科来模拟ARP欺骗困惑求解

Question

最近学网络，想问下使用科来进行arp欺骗时，发现网上很多人标注arp包里圈绿的目标mac地址和目标ip地址要改掉，防止被追查，可是这里的目标mac和ip不应该设置为被攻击机的mac和ip么

随便设置的话，那这个arp响应包到达靶机的时候，对比ip发现不是给自己的不是会丢弃掉么？或者说随便设置的话，所有同局域网的机器都会丢弃这个arp响应包因为里面的目标mac和ip不是自己
但我看有些up这么设置完自己的虚拟机确实被欺骗了，但明明包的目标地址不是它为何还会被欺骗

Answer 1

引自免费微信小程序：皆我百晓生

在进行ARP欺骗时，目标MAC地址和目标IP地址的设置确实很重要，它们是决定欺骗是否成功的关键因素。然而，理解这些设置如何工作以及为什么某些情况下能欺骗成功需要对ARP协议的工作原理有深入的理解。

ARP（Address Resolution Protocol，地址解析协议）用于将IP地址映射到物理（MAC）地址上。当一个设备需要与另一个设备通信时，它会通过ARP请求获取目标设备的MAC地址。而在回应时，发送方会提供其MAC地址和对应的IP地址。如果攻击者想要欺骗某台机器，他会发送一个虚假的ARP应答包，声称自己拥有某个IP地址，并且提供了错误的MAC地址。

在您的例子中，如果攻击者想欺骗整个网络，他可能会设置目标MAC地址为FF:FF:FF:FF:FF:FF，这是广播地址，表示消息将被网络上的所有设备接收。然后，攻击者会将目标IP地址设置为目标网络的默认网关，这样所有发往网络外部的数据包都将会经过这个网关。在这种情况下，攻击者的目的并不是让每个单独的机器相信他的欺骗，而是让整个网络相信他是网关。

至于目标IP地址，如果攻击者想欺骗特定的机器，他会将目标IP设置为该机器的IP地址，并确保目标MAC地址是该机器的正确MAC地址。这样，只有目标机器会接收到并处理这个ARP应答包，其他机器不会受到影响。

当一个设备接收到ARP应答后，它会检查这个应答是否与其已知的记录相符。如果相符，它会保留现有记录；如果不符，它可能会更新其ARP缓存，从而受到欺骗。

举个例子，假设攻击者想欺骗一台名为TargetMachine的电脑，它的IP地址是172.20.28.100。攻击者会构造一个ARP应答包，其中：

• 源IP地址：攻击者的IP地址
• 源MAC地址：攻击者的MAC地址
• 目标IP地址：172.20.28.100 (TargetMachine的IP)
• 目标MAC地址：攻击者的MAC地址，而非TargetMachine的MAC地址

这个ARP应答包会被送到TargetMachine，由于目标IP地址匹配，TargetMachine会将其MAC地址替换为攻击者的MAC地址。随后，任何从TargetMachine发出的对外数据包都会按照新的ARP表项发送到攻击者的MAC地址，而不是真正的网关。

总结一下，在ARP欺骗中，关键在于针对不同的目标选择合适的参数。对于整个网络的欺骗，目标MAC可以是广播地址，而目标IP通常设置为默认网关。对于单个主机的欺骗，目标MAC和IP应该分别设置为该主机的MAC和IP地址。这样，即使目标IP地址在欺骗包中看起来不属于自己，由于目标MAC地址是正确的，这台机器仍会接受并执行ARP应答，从而导致欺骗成功。