教师：好的, 现在我们来看看如何使用Wireshark来发现网络中的可疑活动｡
在执行任何操作之前,
我将转到首选项, 然后转到协议, ARP, 并启用检测ARP请求风暴得选项.
如果有人试图发现网络上的所有设备,
它将实际发现,
并通知我｡
我将单击“确定”, 然后开始捕获,
现在我将转到Kali计算机,
并使用netdiscover｡
所以我不会做ARP中毒｡
我只会执行或尝试发现所有连接到我的网络的设备｡
我们使用的命令与之前使用的命令完全相同,
即netdiscover､ interface和range｡
我将按Enter键, 我们可以看到netdiscover已完成｡
它发现了我们所有的设备｡
因此, 如果我们来到这里,
甚至在查看通知的输出之前, 让我们先看一下已经生成的数据包｡
您可以看到这里有一个设备｡
这个信号源, 是广播的, 所以基本上它没有目的地｡
它会询问网络中的所有其他设备,
并询问每个可能的IP｡
所以基本上就是问谁有这个IP？
并告诉了67 IP｡
然后它会问谁拥有241 IP？
告诉67｡
谁有251？
告诉67, 它会对每个可能的IP都这样做｡
因此, 它基本上是检查范围内是否存在任何可能的IP,
并要求将响应返回给IP 10｡
20. 40. 67.
因此, 我们可以由此推断出, 有人正在尝试发现所有连接的设备,
有人在10｡
20. 40. 67.
现在, 如果我们继续分析专家信息, 您将看到我们检测到ARP数据包风暴｡
因此, 基本上这意味着有一台设备发送了大量ARP数据包｡
因此, 它们可能正在尝试发现已连接的设备或已连接的端口｡
所以它告诉我们这个人正在试图做一些可疑的事情｡
现在, 我们将执行ARP中毒攻击, 看看是否能在Wireshark中收到任何通知或警告｡
现在, 我将再次转到“analyze and expert info”（分析和专家信息）,
如果我们仔细查看, 就会看到这里有一条警告, 该警告告诉我们配置了重复的IP地址｡
这再次说明路由器的IP地址有两个不同的MAC地址｡
这基本上意味着有人篡改了这个并篡改了我们的ARP表,
试图利用ARP中毒攻击将自己置于中间｡
现在, 我们已经看到了许多检测ARP中毒的方法｡
让我们来讨论一下我们如何预防它,
或者保护自己免受它的影响｡
现在我要运行一个ARPA,
我们要看看我们的表｡
有交换机, 将为您监控这一点, 以及他们会通知您,
甚至防止ARP中毒攻击｡
另一种方法是你看这里｡
如果查看路由器, 您会发现表中的此条目是动态的｡
所以这个条目的类型是动态的｡
这意味着什么, 它基本上这个不能改变｡
系统允许更改此值｡
您可以看到, 这里有静态值,
这基本上意味着, 系统永远不允许更改这些值｡
因此, 您可以使用静态ARP表,
这基本上意味着您必须配置每个IP地址｡
因此, 您必须实际配置ARP表,
并将每个IP地址映射到相应的MAC地址｡
但是一旦你这样做了,
即使有人试图发送一个响应到你的计算机试图改变它,
系统将拒绝改变任何东西,
因为你配置你的ARP表是静态的｡
唯一的问题是, 每次您连接到网络,
每次有一个新设备连接到您的网络, 您将不得不手动配置该设备与您的网络一起工作｡
所以如果你在一家大公司或大公司里,
这不是一个非常有用的解决方案｡
但在小房子或小公司中, 这可能是防止ARP中毒攻击的一个很好的解决方案,
因为一切都是静态的, 您必须手动设置,
但当有人尝试进行ARP中毒攻击时,
即使他们的攻击成功, 并且使用了他们所能使用的最好的工具, 您的表也会以固定的方式设置｡
这是无法改变的｡
因此, 系统将始终拒绝更改MAC地址的值,
这基本上意味着ARP中毒攻击将永远不会对您起作用｡