ARP病毒系列——基础篇

                          概念和关系介绍：（ARP、IP、Mac 三者的关系）

ARP，全称Address Resolution Protocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。

MAC地址：英文全称为：Medium/Media      Access      Control,介质访问控制，它是收录在NetworkInterfaceCard(网卡,NIC)里的.MAC地址,也叫硬件地址,是由48比特/bit长（6字节/byte，1byte=8bits），16进制的数字组成。0-23位叫做组织唯一标志符（organizationally unique），是识别LAN（局域网）节点的标识。24-47位是由厂家自己分配.其中第48位是组播地址标志位。网卡的物理地址通常是由网卡生产厂家烧入网卡的EPROM（一种闪存芯片，通常可以通过程序擦写），它存储的是传输数据时真正赖以标识发出数据的电脑和接收数据的主机的地址。Mac地址一定是全球唯一的！说的形象一点：MAC地址就像是我们的身份证号码一样！

IP 地址：英文InternetProtocol的缩写，意思是“网络之间的互联协议”，也就是为计算机网络相互连接进行通信而设计的协议。她就像是我们的家庭住址一样，如果你要写信给一个人，你就要知道他（她）的地址，这样邮递员才能把信送到。计算机发送信息就好比是邮递员，它必须知道唯一的“家庭地址”才能不至于把信送错人家。只不过我们的地址使用文字来表示的，计算机的地址用二进制数字表示。

IP和Mac的关系：IP地址就如同一个职位，而MAC地址则好像是去应聘这个职位的人才，职位既可以让甲坐，也可以让乙坐，同样的道理一个结点的IP地址对于网卡是不做要求，基本上什么样的厂家都可以用，也就是说IP地址与MAC地址并不存在着绑定关系。本身有的计算机流动性就比较强，正如同人才可以给不同的单位干活的道理一样的，人才的流动性是比较强的。职位和人才的对应关系就有点像是IP地址与MAC地址的对应关系。比如，如果一个网卡坏了，可以被更换，而无须取得一个新的IP地址。

IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址.但这个目标MAC地址是如何获得的呢？这就需要ARP协议出面了！

ARP和Mac的关系：通过地址解析协议也就是ARP协议获得。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。

   工作原理：

首先，每台主机都会在自己的ARP缓冲区中建立一个 ARP列表（通过在DOS窗口里输入ARP -a 便可查看！），以表示IP地址和MAC地址的对应关系。当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP地址对应的MAC地址，如果有﹐就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址；源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。

例如：

A的地址为：IP：192.168.10.1   MAC: AA-AA-AA-AA-AA-AA

B的地址为：IP：192.168.10.2   MAC: BB-BB-BB-BB-BB-BB

根据上面的所讲的原理，我们简单说明这个过程：A要和B通讯，A就需要知道B的以太网地址，于是A发送一个ARP请求广播（谁是192.168.10.2 ，请告诉192.168.10.1），当B收到该广播，就检查自己，结果发现和自己的一致，然后就向A发送一个ARP单播应答（192.168.10.2 在BB-BB-BB-BB-BB-BB）。用图来简单的描述的话，就像下面这个样子！

额……第一次用word作为画图工具，真是纠结啊！不好看的地方请多多见谅啦！

                       水平所限，博客纰漏之处，望斧正！不胜感激！