CN106899554A - 一种防止arp欺骗的方法及装置 - Google Patents

Abstract

本申请公开一种防止ARP欺骗的方法及装置，网络终端中会预先保存有一份有效ARP缓存表，所述有效ARP缓存表中包含IP地址与MAC地址的映射关系，该方法包括：接收第一报文，并解析所述第一报文中包含的IP地址与MAC地址的映射关系；根据所述有效ARP缓存表与所述第一报文中的同一IP地址，判断所述第一报文与有效ARP缓存表中的MAC地址是否一致；当不一致时，向所述IP地址发送ARP请求，并解析接收到的第二报文；根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址。上述方法和装置用于降低ARP欺骗成功的几率。

Description

一种防止ARP欺骗的方法及装置

技术领域

本申请涉及互联网技术领域，尤其涉及一种防止ARP欺骗的方法及装置。

背景技术

地址解析协议，即ARP(Address Resolution Protocol)，是可以根据IP地址获取物理地址的一个协议。某个终端可以将包含目标IP(Internet Protocol，网络之间互连的协议)地址的ARP请求广播到网络中的所有终端上，并根据接收到的报文，解析出不同IP地址与MAC(Media Access Control，介质访问控制层)地址的映射关系，为了节约资源，可以将IP地址和MAC地址的映射关系以ARP缓存表的形式存入到终端中，下次请求时直接查询ARP缓存表即可。

ARP是建立在网络中各个终端互相信任的基础上的，网络上的终端可以自主发送报文，其它终端收到报文时不会检测该报文的真实性就会将其存入到ARP缓存表中，如果映射关系出现了变化(IP地址对应的MAC地址变化)，也会进行相应的修改。ARP欺骗就是指映射关系被估计修改为错误的对应关系，当某一终端接收到错误的报文并对现有正确有效的ARP缓存表进行修改后，就会在后续执行某项操作时出现该终端发送的信息无法到达预期的终端或到达错误的终端。所以如何防止ARP欺骗就成为了亟待解决的问题。

发明内容

本申请实施例提供一种防止ARP欺骗的方法，用于降低ARP欺骗成功的几率。

本申请实施例提供一种防止ARP欺骗的装置，用于降低ARP欺骗成功的几率。

本申请实施例采用下述技术方案：

一种防止ARP欺骗的方法，网络终端中会预先保存有一份有效ARP缓存表，所述有效ARP缓存表中包含IP地址与MAC地址的映射关系，所述方法包括：

接收第一报文，并解析所述第一报文中包含的IP地址与MAC地址的映射关系；

根据所述有效ARP缓存表与所述第一报文中的同一IP地址，判断所述第一报文与有效ARP缓存表中的MAC地址是否一致；

当不一致时，向所述IP地址发送ARP请求，并解析接收到的第二报文；

根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址。

优选地，根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址，包括：

根据所述IP地址，判断所述第二报文中的MAC地址与所述有效ARP缓存表中的MAC地址相同，还是与所述第一报文中的MAC地址相同；

当与所述有效ARP缓存表中的MAC地址相同时，维持所述有效ARP缓存表中的映射关系。

优选地，所述方法还包括：

当与所述第一报文中的MAC地址相同时，以所述第一报文中的MAC地址为基准，修改所述有效ARP缓存表。

优选地，所述方法还包括：

当与所述有效ARP缓存表中的MAC地址，以及与所述第一报文中的MAC地址均不相同时，再向所述IP地址发送若干次ARP请求，并以出现次数最多的MAC地址为基准，修改所述有效ARP缓存表。

优选地，所述方法还包括：

对确定出的所述IP地址对应的正确MAC地址进行锁定。

一种防止ARP欺骗的装置，包括：报文解析单元、第一判断单元、请求发送单元以及确定单元，其中，

所述报文解析单元，用于接收第一报文，并解析所述第一报文中包含的IP地址与MAC地址的映射关系；

所述第一判断单元，用于根据所述有效ARP缓存表与所述第一报文中的同一IP地址，判断所述第一报文与有效ARP缓存表中的MAC地址是否一致；

所述请求发送单元，用于当不一致时，向所述IP地址发送ARP请求，并通过执行所述报文解析单元解析接收到的第二报文；

所述确定单元，用于根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址。

优选地，所述确定单元，包括：第二判断单元以及确定子单元，其中，

所述第二判断单元，用于根据所述IP地址，判断所述第二报文中的MAC地址与所述有效ARP缓存表中的MAC地址相同，还是与所述第一报文中的MAC地址相同；

所述确定子单元，用于当与所述有效ARP缓存表中的MAC地址相同时，维持所述有效ARP缓存表中的映射关系。

优选地，所述确定子单元，还用于：

当与所述第一报文中的MAC地址相同时，以所述第一报文中的MAC地址为基准，修改所述有效ARP缓存表。

优选地，所述确定子单元，还用于：

当与所述有效ARP缓存表中的MAC地址，以及与所述第一报文中的MAC地址均不相同时，通过执行请求发送单元再向所述IP地址发送若干次ARP请求，并通过执行报文解析单元，以出现次数最多的MAC地址为基准，修改所述有效ARP缓存表。

优选地，确定单元，还用于：

对确定出的所述IP地址对应的正确MAC地址进行锁定。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：在接收到第一报文后，根据有效缓存表与第一报文中的同一IP地址，判断第一报文中的MAC地址与有效ARP缓存表中的MAC地址是否一致，当不一致时，再向该IP地址发送ARP请求，并根据该IP发送的第二报文中的MAC地址，来确定出与该IP地址对应的正确MAC地址，不会再像现有技术只要接收到报文就进行更新而导致的ARP欺骗成功率极高，从而降低了ARP欺骗成功的几率。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例1提供的一种防止ARP欺骗的方法的流程示意图；

图2为本申请实施例2提供的一种防止ARP欺骗的装置的结构框图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

实施例1

正常情况下，网络终端中会预先保存有一份有效的ARP缓存表，这份有效ARP缓存表中包含IP地址与MAC地址的映射关系，当网络终端接收针对ARP的报文后，由于该ARP报文可能是被攻击者修改而存在错误的映射关系，或者基于网关其自身具有的网关欺骗功能而可能存在错误的映射关系，从而存在构成ARP欺骗的可能。所以本申请实施例提出了一种防止ARP欺骗的方法，用于降低ARP欺骗成功的几率。该方法的流程示意图如图1所示，包括下述步骤：

步骤11：接收第一报文，并解析第一报文中包含的IP地址与MAC地址的对应关系。

在正常情况下，网络终端会根据有效的ARP缓存表执行各种操作，但在接收到针对ARP的某个报文后，由于该ARP报文存在欺骗的可能性，所以可以对报文的真实性进行判断。可以将正常情况下接收到的ARP报文称为第一报文。该第一报文中存在IP地址与MAC地址的映射关系，该第一报文可以是某一个终端发送的一对映射关系的报文，也可以是网关发送的存在多对映射关系的报文。

步骤12：根据有效ARP缓存表与第一报文中的同一IP地址，判断第一报文与有效ARP缓存表中的MAC地址是否一致。

该步骤中，有效ARP缓存表中存在这对于某个IP地址对应的MAC地址的有效关系，但当某个IP地址与MAC在终端上的对应关系发生变化时，有可能是真的变化了，比如，重启路由器后IP地址被重新分配，或某个计算机将自己的IP进行修改；还有可能是攻击者，网关进行的欺骗行为。所以就可以根据有效ARP缓存表与第一报文中的同一IP地址，判断第一报文与有效ARP缓存表中的MAC地址是否一致。比如，对于某个IP：192.168.1.15而言，在有效ARP缓存表中对应的MAC地址与在第一报文中对应的MAC地址有可能不同，这就需要判断一致性。

步骤13：当不一致时，向该IP地址发送ARP请求，并解析接收到的第二报文。

当判断出不一致时，就存在了欺骗的可能，所以就可以对步骤12中的IP发送ARP请求，具体地，可以通过广播向网内的所有网络终端发送ARP请求，该IP对应的网络终端接收到ARP请求后，就会向发出请求的网络终端单播报文，告知自己的MAC地址。可以将网络终端针对某个IP发送ARP请求后，接收到报文称为第二报文，在接收到第二报文后，将其进行解析，从而得到第二报文中的IP地址与MAC地址的映射关系。

步骤14：根据第二报文中与该IP地址对应的MAC地址，确定与该IP地址对应的正确MAC地址。

通过步骤13，可以接收到该IP对应的网络终端单播发送报文，所以就可以对报文中的该IP地址以及对应的MAC地址，确定出该IP地址对应的正确MAC地址。

由于此时对于一个IP地址，包括有效ARP缓存表、第一报文以及第二报文中的3个MAC地址，所以可以根据该IP地址，判断第二报文中的MAC地址与有效ARP缓存表中的MAC地址相同，还是与第一报文中的MAC地址相同。

根据三种判断结果，确定出该IP地址对应的正确MAC地址。

第一种结果：第二报文中的MAC与有效ARP缓存表中的MAC地址相同时，维持有效ARP缓存表中的映射关系。

第二种结果：第二报文中的MAC与第一报文中的MAC地址相同时，以第一报文中的MAC地址为基准，修改有效ARP缓存表。

具体地，由于第二报文是IP地址对应的网络终端向ARP请求终端单播发送的报文，则可以认为具有较高的可信性，所以，可以以第二报文中的MAC地址为准。如果与有效ARP缓存表中的MAC地址相同，那么就可以维持有效ARP缓存表中的映射关系；如果与第一报文中的MAC地址相同，那么就可以以第一报文中的MAC地址为基准，修改有效ARP缓存表。

第三种结果：第二报文中的MAC与有效ARP缓存表中的MAC地址，以及与第一报文中的MAC地址均不相同。

出现这种情况，可能是由于原有的有效ARP缓存表中该IP对应的MAC地址已经失效，如IP地址为192.168.1.15由计算机a换成了笔记本b，那么必然MAC地址会变化；并且第一报文存在欺骗行为，即第一报文中IP地址为192.168.1.15对应的MAC地址既非计算机a的MAC地址又非笔记本b的MAC地址。所以，可以再向该IP地址发送若干次ARP请求，并以出现次数最多的MAC地址为基准，修改有效ARP缓存表。

具体地，比如又向IP地址为192.168.1.15的网络终端发送两次ARP请求，返回的两个报文中192.168.1.15这个IP对应的MAC地址均为笔记本b的MAC地址，此时，一共有5个MAC地址，而笔记本b的MAC地址出现了3次，那么就可以认为IP地址为192.168.1.15对应的MAC地址为笔记本b的MAC。需要说明的是，当有至少两个MAC地址出现的次数一样多时，可以再进行至少一次ARP请求，确定出正确的MAC地址。或者，可以设定MAC地址的出现率，当出现率达到50％以上后，则可以认定为正确MAC地址。

在一种实施方式中，在确定出某个IP地址对应的正确的MAC地址后，可以对确定出的IP地址对应的正确MAC地址进行锁定，并且可以指定锁定的时间，在锁定的时间内，对接收到的任何报文都会忽略。

由于在实际应用中，有可能会出现某个终端断开网络连接，导致无法接收到某个IP地址发送的报文，也有可能由于网络错误等原因，经过多次请求后，已然确定不出某个IP地址，比如，接收到的6个ARP报文出现了6次不同的MAC地址。针对这种情况，为了不过多占用网络资源，也为了避免多次请求，导致的网络错乱，可以设置请求次数阈值，比如6次，当向某个IP地址发送ARP请求的次数等于预设的请求次数阈值时，向指定位置发送错误告警。比如，当已经发送了6次，还没有确定出某个IP地址对应的正确MAC地址时，向管理员发送ARP缓存表出现错误的告警，还可以提示针对哪个IP地址出现的错误。

采用实施例1提供的该方法，在接收到第一报文后，根据有效缓存表与第一报文中的同一IP地址，判断第一报文中的MAC地址与有效ARP缓存表中的MAC地址是否一致，当不一致时，再向该IP地址发送ARP请求，并根据该IP发送的第二报文中的MAC地址，来确定出与该IP地址对应的正确MAC地址，不会再像现有技术只要接收到报文就进行更新而导致的ARP欺骗成功率极高，从而降低了ARP欺骗成功的几率。

实施例2

基于相同的发明构思，实施例2提供了一种防止ARP欺骗的装置，用于降低ARP欺骗的可能性。如图2所示，该装置包括：

报文解析单元21、第一判断单元22、请求发送单元23以及确定单元24，其中，

报文解析单元21，可以用于接收第一报文，并解析所述第一报文中包含的IP地址与MAC地址的映射关系；

第一判断单元22，可以用于根据所述有效ARP缓存表与所述第一报文中的同一IP地址，判断所述第一报文与有效ARP缓存表中的MAC地址是否一致；

请求发送单元23，可以用于当不一致时，向所述IP地址发送ARP请求，并通过执行报文解析单元21解析接收到的第二报文；

确定单元24，可以用于根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址。

在一种实施方式中，确定单元24，包括：第二判断单元以及确定子单元，其中，

第二判断单元，可以用于根据所述IP地址，判断所述第二报文中的MAC地址与所述有效ARP缓存表中的MAC地址相同，还是与所述第一报文中的MAC地址相同；

确定子单元，可以用于当与所述有效ARP缓存表中的MAC地址相同时，维持所述有效ARP缓存表中的映射关系。

在一种实施方式中，确定子单元24，还可以用于：

当与所述第一报文中的MAC地址相同时，以所述第一报文中的MAC地址为基准，修改所述有效ARP缓存表。

在一种实施方式中，确定子单元24，还可以用于：

当与所述有效ARP缓存表中的MAC地址，以及与所述第一报文中的MAC地址均不相同时，通过执行请求发送单元23再向所述IP地址发送若干次ARP请求，并通过执行报文解析单元21，以出现次数最多的MAC地址为基准，修改所述有效ARP缓存表。

在一种实施方式中，确定单元24，还可以用于：

对确定出的所述IP地址对应的正确MAC地址进行锁定。

在一种实施方式中，该装置还包括：告警单元，可以用于：

当向IP地址发送ARP请求的次数等于预设的请求次数阈值时，向指定位置发送错误告警。

采用实施例2提供的该装置，在接收到第一报文后，根据有效缓存表与第一报文中的同一IP地址，判断第一报文中的MAC地址与有效ARP缓存表中的MAC地址是否一致，当不一致时，再向该IP地址发送ARP请求，并根据该IP发送的第二报文中的MAC地址，来确定出与该IP地址对应的正确MAC地址，不会再像现有技术只要接收到报文就进行更新而导致的ARP欺骗成功率极高，从而降低了ARP欺骗成功的几率。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种防止ARP欺骗的方法，其特征在于，网络终端中会预先保存有一份有效ARP缓存表，所述有效ARP缓存表中包含IP地址与MAC地址的映射关系，所述方法包括：

接收第一报文，并解析所述第一报文中包含的IP地址与MAC地址的映射关系；

根据所述有效ARP缓存表与所述第一报文中的同一IP地址，判断所述第一报文与有效ARP缓存表中的MAC地址是否一致；

当不一致时，向所述IP地址发送ARP请求，并解析接收到的第二报文；

根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址。

2.如权利要求1所述的方法，其特征在于，根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址，包括：

根据所述IP地址，判断所述第二报文中的MAC地址与所述有效ARP缓存表中的MAC地址相同，还是与所述第一报文中的MAC地址相同；

当与所述有效ARP缓存表中的MAC地址相同时，维持所述有效ARP缓存表中的映射关系。

3.如权利要求2所述的方法，其特征在于，所述方法还包括：

当与所述第一报文中的MAC地址相同时，以所述第一报文中的MAC地址为基准，修改所述有效ARP缓存表。

4.如权利要求2所述的方法，其特征在于，所述方法还包括：

当与所述有效ARP缓存表中的MAC地址，以及与所述第一报文中的MAC地址均不相同时，再向所述IP地址发送若干次ARP请求，并以出现次数最多的MAC地址为基准，修改所述有效ARP缓存表。

5.如权利要求1所述的方法，其特征在于，所述方法还包括：

对确定出的所述IP地址对应的正确MAC地址进行锁定。

6.一种防止ARP欺骗的装置，其特征在于，包括：报文解析单元、第一判断单元、请求发送单元以及确定单元，其中，

所述报文解析单元，用于接收第一报文，并解析所述第一报文中包含的IP地址与MAC地址的映射关系；

所述第一判断单元，用于根据所述有效ARP缓存表与所述第一报文中的同一IP地址，判断所述第一报文与有效ARP缓存表中的MAC地址是否一致；

所述请求发送单元，用于当不一致时，向所述IP地址发送ARP请求，并通过执行所述报文解析单元解析接收到的第二报文；

所述确定单元，用于根据第二报文中与所述IP地址对应的MAC地址，确定与所述IP地址对应的正确MAC地址。

7.如权利要求6所述的装置，其特征在于，所述确定单元，包括：第二判断单元以及确定子单元，其中，

所述第二判断单元，用于根据所述IP地址，判断所述第二报文中的MAC地址与所述有效ARP缓存表中的MAC地址相同，还是与所述第一报文中的MAC地址相同；

所述确定子单元，用于当与所述有效ARP缓存表中的MAC地址相同时，维持所述有效ARP缓存表中的映射关系。

8.如权利要求7所述的装置，其特征在于，所述确定子单元，还用于：

当与所述第一报文中的MAC地址相同时，以所述第一报文中的MAC地址为基准，修改所述有效ARP缓存表。

9.如权利要求7所述的装置，其特征在于，所述确定子单元，还用于：

当与所述有效ARP缓存表中的MAC地址，以及与所述第一报文中的MAC地址均不相同时，通过执行请求发送单元再向所述IP地址发送若干次ARP请求，并通过执行报文解析单元，以出现次数最多的MAC地址为基准，修改所述有效ARP缓存表。

10.如权利要求6所述的装置，其特征在于，确定单元，还用于：

对确定出的所述IP地址对应的正确MAC地址进行锁定。