夯实基础 - 一文讲透 ARP 协议（二）

上一篇文章 https://articles.zsxq.com/id_tkppvwtk00ja.html

ARP 结构

我们上面说到，ARP 对想要知道 MAC 地址的目标主机会首先发送 ARP 请求，那么这个请求中都携带哪些信息呢？下面 cxuan 就来和你聊一下。下面是在以太网中转换一个 IPv4 的地址常用的 ARP 请求或响应的报文格式。

前面 14 个字节构成标准以太网的首部，前两个字段 DST 和 SRC 分别表示 以太网的目的地址 和 以太网的源地址，以太网的目的地址如果是 ff:ff:ff:ff:ff:ff 全部为 1 表示广播地址，在同一广播域中的所有以太网接口可以接收这些帧。后面紧跟着的是 ARP 请求的长度/类型，ARP 请求 和 ARP 应答这个值为 0x0806。

1. 硬件类型表示硬件地址的类型，硬件地址常见的有 MAC 物理或者以太网地址，对于以太网来说，此值为 1。
2. 协议类型 指出映射的协议地址类型，对于 IPv4 地址，这个值是 0x0800。
3. 硬件大小和 协议大小 分别指出硬件地址和协议地址的字节数。对于以太网中使用 IPv4 的 ARP 请求或应答，它们的值分别是 6 和 4。
4. Op 字段指出如果是 ARP 请求，Op = 1，ARP 应答 ，Op = 2，RARP 请求 Op = 3，RARP 应答，Op = 4。
5. 紧跟在 Op 之后的是 发送方硬件地址(MAC 地址)，发送方的协议地址(IPv4 地址)，目的硬件地址 和 目的协议地址。

ARP 抓包实战

我们分别演示在 Mac 和 Linux 下的 ARP 报文的截获

在 Mac 环境下，我这边使用的是 WireShark 进行抓包，你可以从官网下载，地址如下

https://www.wireshark.org/download.html

下载完成后阅读安装说明的手册，阅读后会发现需要安装两个插件，根据提示安装即可，然后我们打开 WireShark ，开始报文拦截，下面是我截获的 ARP 数据包。

这款软件很好的一个地方是对不同的数据包会有不同的颜色标识，这点非常好。

然后我们查看 ARP 请求

可以看到，这就是一个完整的 ARP 请求包，我们使用的硬件类型是以太网，协议类型是 IPv4 ，默认值是 0x0800，然后硬件大小是 6 个字节，协议大小占用 2 个字节，Op 的全称是 Opcode ，Op = 1 表示这是一个 ARP 请求，然后是发送方的硬件地址和协议地址，接收方的硬件地址和协议地址。

ARP 响应如下

可以看到 Op = 2，表示这是 ARP 响应。

在 Linux 环境下，你可以使用 tcpdump 截获 ARP 数据包，如果 tcpdump not found 的话，你可以使用 yum install -y tcpdump 安装。

使用 tcpdump -i ens33 可以打印出在 ens33 地址下的数据包，下面是我截取的 ARP 数据包。

更多关于 tcpdump 的用法，你可以参考这篇博客

https://www.cnblogs.com/ggjucheng/archive/2012/01/14/2322659.html

大佬写的很详细，这里就不再说明了。

ARP 缓存超时

缓存超时通常与 ARP 缓存中的项有关系，arp 命令可以允许管理员设置永不超时。ARP 把保存在高速缓存中的每一映射地址都设置生存时间，一般为 20 分钟。如果是不完整的映射，那么缓存超时时间为 3 分钟，不完整的映射通常会强制发送一条不存在主机的 ARP 请求。

RARP

与 ARP 相对的，RARP(Reverse Address Resolution Protocol) 是将 ARP 反过来，从 MAC 地址定位 IP 地址的一种协议，将打印机服务器等小型嵌入式设备接入网络时会使用到。

平常我们设置 IP 地址一般会有两种方式，手动设置 和 DHCP 动态获取

但是对于嵌入式设备来说，它没有任何输入接口，也无法通过 DHCP 获取动态地址。

在这种情况下，就要使用到 RARP 了，你需要准备一个 RARP 服务器，在这个服务器上注册设备的 MAC 地址和 IP 地址，然后将设备接入网络，设备会发出一条 IP 和 MAC 地址的查询请求给服务器，服务器会告诉设备其 IP 地址和 MAC 地址。

ARP 攻击

ARP 是一种非常不安全的协议，目前已经有很多涉及 ARP 的攻击，最主要的就是使用代理 ARP 功能假扮主机，对 ARP 请求作出应答，通过伪造 ARP 数据包来窃取合法用户的通信数据，造成影响网络传输速率和盗取用户隐私信息等严重危害。

ARP 攻击分类

ARP 主要攻击方式分为下面这几种

1. ARP 泛洪攻击：通过向网关发送大量 ARP 报文，导致网关无法正常响应。首先发送大量的 ARP 请求报文，然后又发送大量虚假的 ARP 响应报文，从而造成网关部分的 CPU 利用率上升难以响应正常服务请求，而且网关还会被错误的 ARP 缓存表充满导致无法更新维护正常 ARP 缓存表，消耗网络带宽资源。
2. ARP 欺骗主机攻击：ARP 欺骗主机的攻击也是 ARP 众多攻击类型中很常见的一种。攻击者通过 ARP 欺骗使得局域网内被攻击主机发送给网关的流量信息实际上都发送给攻击者。主机刷新自己的 ARP 使得在自己的ARP 缓存表中对应的 MAC 为攻击者的 MAC，这样一来其他用户要通过网关发送出去的数据流就会发往主机这里，这样就会造成用户的数据外泄。
3. 欺骗网关的攻击: 欺骗网关就是把别的主机发送给网关的数据通过欺骗网关的形式使得这些数据通过网关发送给攻击者。这种攻击目标选择的不是个人主机而是局域网的网关，这样就会攻击者源源不断的获取局域网内其他用户韵数据．造成数据的泄露，同时用户电脑中病毒的概率也会提升。
4. 中间人攻击: 中间人攻击是同时欺骗局域网内的主机和网关，局域网中用户的数据和网关的数据会发给同一个攻击者，这样，用户与网关的数据就会泄露。
5. IP地址冲突攻击: 通过对局域网中的物理主机进行扫描，扫描出局域网中的物理主机的 MAC 地址，然后根据物理主机的 MAC 进行攻击，导致局域网内的主机产生 IP 地址冲突，影响用户的网络正常使用。

总结

ARP 是 TCP/IP 实现中的一个基本协议，它通常在应用程序或用户没有察觉到的情况下运行。ARP 可以用于映射 IP 地址为 MAC 地址。

这篇文章我们主要讲了 ARP 的基本原理，ARP 的帧结构，ARP 的工作机制，以及 ARP 代理、ARP 攻击、RARP 和 ARP 的区别等。