主动信息收集原理（二层扫描详解－arp发现）

一般主动信息收集分为：二层扫描，三层扫描，四层扫描，端口扫描

开放系统互联参考模型将网络分为七层（物理层，数据链路层，网络层，传输层，会话层，表示层，应用层）

一，基于数据链路层的发现（二层发现）

数据链路层的数据单位为帧，主要分为　逻辑链路控制（LLC）和介质访问控制(MAC)

其中主要的协议是ARP协议

ARP协议即地址解析协议，它将32位ip地址解析为48位以太网地址

需要注意的是ａｒｐ协议对应二层广播包，而广播包是无法通过路由或网关访问外部地址的

具体抓包分析

利用scapy构造一个对网关的ARP请求

[scapy]
>>>a=sr1(ARP(pdst="192.168.1.1"))
Begin emission:
*Finished sending 1 packets.

Received 1 packets, got 1 answers, remaining 0 packets

返回了一个回应,可以看到地址已经被解析返回

>>> a.display()
###[ ARP ]### 
  hwtype= 0x1
  ptype= 0x800
  hwlen= 6
  plen= 4
  op= is-at
  hwsrc= e4:f3:aa:30:a8:de
  psrc= 192.168.1.1
  hwdst= 28:56:4a:07:02:23
  pdst= 192.168.1.104

具体抓包查看，下面是抓到的完整的ＡＲＰ请求包，可以看到目标地址ｉｐ为192.168.1.1（网关路由器) ，本机ip 192.168.1.104

获取到的返回ＡＲＰ包,此时的源地址为192.168.1.1 代表路由器返回一个ＡＲＰ响应给我们，同时发送了自身的ＭＡＣ地址，解析完成

那么我们可以使用这种方式来对任意的ｉｐ地址进行请求，从而判断主机的状态

当我发送的ａｒｐ请求没有回应时，说明主机不存在或者未开机

如下可以看出：

>>> t.pdst="192.168.1.12"
>>> t.display()
###[ ARP ]### 
  hwtype= 0x1
  ptype= 0x800
  hwlen= 6
  plen= 4
  op= who-has
  hwsrc= 28:56:5a:07:02:23
  psrc= 192.168.1.104
  hwdst= 00:00:00:00:00:00
  pdst= 192.168.1.12

>>> a=sr1(t)
Begin emission:
WARNING: Mac address to reach destination not found. Using broadcast.
Finished sending 1 packets.
.....................................

192.168.1.12在本局域网中是没有被分配的，故而长久得不到响应

这种利用arp包的方式探测会在网络中留下大量痕迹，因此隐蔽性较差，通常我们可以上网络中发送大量噪声干扰，隐藏真实意图

在kali linux 中具体的实现工具有arping nmap的sn参数

arping -c 1 192.168.1.1

root@BlackFace:~# arping -c 1 192.168.1.1
ARPING 192.168.1.1
58 bytes from e4:f3:f5:30:a8:de (192.168.1.1): index=0 time=4.246 msec

--- 192.168.1.1 statistics ---
1 packets transmitted, 1 packets received,   0% unanswered (0 extra)
rtt min/avg/max/std-dev = 4.246/4.246/4.246/0.000 ms

nmap -sn 192.168.1.1

root@BlackFace:~# nmap -sn 192.168.1.1
Starting Nmap 7.70 ( https://nmap.org ) at 2018-10-10 12:44 CST
Nmap scan report for 192.168.1.1
Host is up (0.0020s latency).
MAC Address: E4:F3:F5:30:A8:DE (Shenzhen Mercury Communication Technologies)
Nmap done: 1 IP address (1 host up) scanned in 6.64 seconds

两种工具的实现的底层协议包都是arp协议

批量访问网段内存活主机

可以利用scapy 构造一个arp 批量发现脚本

#!/usr/bin/python3
import sys
from scapy.all import *

if len(sys.argv) != 2:
    print("Usage: ./scapy_arp.py 192.168.1.0")
    print("scan 192.168.1.0/24  find surviving host")
    sys.exit()
sgement_ip=sys.argv[1]
prefix_ip=sgement_ip.split(".")[0]+'.'+sgement_ip.split(".")[1]+'.'+sgement_ip.split(".")[2]+'.'
for addr in range(1,254):
    response=sr1(ARP(pdst=prefix_ip+str(addr)),timeout=0.1,verbose=0)
    try:
        if response != None:
            print(prefix_ip+str(addr))
    except:
        pass

结果（这种方法比较慢，但可以深刻理解arp发现的原理）

root@BlackFace:~# ./scapy_arp.py 192.168.1.0
192.168.1.1
192.168.1.100
192.168.1.102
192.168.1.103
192.168.1.105
192.168.1.109

可以看到可以发现一些存活的主机

主动信息收集原理（二层扫描详解－arp发现）

猜你喜欢