Arp 原理 攻击 防御

Arp即地址解析协议，它虽然是一个网络层协议，也涉及一些数据链路层的信息，基本作用是已知IP地址获得其对应的MAC地址，当某个设备需要向目的设备发送单播帧时，首先查看自己的缓存表中是否有目的设备的MAC地址，如果有，就直接使用它，如果没有，就发起ARP请求获取它。原设备需要解析IP地址时，发出一个载荷数据为一个ARP请求报文的广播帧，目的设备接收到ARP请求报文后，向原设备发送一个载荷数据是一个ARP应答报文的单播帧，该ARP应答报文中包含了目的设备的MAC地址。缓存表的条目在180s(可修改）的生存期内没有被使用就会被删除，在该条目每次被使用时，生存期被重新设置为180s。

ARP攻击可以用地址欺骗的方法，用错误的主机MAC地址刷新网关的ARP缓存，导致主机无法上线，也可以向主机发送错误的ARP应答，使主机得到错误的网关地址，也会导致主机无法上线。也可以利用ARP进行DOS攻击，主要是利用设备ARP缓存的有限性，通过发送大量伪造的ARP请求报文、ARP应答报文造成ARP缓存溢出，从而无法缓存正常的ARP表项，从而阻碍正常转发。或者利用设备计算能力有限性，通过发送大量伪造的ARP请求报文、ARP应答报文或其他能够触发ARP处理的报文，造成设备的计算资源长期忙于ARP报文处理，影响其他业务的处理，从而阻碍正常的转发。比如攻击者利用工具扫描本网段主机或者跨网段进行扫描时，设备在发送回应报文时，会查找ARP表项，如果目的IP地址对应的MAC地址不存在，会导致设备的ARP模块向上层软件发送ARP Miss消息&