T1557.002: ARP 缓存投毒

摘要

攻击者可能对地址解析协议（ARP）缓存进行投毒，以将自己置于两个或多个联网设备通信之间。此活动可用于启用后续行为，如[网络嗅探](https://attack.mitre.org/techniques/T1040)或[传输数据操纵](https://attack.mitre.org/techniques/T1565/002)。 ARP 协议用于将 IPv4 地址解析为链路层地址，例如媒体访问控制（MAC）地址。(Citation: RFC826 ARP) 本地网段中的设备通过使用链路层地址相互通信。如果联网设备没有特定联网设备的链路层地址，它可能向本地网络发出广播 ARP 请求以将 IP 地址转换为 MAC 地址。具有关联 IP 地址的设备直接回复其 MAC 地址。发出 ARP 请求的联网设备随后将使用并将该信息存储在其 ARP 缓存中。 攻击者可能被动等待 ARP 请求以对发出请求设备的 ARP 缓存进行投毒。攻击者可能回复其 MAC 地址，从而欺骗受害者，使其相信正在与预期的联网设备通信。为使攻击者投毒 ARP 缓存，其回复必须比合法 IP 地址所有者发出的回复更快。攻击者还可能发送无偿 ARP 回复，向本地网段中的所有设备恶意宣告对特定 IP 地址的所有权。 ARP 协议是无状态的，且不要求身份验证。因此，设备可能错误地在其 ARP 缓存中添加或更新 IP 地址的 MAC 地址。(Citation: Sans ARP Spoofing Aug 2003)(Citation: Cylance Cleaver) 攻击者可能使用 ARP 缓存投毒作为拦截网络流量的手段。此活动可用于收集和/或中继数据，如凭据，尤其是在不安全、未加密的协议上发送的凭据。(Citation: Sans ARP Spoofing Aug 2003)