首先,本地主机模拟一个远端主机,发送一个ARP请求报文,该请求报文请求本机网络接口上绑定的IP地址与MAC地址的对应关系;在组装报文过程中,源MAC地址字段和源IP地址字段需要使用虚假的MAC地址和虚假的IP地址:如66-66-66-66-66-66作为源MAC地址,112.112.112.112作为源IP地址,本地主机一旦获取该ARP请求,就会做出响应,那么本机就进行对响应的ARP数据包进行捕获,从而获得本机的MAC地址。
这是前两条捕获的报文的含义
后两条与前两条类似只不过发送的源IP和源MAC地址不再是虚假的,而是真是网卡上的地址,应答报文告诉我们192.168.218.128的MAC地址为00-0C-29-1C-D9-B2
上面是使用本机VMware Network Adapter VMnet8网卡收发ARP报文的过程,后续使用WIFI物理网卡试验时,Wireshark不但捕获到了第一个源IP和源MAC地址都为虚假的ARP数据包,还发现不断收到MAC地址OUI为IETF-VRRP-VRID的报文,如图后四个报文。通过分析发现这是学校网络中VRRP的Master设备通过发送ARP报文,将虚拟MAC地址通知给与它连接的设备或者主机从而产生的报文,因此使用物理设备进行实验时也需要考虑到其它设备的干扰。