小鬼论坛 - Powered by Discuz! Board

标题: 在公司，IP經常被盜。。。 [打印本页]

作者: 乞丐黑麦 时间: 2006-5-25 08:10 标题: 在公司，IP經常被盜。。。

在公司上班，IP經常被別人盜用，而且導志不能上網，

哪位同志，知道，怎么查出是哪台机器盗用了IP地址。

以上謝謝。。。。。。。

作者: 尘起缘飞 时间: 2006-5-25 20:09 标题: 大家的ip是否经常被盗?以下有方法可以把盗你ip的人的mac地址查出来

注:当系统出现"IP 地址与网络上的其他系统有冲突"时.

1.打开控制面板的性能和维护选项里的管理工具.

2.点击事件查看器的快捷菜单.

3双击"系统"项,找到最近的一个来源是tcpip的错误信息.打开.

然后那个让你郁闷了很久的盗ip的人的mac地址就会让你清楚看到!!!!!!!!!!!

后面的处理工作相信大家会怎麽处理了吧!

严重bs那些盗ip的人!!!!!!!

作者: 尘起缘飞 时间: 2006-5-25 20:17 标题: 教你如何防止IP地址被盗

公司所在局域网有多台计算机，为了区分不同用户分配更详细的访问权限，采用的是设置固定IP的方法，而不是自动获取IP地址，再就是还要有一部分要连到互联网上。这样就要设两个子网如内网我设为192.168.0.1网段，能连外网的我设为192.168.1.1网段。在实际使用中遇到了经常有用户为了上网私自修改IP地址，从而造成网络冲突的问题。表现如下：

　　使用Windows XP操作系统的可以设两个以上的IP所以用户可以私自设置上两个网段的IP地址这样第一可以联入单位的局域网也可以连到因特网，这是公司不允许的。公司经理要求马上解决这个问题，要不然这个月的奖金就没了。

　　下面是解决的过程和自己的一些心得，希望能给要解决这样问题的一些提示。

　　方法一，IP与MAC地址的绑定加上路由器的MAC过滤功能（大多用的是TP-LINK路由器）

　　使用ARP -s 192.168.1.2 00-AO-43-E0-6A-84的命令，这样就将静态IP地址192.168.1.2与网卡地址为00-AO-43-E0-6A-84的计算机绑定在一起了，使别人就不能使用这个IP地址了。再进入路由器的MAC过滤功能选中只允许下列MAC的网卡地址连入外网把00-AO-43-E0-6A-84填入即可。

　　可是上面提到的方法虽然可以在一定程度上解决非法用户网络接入的问题和网络冲突的问题，但用户还是可以通过修改注册表，下载专用修改MAC小工具等方法，轻松更改了本机的MAC地址，甚至将本机的MAC地址和IP地址改得和上面能上网的机器一模一样。非法用户又可以非法使用网络了。并且我用的路由器MAC过滤功能只能填入16个MAC（我不是说TP-LINK的东东不好，只是我们用的那个价格太低了）。

　　方法二，交换机的MAC地址与端口绑定

　　可以将交换机的MAC地址与端口绑定后，非法用户擅自改动本机网卡的MAC地址，该机器的网络访问将因其MAC地址被交换机认定为非法而无法实现。这样他们想改也不敢了。

　　登录进入交换机（我单位用的是CISCO交换机，我想别的品牌的交换机也差不多），输入管理口令进入配置模式:

　　敲入命令：(config)#mac_address_table permanent [MAC地址] [以太网端口号]

　　这样逐一地将每个端口与相应的计算机MAC地址进行绑定，保存退出后就彻底阻止了用户的非法修改。

　　方法三，防火墙与代理服务器

　　个人感觉使用防火墙与代理服务器相结合，更能较好地解决IP地址盗用问题：防火墙用来隔离内部网络和外部网络，用户访问外部网络通过代理服务器进行。使用这样的办法是将IP防盗放到应用层来解决，变IP管理为用户身份和口令的管理，因为用户对于网络的使用归根结底是要使用网络进入因特网。这样实现的好处是，盗用IP地址只能在子网内使用，失去盗用的意义；合法用户可以选择任意一台IP主机使用，通过代理服务器访问外部网络资源，而无权用户即使盗用IP，也没有身份和密码，不能使用外部网络。

　　使用防火墙和代理服务器的缺点也是明显的，由于使用代理服务器访问外部网络对用户不是透明的，增加了用户操作的麻烦；另外，对于大数量的用户群来说，用户管理也是一个问题。

作者: 尘起缘飞 时间: 2006-5-25 20:18 标题: 如何防止ip被盗

提纲:
1.何谓盗号?
2.如何盗号.
3.如何防止盗号:
   3.1 实时查询IP地址和MAC地址的方法
   3.2 ip地址与mac地址捆绑的方法
   3.3 缩小盗号范围的方法
   3.4 认证系统方法
   3.5 采用ipv6的身份认证
   3.6 采用VLAN(虚拟局域网)技术
4.结束语
----------------------------------------------------------------------------

            第一部分:何谓盗号
盗号就是一些用户用不属于自己 ip上网,之所以不属于这些用户是因为网络中心已将这些ip地址分配给其他人使用.这些人盗号可能是经济原因,盗用IP可以省下一大比开支.但也不排除有人新奇而干这些事情,甚至于有人可能是莫名其妙的干这些事.网络是虚幻的社会,上面同样有着形形色色的人们.因此网络社会安全也是比较重要的,可能盗号是网络安全涉及的一个极小的一个方面,但就是这个课题,也是很难解决的.
            第二部分:如何盗号
在网络社会,我们经常听人这么说:我想害你很容易.的确是这样,网络看起来象一个摩天大厦,但却是建在沙堆上的,或者说它根本就是小孩子手中的积木,它很脆弱,根本竟不起大风大浪.如果你一不小心,可能有黑客闯进来:删掉你所有的文件,让你欲哭无泪. 或者仁慈一点,仅仅把你的机密文件拷走,让你为此很是难堪.还有可能就是盗号了不花银子就上网的事,是不是大家都想干呀!
  在谈盗号以前,先说说mac地址和ip地址.很多人不明白,有了IP地址不就可以访问
INTERNET上的任何机器了,为什么还要知道MAC地址呢?因此我们先说说这个问题.我们考虑一下同一个网段中路由器和某一个主机通信的情况.假如路由器收到了目的地是本网段的主机A的数据包且仅仅知道A的IP地址(如202.117.48.100)是无法将数据包送到正确的目的地.因为在局域网中网卡接受和发送都是基于48位的以太网地址的帧,它们根本不能识别32位的IP地址.因此路由器就会用ARP向网段广播:谁的IP是202.117.48.100,然后主机A会发出回应:我的IP是202.117.48.**,我的MAC地址是00-AE-29-55-C2-17然后路由器会把数据包装载到目的地是A的MAC地址的帧中送到主机A.
话归正题了,下面就讲讲如何盗号的问题,大家要防患于未然呀!
盗用IP是只能盗用本网段的IP.即那些通过同一路由器和外界交换信息的ip.在路由器的配置中，要指定这个网段的网络地址和掩码,为了路由使用.如果这个网段的机器使用了其他网段的IP，则路由器不认为这个IP属于他的网段，所以不给转发。
最初的盗号很是简单,只要将我本机的ip地址设为本局域网中任何一个ip地址就可以了.只要小心不和这个ip的真正主人上网冲突呀,否则就会发生冲突.如果一开机,对方不在线,你的机器会把你的mac地址广播送给路由器,这样就形成了ip地址到mac地址的转换. 然后你就可以随意漫游万维网了.
不过现在盗号已经不那么容易了,基本原因是许多路由器已经将ip地址和mac地址捆绑在一起了,他们设置了arp表,预置了用户的ip地址及对应的mac地址.但是俗话说的好:道高一尺,魔高一丈.现在就连mac地址也可以改了.mac地址的获得还是比较容易的,
windows下面有几个dos程序就是干这个的,下面就是其中一种方法:
ping *.*.*.*
arp -a
首先ping的是同一网段的IP地址的话,在ARP缓冲记录中会记录下该IP地址对应的MAC地址,用ARP -a就可以显示出来缓存中的所有存在项.不过注意的是每个ARP缓存记录的生命周期只有10分钟,每一项被添加后就开始记时,如果2分钟还没有再用的话,就会被删除,否则10分钟后删除.所以用这两个命令将列出对方的mac地址以及经过的路由器的mac地址. 不过只是本局域网的ip地址可以,其他的就不行的说.得到了MAC地址.然后可以考虑如何修改MAC地址的问题.
有两种方法可以改mac地址,简单介绍如下:
1. 网卡发出的包的源 MAC 地址不是网卡本身写上去的,而是应用程序提供的,只是在通常的实现中,应用程序先从网卡上得到了MAC地址,每次发送包的时候用这个MAC地址作为源MAC地址而已,所以完全可以不用网卡带的配置程序修改MAC仅仅靠修改网络的驱动程序就可以改MAC.win95 下利用 NDIS就可以的.
2.网卡真正的MAC地址是在EPROM中的,可以通过专门的程序修改,不少网卡的厂商都能提供.比如PCI-RTL8029,便可到realtek公司的主页上下载一个修改EPROM的小程序.
哇,mac地址都能改,还能有人不盗号!
现在不用怕那个破破的路由器的静态 ARP 表了,它也奈何不了你.并且事实上,路由器对发出的包是不检查的，即使网卡MAC 是不合理的，也可以向外发数据包，而且可以用伪造的IP，但是如果你的mac地址不是静态ARP表上ip对应的mac地址的话,你是接受不了别人送给你的数据包的.
            第三部分如何防止盗号
  防止盗号的方法有很多种,但是基本的原理都是相同的:一般是采用分级管理结构,从网络底层开始进行控制,第一级为MAC层控制,对各网络用户单位只允许登记的合法主机上网;第二级为IP层控制,在路由层对不同网段的IP地址进行不同的路由选择,避免不同网段IP地址的盗用,减少网络间广播信息流量,但加大了静态路由的复杂程度;第三层设置访问控制,对某些信息资源的访问设置指定的上网主机拥有访问权限,摒弃无权访问主机的访问请求.
具体的下面我就一一道来,不过好象这些方法和我们普通网虫没什么关系,不过大家了解也是很好的,说不定以后用的上.
3.1 实时查询IP地址和MAC地址的方法
采用基于SNMP的简单网管程序,轮询网络设备(如路由器等),查找网络设备所支持的MIB数据,实时地得到网络当前使用者的IP及MAC地址,根据所登记的合法IP与MAC的对应表,统计非法使用信息,累计非法盗用次数,记录最近盗用时间。网络管理员通过定期查询数据库,对盗用次数超过一定数量的用户给予罚款等惩罚性措施.这是一种被动的查询方式,仅对于登记过的用户有约束力,无法查处非法使用者.
  3.2 ip地址与mac地址捆绑的方法
这应当是最简单的一种方法了,还是比较有效的.现在大部分的局域网都有了静态ARP表(这个表通常在路由器中),在表中预置了合法用户的ip地址及对应的MAC地址.这样通过检查包中的ip地址和MAC地址,并与ARP表中对应项比较以判断是否盗用ip.
从根本上说,采用 IP-MAC 来防止IP 盗用是不行的，所有的网卡 MAC 都可以修改而且更重要的是网卡发出的包的源 MAC 地址并不是网卡本身写上去的, 而是应用程序提供的,只是在通常的实现中，应用程序先从网卡上得到了MAC地址,每次发送包的时候用这个MAC 地址作为源MAC地址而已,所以完全可以不用网卡带的配置程序修改MAC仅仅靠修改网络的驱动程序就可以改MAC .而且在实际中,经常是只对收到的包进行检查,对发出去的数据包是不检查的.
  3.3  缩小盗号范围的方法
我们从前面的内容可以看出来盗号只能发生在一个局域网内部,确切的说是连同一个路由器的所有机器都可以盗号.因此如果我们把网络划分的小一点的话,盗号的可能性就大大降低了.
不过我们应当明白,当我们把网络划小是以降低资源的利用率和增加网络费用为代价的.我们可以利用子网淹膜把一个C类或B类的IP网分成多个物理网络,但在每个网络中至少有一个ip地址不能使用(用于广播).另外还可能由于网络划分不合理.浪费ip资源使某些ip地址无法使用.很明显,增加路由器是需要增加投资的.
另外,这种方法不能从根本上杜绝盗号.
3.4 认证系统方法
这个系统是基于用户认证的模式.
该系统是有4个部分组成:认证服务器,认证前端,网关,记费数据库.基本工作原理如下:当用户希望使用网络前,先激活认证前端,认证前端就会定期与认证服务器进行通信,告诉服务器当前的用户名及对应ip地址及网卡地址等信息,认证服务器经过认证后将用户信息存储下来.当数据包流经网关时,网关向认证服务器查询数据包的ip地址和MAC地址的合法性,以决定允许或禁止该数据包的通过.若通过则根据记费规则记录流量信息并定期写入记费数据库.当认证前端向服务器发出退出命令或服务器在一定时间内没有收到该前端的认证信息(如用户计算机的非正常关机).则服务器会注销该用户,这样盗用者的唯一机会就是从用户的非正常关机到认证服务器超时这段时间内,这段时间设的非常短,使盗用者根本没有机会盗用.
由于这个系统的密钥既不在网上传递,又不在用户端或服务器上保存,完全是服务器随机产生的(一部分的内容),且密钥生存期很短,盗用者根本没有机会破译.
这个系统的唯一缺陷是在用户端必须有一客户进程，在目前还无法融入操作系统中。因此每当上网时，先要启动客户程序与服务器进程建立连接，交换信息。并不是每个用户都愿意这么做。最好的办法就是将这个认证系统融入操作系统中，并且用户可以随时改变客户端的密码。
总体上这是一个比较成功的方法，并且不只单单用于防止盗号，它还有其他很
多的用武之地。
3.5 采用ipv6的身份认证
我们现在用的ipv4总体上是成功的，但是由于它的地址马上要用光了，同时它的安全性方面做的很不好，起码来说，很容易盗号就是他的存在的弱点的一个方面。ipv6是新的ip协议,它一方面提供了在现在看来是无限的ip地址空间.同时提供了比现在ip更好的安全性.在ipv6的扩展头部有身份验证和加密的安全性有效载荷两个选项,可以提供对发送者的身份认证.加密安全性有效载荷甚至可以加密分组内容,以达到只有接受者才能读它的目的.
现在我们可以详细看看身份认证头部是怎样实现对发送者的身份检验.
身份认证头部是由三个部分组成,第一部分包括四个字节,分别是下一个头部号,身份认证头部长度和16个零位.其后32位钥匙号.最后是MD5的校验和.接受者(可以是路由器)利用密钥号找出密钥,然后得出密钥的填充版,加到经过填充的有效载荷之后,将可变头部字段也置为零,计算校验和如果该校验和与身份认证头部中的校验和相同,接受者(可以是路由器)就可以确定分组来自与其共享密钥的发送者,并且分组在传输中未受到干扰.MD5的属性决定了入侵者想伪造发送者身份,或途中修改分组而不被察觉,在计算上是不可解的.
很明显,采用ipv6后,我们对于发送者的认证不仅仅局限于IP地址和MAC地址,IPV6采取了另外的认证策略,从而使的即使改动MAC地址也无能为力了.因此就不会再为发生盗号而发愁了.
3.6  采用VLAN(虚拟局域网)技术
1995年制订的802.10标准即是VLAN技术.它有四种方法来实现虚拟,分别是: 基于端口的虚拟基于MAC地址的虚拟基于网络地址的虚拟基于组播的虚拟技术.
基于端口的VLAN就是将交换机中的若干个端口定义为一个VLAN 同一个VLAN中的站点具有相同的网络地址,不同的VLAN之间进行通信需要通过路由器.采用这种方式的VLAN其不足之处是灵活性不好,例如当一个网络站点从一个端口移动到另外一个新的端口时,如果新端口与旧端口不属于同一个VLAN, 则用户必须对该站点重新进行网络地址配置,否则,该站点将无法进行网络通信.
在基于MAC地址的VLAN中,交换机对站点的MAC地址和交换机端口进行跟踪,在新站点入网时根据需要将其划归至某一个VLAN,而无论该站点在网络中怎样移动,由于其MAC地址保持不便,因此用户不需要进行网络地址的重新配置.这种VLAN技术的不足之处是在站点入网时,需要对交换机进行比较复杂的手工配置,以确定该站点属于哪一个VLAN.
在基于网络地址的VLAN中,新站点在入网时无需进行太多配置,交换机则根据各站点网络地址自动将其划分成不同的VLAN.在以上三种VLAN的实现技术中,基于网络地址的VLAN智能化程度最高,实现起来也最复杂.
VLAN提供了严格的身份认证和保密性,因此可以防止即使是由于mac地址改动而想盗用IP.为了使管理员确定访问包含特别机密信息的服务器较为严格的途径，VLAN可以按端口或MAC层地址来确定地址.当这种功能应用在以每个交换机端口一个用户为主要特征的结构之中, 就成为一种特别强大的限制非授权访问的屏障.在这种配置中,由于非授权的用户不属于VLAN的成员,他们就不具备物理条件来" 倾听”那些属于VLAN的通信,原因是这些VLAN通信就没有经过他们的网段.这样就使得组外的用户无法获得组内用户的信息,尤其是MAC地址,从另一个方面起到了防止盗号的作用.
               第四部分结束语
说实在话,盗号没什么大不了的,最多天天开机就完了.这样别人想盗号都没机会.另外在一个网段如果有自己的ip的话,为什么要盗用别人的ip呢!想出国的话,好象大家的出国权限都关着呢,有改mac地址的时间,大家完全可以轻松找一出国代理,不方便很多,又不冒风险.好奇的话,小心呀,不要酿成大错.

作者: 尘起缘飞 时间: 2006-5-25 20:19 标题: 几种常见的防盗方法

1)方法一
采用基于SNMP的简单网管程序,轮询网络设备(如路由器等), 查找网络设备所支持的MIB Ⅱ数据,实时地得到网络当前使用者的 IP及MAC地址,根据所登记的合法IP与MAC的对应表,统计非法使用信息,累计非法盗用次数,记录最近盗用时间。网络管理员通过定期查询数据库,对盗用次数超过一定数量的用户给予罚款等惩罚性
措施。这是一种被动的查询方式,仅对于登记过的用户有约束力,无法查处非法使用者。
(2)方法二
使用基于网管软件(例如IBM NETVIEW/6000)的日志文件,查询一段时间内的登录用户,并依据其IP与MAC的对应检测是否为合法登记,对非法用户予以记录。这同样是一种被动的查询方式,效果上等同于方法一,但是对网络设备的运行性能影响较小。
(3)方法三
基于现有网络设备均支持SNMP v2与MIBⅡ协议,可以将需查询的网络设备作为一个SNMP 的代理(AGENT),同时模拟网络管理软件的开发,制作PC平台的SNMP专用管理者(SPECLAL MAN AGER)软件,在本文中即基于网络地址的管理.配置SNMP AGENT,使其在运行过程中对每一时刻的上网用户产生一个SNMP Trap报文,传递给SNMP SPECLAL MANAGER,报文内容包括上站用户的IP与MAC地址对应,以及该主机所经过的网络设备地址标识等其他相关信息,MANAGER再根据Trap报文进行相应的处理。采用最近优先算法,对每一上站用户的查询先从最近一段时间得到的上站用户地址
表中进行匹配,这一地址表每日更新一次,在得不到合适的匹配结果时再查询全部合法地址表。同时MANAGER可以自动或由管理员指定对某些非法上站的主机进行或不进行屏蔽过滤的处理。
例如发送指定的SNMP SetRequest报文,修改网络某些运行参数(RunT ime Parameters),达到封锁该非法用户的目的。这是一种主动的检测预防措施,也适应当前校园网络的实际情况,同时对网络运行性能的影响也较小,是现阶段较为理想的处理方式。
(4)方法四
采用分级管理结构,从网络底层开始进行控制,第一级为MAC层控制,对各网络用户单位只允许登记的合法主机上网,设置SWITCH上MACFILTER的Permit子项,这要求SWITCH的静态FIL TER设置能够满足上网用户的主机数量;第二级为IP层控制,在路由层对不同网段的IP地址进行不同的路由选择,避免不同网段IP地址的盗用,减少网络间广播信息流量,但加大了静态路由的复杂程度;第三层设置访问控制,对某些信息资源的访问设置指定的上网主机拥有访问权限,摒弃无权访问主机的访问请求。这一方法要求使用新的网络设备,采取新的网络结构和网络集成技术,如:VLAN等,在校园网扩建改造工作中可予以考虑,是一种可行的有效方法,但所需代价大于方法三。

作者: 乞丐黑麦 时间: 2006-5-25 21:22

尘起缘飞 thank you......

作者: 水草 时间: 2006-5-26 21:39

这么多一时还真消化不了

作者: 乞丐黑麦 时间: 2006-5-30 08:08

原帖由 尘起缘飞 于 2006-5-25 20:09 发表
注:当系统出现"IP 地址与网络上的其他系统有冲突"时.

1.打开控制面板的性能和维护选项里的管理工具.

2.点击事件查看器的快捷菜单.

3双击"系统"项,找到最近的一个来源是tcpip的错误信 ...

我能將自己的IP和MAC 綁在一起，

查到別人的物理地址，怎么查IP呢？

有誰知道，教我一下，謝。。。。。。

作者: 乞丐黑麦 时间: 2006-6-2 08:24

原帖由 乞丐黑麦 于 2006-5-30 08:08 发表

我能將自己的IP和MAC 綁在一起，

查到別人的物理地址，怎么查IP呢？

有誰知道，教我一下，謝。。。。。。

有誰知道，教我一下，謝。。。。。。

作者: qianchi999 时间: 2006-6-6 18:29

飞飞真牛.懂得不少.我是看得云里雾里的.
看来还得去学学,知识太薄弱了.

欢迎光临小鬼论坛 (http://bbs.xghome.net/)