一、Mac 洪泛攻击原理

交换机依靠 MAC 地址表来实现数据帧的精准转发，该表记录着端口与相连主机 MAC 地址的对应关系。交换机具备自动学习机制，当收到一个数据帧时，会将帧中的源 MAC 地址与进入的端口号记录到 MAC 表中。同时，由于交换机的缓存有限，MAC 表能保存的条目数量也有限，并且具有老化机制，即长时间未使用的 MAC 地址表项会被删除。

Mac 洪泛攻击正是利用了交换机的这些特性。攻击者通过工具（如 macof）发送海量伪造的以太网帧，每个帧都使用不同的源 MAC 地址。交换机不断学习这些伪造的 MAC 地址，致使 MAC 地址表迅速被填满，无法再学习新的合法 MAC 地址。此时，交换机对于那些事先未在 MAC 地址表中留下记录的主机之间的数据通信，就只能采用广播的方式进行转发，这使得攻击者能够借此监听网络中传输的所有数据。

例如，假设局域网中有主机 A、B、C，正常情况下交换机根据 MAC 地址表精准转发数据帧。但攻击者发动 Mac 洪泛攻击后，交换机 MAC 表被伪造的 MAC 地址占满，当主机 A 向主机 B 发送数据时，由于主机 B 的 MAC 地址可能因老化或无法学习而不在 MAC 表中，交换机就会将该数据帧广播给局域网内的所有主机，包括攻击者的主机，攻击者从而有机会获取到这些数据。

macof 命令

macof 是实施 Mac 洪泛攻击的常用工具，通常作为 dsniff 套件的一部分存在于 Kali Linux 系统中。在攻击时，只需在 Kali 终端中直接执行 “macof” 命令，它便会开始向交换机发送大量伪造 MAC 地址的数据包。由于交换机的 MAC 地址表空间有限，在短时间内接收到如此多来自不同伪造 MAC 地址的数据包后，其 MAC 地址表会迅速被占满。例如，在一个小型局域网实验环境中，执行 “macof” 命令后，短短几分钟内交换机的 MAC 地址表就被填满，导致正常主机之间的通信数据开始以广播形式传输。有时，为了加快攻击效果，对于一些 MAC 地址表容量较大的交换机，可能需要打开多个命令行界面，同时执行 “macof” 命令。

Mac 洪泛攻击的影响

网络性能下降：大量的数据广播会显著增加网络中的流量，导致网络拥塞和延迟。正常用户的网络请求响应时间变长，例如网页加载缓慢、文件传输速度大幅降低，甚至可能出现连接超时等情况，严重影响网络的正常使用。
信息泄露风险：攻击者能够利用广播特性监听网络中传输的所有数据，对于未加密的通信数据，如 FTP、Telnet 等协议传输的账号密码、文件内容，以及 HTTP 协议传输的网页表单数据等，攻击者都可以轻松获取，从而造成用户信息泄露，可能引发一系列安全问题，如账号被盗用、敏感数据被窃取利用等。
网络服务中断：在极端情况下，严重的网络拥塞可能导致网络服务中断，整个局域网内的主机无法正常访问外部网络资源，企业的业务系统无法正常运行，影响正常的生产经营活动。