1ARP協議概述
IP數據包常通過乙太網發送。乙太網設備並不識別32位IP位址：它們是以48位乙太網地址傳輸乙太網數據包的。因此，IP驅動器必須把IP目的地址轉換成乙太網網目的地址。在這兩種地址之間存在著某種靜態的或算法的映射，常常需要查看一張表。
地址解析協議(AddressResolutionProtocol，ARP)就是用來確定這些映象的協議。
ARP工作時，送出一個含有所希望的IP位址的乙太網廣播數據包。目的地主機，或另一個代表該主機的系統，以一個含有IP和乙太網地址對的數據包作為應答。發送者將這個地址對高速緩存起來，以節約不必要的ARP通信。
如果有一個不被信任的節點對本地網絡具有寫訪問許可權，那麼也會有某種風險。這樣一臺機器可以發布虛假的ARP報文並將所有通信都轉向它自己，然後它就可以扮演某些機器，或者順便對數據流進行簡單的修改。ARP機制常常是自動起作用的。在特別安全的網絡上，ARP映射可以用固件，並且具有自動抑制協議達到防止幹擾的目的。
圖1乙太網上的ARP報文格式
圖1是一個用作IP到乙太網地址轉換的ARP報文的例子。在圖中每一行為32位，也就是4個八位組表示，在以後的圖中，我們也將遵循這一方式。
硬體類型欄位指明了發送方想知道的硬體接口類型，乙太網的值為1。協議類型欄位指明了發送方提供的高層協議類型，IP為0806（16進位）。硬體地址長度和協議長度指明了硬體地址和高層協議地址的長度，這樣ARP報文就可以在任意硬體和任意協議的網絡中使用。操作欄位用來表示這個報文的目的，ARP請求為1，ARP響應為2，RARP請求為3，RARP響應為4。
當發出ARP請求時，發送方填好發送方首部和發送方IP位址，還要填寫目標IP位址。當目標機器收到這個ARP廣播包時，就會在響應報文中填上自己的48位主機地址。
2、ARP使用舉例我們先看一下linux下的arp命令(如果開始arp表中的內容為空的話,需要先對某臺主機進行一個連接,例如ping一下目標主機來產生一個arp項)：
d2server:/home/kerberos#arpAddressHWtypeHWaddressFlagsMaskIface211.161.17.254ether00:04:9A:AD:1C:0ACeth0 |
Address：主機的IP位址
Hwtype：主機的硬體類型
Hwaddress：主機的硬體地址
FlagsMask：記錄標誌，"C"表示arp高速緩存中的條目，"M"表示靜態的arp條目。
用"arp--a"命令可以顯示主機地址與IP位址的對應表，也就是機器中所保存的arp緩存信息。這個高速緩存存放了最近Internet地址到硬體地址之間的映射記錄。高速緩存中每一項的生存時間一般為20分鐘，起始時間從被創建時開始算起。
d2server:/home/kerberos#arp-a(211.161.17.254)at00:04:9A:AD:1C:0A[ether]oneth0 |
可以看到在緩存中有一條211.161.17.254相對應的arp緩存條目。
d2server:/home/kerberos#telnet211.161.17.21Trying211.161.17.21...Connectedto211.161.17.21.Escapecharacteris'^]'.^].telnet>quitconnetionclosed. |
在執行上面一條telnet命令的同時，用tcpdump進行監聽：
d2server:/home/kerberos#tcpdump-edsthost211.161.17.21tcpdump:listeningoneth0 |
我們將會聽到很多包，我們取與我們arp協議相關的2個包：
10.000:D0:F8:0A:FB:83FF:FF:FF:FF:FF:FFarp60whohas211.161.17.21telld2server20.002344(0.0021)00:E0:3C:43:0D:2400:D0:F8:0A:FB:83arp60arpreply211.161.17.21isat00:E0:3C:43:0D:24 |
在第1行中，源端主機（d2server）的硬體地址是00:D0:F8:0A:FB:83。目的端主機的硬體地址是FF:FF:FF:FF:FF:FF，這是一個乙太網廣播地址。電纜上的每個乙太網接口都要接收這個數據幀並對它進行處理。
第1行中緊接著的一個輸出欄位是arp，表明幀類型欄位的值是0x0806，說明此數據幀是一個ARP請求或回答。
在每行中，單詞後面的值60指的是乙太網數據幀的長度。由於ARP請求或回答的數據幀長都是42位元組（28位元組的ARP數據，14位元組的乙太網幀頭），因此，每一幀都必須加入填充字符以達到乙太網的最小長度要求：60位元組。
第1行中的下一個輸出欄位arpwho-has表示作為ARP請求的這個數據幀中，目的IP位址是211.161.17.21的地址，發送端的IP位址是d2server的地址。tcpdump列印出主機名對應的默認IP位址。
從第2行中可以看到，儘管ARP請求是廣播的，但是ARP應答的目的地址卻是211.161.17.21(00:E0:3C:43:0D:24)。ARP應答是直接送到請求端主機的，而是廣播的。tcpdump列印出arpreply的字樣，同時列印出響應者的主機ip和硬體地址。
在每一行中，行號後面的數字表示tcpdump收到分組的時間（以秒為單位）。除第1行外，每行在括號中還包含了與上一行的時間差異（以秒為單位）。
這個時候我們再看看機器中的arp緩存：
d2server:/home/kerberos#arp-a(211.161.17.254)at00:04:9A:AD:1C:0A[ether]oneth0(211.161.17.21)at00:E0:3C:43:0D:24[ether]oneth0 |
arp高速緩存中已經增加了一條有關211.161.17.21的映射。
再看看其他的arp相關的命令：
d2server:/home/kerberos#arp-s211.161.17.2100:00:00:00:00:00d2server:/home/kerberos#arpAddressHWtypeHWaddressFlagsMaskIface211.161.17.254ether00:04:9A:AD:1C:0ACeth0211.161.17.21ether00:00:00:00:00:00CMeth0d2server:/home/kerberos#arp-a(211.161.17.254)at00:04:9A:AD:1C:0A[ether]oneth0(211.161.17.21)at00:00:00:00:00:00[ether]PERMoneth0 |
可以看到我們用arp-s選項設置了211.161.17.21對應的硬體地址為00:00:00:00:00:00，而且這條映射的標誌欄位為CM,也就是說我們手工設置的arp選項為靜態arp選項，它保持不變沒有超時，不像高速緩存中的條目要在一定的時間間隔後更新。
如果想讓手工設置的arp選項有超時時間的話，可以加上temp選項
d2server:/home/kerberos#arp-s211.161.17.2100:00:00:00:00:00tempd2server:/home/kerberos#arp-a(211.161.17.254)at00:04:9A:AD:1C:0A[ether]oneth0(211.161.17.21)at00:00:00:00:00:00[ether]oneth0d2server:/home/kerberos#arpAddressHWtypeHWaddressFlagsMaskIface211.161.17.254ether00:04:9A:AD:1C:0ACeth0211.161.17.21ether00:00:00:00:00:00Ceth0 |
可以看到標誌欄位的靜態arp標誌"M"已經去掉了，我們手工加上的是一條動態條目。
請大家注意arp靜態條目與動態條目的區別。
在不同的系統中，手工設置的arp靜態條目是有區別的。在linux和win2000中，靜態條目不會因為偽造的arp響應包而改變，而動態條目會改變。而在win98中，手工設置的靜態條目會因為收到偽造的arp響應包而改變。
如果您想刪除某個arp條目（包括靜態條目），可以用下面的命令：
d2server:/home/kerberos#arp-d211.161.17.21d2server:/home/kerberos#arp-a(211.161.17.254)at00:04:9A:AD:1C:0A[ether]oneth0(211.161.17.21)atoneth0 |
可以看到211.161.17.21的arp條目已經是不完整的了。
還有一些其他的命令，可以參考linux下的man文檔：
d2server:/home/kerberos#manarp |
我們先複習一下上面所講的ARP協議的原理。在實現TCP/IP協議的網絡環境下，一個ip包走到哪裡，要怎麼走是靠路由表定義，但是，當ip包到達該網絡後，哪臺機器響應這個ip包卻是靠該ip包中所包含的硬體mac地址來識別。也就是說，只有機器的硬體mac地址和該ip包中的硬體mac地址相同的機器才會應答這個ip包，因為在網絡中，每一臺主機都會有發送ip包的時候，所以，在每臺主機的內存中，都有一個arp-->硬體mac的轉換表。通常是動態的轉換表（該arp表可以手工添加靜態條目）。也就是說，該對應表會被主機在一定的時間間隔後刷新。這個時間間隔就是ARP高速緩存的超時時間。
通常主機在發送一個ip包之前，它要到該轉換表中尋找和ip包對應的硬體mac地址，如果沒有找到，該主機就發送一個ARP廣播包，於是，主機刷新自己的ARP緩存。然後發出該ip包。
了解這些常識後，現在就可以談在乙太網絡中如何實現ARP欺騙了，可以看看這樣一個例子。
3.1同一網段的ARP欺騙
圖2同一網段的arp欺騙
如圖2所示，三臺主機
A:ip地址192.168.0.1硬體地址AA:AA:AA:AA:AA:AA
B:ip地址192.168.0.2硬體地址BB:BB:BB:BB:BB:BB
C:ip地址192.168.0.3硬體地址CC:CC:CC:CC:CC:CC
【相關文章】
【責任編輯：
安妮TEL：（010）68476606】