ARP与RARP协议及arp脚本

1、什么是ARP与RARP协议

　　地址解析协议，即ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。

　　在⽹络通讯时,源主机的应⽤程序知道⽬的主机的IP地址和端⼜号,却不知道⽬的主机的硬件地址,⽽数据包⾸先是被⽹卡接收到再去处理上层协议的,如果接收到的数据包的硬件地址与本机不符,则直接丢弃。因此在通讯前必须获得⽬的主机的硬件地址。 ARP协议就起到这个作⽤。

ARP通过IP地址获取MAC地址方式：

（1）源主机发出ARP请求, 询问“IP地址是192.168.0.1的主机的硬件地址是多少”, 并将这个请求⼴播到本地⽹段(以太⽹帧⾸部的硬件地址填FF:FF:FF:FF:FF:FF表⽰⼴播)；

（2）⽬的主机接收到⼴播的ARP请求, 发现其中的IP地址与本机相符, 则发送⼀个ARP应答数据包给源主机, 将⾃⼰的硬件地址填写在应答包中；

（3）源主机收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。

　　反向地址转换协议（RARP）顾名思义，是根据物理地址获取IP地址的一个TCP/IP协议。每个主机都有一个ARP高速缓存表，这样避免每次发包时都需要发送ARP请求来获取硬件地址。反向地址转换协议（RARP）允许局域网的物理机器从网关服务器的 ARP 表或者缓存上请求其 IP 地址。网络管理员在局域网网关路由器里创建一个表以映射物理地址（MAC）和与其对应的 IP 地址。RARP协议广泛应用于无盘工作站引导时获取IP地址。

RARP工作原理：

（1）源主机发送一个本地的RARP广播，在此广播包中，声明自己的MAC地址并且请求任何收到此请求的RARP服务器分配一个IP地址；

（2）本地网段上的RARP服务器收到此请求后，检查其RARP列表，查找该MAC地址对应的IP地址；

（3）如果存在，RARP服务器就给源主机发送一个响应数据包并将此IP地址提供给对方主机使用；

（4）如果不存在，RARP服务器对此不做任何的响应；

（5）源主机收到从RARP服务器的响应信息，就利用得到的IP地址进行通讯；如果一直没有收到RARP服务器的响应信息，表示初始化失败。

2、ARP数据报的帧格式

以太网目的地址：目的主机的硬件地址（48位MAC地址）。目的地址全为1的特殊地址是广播地址。

以太网源地址：源主机的硬件地址。

帧类型：对于ARP协议，该字段为0x0806。对于RARP协议，该字段为0x8035。

硬件类型：表示链路层⽹络的类型。值为1时表示以太网地址。也就是说ARP协议不仅仅应用于以太网协议，还可以支持别的链路层协议。

协议类型：表示要映射的协议地址类型。值为0x0800时表示IP协议。

硬件地址长度：与硬件类型对应的硬件地址的长度，以字节为单位。如果是以太网，则是6字节（MAC长度）。

协议地址长度：与协议类型对应的协议地址长度，以字节为单位。如果是IP协议，则是4字节（IP地址长度）。

操作类型（op）：四中操作类型。ARP请求（1），ARP应答（2），RARP请求（3），RARP应答（4）。

发送端硬件地址：如果是以太网，则是源主机以太网地址，此处和以太网头中的源地址对应。

发送端协议地址：如果是IP协议，则表示源主机的IP地址。

目的端硬件地址：如果是以太网，则是目的以太网地址，和以太网头中的目的地址对应。

目的端协议地址：如果是IP协议，则表示源主机要请求硬件地址的IP地址。

　　对应ARP请求包来说，目的端的硬件地址字段无须填充，其他字段都需要填充。对于ARP回复包来说，所有字段都需要填充。由于以太⽹规定最⼩数据长度为46节,ARP帧长度只有28字节,因此有18字节填充位,填充位的内容没有定义,与具体实现相关。

3、ARP缓存

　　每个主机都有一个ARP高速缓存表，这样避免每次发包时都需要发送ARP请求来获取硬件地址。利用arp -a命令可以查看显示系统中高速缓存的内容。缓存表中的表项有过期时间(⼀般为20分钟),如果20分钟内没有再次使⽤某个表项,则该表项失效,下次还要发ARP请求来获得⽬的主机的硬件地址。

Windows下“arp -d”命令可以清除arp高速缓存表。

4、使用ARP的四种典型场景

（1）发送方是主机H1，要把IP数据报发送到另一个网络上的另一个主机H2.这时H1发送ARP请求分组（在网1上广播），找到目的主句H2的硬件地址；

（2）发送方是主机H1，要把IP数据报发送到另一个网络上的另一个主机H2.这时H1发送ARP请求分组（在网1上广播），找到网1的一个路由器R1，剩下的工作由路由器R1来完成；

（3）发送方是路由器R1，要把IP数据报发送到R1连接在同一个网络（网2 ）上的主机H3。这时R1发送ARP请求分组（在网2上广播），找到目的主机H3的硬件地址；

（4）发送方是路由器R1，要把IP数据报发送到网3上的一个主机H4。这时R1发送ARP请求分组（在网2上广播），找到连接在网2上的一个路由器R2的硬件地址，剩下的工作由路由器R2来完成。

5、ARP欺骗

　　ARP地址转换表是依赖于计算机中高速缓冲存储器动态更新的，而高速缓冲存储器的更新是受到更新周期的限制的，只保存最近使用的地址的映射关系表项，这使得攻击者有了可乘之机，可以在高速缓冲存储器更新表项之前修改地址转换表，实现攻击。ARP请求为广播形式发送的，网络上的主机可以自主发送ARP应答消息，并且当其他主机收到应答报文时不会检测该报文的真实性就将其记录在本地的MAC地址转换表，这样攻击者就可以向目标主机发送伪ARP应答报文，从而篡改本地的MAC地址表。 ARP欺骗可以导致目标计算机与网关通信失败，更会导致通信重定向，所有的数据都会通过攻击者的机器，因此存在极大的安全隐患。

6、用arp脚本抓取对应主机mac地址