媒体访问控制地址欺骗
媒体访问控制地址欺骗(Media Access Control Address Spoofing)是修改或伪造网络接口的媒体访问控制(MAC)地址,使数据帧看起来来自另一台设备的技术。MAC 地址本由厂商固化在网卡中,但多数驱动允许改写,因此这种技术既可用于满足运营商绑定、虚拟机部署等正常需求,也常被用于绕过基于地址的过滤规则、冒充网关或让交换机把帧转发到攻击者端口。在二层网络中,它几乎不需要特殊硬件即可完成,是局域网中较难辨别来源的地址伪造形式之一。
定义
媒体访问控制地址欺骗指用户或程序修改网络接口的 MAC 地址,使发出的帧携带的源地址不再对应真实硬件。MAC 地址是网卡在出厂时烧录的硬件地址,通常被视为设备在局域网的唯一标识,但多数网卡驱动都提供改写该地址的接口[1][2]。
从地址结构看,常见的 48 位 MAC 地址前 24 位是 组织唯一标识符(OUI),由 IEEE 分配给设备厂商,后 24 位由厂商自行编排,因此地址本身带有可识别的厂商信息[3]。改写地址后,既有厂商前缀也可能被换成其他厂商或本地管理地址,使地址与真实硬件之间的对应关系不再成立。
原理
以太网交换机会记录源 MAC 地址与收到该帧的端口之间的映射关系,写入内容可寻址存储器(CAM)表,并以该表决定后续帧从哪个端口转发[4][5]。若攻击者发出的帧以另一台主机的 MAC 地址为源地址,交换机会把该地址重新绑定到攻击者所在端口,原本发往真实主机的帧于是被送到攻击者一侧[4]。
与此相关的另一种手法是 CAM 表溢出:攻击者用大量随机源地址的帧快速填满容量有限的地址表,交换机在查不到目的地址时只能泛洪,从而退化为集线器式广播,使攻击者收到本不该到达的流量[6][7]。
在 IP 层面,伪造的 MAC 地址常与 地址解析协议 结合使用。ARP 本身不校验地址归属,任何主机都可以宣称某个 IP 对应自己的 MAC 地址,攻击者据此把自己插入受害主机与网关之间的路径[8][6]。若同时向两端持续发送这类应答,通信双方都以为对端在攻击者的地址上,流量便双向经过攻击者,形成中间人位置。
发展历程
MAC 地址的统一管理始于施乐公司对局域网地址块的分配,此后由 IEEE 注册机构以 OUI 的形式向厂商发放地址段,并逐步扩展出 MA-L、MA-M、MA-S 等不同规模的注册块[9][3]。这套体系的出发点是保证地址全球唯一,但并未设计任何防篡改机制,地址是否可信只能依赖终端自觉。
随着交换式局域网取代共享式集线器,交换机的 CAM 表成为新的可攻击对象,20 世纪 90 年代末至 2000 年代初,地址伪造与地址表溢出被系统整理为数据链路层的典型威胁;Dug Song 编写的 dsniff 工具集把 ARP 重定向与地址伪造组合起来,使这类攻击可以自动化执行[8][5]。
在无线领域,移动操作系统自 2010 年代起陆续引入地址随机化:Android 6.0 起在扫描时使用随机地址,Android 10 起默认对新网络启用随机 MAC;iOS 14 起默认对每个无线网络使用不同的私有地址,后续版本又加入了固定与定期轮换两种模式[10][11]。这一变化原本是隐私保护设计,却同时让以固定地址为基础的接入控制难以继续使用。
应用
在正常运维场景中,改写 MAC 地址有明确用途。部分运营商按地址识别线路,更换网卡或路由器后需要把新设备的地址改成原先登记的值才能恢复接入;在虚拟化与云计算环境中,大量虚拟机需要各自独立的地址,地址由软件生成而非固化硬件[1][12]。渗透测试与网络审计也常借助地址伪造验证接入控制是否有效。
在攻击场景中,伪造地址主要用于三类目的:绕过按地址设置的白名单、过滤器或热点限制;冒充网关或服务器,配合 ARP 重定向获取流量;以及通过不断变化的地址触发交换机地址表异常[5][12][6]。有资料指出,地址伪造本身只是攻击流程中的一个环节,需要与上层协议的操纵配合才能达成窃听或劫持[12]。
针对这类行为,交换机侧的对策包括端口安全(限制单端口可学习的地址数量或绑定固定地址)、MAC 地址漂移检测、基于 DHCP 侦听的动态 ARP 检测以及 802.1X 端口认证[4][13]。这些机制共同的思路,是把地址与端口的绑定关系收归网络设备管理,不再单纯信任终端自报的地址。
局限
从攻击效果看,地址伪造的影响范围主要局限在同一广播域内,帧不能穿过路由器到达三层以外的网段,因此单纯在第 2 层伪造地址难以直接影响远端网络[14]。此外,真实主机若继续正常发包,交换机会按最新学到的源地址刷新绑定,攻击者的篡改会被覆盖,通常需要配合对目标主机的干扰才能维持[14]。
从防守角度看,识别伪造地址相当困难。管理员的常规手段是比对地址与厂商前缀、端口学习记录等间接线索,而这些线索都可能被刻意规避;地址本身不携带任何完整性校验,接收方无法仅凭帧判断源地址是否真实[1]。地址随机化的普及进一步削弱了以地址作为身份依据的做法,使依赖固定地址的审计和计费出现偏差[15]。
对策本身也有边界。端口安全、动态 ARP 检测等依赖交换机的支持与正确配置,在非管理型设备或配置疏漏的网络中无法生效;而 MAC 认证只以地址作为凭证,地址一旦被复制,认证结论就失去意义[16][4]。因此这类防护通常需与加密传输、身份认证等手段叠加使用。
参见
参考资料
- Spoofing - CompTIA Security+ SY0-501 [引用日期2026-10-29]
- Spoofing - CompTIA Network+ N10-007 [引用日期2026-10-29]
- blog/network/mac.md at main · WH-2099/blog - Skip to content [引用日期2026-10-29]
- 2023年第29卷第22期总第790期(PDF) [引用日期2026-10-29]
- Types of Layer 2 Threats/Attacks [引用日期2026-10-29]
- zenodo.org 上的 PDF 文件 [引用日期2026-10-29]
- Python黑帽编程 3.3 MAC洪水攻击 [引用日期2026-10-29]
- 158705115xcontent(PDF) [引用日期2026-10-29]
- download-documents [引用日期2026-10-29]
- Client MAC Address Tracking [引用日期2026-10-29]
- RADIUS Access Accept → [引用日期2026-10-29]
- There are some services that are vulnerable to IP Spoofing [引用日期2026-10-29]
- ex-series-security-overview(PDF) [引用日期2026-10-29]
- | D | 4 | 00:00:00:11:11:18 | [引用日期2026-10-29]
- How does MAC Randomization impact WiFi experience? [引用日期2026-10-29]
- 访问控制方法、认证设备及系统 - 常用的访问控制技术例如包括IEEE 802.1x认证技术或者MAC认证技术 [引用日期2026-10-29]