ARP工作原理和ARP协议解码详解

ARP泛洪解决方法

1. ARP协议简介

ARP（Address Resolution Protocol）是一种用于将IP地址解析为物理地址的协议。在局域网中，主机之间通信需要知道目标主机的物理地址，而ARP协议就是用来解决这个问题的。

在ARP协议中，每个主机都会维护一个ARP缓存表，用来存储IP地址和对应的物理地址。当主机需要发送数据到一个IP地址时，首先会在ARP缓存表中查找目标IP地址对应的物理地址，如果找到了就直接发送数据，否则就需要发送ARP请求广播来获取目标主机的物理地址。

2. ARP泛洪攻击的原理

ARP泛洪攻击是一种网络攻击方式，攻击者发送大量虚假的ARP请求广播，使得网络中的所有主机都收到这些广播。当主机接收到这些虚假的ARP请求时，会更新自己的ARP缓存表，将攻击者的MAC地址与目标IP地址绑定，从而导致网络中的通信出现问题。

ARP泛洪攻击可以通过以下几种方式实施： - 发送大量的ARP请求广播，使得网络中的主机都收到并更新ARP缓存表。 - 伪造ARP响应，将自己的MAC地址发送给其他主机，使得其他主机将攻击者当作目标主机。

3. ARP泛洪攻击的影响

ARP泛洪攻击会导致以下问题： - 网络拥堵：大量的虚假ARP请求广播会占用网络带宽，导致网络拥堵，影响正常的网络通信。 - ARP缓存表污染：攻击者发送的虚假ARP请求会使得主机的ARP缓存表中存储了错误的MAC地址，导致通信错误或中断。 - 中间人攻击：攻击者可以通过ARP泛洪攻击获取网络中的通信数据，进行中间人攻击，窃取敏感信息。

4. ARP泛洪解决方法

为了防止ARP泛洪攻击，可以采取以下几种解决方法：

4.1 静态ARP表绑定

静态ARP表绑定是一种最简单有效的解决方法。管理员可以手动将每个主机的IP地址和物理地址进行绑定，存储在静态ARP表中。当主机收到ARP请求时，先检查静态ARP表，如果找到了对应的物理地址，就直接使用该地址进行通信，而不需要进行ARP请求。 静态ARP表绑定的优点是简单可靠，不容易受到ARP泛洪攻击的影响。但是缺点是维护静态ARP表需要管理员手动操作，对于大规模网络来说工作量较大。

arp协议实现的功能

地址解析协议，即ARP，是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到局域网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。

地址解析协议由互联网工程任务组（IETF）在1982年11月发布的RFC 826中描述制定。 [1] 地址解析协议是IPv4中必不可少的协议，而IPv4是使用较为广泛的互联网协议版本（IPv6仍处在部署的初期）。

OSI模型把网络工作分为七层，IP地址在OSI模型的第三层，MAC地址在第二层，彼此不直接打交道。在通过以太网发送IP数据包时，需要先封装第三层（32位IP地址）、第二层（48位MAC地址）的报头，但由于发送时只知道目标IP地址，不知道其MAC地址，又不能跨第二、三层，所以需要使用地址解析协议。使用地址解析协议，可根据网络层IP数据包包头中的IP地址信息解析出目标硬件地址（MAC地址）信息，以保证通信的顺利进行。

ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 ARP协议全面实战手册 ——协议详解、攻击与防御 （内部资料） 大学霸 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 目录 第1章 ARP协议基础 1.1 学习必需工具Wireshark 1.1.1 Wireshark的安装 1.1.2 设置过滤器 1.2 ARP协议基础知识 1.2.1 什么是ARP 1.2.2 MAC地址广播 1.2.3 IP地址广播 1.3 ARP工作原理 1.3.1 ARP工作流程 1.3.2 ARP报文格式 1.4 ARP缓存表 1.4.1 ARP缓存表的由来 1.4.2 ARP缓存表维护工具——arp命令 1.4.3 ARP缓存表的构成 1.4.4 ARP缓存记录种类 1.4.5 ARP动态条目的生命周期 1.4.6 ARP静态条目的生命周期 1.5 Gratuitous ARP（免费ARP） 1.5.1 免费ARP的产生 1.5.2 免费ARP的作用 第2章 ARP攻击 2.1 ARP攻击和ARP欺骗的原理 2.1.1 ARP攻击的原理 2.1.2 ARP欺骗的原理 2.2 实施ARP攻击原理 2.2.1 ARP欺骗工具 2.2.2 使用Arpspoof实施ARP主机攻击 2.2.3 使用Arpoison实施主机攻击 2.2.4 ARP攻击网关 2.3 ARP攻击应用——中间人攻击 2.3.1 什么是中间人攻击 2.3.2 实施中间人攻击 2.3.3 中间人攻击专用工具Ettercap 第3章 ARP防御 3.1 主机ARP防御 3.1.1 发现ARP攻击 3.1.2 主机IP-MAC地址绑定 3.1.3 使用Arpspoof防御ARP攻击 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 3.1.4 使用Arpoison防御 3.2 路由器ARP攻击防御 3.2.1 腾达系列路由器ARP攻击防御 3.2.2 TP-LINK系列路由器ARP攻击防御 3.2.3 水星系列路由器ARP攻击防御 3.2.4 飞鱼星系列路由器ARP防御 3.2.5 极路由ARP攻击防御 3.3 防火墙ARP攻击防御 3.3.1 360流量防火墙之ARP防护功能分析 3.3.2 QQ电脑管家的ARP防火墙之ARP防御分析 3.4 查找进行ARP攻击或ARP欺骗的主机 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 第1章 ARP协议基础 ARP协议，即地址解析协议。该协议的功能就是将IP地址解析成MAC地址。在学习ARP协议之前，需要了解一些基础知识，如ARP的工作原理、报文格式、缓存表等。本章将介绍ARP协议的基础。 1.1 学习必需工具Wireshark Wireshark是一个网络封包分析软件。使用该工具，可以捕获局域网中其它计算机通信的数据包。为了验证ARP协议的工作原理、流程、报文格式等，用户可以使用Wireshark捕获数据包，并进行详细分析。本节将介绍Wireshark工具的安装及使用。 1.1.1 Wireshark的安装 Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是截取网络封包，并尽可能显示出最为详细的网络封包信息。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。该工具支持Windows和Linux操作系统。下面将介绍Wireshark的安装。 【实例1-1】在RHEL 6.4上安装Wireshark。具体操作步骤如下所示： （1）在官方网站/download.html下载Wireshark的源码包，其软件包名为wireshark-1.10.7.tar.bz2。 （2）解压Wireshark软件包。执行命令如下所示： [root@localhost ~]# tar jxvf wireshark-1.10.7.tar.bz2 -C /usr/ 执行以上命令后，Wireashark将被解压到/usr/目录中。 （3）配置Wireshark软件包。执行命令如下所示： [root@localhost ~]# cd /usr/wireshark-1.10.7/ [root@localhost wireshark-1.10.7]# ./configure （4）编译Wireshark软件包。执行命令如下所示： [root@localhost wireshark-1.10.7]# make （5）安装Wireshark软件包。执行命令如下所示： [root@localhost wireshark-1.10.7]# make install 以上过程成功执行完后，表示Wireshark软件已成功安装。 【实例1-2】启动Wireshark。具体操作步骤如下所示： （1）在终端执行wireshark命令。如下所示： [root@localhost ~]# wireshark 执行以上命令后，将显示如图1.1所示的界面。 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 图1.1 警告信息 （2）该界面提示使用root用户运行Wireshark工具，可能是危险的。在该界面可以直接单击“确定”按钮，将显示如图1.2所示的界面。如果不想让该窗口再次弹出，将Don't show this message again前面的复选框勾上。 图1.2 Wireshark启动界面 （3）该界面显示了Wireshark的相关信息。该界面显示了Wireshark的四部分，由于截图，所以将该界面缩小。每部分内容中的命令，都可以使用鼠标单击打开进行查看。在该界面选择将要捕获数据的接口，单击Interface List命令将显示如图1.3所示的界面。或者在Start命令下的方框中选择接口，然后单击Start命令。 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 图1.3 选择接口 （4）在该界面选择网络接口，然后单击Start按钮，将显示如图1.4所示的界面。 图1.4 捕获的数据 （5）该界面捕获的是本机中eth0接口上传输的数据。Wireshark以列的形式显示了捕获的数据，这几列分别表示数据包编号、时间、源地址、目标地址、协议、包的长度（字节）、描述信息。此时，就可以对应的分析数据包。如果没有任何数据时，该界面为空白。 1.1.2 设置过滤器 如果使用Wireshark捕获数据包时，默认捕获所有协议的数据包。如果接收到的数据包过多时，想要查看自己想看的数据包，可能非常困难。幸运的是，Wireshark工具可以通过创建过滤器的方式，实现数据包过滤。下面将介绍Wireshark工具的过滤器使用规则。 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 在Wireshark工具中提供了两种过滤器，分别是捕捉过滤器和显示过滤器。首先来看下这两种过滤器的区别。  捕捉过滤器：用来决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。  显示过滤器：在捕捉结果中进行详细查找。用户可以在得到捕捉结果后随意修改。 从概念上来说，两种过滤器的目的是不同的。捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。显示过滤器是一种更为强大（复杂）的过滤器。它允许用户在日志文件中迅速准确地找到所需要的记录。而且这两种过滤器使用的语法是完全不同的。 下面分别介绍这两种过滤器的语法及使用方法。 1.捕捉过滤器 捕捉过滤器的语法格式如下所示： Protocol Direction Host(s) Value Logical Operations Other expression 以上语法中各选项含义如下所示：  Protocol（协议）：该选项用来指定协议。可使用的值有ether、fddi、ip、arp、rarp、decnet、lat、sca、moproc、mopdl、tcp、dup。如果没有特别指明是什么协议，则默认使用所有支持的协议。  Direction（方向）：该选项用来指定来源或目的地，默认使用src or dst作为关键字。该选项可使用的值有：src、dst、src and dst、src or dst。  Host（s）：指定主机地址。如果没有指定，默认使用host关键字。可能使用的值有net、port、host、portrange。  Logical Operations（逻辑运算）：该选项用来指定逻辑运算符。可能使用的值有not、and、or。其中，not（否）具有最高的优先级；or（或）和and（与）具有相同的优先级，运算时从左至右进行。 设置捕捉过滤器的步骤如下所示： （1）在Wireshark主界面的工具栏中依次选择Capture|Options命令，将显示如图1.5所示的界面。 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 图1.5 添加过滤条件 在该界面Capture Filter对应的文本框中添加过滤条件，然后单击Start按钮，将开始捕获数据。 【实例1-3】现在要抓取目的或来源地址为192.168.5.9的封包。在图1.5中添加如下所示的条件： tcp dst port 3128 添加后单击Start按钮，将显示如图1.6所示的界面。 ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 图1.6 地址为192.168.5.9的封包 从该界面可以看到，捕获到的所有数据包都是来源或目的地址为192.168.5.9的数据包。 注意：当使用关键字作为值时，需使用反斜杠“\”。如ether proto \ ip（与关键字ip相同），这样将会以IP协议作为目标。也可以在ip后面使用multicast及broadcast关键字。当用户想排除广播请求时，no broadcast就非常有用。 在图1.5中只能添加Wireshark默认定义好的捕捉过滤器。如果用户指定的捕捉过滤器不存在的话，可以手动添加。在Wireshark工具栏中依次单击Capture|Capture Filters命令，将显示如图1.7所示的界面。 图1.7 Capture Filter 从该界面可以看到该工具默认定义的捕捉过滤器。如果要新建捕捉过滤器，在该界面单击“新建”按钮，默认的过滤器名称和过滤字符串都为new，如图1.7所示。此时用户可ARP协议全面实战手册——协议详解、攻击与防御 大学霸内部资料 以修改默认的名称，然后单击“确定”按钮。 2.显示过滤器 通常经过捕捉过滤器过滤后的数据还是很复杂。此时用户可以使用显示过滤器进行更加细致的查找。它的功能比捕捉过滤器更为强大，而且在用户想修改过滤器条件时，也不需要重新捕捉一次。显示过滤器的语法格式如下所示： Protocol String1 String2 Comparison operator Value Logical Operations Other expression 以上各选项的含义如下所示：  Protocol（协议）：该选项用来指定协议。该选项可以使用位于OSI模型第2层至7层的协议。在Wireshark主界面的Filter文本框后面，单击Expression按钮，可以看到所有可用的协议，如图1.8所示。 图1.8 Wireshark支持的协议 或者在工具栏中依次单击Internals|Supported Protocols命令，将显示如图1.9所示的界面。 图1.9 支持的协议  String1，String2（可选项）：协议的子类。点击相关父类旁的“+”号，然后选择其子类，如图1.10所示。

- 1 - 简述arp的工作原理

在计算机网络中，快速局域网（Ethernet）协议最主要的作用是定位物理地址及其相应的逻辑地址。在 TCP/IP络中大量使用的 ARP（Address Resolution Protocol）协议就是通过定位物理地址与相应的逻辑地址之间的关系实现通信的。本文将简要介绍 ARP议的工作原理及其功能，帮助理解其在网络中的重要性。

ARP议的定义

ARP议是一种网络协议，它可以根据物理地址来映射出一台电脑的逻辑地址。这个物理地址是一个硬件地址，也称为以太网地址，是一种唯一的硬件码，用来标识电脑网卡所属的网络设备。而逻辑地址，一般是 TCP/IP议层所使用的 IP址，用来标识一台电脑在网络中的位置。ARP议将以太网地址与 IP址关联起来，来实现从物理地址到逻辑地址之间的映射过程。

ARP议的工作原理

ARP议的工作原理主要分为以下三个部分：客户端节点发出 ARP求，目的节点的网卡响应 ARP答，客户端节点接收到ARP答。

1.户端节点发出 ARP求。

当用户在客户端节点上发出一个网络请求时，客户端节点首先向目的节点发出一个 ARP求，向网络广播此请求。此 ARP求中包含了客户端节点的 IP址，以及客户端节点所要寻找的目的节点的 IP址。

2.的节点的网卡响应 ARP答。

当客户端节点发出 ARP求后，目的节点的网卡就会接收到这个 - 2 - 请求，并自动响应一个 ARP答。该 ARP答中包含了客户端节点所查询的目的节点的 IP址，以及它的以太网地址。

3.户端节点接收到ARP答。

客户端节点收到目的节点的 ARP答之后，就可以得知目的节点的以太网地址，而之后的网络传输就可以直接使用这个以太网地址来实现网络通信。

ARP议的功能

ARP议的主要功能是将客户端节点依照目的节点的 IP址从网络中找到对应的以太网地址，即物理地址。这样，客户端节点就可以根据这个以太网地址来将数据包发送到指定的目的节点上去。