一篇关于ARP欺骗的文章！！！

      在51CTO策划的ARP系列文章的前一篇《ARP Sinffer攻防实例讲解》中子明给大家呈现了ARP一攻一防的两个实例，在网上有很多文章描述了ARP欺骗攻击的原理，但还是有很多51CTO网友反映，有很多不理解和不明白的地方，所以本文子明特别用通俗的例子，说明ARP欺骗攻击的原理，使ARP欺骗攻击原理更加清楚的展现在你的面前。

了解ARP地址解析协议

我们先来简单描述下什么是ARP，ARP是地址解析协议，ARP协议主要负责将局域网中的32位IP地址转换为对应的48位物理地址，即网卡的MAC地址，比如IP地址为192.168.0.1计算机上网卡的MAC地址为00-03-0F-FD-1D-2B。整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包，即ARP请求，然后目标主机向该主机发送一个含有IP地址和MAC地址数据包，通过协商这两个主机就可以实现数据传输了。

ARP缓存表

在安装了以太网网络适配器（既网卡）的计算机中有一个或多个ARP缓存表，用于保存IP地址以及经过解析的MAC地址。在Windows中要查看或者修改ARP缓存中的信息，可以使用ARP命令来完成，比如在Windows XP的命令提示符窗口中键入“ARP -a”或“ARP -g”可以查看ARP缓存中的内容；键入“ARP -d IPaddress”表示删除指定的IP地址项（IPaddress表示IP地址）。ARP命令的其他用法可以键入“ARP /?”查看帮助信息。

什么是ARP欺骗

将ip地址转换为mac地址是ARP的工作，在网络中发送虚假的ARP respones，就是ARP欺骗。
在现实中，我们都知道邮政机构的主要职责就是靠邮差来接收和收发包裹，我们只要填写两个正确信息：邮政编码和收件人地址，就可以吧邮件送达目的地。这中间邮政编码起到很大的作用，它的主要作用是把相应的地址信息用数字的形式统一编码，比如：10080，就代表了北京市某个行政地区。
如果我们清楚的知道邮政系统是怎样把包裹送达目的地，就很容易立即ARP协议的处理过程。ARP同样处理需要两个信息来完成数据传输，一个是IP地址，一个是MAC地址。所以当ARP传输数据包到目的主机时，就好像邮局送包裹到目的地，IP地址就是邮政编码，MAC地址就是收件人地址。ARP的任务就是把已知的IP地址转换成MAC地址，这中间有复杂的协商过程，这就好像邮局内部处理不同目的地的邮件一样。我们都清楚邮局也有可能送错邮件，原因很简单，就是搞错了收件人地址，或是搞错了邮政编码，而这些都是人为的；同理，ARP解析协议也会产生这样的问题，只不过是通过计算机搞错，比如，在获得MAC地址时，有其他主机故意顶替目的主机的MAC地址，就造成了数据包不能准确到达。这就是所谓的ARP欺骗。

ARP欺骗会导致什么问题

假设，李四在北京，邮编是100080。朋友张三要给李四发一封信，当张三发现通讯录里没有李四的邮政编码，他就把信件发到了北京市邮局，于是邮局发了个广播给用户，问谁的地址邮编是10080，结果李四发现自己的邮编是10080，李四就会举手，说我是。这样，信件就发到李四那儿了。同时李四的地址信息也被张三记在自己的通信录里面了。

问题来了，如果在广播的时候，有人假冒李四，发出应答……。那信件就发不到李四那儿，并且，张三的通信表里面记录了错误的邮编和地址对应的信息。

李四收不到信件，就会给张三发信息询问，张三又重新发，但是他通信录里面的地址是错误的，所以，每次发信李四都收不到。如果这样反复询问，那必然的结果就是错误信件越发越多，邮件的错误邮件也越收越多，超过了正常的接收量，由于超负荷运转，而最终导致邮局彻底瘫痪，邮差也相继失业。可怜的李四，他始终没有收到过张三的邮件。

这就好比是ARP欺骗造成的后果，错误信件就是错误数据包，当它越来越多时，就会导致网络瘫痪，从而导致主机不能上网，影响企业的正常业务运转。

 

http://netsecurity.51cto.com/art/200709/57185.htm 

 

一、 什么是ARP
  
   ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。
在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓‘地址解析“就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

二、 ARP的工作原理

   在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的，在命令提示符下，输入“arp -a”就可以查看ARP缓存表中的内容了：

 

 

注：用“arp -d”命令可以删除ARP表的内容；用“arp -s”可以手动在ARP表中指定IP地址与MAC地址的对应。

   我们以主机A（192.168.1.5）向主机B（192.168.1.1）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“192.168.1.1的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“192.168.1.1的MAC地址是00-aa-00-62-c6-09”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。

   ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。

   作为攻击源的主机伪造一个ARP响应包，此ARP响应包中的IP与MAC地址对与真实的IP与MAC对应关系不同，此伪造的ARP响应包广播出去后，网内其它主机ARP缓存被更新，被欺骗主机ARP缓存中特定IP被关联到错误的MAC地址，被欺骗主机访问特定IP的数据包将不能被发送到真实的目的主机，目的主机不能被正常访问。

四、 ARP欺骗的症状

   网络时断时通
   网络中断，重启网关设备，网络短暂连通
   内网通讯正常、网关不通；
   频繁提示ＩＰ地址冲突；
   硬件设备正常，局域网不通；
   特定IP网络不通，更换IP地址，网络正常；
   禁用-启用网卡，网络短暂连通；
   网页被重定向。
……………………