ARP相关技术知识问题！

菜鸟人飞

1.  在使用科来网络分析系统时，我可以捕获到长42字节的ARP数据包，这正常吗，为什么？
2.  ARP正常数据包有哪些类型？分别有什么特征，请附图说明。
3.  ARP的攻击类型有哪些，它们的工作原理分别是什么？

cwym29

1.  在使用科来网络分析系统时，我可以捕获到长42字节的ARP数据包，这正常吗，为什么？

42字节，没遇过到？抓包来看看，奇怪，应该都要遵守64的限制啊。

2.  ARP正常数据包有哪些类型？分别有什么特征，请附图说明。

ARP请求数据包，ARP回应数据包，免费ARP数据包。

3.  ARP的攻击类型有哪些，它们的工作原理分别是什么？

ARP欺骗攻击　ARP断网攻击

gezi1234

1.关于42个字节

各种协议在封装上层送来的数据时都有自己的固定格式,在IP段中IP数据报的大小为46-1500Byte,大了,得分段,小了,用额外数据填充满至46Byte.而隶属于IP层的ARP协议它的格式大小就为固定的28个字节,显然后面需要补齐至46字节.而IP数据报送到链路层封装为以太网桢的时候就是在IP数据报的头加14个字节,尾部再加上4个桢校验字节,所以一个以太网桢的总长度就是64-1518Byte.按理说菜鸟人飞大大说的能捕捉到42字节的数据包应该是不可能的,你的意思是不是指有效的数据呢?因为14字节桢头+28字节ARP包=42字节……所以，呵呵，我先胡乱猜测下

2.ARP的包的形式

(1).ARP请求：在ARP请求中，可以看到操作类型是1（中间的黑色框起部分），在以太网桢的第21-22字节值为0x0001。因为在请求时并不知道目标IP的物理地址，所以以全0表示（最下面的黑框），在链路层中以广播形式发出去（全F，最上面的黑框）。

(2).ARP响应：在ARP请求中，可以看到操作类型是2（黑色框起部分），即第21-22字节值为0x0002。

(3).免费ARP:仍以广播形式发出，但源，目地IP是相同的，是为了检测局域网中是否有和它自己使用相同IP的机器。

P.S:在请求和响应的截图中，可以看到局域网中的那台Zonet Tech(00:50:22):84:13:23中了毒，一直在发0.136.136.16在00:50:22:84:13:23……(算攻击吗？ )

3.ARP攻击原理

因为ARP是IP和MAC之间转换的桥梁，所以我觉得但凡是使对方的ARP缓存中相对应的记录发生错误都应该算作ARP攻击……
比如A与C通信，此时B以A的ipB的MAC地址给C发出了一个ARP响应，那么就会使C更新自己的那条关于A的记录，那么C发给A的数据都会转到B处，而如果B以A的ip和一个伪造的MAC给C发出ARP响应，那么C以后给A发的数据都会石沉大海。

还有一个方式我也不明白，请大大也给解释一下：就是关于ip冲突，我曾经见过一个人使用网络执法官把另一个人给冲突了下去，这是不是通过免费ARP的完成的呢？在TCP/IP详解的第一卷第四章关于免费ARP有这么一段话：“一个主机可以通过它（免费ARP）来确定另一个主机是否设置了相同的IP，主机并不希望对此请求有一个回答。但是，如果受到一个回答，那么就会在终端日志上产生一个错误消息：“以太网地址：a:b:c:d:e:f 发送来重复的IP地址”。这样就可以警告管理员某个系统有不正确的设置。”由这段话看来，伪造一个免费ARP似乎并不能使被攻击的机器提示“IP冲突”，那么，是怎么实现让对方IP冲突的呢……？

[ 本帖最后由 gezi1234 于 2006-11-5 17:45 编辑 ]

ValorZ

抓包抓到42字节是因为标准arp桢长度就是42字节。

没有抓到所谓的64个字节是因为软件的问题。因为软件抓包在充填桢长度之前。

这个很容易通以下下方法证明，开2台计算机，同时抓包。然后查看这2台计算机之间的arp桢就行

sbyguli

明白了什么是免费ARP了，谢谢楼上的所有人

waini

1.  在使用科来网络分析系统时，我可以捕获到长42字节的ARP数据包，这正常吗，为什么？
这个问题，我说不上来，但是确实是遇到过的。我想是否是没通过网卡填充吧！我们算算14字节+28字节=42字节，如果再加上网卡填充的18个字节及网卡计算的4个字节的校验和，刚好64个字节。

2.  ARP正常数据包有哪些类型？分别有什么特征，请附图说明。
如下图：


3.  ARP的攻击类型有哪些，它们的工作原理分别是什么？

攻击类型有：中间人攻击，断网攻击和IP冲突

菜鸟人飞

楼上各位已经将问题说得非常清楚了，现将各位的答案总结并归纳如下。

1.  在使用科来网络分析系统时，我可以捕获到长42字节的ARP数据包，这正常吗，为什么？

正常的。原因如ValorZ所言，ARP数据包的长度本来是42字节，由于需要在以太网中传输，故填充以遵守以太网64~1518字节的限制。
但是这里捕获到42字节的ARP数据包，原因是什么呢？
我们知道，当数据包不足64时，发送主机的网卡会将数据包填充至64字节，也就是说这个填充的工作是由发送主机来完成的。
在使用科来网络分析系统捕获数据包时，由于它工作在底层，即网卡与上层之间，该数据包在发送给网卡的途中，即被科来网络分析系统所捕获，所以这时的数据包还没有添加填充的数据，也就是42字节。
注意：只有源MAC是本机的ARP包，才可能出现42字节的情况，如果源主机是其它主机，捕获到的数据包早已经被其源主机的网卡填充。
42字节的ARP包如下图。


2.  ARP正常数据包有哪些类型？分别有什么特征，请附图说明。

ARP请求数据包，ARP回应数据包，免费ARP数据包，cwym29和gezi1234讲得非常清楚，这儿省略。

3.  ARP的攻击类型有哪些，它们的工作原理分别是什么？

ARP扫描攻击，原理是攻击主机向网段中所有机器挨个发起ARP请求，存活的主机会对其进行响应。

ARP欺骗攻击，分为中间人攻击和断网攻击两种。中间人攻击的原理是攻击主机向被攻击主机和网关同时主动发起ARP回应，告诉对方自己是对方的目标MAC，从而让被欺骗主机和网关发送给对方的数据都在攻击主机处进行一个跳转，使其完成窃取信息的目的。断网攻击的原因是
攻击主机向被攻击发起主动发起ARP回应，告诉对方一个错误的网关MAC，从而让对方的数据发往错误甚至是不存在的MAC地址处，从而断网。如果被攻击主机是网关，则会导致整个局域网全部断网。

wenwuxiong

学习了。。。。。   菜鸟人飞 能不能举些网络内流量过大的 例子~怎么分析。 怎么排除。

ohxf

刚开始学习,收益了