网络安全实战（一）ARP欺骗

ARP欺骗攻击原理

        ARP请求采用广播方式，局域网所有主机都“知晓”这个信息，即一对多。而ARP回复采用单播方式，即一对一方式。假设A(192.168.1.2)与B(192.168.1.3)在同一局域网，A要和B实现通信。A首先会发送一个数据包到广播地址(192.168.86.255)，该数据包中包含了源IP（A）、源MAC、目的IP（B）、目的MAC，这个数据包会被发放给局域网中所有的主机，但是只有B主机会回复一个包含了源IP（B）、源MAC、目的IP（A）、目的MAC的数据包给A，同时A主机会将返回的这个地址保存在ARP缓存表中，这应该就是通过ping 主机然后 arp -a查看局域网内主机的原理。

        在每台主机都有一个ARP缓存表，缓存表中记录了IP地址与MAC地址的对应关系，而局域网数据传输依靠的是MAC地址，ARP缓存表机制存在一个缺陷，就是当请求主机收到ARP应答包后，不会去验证自己是否向对方主机发送过ARP请求包，就直接把这个返回包中的IP地址与MAC地址的对应关系保存进ARP缓存表中，如果原有相同IP对应关系，原有的则会被替换。所以无论ARP请求包，还是ARP回复包都可以通过软件和工具进行伪造。