Wireshark实战分析之ARP协议

ARP（Address Resolution Protocol）协议，地址解析协议。该协议的功能是将IP地址转化为物理地址。

可能有人就会问了？ 为什么ARP的功能是将IP地址转化为物理地址？

对于上面这个问题，我们就不得不说OSI七层模型了，关于OSI七层模型的详细我这了不做过多介绍。其中IP地址是在第三层即网络层，MAC地址是在第二层即数据链路层，他们彼此是不能通信的。在通过以太网发送IP数据包时，需要先封装IP地址和MAC地址报头的。但是由于发送数据包时知道目标的IP地址，而是不知道目标的MAC地址的，而彼此通信就必须知道对方的MAC地址，所以需要使用ARP地址解析协议。

既然知道ARP协议的作用，那接着说ARP的工作流程，它到底是如何工作的？

如上图所示，ARP工作分为2个阶段，第一阶段ARP请求，第二阶段ARP响应。

假设PC1的IP为192.168.1.1， PC2的IP为192.168.1.2。此时PC1想给PC2发送数据

（1）PC1会在自己的本地的ARP缓存表中通过PC2的IP地址检查与之对应的MAC地址

（2）如果在自己本地的ARP缓存表中没有找到与之匹配的MAC地址，PC1就会将ARP的请求帧广播到本地网络的所有主机。当本地网络上所有主机都接收到ARP请求后，并且检查是否与自己的IP地址相匹配，如果补匹配则会丢弃。

（3）此时PC2也会收到ARP请求报，PC2确定ARP请求中的IP地址与自己的IP地址相匹配，则会将PC1的地址和MAC地址加入到自己的本地ARP缓存表中

（4）此时PC2会将包含自己的MAC地址的ARP响应包回复到PC1，此时是单播

（5）当PC1收到主机PC2发来的ARP响应包后，会将PC2的IP地址和MAC地址一同加入到自己的本地ARP缓存表中。当然这不是永久性的，默认有效期是120s，当时间超时后，将会删除该条目，然后重新上述的过程。

可能有人就会问， 什么是ARP缓存表？ 有什么作用？

ARP缓存表就是记录IP地址和经过解析后的MAC地址对应的条目的一张表。因为一个局域网中的电脑少则几台，多则几百台。这么多电脑之间通信，不可能每次都去获取MAC地址，所以就有了ARP缓存表。

当然可以通过Window中的运行，查看ARP命令

当然可以通过arp -a 显示ARP表

本节学习如何获取ARP协议包，以及分析ARP数据。

分析之前，先看看ARP的报文格式

上图是ARP请求、应答报文的格式，下面做详细解释

对以太网首部来说：

如果是请求ARP报文的话，以太网目的地址： 是（全1）的，是广播报，目的是让局域网上所有主机都收到ARP请求包

以太网源地址： 就是发送端地址。

帧类型： 如果是ARP报文，值为0x0806

硬件类型： 表明ARP协议实现在那种类型的网络上，它的值为1，即表示以太网地址

协议类型：表示解析协议（上层协议），这里一般是0800，即IP

硬件地址长度：也就是MAC地址长度，即6个字节

协议地址长度：也就是IP地址长度，即4个字节

操作类型：表示ARP协议数据报类型。1表示请求报文，2表示应答报文

发送端以太网地址：也就是源MAC地址

发送端IP地址：也就是源IP地址

目的端以太网地址：目标端MAC地址（如果是请求报文，是全0）

目地端IP地址：也就是目地端的IP地址

既然了解了ARP的详细格式，就尝试获取ARP报文。

实例：

如上图所示，pc1给pc2发送ARP请求，此时使用Wireshark获取ARP抓包数据

既然都获取到ARP的数据，那就分析ARP的数据。

先分析ARP请求数据报文：

选中57帧，可以在wireshark中查看报的详细信息：

当PC1发送的ARP请求报文，以广播报的形式发送到局域网后，当pc2检测到IP地址与自己的IP相同，就会发送给PC1响应报文，也就是58帧

对于ARP响应包来说，源IP，目地IP，源MAC，目地MAC都是知道了的。

关于分析ARP响报文，就分析到这里