网络篇12 | 链路层 ARP

01 简介

1)工作过程

主机A的IP地址为192.168.1.1,MAC地址为0A-11-22-33-44-01;
主机B的IP地址为192.168.1.2,MAC地址为0A-11-22-33-44-02;

当主机A要与主机B通信时,地址解析协议可以将主机B的IP地址(192.168.1.2)解析成主机B的MAC地址,以下为工作流程:

  • 第1步:根据主机A上的路由表内容,IP确定用于访问主机B的转发IP地址是192.168.1.2。然后A主机在自己的本地ARP缓存中检查主机B的匹配MAC地址。
  • 第2步:如果主机A在ARP缓存中没有找到映射,它将询问192.168.1.2的硬件地址,从而将ARP请求帧广播到本地网络上的所有主机。源主机A的IP地址和MAC地址都包括在ARP请求中。本地网络上的每台主机都接收到ARP请求并且检查是否与自己的IP地址匹配。如果主机发现请求的IP地址与自己的IP地址不匹配,它将丢弃ARP请求。
  • 第3步:主机B确定ARP请求中的IP地址与自己的IP地址匹配,则将主机A的IP地址和MAC地址映射添加到本地ARP缓存中。
  • 第4步:主机B将包含其MAC地址的ARP回复消息直接发送回主机A。
  • 第5步:当主机A收到从主机B发来的ARP回复消息时,会用主机B的IP和MAC地址映射更新ARP缓存。本机缓存是有生存期的,生存期结束后,将再次重复上面的过程。主机B的MAC地址一旦确定,主机A就能向主机B发送IP通信了。

2)ARP缓存

ARP缓存是个用来储存IP地址和MAC地址的缓冲区,其本质就是一个IP地址–>MAC地址的对应表,表中每一个条目分别记录了网络上其他主机的IP地址和对应的MAC地址。每一个以太网或令牌环网络适配器都有自己单独的表。当地址解析协议被询问一个已知IP地址节点的MAC地址时,先在ARP缓存中查看,若存在,就直接返回与之对应的MAC地址,若不存在,才发送ARP请求向局域网查询。

为使广播量最小,ARP维护IP地址到MAC地址映射的缓存以便将来使用。ARP缓存可以包含动态和静态项目。动态项目随时间推移自动添加和删除。每个动态ARP缓存项的潜在 生命周期 是10分钟。新加到缓存中的项目带有 时间戳 ,如果某个项目添加后2分钟内没有再使用,则此项目过期并从ARP缓存中删除;如果某个项目已在使用,则又收到2分钟的生命周期;如果某个项目始终在使用,则会另外收到2分钟的生命周期,一直到10分钟的最长生命周期。静态项目一直保留在缓存中,直到重新启动计算机为止。

2.1 动态ARP表项

动态ARP表项由ARP协议通过ARP报文自动生成和维护,可以被老化,可以被新的ARP报文更新,也可以被静态ARP表项所覆盖。当到达老化时间或接口关闭时会删除相应的动态ARP表项。

2.2 静态ARP表项

静态ARP表项通过手工配置(通过对应设备的IP地址与MAC地址绑定命定进行)和维护。不会被老化,也不会被动态ARP表项覆盖。配置静态ARP表项可以增加通信的安全性,因为静态ARP可以限定和指定IP地址的设备通信时只使用指定的MAC地址(也就是我们通常所说的IP地址和MAC地址的绑定),此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系,从而保护了本设备和指定设备间正常通信。静态ARP表项又分为短静态ARP表项和长静态ARP表项

2.3 短静态ARP表项

在配置短静态ARP表项时,只需要配置IP地址和MAC地址项。如果出接口是三层以太网接口,短静态ARP表项可以直接用于报文转发;如果出接口是VLAN虚接口,短静态ARP表项不能直接用于报文转发,当要发送IP数据包时,先发送ARP请求报文,如果收到的相应报文中的源IP地址和源MAC地址与所配置的IP地址和MAC地址相同,则将接受ARP响应报文的接口加入该静态表项中,之后就可以用于IP数据包的转发了。

2.4 长静态ARP表项

在配置长静态ARP表项时,除了配置IP地址和MAC地址项外,还必须配置该ARP表所对应的VLAN(虚拟局域网)和出接口。也就是长静态ARP表项同事绑定了IP地址、MAC地址、VLAN和端口,可以直接用于报文转发。

02 ARP报文格式

在这里插入图片描述

1)ARP请求报文格式

ARP是一个独立的三层协议,所以ARP报文在向数据链路层传输时不需要经过IP协议的封装,而是直接生成自己的报文,其中包括ARP报头,到数据链路层后再由对应的数据链路层协议(如以太网协议)进行封装。ARP报文分为ARP请求和ARP应答报文两种,它们的报文格式可以统一为下图所示。
在这里插入图片描述

2 bytes2 bytes1 byte1 byte2 bytes6 bytes4 bytes6 bytes4 bytes
Hardware TypeProtocol TypeHLENPLENOperationSender MAC AddressSender IP AddressTarget MAC AddressTarget IP Address
  • Hardware Type硬件类型:指明了发送方想知道的硬件接口类型,以太网的值为1;
  • Protocol Type协议类型:指明了发送方提供的高层协议类型,IP为0800(16进制);
  • HLEN硬件地址长度和PLEN协议长度:指明了硬件地址和高层协议地址的长度,这样ARP报文就可以在任意硬件和任意协议的网络中使用;
  • Operation操作类型:用来表示这个报文的类型,ARP请求为1,ARP响应为2,RARP请求为3,RARP响应为4;
  • Sender MAC Address发送方硬件地址(0-3字节):源主机硬件地址的前3个字节;
  • Sender MAC Address发送方硬件地址(4-5字节):源主机硬件地址的后3个字节;
  • Sender IP Address发送方IP地址(0-1字节):源主机硬件地址的前2个字节;
  • Sender IP Address发送方IP地址(2-3字节):源主机硬件地址的后2个字节;
  • Target MAC Address目标硬件地址(0-1字节):目的主机硬件地址的前2个字节;
  • Target MAC Address目标硬件地址(2-5字节):目的主机硬件地址的后4个字节;
  • Target IP Address目标IP地址(0-3字节):目的主机的IP地址。

2)ARP响应报文格式

在这里插入图片描述

2 bytes2 bytes1 byte1 byte2 bytes6 bytes4 bytes6 bytes4 bytes
Hardware TypeProtocol TypeHLENPLENOperationSender MAC AddressSender IP AddressTarget MAC AddressTarget IP Address
  • Hardware Type:表示硬件类型,如以太网、令牌环等。
  • Protocol Type:表示协议类型,如IP、IPX等。
  • HLEN:表示硬件地址长度,如以太网地址长度为6个字节。
  • PLEN:表示协议地址长度,如IP地址长度为4个字节。
  • Operation:表示操作类型,如ARP请求为1,ARP响应为2。
  • Sender MAC Address:表示发送方的MAC地址。
  • Sender IP Address:表示发送方的IP地址。
  • Target MAC Address:表示目标主机的MAC地址。
  • Target IP Address:表示目标主机的IP地址。

3)套一层以太网帧(ARP帧)

ARP报文不是直接在网络层上发送的,它还是需要向下传输到数据链路层,所以当ARP报文传输到数据链路层之后,需要再次进行封装。以以太网为例,ARP报文传输到以太网数据链路层后会形成ARP帧。ARP帧如下图所示,他就是在ARP报文前面加了一个以太网帧头。
在这里插入图片描述

以太网帧头的三个字段说明

  • 目的MAC地址:占6字节,如果是ARP请求帧,因为它是一个广播帧,所以要填上广播MAC地址(FF-FF-FF-FF-FF-FF),其目标主机是网络上的所有主机。
  • 源MAC地址:占6字节,这是发送ARP帧的节点MAC地址。
  • 帧类型:占两字节,这里用来标识帧封装的上层协议,因为本帧的数据部分是ARP报文,所以直接用ARP的协议号 0x0806 表示就可以了,而RARP的类型帧为0x8035。

4)ARP命令

  • arp -n查看arp缓存
(base) [root@vm12_efficiency01_50_221 ~]# arp -n
Address                  HWtype  HWaddress           Flags Mask            Iface
172.172.172.172                  (incomplete)                              br-1afde1951c8c
192.168.50.222           ether   54:81:85:d7:6e:65   C                     eth0
192.168.50.105           ether   6c:92:bf:16:fc:f6   C                     eth0
192.168.50.224           ether   44:a0:e9:f9:90:2a   C                     eth0
192.168.50.1             ether   c0:b8:e6:1d:4c:55   C                     eth0
192.168.50.223           ether   74:7c:8d:2c:01:a9   C                     eth0
172.172.172.173          ether   02:42:ac:11:00:01   C                     br-1afde1951c8c
  • arp -a Ip
    如果有多个网卡,那么使用arp -a加上接口的IP地址,就可以只显示与该接口相关的ARP缓存项目。
(base) [root@vm12_efficiency01_50_221 ~]# arp -a 192.168.50.222
? (192.168.50.222) at 54:81:85:d7:6e:65 [ether] on eth0
  • arp -s Ip 物理地址
    可以向ARP缓存中人工输入一个静态项目。该项目在计算机引导过程中将保持有效状态,或者在出现错误时,人工配置的物理地址将自动更新该项目。
(base) [root@vm12_efficiency01_50_221 ~]# arp -n
Address                  HWtype  HWaddress           Flags Mask            Iface
172.172.172.172                  (incomplete)                              br-1afde1951c8c
192.168.50.222           ether   54:81:85:d7:6e:65   CM                    eth0
192.168.50.105           ether   6c:92:bf:16:fc:f6   C                     eth0
192.168.50.224           ether   44:a0:e9:f9:90:2a   C                     eth0
192.168.50.1             ether   c0:b8:e6:1d:4c:55   C                     eth0
192.168.50.223           ether   74:7c:8d:2c:01:a9   C                     eth0
172.172.172.173          ether   02:42:ac:11:00:01   C                     br-1afde1951c8c
(base) [root@vm12_efficiency01_50_221 ~]# arp -s 192.168.50.222 54:81:85:d7:6e:64
(base) [root@vm12_efficiency01_50_221 ~]# arp -n
Address                  HWtype  HWaddress           Flags Mask            Iface
172.172.172.172                  (incomplete)                              br-1afde1951c8c
192.168.50.222           ether   54:81:85:d7:6e:64   CM                    eth0
192.168.50.105           ether   6c:92:bf:16:fc:f6   C                     eth0
192.168.50.224           ether   44:a0:e9:f9:90:2a   C                     eth0
192.168.50.1             ether   c0:b8:e6:1d:4c:55   C                     eth0
192.168.50.223           ether   74:7c:8d:2c:01:a9   C                     eth0
172.172.172.173          ether   02:42:ac:11:00:01   C                     br-1afde1951c8c

使用arp -s 192.168.50.222 54:81:85:d7:6e:64添加了一条缓存记录,因为是错误的mac地址,所以会收不到报文。

  • arp -d Ip
    使用该命令能够人工删除一个静态项目。
(base) [root@vm12_efficiency01_50_221 ~]# arp -n
Address                  HWtype  HWaddress           Flags Mask            Iface
172.172.172.172                  (incomplete)                              br-1afde1951c8c
192.168.50.222           ether   54:81:85:d7:6e:64   CM                    eth0
192.168.50.105           ether   6c:92:bf:16:fc:f6   C                     eth0
192.168.50.224           ether   44:a0:e9:f9:90:2a   C                     eth0
192.168.50.1             ether   c0:b8:e6:1d:4c:55   C                     eth0
192.168.50.223           ether   74:7c:8d:2c:01:a9   C                     eth0
172.172.172.173          ether   02:42:ac:11:00:01   C                     br-1afde1951c8c
(base) [root@vm12_efficiency01_50_221 ~]# arp -d 192.168.50.222
(base) [root@vm12_efficiency01_50_221 ~]# arp -n
Address                  HWtype  HWaddress           Flags Mask            Iface
172.172.172.172                  (incomplete)                              br-1afde1951c8c
192.168.50.105           ether   6c:92:bf:16:fc:f6   C                     eth0
192.168.50.224           ether   44:a0:e9:f9:90:2a   C                     eth0
192.168.50.1             ether   c0:b8:e6:1d:4c:55   C                     eth0
192.168.50.223           ether   74:7c:8d:2c:01:a9   C                     eth0
172.172.172.173          ether   02:42:ac:11:00:01   C                     br-1afde1951c8c

使用 arp -d 192.168.50.222删除了此ip的mac地址缓存。

03 抓包分析

ARP请求包图片: https://uploader.shimo.im/f/3Gxq47ucLFgVIIgr.png!thumbnail?accessToken=eyJhbGciOiJIUzI1NiIsImtpZCI6ImRlZmF1bHQiLCJ0eXAiOiJKV1QifQ.eyJleHAiOjE3MTMwNzAxNjksImZpbGVHVUlEIjoibTRrTU1hMFlOdmZ5OERrRCIsImlhdCI6MTcxMzA2OTg2OSwiaXNzIjoidXBsb2FkZXJfYWNjZXNzX3Jlc291cmNlIiwidXNlcklkIjo4MTkxOTc0MX0.cqT2q2wcFYQCod12psf0f2X0lUdkQFbaJzwep_IE0ZQARP应答包:内容格式和上图相似,不过会有目的地址对应的MAC地址,ARP数据包类型字段为2。

1)ARP请求

在这里插入图片描述

在这个ARP请求中,发送者希望找到IP地址为192.168.10.70的设备的MAC地址。ARP请求包中,发送者提供了自己的MAC地址和IP地址,并请求目标设备的MAC地址进行通信。根据提供的信息,这是另一个 Address Resolution Protocol(ARP)请求包的数据字段解析:

  • 硬件类型:Ethernet (1)
  • 协议类型:IPv4 (0x0800)
  • 硬件地址长度:6
  • 协议地址长度:4
  • 操作码:请求 (1)
  • 发送者 MAC 地址:GigaByteTech_3f:c8:7a (e0:d5:5e:3f:c8:7a)
  • 发送者 IP 地址:192.168.10.238
  • 目标 MAC 地址:Dell_cd:e7:b0 (e4:54:e8💿e7:b0)
  • 目标 IP 地址:192.168.10.70

2)ARP应答

在这里插入图片描述

在这个ARP应答中,发送者向请求方回复了其所需的信息。发送者提供了自己的MAC地址和IP地址作为响应,并将目标设备的MAC地址和IP地址进行了匹配。
根据提供的信息,这是一个 Address Resolution Protocol(ARP)应答包的数据字段解析:

  • 硬件类型:Ethernet (1)
  • 协议类型:IPv4 (0x0800)
  • 硬件地址长度:6
  • 协议地址长度:4
  • 操作码:应答 (2)
  • 发送者 MAC 地址:Dell_cd:e7:b0 (e4:54:e8💿e7:b0)
  • 发送者 IP 地址:192.168.10.70
  • 目标 MAC 地址:GigaByteTech_3f:c8:7a (e0:d5:5e:3f:c8:7a)
  • 目标 IP 地址:192.168.10.238

04 ARP攻击

ARP–在TCP/IP协议栈中,最不安全的协议莫过于ARP了,我们经常听到的网络扫描,内网渗透,流量欺骗等等,他们基本上都与ARP有关系,甚至可以说,他们的底层都是基于ARP实现的。但是ARP的是实现仅需一问一答的两个包即可,实现上很简单。
在这里插入图片描述

我们知道,当PC1对PC2正常通信的时候(先别管攻击者PC3),PC2、PC1会先后建立对方的IP和MAC地址的映射(即建立ARP缓存表),同时对于交换机而言,它也具有记忆功能,会基于源MAC地址建立一个CAM缓存表(记录MAC对应接口的信息),理解为当PC1发送消息至交换机的Port1时,交换机会把源MAC(也就是MAC1)记录下来,添加一条MAC1和Port1的映射,之后交换机可以根据MAC帧的目的MAC进行端口转发,这个时候PC3只是处于监听状态,会把PC1的广播丢弃。

正常的PC3会把广播包丢弃,同样的PC3可以抓住这一环节的漏洞,把不属于自己的广播包接收,同时回应一个虚假的回应包,告诉PC1我就是PC2(IP2-MAC3),这样PC1会收到两个回应包(一个正确的IP2-MAC2,一个虚假的IP2-MAC3),但是PC1并不知道到底哪个是真的,所以PC1会做出判断,并且判断后到达的为真,那么怎么让虚假的回应包后到达呢,PC3可以连续不断的发送这样的回应包,总会把哪个正确的回应包覆盖掉。

而后PC1会建立IP2-MAC3这样一条ARP缓存条目,以后当PC1给PC2发送信息的时候,PC1依据OSI模型从上至下在网络层给数据封装目的IP为IP2的包头,在链路层通过查询ARP缓存表封装目的MAC为MAC3的数据帧,送至交换机,根据查询CAM表,发现MAC3对应的接口为Port3,就这样把信息交付到了PC3,完成了一次ARP攻击。
在这里插入图片描述

如果ARP攻击严重话,会导致同一个局域网(也是同一个广播域)的所有主机的ARP缓存表中都存放着错误的IP和MAC的映射,如上图,每台主机的ARP缓存表中,不论哪个IP,都会映射到攻击者的MAC地址MAC1上,这样该局域网内的所有主机的消息都发送到Hacker的主机上。

  • 10
    点赞
  • 15
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值