报文（,ID=666,）,伪造,DNS,应答报文（,ID=666,）,201.15.192.4,A,（,DNS,）,B,（,DNS,）,201.15.192.4,1,）攻击者需要攻击,DNS,服务器,A,，导致它瘫痪、重启动。,4.3 DNS,欺骗攻击,3,、,DNS,欺骗攻击,DNS,查询报文（,ID=666,）,伪造,DNS,应答报文（,ID=666,）,201.15.192.4,A,（,DNS,）,B,（,DNS,）,201.15.192.4,2,）攻击者需要立即向其发送一个网站的域名解析请求,3,）,DNS,服务器,A,就会向它的上一层节点,B,发送,DNS,查询报文,4.3 DNS,欺骗攻击,3,、,DNS,欺骗攻击,DNS,查询报文（,ID=666,）,伪造,DNS,应答报文（,ID=666,）,201.15.192.4,A,（,DNS,）,B,（,DNS,）,201.15.192.4,4,）攻击者伪造一个应答包（,ID=666,），告诉服务器,A,：,的,IP,地址是,201.15.192.4,4.3 DNS,欺骗攻击,3,、,DNS,欺骗攻击,DNS,Web,201.15.192.4,Http,页面请求,Http,页面响应,202.115.66.77,201.15.192.4,4.3 DNS,欺骗攻击,4,、获取,DNS,请求应答序列号,1,）早期,DNS,服务器序列号的生成都有很强的规律性,DNS,ID=666,不存在的域名解析请求,DNS,ID=667,ID=700,4.3 DNS,欺骗攻击,4,、获取,DNS,请求应答序列号,2,）对于无法实现嗅探的,DNS,服务器,不存在的域名解析请求（,）,DNS,伪造一系列应答包（,ID=1000,）,伪造一系列应答包（,ID=1050,）,4.4 E-mail,欺骗攻击,1,、,E-mail,欺骗攻击的基本概念,定义：,E-mail,欺骗攻击是指通过隐藏自己的身份，或者假冒他人的邮件地址发送邮件，骗取收件人信任的一种攻击。,电子邮件欺骗的三种方式：,利用相似的电子邮件地址,直接使用伪造的,E-mail,地址,远程登录到,SMTP,端口发送邮件,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,1,）利用相似的电子邮件地址,受害者,受害者的朋友,邮件别名：张伟峰,邮件地址：,780731,攻击者,邮件别名：张伟峰,邮件地址：,78073,l,发送邮件,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,2,）直接使用伪造的,E-mail,地址,简单邮件传输协议存在一个严重的缺陷,它假定发送者的身份与他们所声称的身份总是一致的。,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,2,）直接使用伪造的,E-mail,地址,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,2,）直接使用伪造的,E-mail,地址,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,3,）远程登录到,SMTP,端口发送邮件,执行电子邮件欺骗的一个比较复杂的方法是远程登录到邮件服务器的,25,号端口,直接发送邮件。,获取邮件服务器的,IP,地址,SMTP,邮件服务器,202.11.44.21,25,Web,服务器,202.11.53.21,80,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,3,）远程登录到,SMTP,端口发送邮件,执行电子邮件欺骗的一个比较复杂的方法是远程登录到邮件服务器的,25,号端口,直接发送邮件。,远程登录邮件服务器,SMTP,邮件服务器,202.11.44.21,25,telnet,202.11.44.21,25,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,3,）远程登录到,SMTP,端口发送邮件,通过客户端发送下面的命令，直接发送邮件,HELO,MAIL FROM:,欺骗伪装的,mail,地址,(,受害者朋友的邮件地址,),RCPT TO:,收件的受害者,mail,地址,(,受害者的邮件地址,),DATA,邮件的内容,SMTP,邮件服务器,202.11.44.21,25,简单邮件传输协议（,SMTP,）的工作原理,命令,发送方,客户机,接收方,应答,服务器,受害者,4.4 E-mail,欺骗攻击,2,、,E-mail,欺骗攻击的基本原理,3,）远程登录到,SMTP,端口发送邮件,通过客户端发送下面的命令，直接发送邮件,邮件正文发送,受害者的朋友,HELO,250,MAIL FROM:,受害者朋友的邮件地址,250,RCPT TO:,受害者的邮件地址,250,DATA,354,4.4 E-mail,欺骗攻击,3,、,E-mail,欺骗攻击的防御,1,）强化邮件安全意识,2,）设置服务器认证,3.5 ICMP,重定向攻击,1,）,ICMP,重定向的工作原理,3.5 ICMP,重定向攻击,2,）,ICMP,重定向攻击,主机,A,主机,B,主机,C,网关,G,（主机,C,的,IP,地址）,3.6,网络钓鱼（,Web,欺骗攻击）,1,、网络钓鱼（,Phishing,）的基本概念,网络钓鱼（,Web,欺骗攻击）是通过引诱用户登录一个假冒的网站，骗取用户账号、口令的一种攻击。,1,）搭建一个虚假的网站,真实的网站,虚假的网站,3.6,网络钓鱼（,Web,欺骗攻击）,1,、网络钓鱼（,Phishing,）的基本概念,网络钓鱼（,Web,欺骗攻击）是通过引诱用户登录一个假冒的网站，骗取用户账号、口令的一种攻击。,2,）诱使用户登录虚假网站,垃圾邮件,网络钓鱼的案例,1,）工商银行（,,www.,1,）,网络钓鱼的案例,2,）联想集团（,www.,1,）,网络钓鱼的案例,2,、网络钓鱼攻击的防御,个人用户防御网络钓鱼攻击的重要途径：,1,）不轻易访问自己不熟悉的网站。,2,）通过搜索引擎或者邮件连接进入一个网站时，如果要求你输入账号，一定要确认浏览器上的域名。,网络欺骗攻击,小结,1,）,IP,欺骗攻击,2,）,ARP,欺骗攻击,3,）,DNS,欺骗攻击,4,）,E-mail,欺骗攻击,5,）网络钓鱼（,Web,欺骗攻击）,6,）,ICMP,重定向欺骗攻击,ARP,数据包的发送和应答,附录一,ARPtest,运行界面,ARP,发送数据包,ARP,获取目的,MAC,地址,基于,ARP,欺骗的监听,ARP,包的格式,一个,ARP,包分为两个部分：前面一个是物理帧头，后面一个才是,ARP,帧。,物理帧头，它将存在于任何一个协议数据包的前面，我们称之为,DLC Header,，因为这个帧头是在数据链路层构造的，并且其主要内容为收发双方的物理地址，以便硬件设备识别。,DLC Header,填充,字段,长度,(Byte),填充值,接收方,MAC,6,ffffffffffff,发送方,MAC,6,aaaaaaaaaaaa,Ethertype,2,0 x0806,ARP,帧的填充,请求包,请求包的操作码是,1,发送方的,MAC,以及,IP,填入自己的，然后要注意一下，这里的接收方,IP,填入我们要查询的那个,IP,地址，而接收方,MAC,填入任意值就行，不起作用。,应答包,操作码是,2,，通过请求包，知道请求的,IP,和,MAC,地址，填入接收方的对应地方，发送的,IP,和,MAC,地址填自己的,发送,ARP,包的编程实现,填充数据包,需要三个结构体，如下：,/DLC Header,typedef,struct,DLCHeader,unsigned char DesMAC6;/*destination HW,addrress,*/,unsigned char SrcMAC6;/*source HW,addresss,*/,unsigned short,Ethertype,;/*,ethernet,type*/,DLCHEADER,*PDLCHEADER;,ARP Frame,/ARP Frame,typedef,struct,ARPFrame,unsigned short,HW_Type,;/*hardware address*/,unsigned short,Prot_Type,;/*protocol address*/,unsigned char,HW_Addr_Len,;/*length of hardware address*/,unsigned char,Prot_Addr_Len,;/*length of protocol address*/,unsigned short,Opcode,;/*ARP/RARP*/,unsigned char Send_HW_Addr6;/*sender hardware address*/,unsigned long,Send_Prot_Addr,;/*sender protocol address*/,unsigned char Targ_HW_Addr6;/*target hardware address*/,unsigned long,Targ_Prot_Addr,;/*target protocol address*/,unsigned char padding18;,ARPFRAME,*PARPFRAME;,/ARP Packet=DLC header+ARP Frame,typedef,struct,ARPPacket,DLCHEADER,dlcHeader,;,ARPFRAME,arpFrame,;,ARPPACKET,*PARPPACKET;,ARP,发送用到的函数,void,formatARPPacket(char,*,srcDLC,char,*,desDLC,char,*,srcMAC,char,*,srcIP,char,*,desMAC,char,*,desIP,int,arpType,);,void,SendARPPacket(short,nAdpaterIndex,);,formatARPPacket,void,CSender:formatARPPacket(char,*,srcDLC,char,*,desDLC,char,*,srcMAC,char,*,srcIP,char*,desMAC,char,*,desIP,int,arpType,),memset(&ARPPacket,0,sizeof(ARPPACKET,);/,数据包初始化为,0,CSysInfo:formatStrToMAC(srcDLC,ARPPacket.dlcHeader.SrcMAC,);/DLC,帧头,CSysInfo:formatStrToMAC(desDLC,ARPPacket.dlcHeader.DesMAC,);,CSysInfo:formatStrToMAC(srcMAC,ARPPacket.arpFrame.Send_HW_Addr,);/,源地址,ARPPacket.arpFrame.Send_Prot_Addr,=,inet_addr(srcIP,);,CSysInfo:formatStrToMAC(desMAC,ARPPacket.arpFrame.Targ_HW_Addr,);/,目的地址,ARPPacket.arpFrame.Targ_Prot_Addr,=,inet_addr(desIP,);,ARPPacket.arpFrame.Opcode,=,htons(unsigned,short)arpType,);/,arp,包类型,/,自动填充常量,ARPPacket.dlcHeader.Ethertype,=,htons(unsigned,short)0 x0806);/DLC Header,的以太网类型,ARPPacket.arpFrame.HW_Type,=,htons(unsigned,short)1);/,硬件类型,ARPPacket.arpFrame.Prot_Type,=,htons(unsigned,short)0 x0800);/,上层协议类型,ARPPacket.arpFrame.HW_Addr_Len,=(unsigned char)6;/MAC,地址长度,ARPPacket.arpFrame.Prot_Addr_Len,=(unsigned char)4;/IP,地址长度,SendARPPacket,void,CSender:SendARPPacket(short,nAdapterIndex,),char*,AdapterDeviceName,=,CSysInfo:GetCurAdapterName(nAdapterIndex,);/,获得网卡名字,lpAdapter,=,PacketOpenAdapter(AdapterDeviceName,);/,打开网卡,if(!,lpAdapter,|(,lpAdapter,-,hFile,=INVALID_HANDLE_VALUE),AfxMessageBox,(,打开网卡错误！,);,return;,lpPacket,=,PacketAllocatePacket,();/,给,PACKET,结构指针分配内存,if(,lpPacket,=NULL),PacketCloseAdapter(lpAdapter,);,AfxMessageBox(AllocatePacket,错误！,);,return;,PacketInitPacket(lpPacket,&,ARPPacket,sizeof(ARPPacket,);/,初始化,PACKET,结构指针,if(,PacketSetNumWrites(lpAdapter,1)=0)/,每次只发送一个包,PacketFreePacket(lpPacket,);,PacketCloseAdapter(lpAdapter,);,AfxMessageBox(SetNumWrites,错误！,);,return;,if(,PacketSendPacket(lpAdapter,lpPacket,true)=0)/Send,PacketFreePacket(lpPacket,);,PacketCloseAdapter(lpAdapter,);,AfxMessageBox,(,发送数据包错误！,);,return;,PacketFreePacket(lpPacket,);,PacketCloseAdapter(lpAdapter,);,远程登录邮件服务器实施电子邮件欺骗,附录二,2026/1/31 周六,网络入侵与防范讲义,99,示例：远程登录,25,端口的,Email,欺骗,实验环境,局域网,mail,服务器为,192.168.1.250,Mail,服务器不需要身份验证,内有两个用户分别为：,liuylan.nipc,chensllan.nipc,实验方式,伪装成,liuylan.nipc,给,chensllan.nipc,发邮件,2026/1/31 周六,网络入侵与防范讲义,100,Email,欺骗过程,telnet,到服务器,通过,telnet,，连接到邮件服务器的,25,端口。在,cmd.exe,下使用的命令：,telnet 192.168.1.250 25,结果如图所示，说明已经连接到了,25,端口,2026/1/31 周六,网络入侵与防范讲义,101,Email,欺骗过程,发送邮件内容,220,nipcoa,Magic,Winmail,Server 2.4(Build 0530)ESMTP ready,helo,250,nipcoa,Magic,Winmail,Server 2.4(Build 0530),mail from:,liuylan.nipc,250 ok,rcpt to:,chensllan.nipc,250 ok,data,354 go ahead,subject:test,to:,chensllan.nipc,from:,liuylan.nipc,this is a test,.,250 ok message accepted for delivery,quit,221,nipcoa,Magic,Winmail,Server 2.4(Build 0530),红色部分是根据,SMTP,协议自行输入的内容；,黑色部分是服务器的返回信息。,说明,2026/1/31 周六,网络入侵与防范讲义,102,Email,欺骗过程,发送邮件内容截屏,2026/1/31 周六,网络入侵与防范讲义,103,Email,欺骗过程,结果,用户,chensllan.nipc,将收到来自,liuylan.nipc,的邮件，如图所示。,但是,liuylan.nipc,并不知道自己发送了邮件。,试想，如果邮件的内容里有病毒或者其它恶意代码，且,chensllan.nipc,信任,liuylan.nipc,，那么将会是一件多么危险的事情啊。,