第１８卷第５期凌鹏程等：一种基于ＩＰｖ６邻居发现协议的中间人攻击方法?１９?
节点进行无状态地址自动配置的步骤如下。通过获取网卡ＭＡＣ地址并且根据ＥＵＩ一６４规则生成接口ＩＤ，配合链路本地前缀ＦＥ８０：：１６４构成链路本地地址，并确定自动生成的链路本地地址在本地链路唯一。此时节点通过无状态地址自动配置获得ＩＰｖ６地址一共有两种方式：路由器周期性的向组播地址ＦＦ０２：：１（ＩＰｖ６中取消了广播，并利用部分组播地址实现广播的功能，此组播地址代表本地所有节点地址）发送路由通告消息ＲＡ，ＩＰｖ６节点收到后根据ＲＡ中的子网前缀自动随机生成ＩＰｖ６全局地址；ＩＰｖ６节点也可以以该链路本地地址为源地址，主动向路由器发送路由请求消息ＲＳ，请求获得ＩＰｖ６全局地址，其过程如图２所示：
图２无状态方式地址自动配置过程
ＮＤＰ在设计时对其安全性进行了一定考虑，规定对所有收到的ＮＤＰ数据包都必须验证其Ｈｏｐｌｉｍｉｔ字段是否为２５５，即确保节点收到的ＮＤＰ报文来自本链路内的节点，防止利用ＮＤＰ从链路外发起对链路内节点的攻击，但２５５的跳数限制并未解决链路内部存在恶意节点时的安全问题。
节点在通信过程中利用邻居缓存（ＮｅｉｉｇｈｂｏｒＣａｃｈｅ）、目的地缓存（ＤｅｓｔｉｎａｔｉｏｎＣａｃｈｅ）、前缀列表（Ｐｒｅｆｉｘｌｉｓｔ）和缺省路由器列表（Ｄｅｆａｕｌｔｒｏｕｔｅｒｌｉｓｔ）上述四种缓存存储了邻居节点的相关信息和网络的相关参数。在与邻节点通信时，就是通过查询上述缓存来进行具体的下一跳确定、地址解析、邻居不可达检测ＮＵＤ和地址重复检测ＤＡＤ等。因此，缓存中的信息对节点间的交互具有重要的作用，若缓存中信息的合法性、有效性均无法得到保证，则节点间通信的安全性也就无法得到保证。
由于缓存中信息的建立是通过一系列的ＮＤＰ报文交换来实现的，而节点却无法对来自本链路的ＮＤＰ报文进行有效性、合法性的确认，只能默认接收本报文并据此对缓存进行更新，因此若链路中的恶意节点发送特殊构造的ＮＤＰ报文，伪造自己的身份，则能够利用节点间的信任前提，对目标节点进行欺骗攻击，成为“中间人”，对目标节点的通信数据包进行截获和篡改。
４针对ＮＤＰ漏洞的ＭＩＴＭ攻击方法
有４种方法可以实现针对ＮＤＰ的中间人攻击，分别为：
（１）伪造ＮＳ／ＮＡ报文；
（２）伪造ＲＳ，ＲＡ报文：
（３）伪造Ｒｅｄｉｒｅｃｔ报文；
（４）通过伪造ＲＡ报文中的前缀字段实施前缀欺骗。
本文着重讨论及实现第（２）种方法，即通过发送伪造的ＲＳ及ＲＡ报文实现中间人攻击。文中的攻击方法基于图３所示的交换式以太网，其中主机Ｃ为攻击者，运行笔者编译的攻击软件，路由器Ａ、主机Ｂ为被攻击节点，主机Ｂ通过路由器Ａ与外网进行ＩＰｖ６通信。实验目标为：使主机Ｃ成为路由器Ａ与主机Ｂ的“中间人”，截获路由器Ａ与主机Ｂ的通信内容。
图３测试环境网络拓扑
伪造ＲＳ／ＲＡ报文进行中间人攻击的方法为：首先攻击节点对目标路由器发送伪造的ＲＳ报文，其中将目标主机的ＩＰ地址映射为攻击节点的ＭＡＣ地址，路由器接到此伪造的ＲＳ报文后会误把攻击节点当做被攻击节点，这样在路由器向被攻击节点发送数据时就会发送到攻击节点处；其次，攻击节点向被攻击节点发送ＲＡ报文，伪造目标路由器的ＩＰ和ＭＡＣ地址的映射，被攻击节点接到此ＲＡ报文后会将攻击节点当做默认的路由器，在需要向路由器发送数据时，将会发送到攻击节点处。由此中间人攻击完成。
在上述实验环境中，假设攻击主机Ｃ欲截取路由器Ａ和主机Ｂ之间的通信，则主机Ｃ需要分别向路由器Ａ、主机Ｂ发送虚假的ＲＳ、ＲＡ报文，对路由器Ａ和主机Ｂ中的缓存进行更新。
４．１通过发送ＲＳ报文攻击路由器
ＲＳ报文是主机发向路由器的报文，当路由器收到一个Ｒｓ报文，若发现自己的邻居缓存（ＮｅｉｇｈｂｏｒＣａｃｈｅ）中没有ＲＳ报文发送节点的ＩＰ地址记录或缓存中该ＩＰ对应的ＭＡＣ地址与ＲＳ报文中的ＳｒｃＬｉｎｋＬａｙｅｒＡｄｄｒ字段相异时，路由器将根据ＲＳ报文中的ＩＰ和ＭＡＣ地址更新缓存中的记录，并将状态设置为ｓｔａｔｌｅｏ
因此，为截取路由器Ａ发送到主机Ｂ的数据包，攻击主机Ｃ可伪装为主机Ｂ，向路由器Ａ发送虚假
ＲＳ，即以ＩＰＢ为源地址，但链路层地址选项为ＭＡＣｃ。当
?２０?电脑与信息技术２０１０年１０月
路由器Ａ收到此Ｒｓ包时，将更新ＮＤＰ缓存中关于主机Ｂ的记录，由于Ａ中ＩＰ。映射到ＭＡＣｃ，则从路由器Ａ发往主机Ｂ的数据将被交换机转发到攻击主机Ｃ。４．２通过发送ＲＡ报文攻击目标主机
ＲＡ报文是路由器发向主机的报文，用于通告链路前缀、ＭＴＵ、地址配置方式和路由器生存期等信息，分为ＵｎｓｏｌｉｃｉｔｅｄＲＡ和ＳｏｌｉｃｉｔｅｄＲＡ。由于链路内的所有节点都将接收到ＵｎｓｏｌｉｃｉｔｅｄＲＡ报文，因此攻击主机Ｃ一般可能采取向目标节点发送ＳｏｌｉｃｉｔｅｄＲＡ报文的策略。
如图４，为截取主机Ｂ发送到路由器Ａ的数据包，攻击主机Ｃ将冒充路由器Ａ向主机Ｂ发送ＳｏｌｉｃｉｔｅｄＲＡ报文，即以ＩＰＡ源地址，但链路层地址选项为ＭＡＣ。，且ｏｖｅｒｒｉｄｅ标志位置ｌ。当目标主机Ｂ收到ＲＡ时，若主机Ｂ的缓存中不存在路由器Ａ的对应记录时，主机Ｂ将创建一条新记录，ＩＰＡ对应到ＭＡＣ。，状态设为ｓｔａｌｅ；若已存在路由器Ａ的对应记录，则需通过向主机Ｂ发送ＲＡ报文的方式删除主机Ｂ中缺省路由器列表（ＤｅｆａｕｌｔＲｏｕｔｅｒｌｉｓｔ）中的对应记录，再更新主机Ｂ中的ＩＰ－ＭＡＣ映射关系。
图４ＲＳ／ＲＡ方法中间人攻击过程示意图
攻击主机Ｃ先冒充Ａ发送一个ＩＰ、ＭＡＣ地址都正确的ｓｏｌｉｃｉｔｅｄＲＡ报文，但其中的ＲｏｕｔｅｒＬｉｆｅｔｉｍｅ字段被设置为Ｏ。这样，攻击主机Ｃ就冒充了路由器Ａ，向主机Ｂ通告路由器Ａ不能再作为默认路由器，此时主机Ｂ将从缺省路由器列表中删除路由器Ａ的记录。接着攻击主机Ｃ再以ＩＰＡ、ＭＡＣｃ向节点Ｂ发送ｓｏｌｉｃｉｔｅｄＲＡ，则主机Ｂ将根据此ＲＡ在缺省路由器列表创建Ａ的记录，并同时更新邻居缓存（ＮｅｉｇｈｂｏｒＣａｃｈｅ）。至此，在主机Ｂ的缓存中，路由器Ａ再次成为默认路由器，但ＩＰＡ对应到了ＭＡＣ。，自此在后续通信中主机Ｂ发送到路由器Ａ的数据包，将以ＭＡＣ。为链路层的目的地址，交换机则根据ＭＡＣ。将其转发到攻击主机Ｃ，这样Ｃ就截取了Ｂ发向Ａ的通信数据包。
由此看出，攻击主机Ｃ结合虚假ＲＳ、ＲＡ报文，能够实现在路由器Ａ和主机Ｂ之间的中间人攻击。但是，这种ＲＳ／ＲＡ欺骗的效果取决于路由器Ａ周期性发送ＵｎｓｏｌｉｃｉｔｅｄＲＡ的频率，若路由器Ａ频繁地发送ＵｎｓｏｌｉｃｉｔｅｄＲＡ。则对节点Ｂ来说，其缓存中Ａ的记录将不断更新为正确的ＩＰ、ＭＡＣ对应，从而导致路由器Ａ在被攻击主机Ｂ的缓存中常处于ｓｔａｌｅ状态，使Ｂ的通信中断。因此应在可允许的范围内尽量加大对主机Ｂ发送上述两种ＲＡ报文的频率，以使主机Ｂ在有数据欲发出时能及时把主机Ｃ当做路由器Ａ来发送。
５ＮＤＰ—ＭＩＴＭ工具的设计与实现
为完成上述攻击，攻击主机需发送伪造的ＲＳ／ＲＡ报文，且该数据包可由用户根据需要自行填充。如上文所述，根据网络环境不同，用户应可调整发送频率。为使界面友好，笔者采用ＶＣ２００５编译环境，ＭＦＣ框架。发送功能采用ＷｉｎＰｃａｐ４．０．２库所提供的相应功能。
５．１ＮＤＰ—ＭＩＴＭ工具的数据结构设计
为生成完整的网络层数据包，需自定义ＩＣＭＰｖ６包头结构体，完整描述ＩＣＭＰｖ６所有字段。
５．１．１ＲＳ报文数据结构
路由器请求消息（ＲＳ）结构如图５所示，其类型字段值为１３３。
类型（８位）代码（８位）校验和（１６位）保留（３２位）
选项（变长）
图５路由器请求消息（ＲＳ）结构
依据ＲＳ报文结构，ＮＤＰ—ＭＩＴＭ工具的ＩＣＭ—Ｐｖ６一ＲＳ数据结构定义如图６所示：
图６ＮＤＰ—ＭＩＴＭ工具中ＩＰＭＰｖ６ＲＳ报文数据结构５．１．２
ＲＡ报文数据结构
?２４?
电
脑与信
息技术２０１０年１０月
整天线的方向角等措施。
２．３
ＷｉＭＡＸ与Ｗｉ—Ｆｉ的组网
ＩＥＥＥ
８０２工作组提出的８０２．１ｌ和８０２．１６分别应
用于无线局域网和无线城域网，Ｗｉ—Ｆｉ的性质与
ＷＩＭＡＸ类似，是符合８０２．１ｌ系列标准产品的统称。
Ｗｉ—Ｆｉ在短距离通信时传输速率较高，ＷｉＭＡＸ和
Ｗｉ—Ｆｉ混合组网方式是目前应用热点，通过ＷｉＭＡＸ来
连接Ｗｉ—Ｆｉ热点，可以提高ｗｉ—Ｆｉ的覆盖能，实现
Ｅ１／ＴＩ和ＩＰ双通道的无线传输力。根据市场需求和应用模式来看，二者将在很长时间内互补共存。
２．４
ＷｉＭＡＸ与ＮＧＮ的组网
下一代网络（ＮＧＮ）是基于ＩＰ的开放式平台，可承
载话音、数据、多媒体等多种类型的业务，提供固定、宽带、移动等多种形式的互连。ＩＰ多媒体子系统（ＩＭＳ）是
移动网络向全ＩＰ发展的体现，是ＮＧＮ的核心组成部
分，特点是接入网络间的独立性、支持多种计费方式等。通过ＩＭＳ功能实体来实现ＷｉＭＡＸ网络和ＮＧＮ的互连，向用户提供丰富的多媒体宽带业务，满足ＱｏＳ
所需指标。
３
结束语
ＷｉＭＡＸ技术是在通信网络宽带化、移动化、ＩＰ化
的趋势下成长发展的，从组网角度看ＷｉＭＡＸ网络的发展，是分阶段完成的，商业化的最初阶段ＷｉＭＡＸ与
ｗｉ—Ｆｉ的关系是共存并相互配合，在解决一些组网关
键技术后，ＷｉＭＡＸ会选择与现有的宽带城域网或３Ｇ网络混合组网，这样能充分利用现有网络的核心网，ＷｉＭＡＸ技术的最终目标是与ＮＧＮ充分融合。随着ＷｉＭＡＸ组网所需技术的发展和完善，ＷｉＭＡＸ网络凭借其技术优势，必将在未来的网络互联发挥重要作用。参考文献：
【ｌ】
彭木根，张涛，王文博．ＷｉＭＡＸ组网方案研究【Ｊ】．电信科学，２００５
（１０）：２２—２７．
【２】
郎为民，孙月光，孙少兰．ＷｉＭＡＸ网络频谱规划研究哪．电信快报，
２００９（２）：６－９．
【３】严学强，雷正雄．ＷｉＭＡＸ构建端到端的网络架构的解决方案叨．电
信技术．２００７（１１）：２５—２７．
【４】刘波，安娜，黄旭林．ＷｉＭＡＸ技术与应用详解【Ｍ】．北京：人民邮电出
版社，２００７．
【５】原玲．３Ｇ与ＷｉＭＡＸ联合组网研究册．计算机工程与应用，２００７，４３
（３）：１５３－１５６．
零笞屹海ａ海塔电附零祭零鹕秘牙电器客勒器牙电器牙磅离鹕祭努吻￥牙磅￥笞均簿努电芦牙弛≯弛彝劈磅鼢牙的莽甾电器牙电器客啦彝苔啦奔甾她ｇ氧
（上接第２１页）工具功能灵活，用户可根据需要任意调整所需参数。经
过实际测试，可以达到预期目标。
但根据实施和测试结果，该工具软件仍有需要改进的方面。如使用该软件时，需将适配器设为混杂模
式，易被侦测软件怀疑；该工具软件攻击方式需频繁发送虚假ＲＳ／ＲＡ报文，若发送间隔设置过大则被攻击主机有网络连接停滞现象，易被用户察觉。针对这些方面的研究和改进还将持续进行。参考文献：
［１１
Ｒｙｕｔｏｖ
ＴＪｎｔｅｇｍｔｅｄＡｅｅｅｓｓＣｏｎｔｒｏｌａｎｄＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎｆｏｒＷｅｂＳｅｒｖｅｒｓ［Ｃｌ
Ｐｒｏｃｏｆｔｈｅ２３ｒｄＩｎｔｅｍａｔｌｏｎａｌＣｏｎｆｅｒｅｎｅｅｏｎＤｉｓｔｒｉｂｕｔｅｄＣｏｍｐｕｔｉｎｇＳｙｓｔｅ，ｍ，２００３－０５．
１２］ＤｅｅｒｉｎｇＳ．ＨｉｎｄｅｎＲ．ＲＦＣ２４６０－－ＩｎｔｅｒｎｅｔＰｒｏｔｏｅｄＶｅｒｓｉｏｎ
６（ＩＰ峋
Ｓｐｅｃｉｆｉｃａｔｉｏｎ［Ｓ／ＯＬ］．Ｃａｔｅｇｏｒｙ：ＳｔａｎｄａｒｄｓＴｒａｃｋ，１９９８．
【３】林碌锵，荆继武，李智．一种ＷＷＷ服务器的安全实施方案Ｌｎ．计算机
图１０软件界面
应用，２００３，２３（１０）：１００－１０２．
６总结
［４１茹裟描尝‘薷：篇忠三０ｉ竺
本文通过分析ＮＤＰ的工作原理找出了ＮＤＰ的安
ｉｓ］茹器：１善淼址路由机制研究综述．计算机工程与应用
全漏洞，并实现了针对此漏洞的ＮＤＰ—ＭＩＴＭ工具。该ｔＪｉ，２００４，４０（３４）：１３６—１４０．