盗用IP攻防战

众所周知，校园网或小区接入Internet，一般都使用网卡MAC地址来识别用户，假如你修改了自己网卡的MAC，即可盗用别人的IP免费上网。

例如已知校园网中某合法用户的IP为202.201.101.01，要盗用该IP免费上网，可以怎么做呢？

盗
一、获得该IP对应的MAC地址
MAC地址即网卡的物理地址(样式形如02-40-20-26-80-07)，固化在网卡的EEPROM中。世界上任何两个网卡的MAC地址，都各不相同，无论你把网卡安装在网络中

的什么地方，其MAC地址都是不变的。由于网卡的MAC地址，如同人的指纹那样独一无二，因此它常用来识别网络中的用户。

由于网管一般把用户的IP与MAC绑定在一起，所以只要知道IP，即可用命令得到对应的MAC地址：例如某用户的IP为202.201.101.01，如果你和他在同一局域网

内，可以使用ping 202.201.101.01，然后再用arp -a 来获得他的网卡MAC地址(例如是00-01-02-03-04-05)。

假如你和他不在同一个网段，WinXP/2000用户可以使用nbtstat -A 202.201.101.01来获得他的MAC(例如是00-01-02-03-04-05)。

二、修改你的IP和MAC
接下来，你在网卡属性中，打开“Internet协议”属性，把你的IP地址设置成202.201.101.01，然后再把你的MAC地址也改成别人的那样。

MAC地址的修改方法有很多种，你可以利用厂家提供的工具，来更改网卡EPROM中的MAC地址，不过你现在完全没必要这样做了！因为Windows启动时，会首先从

网卡上得到Mac地址，然后把它保存在注册表中，以后实际使用时，都是从注册表中提取该地址，作为数据包的源Mac地址，所以我们只要修改注册表，就相当于改

变了本机Mac。修改本机MAC的方法如下：

1.在网卡属性中修改

WinXP SP2/2000用户，可以右击桌面上的网上邻居图标，选择“属性”，在弹出窗口中右击“本地连接”，选择“属性”，然后点击“配置”按钮，进入网卡

的属性对话框，点击“高级”页，点击“属性”标识下的“Network Address”项(如图1)，在右边的两个单选项中选择上面一个，再在框中输入你要修改的网卡

MAC 地址(例如000102030405)，点“确定”后重新启动，注册表中的MAC 地址即被修改了，于是你就能冒充合法用户免费上网了。

 

如果你想把网卡的 MAC 地址恢复原样，只要选择“Network Address”项右边的“不存在”再重新启动即可。

WinMe/9X用户，修改方法与上述类似。

Linux用户可以这样修改：先用命令/sbin/ifconfig eth0 down关闭网卡设备，否则会报告系统忙、无法更改Mac地址；接下来用命令“/sbin/ifconfig eth0

hw ether 00 01 02 03 04 05”，把MAC修改为某数值(例如00-01-02-03-04-05)；最后用命令/sbin/ifconfig eth0 up重新启用网卡，完成更改。

防
为了阻止非法用户利用上面的方法盗用IP上网，网管应该采取以下的对策：

1.登记用户的IP和MAC地址
用户在入网的时候，网管要登记他的IP和MAC地址，IP是网管分配给他的，MAC是网卡固有的。MAC地址可以在用户的机器上用命令的方法获取，WinXP/2000用户

可以单击“开始”/程序/命令提示符，在命令提示符下输入Ipconfig/all，回车后即显示一个清单，其中“Physical Address...”右边列出的就是所查的MAC地址

。WinMe/9x用户，要获得MAC地址，可以依次单击“开始”/运行，输入winipcfg回车即可。

2.将用户的IP与MAC地址捆绑起来
接下来，网管在交换机和路由器上配置，或者进入“MS-DOS方式”，在命令提示符下输入命令：ARP -s 202.201.101.01 00-01-02-03-04-05，把MAC地址(00-

01-02-03-04-05)和IP地址(202.201.101.01)捆绑在一起。

注意：ARP命令仅对局域网的上网代理服务器有用，而且是针对静态IP地址，如果采用Modem拨号上网或是动态IP地址就不起作用了。

3.IP、MAC、PORT三者绑定
以上绑定了IP和MAC，并不能真正解决IP盗用问题，要彻底解决该问题应该是在IP、MAC绑定的基础上，再把端口(PORT)绑定进去，即IP-MAC-PORT三者绑定在一

起。

操作步骤：在布线的时候，建议每个交换机端口只连接一台主机，网管应该把用户墙上的接线盒和交换机的端口一一对应，并做好登记工作；然后把用户交上

来的MAC地址填入对应的交换机端口；进而再和IP一起绑定，达到IP-MAC-PORT的三者绑定。这样一来，即使盗用者拥有这个IP对应的MAC地址，但是由于不可能同样

拥有墙上的端口，因此可以防止盗用IP上网。除此之外，网管还可以采用其他方法防止盗用IP上网，例如配置交换机的VLAN、使用用户认证等等，由于篇幅所限，

这里就不再展开了。

4.平时使用软件监控网络
建议网管经常使用“MAC扫描器来监控网络情况。该软件可以运行在局域网或Internet内的一台机器上，

监控整个网络的连接情况，能够实时检测各用户的IP、MAC、主机名、用户名等并记录以供查询(如图2)，而且还可以跨网段扫描，能够和数据库中的IP和MAC地址进

行比较，只要发现某用户修改了IP或MAC地址，即可报警。