2026-07-04 02:13:35
MAC地址欺骗攻击：原理与防御
MAC地址欺骗
ARP欺骗
网络安全
中间人攻击
交换机安全
什么是MAC地址欺骗？
MAC地址欺骗（MAC Address Spoofing）是指攻击者伪造网络接口的MAC地址，冒充合法设备的技术。由于以太网交换机根据MAC地址表转发流量，欺骗可以绕过访问控制、实施中间人攻击（MITM）或造成网络混乱。
攻击原理
以太网帧的源MAC地址由发送方自行设置，协议层面不做验证。操作系统提供修改网卡MAC地址的接口，攻击者可在数秒内假冒任意身份。
# Linux下修改MAC地址示例
ip link set eth0 down
ip link set eth0 address 40:6c:8f:18:2c:03
ip link set eth0 up
交换机维护 CAM表（内容寻址存储器），将MAC地址映射到物理端口。当攻击者发送伪造源MAC的帧时，交换机更新CAM表，后续流量即被转发至攻击者的端口。
典型攻击场景
ARP欺骗结合MAC欺骗
- 攻击者发送伪造的ARP响应，声称其MAC对应网关IP
- 同时伪造网关MAC，使交换机接受该映射
- 受害者所有流量经攻击者转发——透明中间人攻击成立
CAM表泛洪攻击
攻击者持续发送大量不同源MAC的帧，耗尽交换机的CAM表。表满后交换机退化为集线器，向所有端口广播流量，攻击者可窃听整个网段。
检测方法
- 监控ARP表：同一IP对应的MAC频繁变化是欺骗的强烈信号
- 分析CAM表：短时间内大量新MAC注册表明泛洪攻击
- IDS/IPS规则：Snort、Suricata等可检测异常ARP流量
防御措施
| 措施 | 说明 |
|---|---|
| 动态ARP检查（DAI） | 交换机将ARP包与DHCP侦听绑定表比对 |
| 端口安全 | 限制每个端口学习的MAC数量，防止CAM泛洪 |
| 802.1X认证 | 接入网络前要求加密身份验证 |
| VLAN隔离 | 隔离关键设备，限制攻击影响范围 |
| 静态ARP条目 | 为关键主机（网关、服务器）固定MAC-IP映射 |
总结
MAC地址欺骗利用了早期以太网设计的基本假设：局域网内的设备都是可信的。在零信任安全时代，单纯依赖MAC地址的访问控制已不够。结合802.1X、DAI和持续流量分析，才能可靠保护二层网络。