网络层----ARP(地址解析协议)
基本功能
在以太网协议中规定，同一局域网中的一台主机要和另一台主机进行直接通信，必须要知道目标主机的MAC地址。而在TCP/IP协议中，网络层和传输层只关心目标主机的IP地址。这就导致在以太网中使用IP协议时，数据链路层的以太网协议接到上层IP协议提供的数据中，只包含目的主机的IP地址。于是需要一种方法，根据目的主机的IP地址，获得其MAC地址。这就是ARP协议要做的事情。所谓地址解析就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程，也就是将IP地址转换为物理地址。
问题1. 为什么ARP的功能是将IP地址转化成物理地址？
涉及到OSI七层模型。IP地址处于第三层即网络层，MAC地址在处在第二层即数据链路层，他们彼此是不可以通信的。在通过以太网发送IP数据包时，需要先封装IP地址和MAC地址报头的。但是由于发送数据包时知道目标的IP地址，而不知道目标的MAC地址，但是彼此通信就必须知道对方的MAC地址，所以需要使用ARP地址解析协议。
问题2. ARP是如何工作的？工作流程是怎样？
如上图所示，ARP工作分为2个阶段，第一阶段ARP请求，第二阶段ARP响应。
假设PC1的IP为192.168.1.1， PC2的IP为192.168.1.2。此时PC1想给PC2发送数据：
（1）PC1会在自己的本地的ARP缓存表中通过PC2的IP地址检查与之对应的MAC地址
（2）如果在自己本地的ARP缓存表中没有找到与之匹配的MAC地址，PC1就会将ARP的请求帧广播到本地网络的所有主机。当本地网络上所有主机都接收到ARP请求后，并且检查是否与自己的IP地址相匹配，如果补匹配则会丢弃。
（3）此时PC2也会收到ARP请求报，PC2确定ARP请求中的IP地址与自己的IP地址相匹配，则会将PC1的地址和MAC地址加入到自己的本地ARP缓存表中。
（4）此时PC2会将包含自己的MAC地址的ARP响应包回复到PC1，此时是单播。
（5）当PC1收到主机PC2发来的ARP响应包后，会将PC2的IP地址和MAC地址一同加入到自己的本地ARP缓存表中。当然这不是永久性的，默认有效期是120s，当时间超时后，将会删除该条目，然后重新上述的过程。
问题3. ARP缓存表是什么？什么作用？
ARP缓存表就是记录IP地址和经过解析后的MAC地址对应的条目的一张表。因为一个局域网中的电脑少则几台，多则几百台。这么多电脑之间通信，不可能每次都去获取MAC地址，所以就有了ARP缓存表。
查询本机存储的ARP缓存信息，类型为动态的ip地址和物理地址都是缓存得到的。（缓存表时间有限，一般为20分钟）
问题4. 如何获取ARP协议包？如何分析ARP数据？
上图是ARP请求、应答报文的格式，下面做详细解释。
- 以太网目的地址：目的主机的硬件地址。目的地址全为1的特殊地址是广播地址。
- 以太网源地址：源主机的硬件地址。
- 帧类型：对于ARP协议，该字段为0x0806。对于RARP协议，该字段为0x8035。
- 硬件类型：表示硬件地址的类型。值为1时表示以太网地址。也就是说ARP协议不仅仅应用于以太网协议，还可以支持别的链路层协议。
- 协议类型：表示要映射的协议地址类型。值为0x0800时表示IP协议。
- 硬件地址长度：与硬件类型对应的硬件地址的长度，以字节为单位。如果是以太网，则是6字节（MAC长度）。
- 协议地址长度：与协议类型对应的协议地址长度，以字节为单位。如果是IP协议，则是4字节（IP地址长度）。
- 操作类型（op）：四中操作类型。ARP请求（1），ARP应答（2），RARP请求（3），RARP应答（4）。
- 发送端硬件地址：如果是以太网，则是源主机以太网地址，此处和以太网头中的源地址对应。
- 发送端协议地址：如果是IP协议，则表示源主机的IP地址。
- 目的端硬件地址：如果是以太网，则是目的以太网地址，和以太网头中的目的地址对应。
- 目的端协议地址：如果是IP协议，则表示源主机要请求硬件地址的IP地址。
- 对应ARP请求包来说，目的端的硬件地址字段无须填充，其他字段都需要填充。对于ARP回复包来说，所有字段都需要填充。
注意：ARP请求包是广播的，但是ARP应答是单播的。ARP协议只使用于局域网。
实验：尝试获取ARP报文
办公室局域网下，手机的ip地址为：192.169.1.127，笔记本的ip地址为：192.168.1.151
现在在笔记本上对手机做ARP请求，ping 192.168.1.127，在Wireshark中抓包如下：
第一条是ARP请求，即笔记本向手机做ARP请求。第二条是ARP响应，即手机向笔记本响应ARP请求。
获取ARP数据之后需要分析ARP数据，ARP数据分为请求报文和响应报文。
请求报文：
当笔记本发送的ARP请求报文，以广播报的形式发送到局域网后，手机检测到IP地址与自己的IP相同，就会发送给笔记本响应报文。
对于ARP响应包来说，源IP，目地IP，源MAC，目地MAC都是知道了的。
响应报文：
ARP欺骗
在实现TCP/IP协议的网络环境下，一个ip包走到哪里，要怎么走是靠路由表定义，但是，当ip包到达该网络后，哪台机器响应这个ip包却是靠该ip包中所包含的硬件mac地址来识别。也就是说，只有机器的硬件mac地址和该ip包中的硬件mac地址相同的机器才会应答这个ip包，因为在网络中，每一台主机都会有发送ip包的时候，所以，在每台主机的内存中，都有一个 arp--> 硬件mac 的转换表。通常是动态的转换表（该arp表可以手工添加静态条目）。也就是说，该对应表会被主机在一定的时间间隔后刷新。这个时间间隔就是ARP高速缓存的超时时间。
通常主机在发送一个ip包之前，它要到该转换表中寻找和ip包对应的硬件mac地址，如果没有找到，该主机就发送一个ARP广播包，于是，主机刷新自己的ARP缓存。然后发出该ip包。
ARP欺骗----同一网段的ARP欺骗
如图三台主机
A: ip地址 192.168.0.1 硬件地址 AA:AA:AA:AA:AA:AA
B: ip地址 192.168.0.2 硬件地址 BB:BB:BB:BB:BB:BB
C: ip地址 192.168.0.3 硬件地址 CC:CC:CC:CC:CC:CC
一个位于主机B的入侵者想非法进入主机A，可是这台主机上安装有防火墙。通过收集资料他知道这台主机A的防火墙只对主机C有信任关系（开放23端口(telnet)）。而他必须要使用telnet来进入主机A，这个时候他应该如何处理呢？
我们这样考虑，入侵者必须让主机A相信主机B就是主机C，如果主机A和主机C之间的信任关系是建立在ip地址之上的。如果单单把主机B的ip地址改的和主机C的一样，那是不能工作的，至少不能可靠地工作。如果你告诉以太网卡设备驱动程序， 自己IP是192.168.0.3，那么这只是一种纯粹的竞争关系，并不能达到目标。我们可以先研究C这台机器如果我们能让这台机器暂时当掉，竞争关系就可以解除,这个还是有可能实现的。在机器C当掉的同时，将机器B的ip地址改为192.168.0.3,这样就可以成功的通过23端口telnet到机器A上面，而成功的绕过防火墙的限制。
上面的这种想法在下面的情况下是没有作用的，如果主机A和主机C之间的信任关系是建立在硬件地址的基础上。这个时候还需要用ARP欺骗的手段让主机A把自己的ARP缓存中的关于192.168.0.3映射的硬件地址改为主机B的硬件地址。
我们可以人为的制造一个arp_reply的响应包,发送给想要欺骗的主机,这是可以实现的,因为协议并没有规定必须在接收到arp_echo后才可以发送响应包.这样的工具很多,我们也可以直接用snifferpro抓一个arp响应包,然后进行修改。
你可以人为地制造这个包。可以指定ARP包中的源IP、目标IP、源MAC地址、目标MAC地址。
这样你就可以通过虚假的ARP响应包来修改主机A上的动态ARP缓存达到欺骗的目的。
下面是具体的步骤：
- 他先研究192.0.0.3这台主机，发现这台主机的漏洞。
- 根据发现的漏洞使主机C当掉，暂时停止工作。
- 这段时间里，入侵者把自己的ip改成192.0.0.3
- 他用工具发一个源ip地址为192.168.0.3源MAC地址为BB:BB:BB:BB:BB:BB的包给主机A，要求主机A更新自己的arp转换表。
- 主机更新了arp表中关于主机C的ip-->mac对应关系。
- 防火墙失效了，入侵的ip变成合法的mac地址，可以telnet 了。
上面就是一个ARP的欺骗过程，这是在同网段发生的情况，但是，提醒注意的是，在B和C处于不同网段的时候，上面的方法是不起作用的。
ARP代理
如果ARP请求时从一个网络的主机发往另一个网络上的主机，那么连接这两个网络的路由器可以回答该请求，这个过程称作委托ARP或者ARP代理。这样可以欺骗发起ARP请求的发送端，使它误以为路由器就是目的主机。
免费ARP
免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。
设备通过对外发送免费ARP报文来实现以下功能：
1>确定其它设备的IP地址是否与本机的IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。
2>设备改变了硬件地址，通过发送免费ARP报文通知其它设备更新ARP表项。
疑惑：
ARP是解决同一个局域网上的主机或路由器的IP地址和硬件地址的映射问题。如果所要找的目标设备和源主机不在同一个局域网上。
1>此时主机A就无法解析出主机B的硬件地址（实际上主机A也不需要知道远程主机B的硬件地址）;
2>此时主机A需要的是将路由器R1的IP地址解析出来，然后将该IP数据报发送给路由器R1.
3>R1从路由表中找出下一跳路由器R2，同时使用ARP解析出R2的硬件地址。于是IP数据报按照路由器R2的硬件地址转发到路由器R2。
4>路由器R2在转发这个IP数据报时用类似方法解析出目的主机B的硬件地址，使IP数据报最终交付给主机B.
那么第三点中R1路由器使用ARP协议解析出R2路由器的硬件地址，这时两个路由器处于同一个局域网吗？
