1  ARP協(xié)議概述　　
　　IP數據包常通過以太網發(fā)送,但是以太網設備并不識別32位IP地址,它們是以48位以太網地址傳輸以太網數據包的,。因此,，IP驅動器必須把IP目的地址轉換成以太網網目的地址。在這兩種地址之間存在著某種靜態(tài)的或算法的映射,，常常需要查看一張表,。地址解析協(xié)議(Address Resolution Protocol，ARP)就是用來確定這些映射關系的協(xié)議,位于TCP/IP協(xié)議棧中的低層,，是 TCP/IP設計者利用以太網的廣播性質設計出來的,主要特性和優(yōu)點是它的位址對應關系是動態(tài)的﹐以查詢的方式來獲得 IP地址和MAC地址的對應,。

2  ARP工作原理　　
　　2.1　ARP工作過程　
　　1) 首先﹐每一臺主機都會在 ARP Cache中建立一個 ARP表格﹐用來記錄 IP地址和MAC地址的對應關系,。這個 Table的每一條信息會根據自身的存活時間遞減而最終消失﹐以確保信息的真實性。

　　2) 當發(fā)送主機有一個封包要傳送給目的主機并且獲得目的主機的 IP 地址的時候﹐發(fā)送主機會先檢查自己的 ARP表格中有沒有與該 IP地址對應的MAC地址,。如果有﹐就直接使用此地址來傳送封包﹔如果沒有﹐則向網絡發(fā)出一個 ARP Request廣播封包﹐查詢目的主機的MAC地址。這個封包會包含發(fā)送端的 IP地址和MAC地址信息,。

　　3) 這時﹐網絡上所有的主機都會收到這個廣播封包﹐會檢查封包的 IP 欄位是否和自己的 IP 地址一致,。如果不是則忽略﹔如果是則會先將發(fā)送端的MAC地址和 IP資料更新到自己的 ARP表格去﹐如果已經有該 IP的對應﹐則用新的信息覆蓋原來的﹔然后再回應一個 ARP Reply封包給對方﹐告知發(fā)送主機關于自己的MAC地址﹔

　　4)當發(fā)送端接到 ARP Reply之后﹐也會更新自己的 ARP表格﹔然后就可以用此記錄進行傳送了,。

　　5) 如果發(fā)送端沒有得到 ARP Reply ﹐則宣告查詢失敗,。

　　如圖1所示，描述了ARP廣播過程。

2.2 ARP 的查詢過程

　　前面說的 ARP表格﹐只有在 TCP/IP協(xié)議被載入內核之后才會建立﹐如果 TCP/IP協(xié)議被卸載或關閉機器﹐那么表格就會被清空﹔到下次協(xié)議載入或開機的時候再重新建立﹐而同時會向網絡發(fā)出一個 ARP廣播﹐告訴其它機器它的當前地址﹐以便所有機器都能保持最正確的資料,。

　　然而﹐ARP cache 的大小是有所限制的﹐如果超過了界限﹐那么越長時間沒被使用過渡資料就必須清理掉﹐以騰出空間來儲存更新的資料,。所以﹐當機器收到 ARP equest 封包時﹐如果查詢對象不是自己﹐則不會根據發(fā)送端位址資料來更新自己的 ARP 表格﹐而是完全忽略該封包。同時﹐每筆存在 cache 中的資料﹐都不是永久保存的﹕每筆資料再更新的時候﹐都會被賦予一個存活倒數計時值﹐如果在倒數時間到達的時候﹐該資料就會被清掉,。然而﹐如果該資料在倒數時間到達之前被使用過﹐則計時值會被重新賦予,。

　　當然了﹐ARP尚有一套機制來處理當 ARP表格資料不符合實際地址資料的狀況(例如﹐在當前連接尚未結束前﹐收到目的端的地址資料更新消息)﹔或是目的主機太忙碌而未能回答 ARP請求等狀況,。

2.3　ARP報文格式
　　ARP報文被封裝在以太網幀頭部中傳輸,，如圖2所示,，是ARP協(xié)議報文頭部格式。

2.4 ARP高速緩存

    ARP高效運行的關鍵是由于每個主機上都有一個ARP高速緩存，這個高速緩存放了最近Internet地址到硬件地址之間的映射記錄,，高速緩存中每一項的生存時間一般為20分鐘,，起始時間從被創(chuàng)建時開始算起。我們可以通過arp -a或show arp來顯示高速緩存中所有的內容

注意：ARP不能通過IP路由器發(fā)送廣播,，所以不能用來確定遠程網絡設備的MAC地址,。對于目標主機位于遠程網絡的情況，IP利用ARP確定默認網關（路由器）的MAC地址,，并將數據包發(fā)到默認網關,，由路由器按它自己的方式轉發(fā)數據包。

3　反向ARP　　
　　反向ARP（Reverse ARP,，RARP）用于把物理地址（MAC地址）轉換到對應的 IP 地址,。例如，在無盤工作站啟動的時候,，因為無法從自身的操作系統(tǒng)獲得自己的IP地址配置信息,。這時，無盤工作站可發(fā)送廣播請求獲得自己的IP地址信息,，而RARP服務器則響應IP請求消息－為無盤工作站分配1個未用的IP地址（通過發(fā)送RARP應答包）,。　　
　　RARP在很大程度上已被BOOTP,、DHCP所替代,，后面這兩種協(xié)議對RARP的改進是可以提供除了IP地址外的其它更多的信息，如默認網關,、DNS服務器的IP地址等信息,。　

RARP的查詢過程

　　首先是查詢主機向網絡送出一個 RARP Request廣播封包﹐向別的主機查詢自己的 IP,。在時候﹐網絡上的 RARP服務器就會將發(fā)送端的 IP 地址用 RARP Reply封包回應給查詢者,。這樣查詢主機就獲得自己的 IP地址了。

　　不過與ARP不同的是﹐查詢主機將 RARP Request封包發(fā)送之后﹐可能得到的 RARP Reply會不止一個,。因為網絡上可能存在不止一臺 RARP服務器(基于備份和分擔考量﹐極有可能如此設計)﹐那么﹐所有收到 RARP請求的服務器都會嘗試向查詢主機作出 RARP Reply 回應,。如果這樣的話﹐網絡上將充斥這種 RARP回應﹐做成額外的負荷。這時候﹐我們有兩種方法來解決RARP的回應問題,。

　　第一種方法﹐為每一個做 RARP 請求的主機分配一主服務器﹐正常來說﹐只有主服務器才回做出 RARP 回應﹐其它主機只是記錄下接收到 RARP 請求的時間而已,。假如主服務器不能順利作出回應﹐那么查詢主機在等待逾時再次用廣播方式發(fā)送 RARP 請求﹐其它非主服務器假如在接到第一個請求后很短時間內再收到相同請求的話﹐才會作出回應動作。

　　第二種方法也很類似﹕正常來說﹐主服務器當收到 RARP 請求之后﹐會直接作出回應﹔為避免所有非主服務器同時傳回 RARP 響應﹐每臺非主服務器都會隨機等待一段時間再作出回應,。如果主服務器未能作出回應的話﹐查詢主機會延遲一段時間才會進行第二次請求﹐以確保這段時間內獲得非主服務器的回應,。當然﹐設計者可以精心的設計延遲時間至一個合理的間隔。

4　代理ARP　　
　　代理ARP（PROXY ARP）也被稱作混雜ARP（Promiscuous ARP）（RFC 925,、1027）一般被像路由器這樣的設備使用--用來代替處于另一個網段的主機回答本網段主機的ARP請求,?！?br>　　下面是代理ARP的應用之一，如圖5所示,，主機PC1（192.168.20.66/24）需要向主機PC2（192.168.20.20/24）發(fā)送報文,，因為主機PC1不知道子網的存在且和目標主機PC2在同一主網絡網段，所以主機PC1將發(fā)送ARP請求廣播報文請求192.168.20.20的MAC地址,。這時,，路由器將識別出報文的目標地址屬于另一個子網（注意，路由器的接口IP地址配置的是28位的掩碼）,，因此向請求主機回復自己的硬件地址（0004.dd9e.cca0）,。之后，PC1將發(fā)往PC2的數據包都發(fā)往MAC地址0004.dd9e.cca0（路由器的接口E0/0）,，由路由器將數據包轉發(fā)到目標主機PC2。（接下來路由器將為PC2做同樣的代理發(fā)送數據包的工作）,。這種ARP使得子網化網絡拓撲對于主機來說時透明的（或者可以說是路由器以一個不真實的PC2的MAC地址欺騙了源主機PC1）,。

5　無故ARP（免費ARP）　　
　　無故（Gratuitous ARP，GARP）ARP也稱為無為ARP,。主機有時會使用自己的IP地址作為目標地址發(fā)送ARP請求,。這種ARP請求稱為無故ARP，GARP,，主要有兩個用途：　　
　?。?）檢查重復地址（如果收到ARP響應表明存在重復地址）?！　?br>　?。?）用于通告一個新的數據鏈路標識。當一個設備收到一個arp請求時,，發(fā)現arp緩沖區(qū)中已有發(fā)送者的IP地址,，則更新此IP地址的MAC地址條目。

6. 應用舉例

這里進行的操作是在linux系統(tǒng)下進行的,Windows環(huán)境基本相同,可以在命令窗口下輸入arp直接進行查詢.

基本命令

arp -a [ ip-address ]:表示顯示ARP映射表,。如果在arp -a命令中沒有指定IP地址,，則缺省顯示全部ARP映射表。

arp -d ip-address : 表示刪除ARP映射項,。

arp -s ip-address ether-address [ temp ] :表示增加ARP映射項,。ip-address為ARP映射項的IP地址，為點分十進制格式,。 ether-address為ARP映射項的以太網MAC地址,，格式為XX-XX-XX-XX-XX-XX，其中XX為十六進制數,。temp表示增加的映射項為臨時，有效時間為20ms,，否則將在路由器工作時間內永遠有效（可選）,。如果配置靜態(tài)映射項時沒有指定temp選項,，則缺省為永遠有效。

需要注意arp靜態(tài)條目與動態(tài)條目的區(qū)別。在不同的系統(tǒng)中,，手工設置的arp靜態(tài)條目是有區(qū)別的。在linux和win2000中,，靜態(tài)條目不會因為偽造的arp響應包而改變,，而動態(tài)條目會改變,。而在win98中,，手工設置的靜態(tài)條目會因為收到偽造的arp響應包而改變.

一般情況下，ARP映射表由動態(tài)ARP協(xié)議維護，在特殊情況下，才需要手工配置。另外ARP映射表只用于局域網內,，對于廣域網的地址解析,，有其它的配置或獲取方法（如幀中繼的逆向地址解析）,。

clear arp-cache:清空ARP映射表,。在某些情況下，需要清空并更新ARP映射表,，這時可以用arp -d逐條刪除,，也可以用clear arp-cache命令一次清空。

show arp :顯示ARP映射表,。

7. ARP欺騙

在實現TCP/IP協(xié)議的網絡環(huán)境下,，一個ip包走到哪里，要怎么走是靠路由表定義,，但是，當ip包到達該網絡后,，哪臺機器響應這個ip包卻是靠該ip包中所包含的硬件mac地址來識別。也就是說,，只有機器的硬件mac地址和該ip包中的硬件mac地址相同的機器才會應答這個ip包,，因為在網絡中，每一臺主機都會有發(fā)送ip包的時候，所以,，在每臺主機的內存中,，都有一個 arp--> 硬件mac 的轉換表。通常主機在發(fā)送一個ip包之前,，它要到該轉換表中尋找和ip包對應的硬件mac地址,，如果沒有找到，該主機就發(fā)送一個ARP廣播包,，于是,，主機刷新自己的ARP緩存。然后發(fā)出該ip包,。

了解這些常識后,，現在就可以談在以太網絡中如何實現ARP欺騙了.

7.1同一網段的ARP欺騙

如圖所示，三臺主機

A: ip地址 192.168.0.1硬件地址 AA:AA:AA:AA:AA:AA
B: ip地址 192.168.0.2 硬件地址 BB:BB:BB:BB:BB:BB
C: ip地址 192.168.0.3 硬件地址 CC:CC:CC:CC:CC:CC

一個位于主機B的入侵者想非法進入主機A,，可是這臺主機上安裝有防火墻,。通過收集資料他知道這臺主機A的防火墻只對主機C有信任關系（開放23端口(telnet)）。而他必須要使用telnet來進入主機A,，這個時候他應該如何處理呢?

我們這樣考慮,，入侵者必須讓主機A相信主機B就是主機C，如果主機A和主機C之間的信任關系是建立在ip地址之上的,。如果單單把主機B的ip地址改的和主機C的一樣,，那是不能工作的，至少不能可靠地工作,。如果你告訴以太網卡設備驅動程序,，自己IP是192.168.0.3，那么這只是一種純粹的競爭關系,，并不能達到目標,。我們可以先研究C這臺機器,如果我們能讓這臺機器暫時當掉，競爭關系就可以解除,這個還是有可能實現的,。在機器C當掉的同時,，將機器B的ip地址改為192.168.0.3,這樣就可以成功的通過23端口telnet到機器A上面，而成功的繞過防火墻的限制.

上面的這種想法在這種情況下是無效的,，如果主機A和主機C之間的信任關系是建立在硬件地址的基礎上,。這個時候還需要用ARP欺騙的手段讓主機A把自己的ARP緩存中的關于192.168.0.3映射的硬件地址改為主機B的硬件地址.

我們可以人為的制造一個arp_reply的響應包,發(fā)送給想要欺騙的主機,這是可以實現的,因為協(xié)議并沒有規(guī)定必須在接收到arp_echo后才可以發(fā)送響應包.這樣的工具很多,我們也可以直接用snifferpro抓一個arp響應包,然后進行修改.也人為地制造這個包?？梢灾付?/span>ARP包中的源IP,、目標IP、源MAC地址,、目標MAC地址.

這樣你就可以通過虛假的ARP響應包來修改主機A上的動態(tài)ARP緩存達到欺騙的目的

下面是具體的步驟:

他先研究192.0.0.3這臺主機,，發(fā)現這臺主機的漏洞,。

1)        根據發(fā)現的漏洞使主機C當掉，暫時停止工作,。

2)        這段時間里,，入侵者把自己的ip改成192.0.0.3

3)        他用工具發(fā)一個源ip地址為192.168.0.3源MAC地址為BB:BB:BB:BB:BB:BB的包給主機A，要求主機A更新自己的arp轉換表

4)        主機更新了arp表中關于主機C的ip-->mac對應關系

5)        防火墻失效了,，入侵的ip變成合法的mac地址,，可以telnet了

上面就是一個ARP的欺騙過程，這是在同網段發(fā)生的情況,，但是,，提醒注意的是，在B和C處于不同網段的時候,，上面的方法是不起作用的.

7.2 不同網段的ARP欺騙

圖所示A,、C位于同一網段而主機B位于另一網段，三臺機器的ip地址和硬件地址如下:

A: ip地址 192.168.0.1硬件地址 AA:AA:AA:AA:AA:AA
B: ip地址 192.168.1.2硬件地址 BB:BB:BB:BB:BB:BB
C: ip地址 192.168.0.3硬件地址 CC:CC:CC:CC:CC:CC

在這種下,，位于192.168.1網段的主機B如何冒充主機C欺騙主機A呢,？顯然用上面的辦法的話，即使欺騙成功,，那么由主機B和主機A之間也無法建立telnet會話,，因為路由器不會把主機A發(fā)給主機B的包向外轉發(fā)，路由器會發(fā)現地址在192.168.0.這個網段之內.

現在就涉及到另外一種欺騙方式―ICMP重定向,。把ARP欺騙和ICMP重定向結合在一起就可以基本實現跨網段欺騙的目的.

ICMP重定向報文是ICMP控制報文中的一種,。在特定的情況下，當路由器檢測到一臺機器使用非優(yōu)化路由的時候,，它會向該主機發(fā)送一個ICMP重定向報文,，請求主機改變路由。路由器也會把初始數據報向它的目的地轉發(fā).

我們可以利用ICMP重定向報文達到欺騙的目的.

　下面是結合ARP欺騙和ICMP重定向進行攻擊的步驟:

1)        為了使自己發(fā)出的非法ip包能在網絡上能夠存活長久一點,，開始修改ip包的生存時間ttl為下面的過程中可能帶來的問題做準備,。把ttl改成255. (ttl定義一個ip包如果在網絡上到不了主機后，在網絡上能存活的時間,，改長一點在本例中有利于做充足的廣播)

2)        下載一個可以自由制作各種包的工具（例如hping2）

3)        然后和上面一樣,，尋找主機C的漏洞按照這個漏洞當掉主機C。

4)        在該網絡的主機找不到原來的192.0.0.3后,，將更新自己的ARP對應表,。于是他發(fā)送一個原ip地址為192.168.0.3硬件地址為BB:BB:BB:BB:BB:BB的ARP響應包。

5)        現在每臺主機都知道了,，一個新的MAC地址對應192.0.0.3,一個ARP欺騙完成了,，但是，每臺主機都只會在局域網中找這個地址而根本就不會把發(fā)送給192.0.0.3的ip包丟給路由,。于是他還得構造一個ICMP的重定向廣播,。

6)        自己定制一個ICMP重定向包告訴網絡中的主機：到192.0.0.3的路由最短路徑不是局域網，而是路由,，請主機重定向你們的路由路徑,，把所有到192.0.0.3的ip包丟給路由。

7)        主機A接受這個合理的ICMP重定向,，于是修改自己的路由路徑,，把對192.0.0.3的通訊都丟給路由器.

8)        入侵者終于可以.在路由外收到來自路由內的主機的ip包了，他可以開始telnet到主機的23口

其實上面的想法只是一種理想化的情況,，主機許可接收的ICMP重定向包其實有很多的限制條件,，這些條件使ICMP重定向變的非常困難.

TCP/IP協(xié)議實現中關于主機接收ICMP重定向報文主要有下面幾條限制:

1)        新路由必須直達

2)        重定向包必須來自屈枉目標的當前路由

3)        重定向包不能通知主機用自己作路由

4)          被改變的路由必須是一條間接路由

由于有這些限制，所以ICMP欺騙實際上很難實現,。

7.3 ARP欺騙的防御

知道了ARP欺騙的方法和危害,，我們給出一些初步的防御方法:

1)        不要把安全信任關心建立在ip地址或者mac地址的基礎上(RARP同樣存在欺騙問題),理想的關系應該是ip+mac;

2)        設置靜態(tài)的mac->ip映射,不要讓主機刷新設置好的arp轉換表.

3)        停止使用arp,將arp作為永久條目保存在對應表中.linux下可以用ifconfig –arp使得網卡驅動停用arp.

4)        使用代理網關發(fā)送上行數據.

5)        修改系統(tǒng)配置拒收ICMP重定向報文.

在linux下可以通過在防火墻上拒絕ICMP重定向報文或者是修改內核選項重新編譯內核來拒絕接收ICMP重定向報文.

在win2000下可以通過防火墻和IP策略拒絕接收ICMP報文.