ARP欺骗攻击原理与实战：局域网流量劫持与中间人攻击防御指南

在局域网环境中，设备之间的通信并非像表面看起来那样“直接”。ARP（Address Resolution Protocol）作为 IP 到 MAC 的地址解析机制，在设计之初默认局域网是一个可信环境。正是这种“默认信任”的设计，使得 ARP 协议在面对恶意节点时存在被利用的可能，也为网络安全研究提供了一个经典案例。

本文通过一个在可控局域网环境内的操作演示，解析 ARP 欺骗的基本原理与实现方式，旨在帮助读者理解中间人攻击（MITM）在二层网络中的发生机制与潜在危害。

免责声明

本文所涉及的所有实验与演示内容，均在本人自有的家庭局域网环境中进行，所有设备均为本人所有。

本文仅用于网络安全原理学习与防御意识提升，不涉及、也不鼓励任何形式的非法入侵、监听或攻击行为。

请勿在公共网络、他人网络或未授权的环境中复现实验，因不当使用本文内容所造成的一切后果，均与本文作者无关。

前期准备

实验需要准备以下工具和环境：

• Kali Linux：建议更新到最新版本，以确保工具包能正常拉取，使用国内镜像源即可加速。
• Wireshark：全球最流行的网络协议分析工具，用于实时捕获和分析网络数据包。Kali 中通常自带，若没有则需手动安装。
• arpspoof：一款基于 ARP 欺骗原理的网络攻击与测试工具，集成在 dsniff 套件中，主要用于局域网环境中的流量劫持与安全研究。

进入 Kali 系统后，首先检查 arpspoof 是否已安装：

arpspoof -h

若能看到版本信息，则证明已安装。若未安装，执行以下命令：

apt-get install dsniff

接着，需要确认当前网络环境的关键信息：

ip route show default

通过该命令，可以查看到物理网卡名称（如 eth0）、本机 IP 地址及网关地址。

本次演示将使用另一台 Windows 电脑作为被攻击目标。在 Kali 中，可以使用 netdiscover 工具扫描局域网内存活的主机（尤其当你不清楚目标 IP 时）：

netdiscover -i eth0 -r 192.168.39.0/24

• -i eth0：指定你的网卡名称，请根据实际情况修改。
• -r：后接要扫描的网段。例如 192.168.39.0/24 会扫描该网段下所有 IP。若要扫描整个 192.168.0.0/16 网段，可将 39 改为 0。

扫描结果将列出所有在线设备的 IP 和 MAC 地址。

ARP欺骗原理与实操

在讲解实操前，需要理解 arpspoof 的工作原理。局域网通信依赖 ARP 协议来建立“IP地址 ↔ MAC地址”的映射关系，而 ARP 本身没有认证机制。

arpspoof 正是利用了这一缺陷：

1. 欺骗目标主机：告诉它“我（攻击机）是网关（路由器）”。
2. 欺骗网关：告诉它“我（攻击机）是目标主机”。

最终形成的流量路径是：

目标主机 <——> 攻击机 <——> 网关

所有往返于目标与网关之间的流量都必须经过攻击机，从而实现中间人监听。

开启 IP 转发

为防止目标主机在流量经过攻击机时断网，必须先开启攻击机的 IP 转发功能：

echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

执行双向 ARP 欺骗

需要分别在两个终端中执行欺骗命令，以实现完整的中间人攻击。

终端1：欺骗目标主机

sudo arpspoof -i eth0 -t 192.168.39.128 192.168.39.2

这条命令的作用是：通过网卡 eth0，向 IP 为 192.168.39.128 的目标主机声称，网关 192.168.39.2 的 MAC 地址是攻击机的 MAC。

终端2：欺骗网关

sudo arpspoof -i eth0 -t 192.168.39.2 192.168.39.128

这条命令的作用是：向网关 192.168.39.2 声称，目标主机 192.168.39.128 的 MAC 地址是攻击机的 MAC。

为什么需要两条命令？
如果只执行第一条命令，会导致“半中间人”状态：目标主机的上行流量会经过攻击机，但网关返回的下行流量却可能直接发给真正的目标主机，导致连接不稳定或目标断网。同时执行两条命令，才能确保双向流量都流经攻击机，形成完整的 MITM 链路。

流量捕获与分析

在成功建立中间人链路后，即可使用 Wireshark 进行流量捕获。

打开 Wireshark，选择监听的网卡（如 eth0），然后可以使用以下过滤条件进行针对性分析：

捕获 HTTP 明文流量

http && ip.addr == 192.168.39.128

如果目标访问的是未启用 HTTPS 的老旧网站或设备管理界面，你可能直接看到 URL、Cookie 甚至表单提交的用户名和密码等明文信息。

捕获 HTTPS 连接信息

tls && ip.addr == 192.168.39.128

对于 HTTPS 流量，虽然无法看到加密的应用层内容，但可以观察到：

• 访问的目标 IP 和端口
• TLS 握手阶段的 SNI（服务器名称指示，通常包含域名）
• 证书信息
• 流量的时间与大小模式

捕获 DNS 查询记录

dns && ip.src == 192.168.39.128

通过 DNS 查询记录，可以清晰地了解目标主机正在访问或尝试访问哪些域名，这对于行为分析非常有价值。

进阶工具：driftnet 图片捕获

在 HTTP 明文通信的场景下，除了文本信息，甚至能还原出浏览的图片。可以使用 driftnet 工具进行尝试。

若未安装，执行以下命令：

apt install driftnet

创建一个目录用于保存图片：

sudo mkdir -p /root/image

执行捕获命令：

driftnet -i eth0 -a -d /root/image

参数	含义
-i eth0	指定监听的网卡
-a	捕获所有检测到的图像
-d /root/image	将抓取的图片保存到指定目录

⚠️ 需要注意的是：driftnet 在现代网络环境中效果有限。它只能捕获 HTTP 明文传输的图片。如今绝大多数网站已启用 HTTPS，图片内容已被加密，因此实际可能捕获不到任何内容，或仅能捕获到本地测试站点的图片。它更多是作为一种原理演示的教学工具。

公共WiFi：现实中的高风险环境

像 ARP 欺骗这样的中间人攻击，在公共 WiFi 环境下堪称攻击者的“温床”。原因如下：

1. 同一二层网络：多数公共 WiFi 用户处于同一广播域，且无 AP 隔离，ARP 广播可直达。
2. 弱加密或无加密：开放 WiFi 或仅门户认证的 WiFi，在认证完成后，局域网内的数据通信可能仍是明文或弱加密状态。
3. 攻击门槛低：相关渗透测试工具（如ettercap, bettercap）已高度集成和自动化，攻击成本极低。

在公共 WiFi 下，攻击者可能获取什么？

• HTTP明文信息：访问未加密网站时的账号、密码、Cookie。
• 行为监控：即使全为 HTTPS，通过 SNI 和 DNS 查询也能知道你访问了哪些域名、何时访问。
• 会话劫持：如果网站 Cookie 设置不安全（缺少 Secure、HttpOnly 属性），攻击者可能窃取 Cookie 冒充你的身份。
• 进阶攻击：如 DNS 劫持、HTTPS 降级攻击、伪造钓鱼热点等。

如何防护？

最有效、最直接的方法是：立即使用可信的 VPN。
开启 VPN 后，你的所有流量会被封装在一条加密隧道中直达 VPN 服务器。对于局域网内的攻击者而言，他只能看到你与一个 VPN IP 在进行加密通信，无法解密或篡改隧道内的实际内容，也无法得知你访问的真实网站，从而有效防御了 ARP 欺骗、嗅探和会话劫持。

此外，应避免在公共 WiFi 下进行高风险操作，如登录网银、管理后台或访问公司内网核心系统。

总结

本次在家庭局域网环境中的实验，直观演示了 ARP 协议因缺乏认证而存在的安全风险。通过 arpspoof、Wireshark 等工具，我们看到在未加密的 HTTP 通信中，中间人攻击能够有效劫持并分析网络流量。

然而，实验结果也清晰地表明，HTTPS 的全面普及极大地提升了网络通信的安全性，使得关键数据的明文嗅探变得极为困难。现代 ARP 欺骗攻击的实际危害已大幅降低，但其作为揭示二层网络信任模型缺陷的经典案例，教育意义依然重大。它提醒我们：

• 公共网络本质上是不可信的。
• 端到端加密（如 HTTPS、VPN）是保障数据机密性与完整性的基石。
• 网络安全的核心在于理解风险、实施有效防护并持续提升安全意识。

技术本身并无善恶，关键在于使用者将其应用于学习防御、加固系统，而非进行非法的攻击与侵害。