最新arp协议分析教学讲义PPT课件.ppt

《最新arp协议分析教学讲义PPT课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、arp协议分析什么是ARPARP(AddressResolutionProtocol)地址解析协议作用：IP→MAC简单来说：任何网络访问（第一次）都会事先发一次arp的请求，以获取目地主机的物理地址。TCP/IP协议分析课件制作：邹延平2009年9月地址解析协议ARP不管网络层使用的是什么协议，在实际网络的链路上传送数据帧时，最终还是必须使用硬件地址。每一个主机都设有一个ARP高速缓存(ARPcache)，里面有所在的局域网上的各主机和路由器的IP地址到硬件地址的映射表。当主机A欲向本局域网上的某个主机B发送I

2、P数据报时，就先在其ARP高速缓存中查看有无主机B的IP地址。如有，就可查出其对应的硬件地址，再将此硬件地址写入MAC帧，然后通过局域网将该MAC帧发往此硬件地址。TCP/IP协议分析课件制作：邹延平2009年9月使用ARP的情况TCP/IP协议分析课件制作：邹延平2009年9月ARP高速缓存使用ARP高速缓存。当主机(或路由器)A通过ARP请求得到B的物理地址时，就将此“IP地址——物理地址”绑定存储在高速缓存中。这样，对于后续发往B的分组，通过查找高速缓存获得物理地址。TCP/IP协议分析课件制作：邹延平20

3、09年9月ARP缓存Arp–s添加静态ARP缓存表项，该表项是永久性的，除非用arp–d删除；动态arp缓存表项有有限的生存时间，在pc上ping某ip后，获得该ip的mac地址后，Arp–a观察动态arp缓存的生存时间；观察在2分钟内未使用该arp表项的话，该表项会被自动删除，如果在2分钟内使用了该表项，会从使用之时起，该表项的生存时间再延长2分钟。TCP/IP协议分析课件制作：邹延平2009年9月arp缓存表项的生存期在默认情况下，WindowsServer2003家族和WindowsXP中，ARP缓存中的表

4、项仅存储2分钟。如果一个ARP缓存表项在2分钟内被用到，则其期限再延长2分钟，直到最大生命期限10分钟为止。超过10分钟的最大期限后，ARP缓存表项将被移出，并且通过另外一个ARP请求——ARP回应交换来获得新的对应关系。TCP/IP协议分析课件制作：邹延平2009年9月ARP请求实现流程有无无有目的站IP地址查询ARP高速缓存IP地址—mac地址？广播ARP请求，等待ARP应答提取mac地址“IP地址——mac地址“绑定存入高速缓存收到ARP应答？找不到mac地址TCP/IP协议分析课件制作：邹延平2009年9

5、月ARP应答实现流程是否ARP请求分组到达本机是请求目标？用本机mac地址进行应答发送站“IP地址——mac地址“绑定存入高速缓存TCP/IP协议分析课件制作：邹延平2009年9月ARP分组格式硬件类型协议类型硬件长度协议长度操作（请求1，回答2）发送站硬件地址发送站协议地址目的站硬件地址目的站协议地址TCP/IP协议分析课件制作：邹延平2009年9月ARP帧格式TCP/IP协议分析课件制作：邹延平2009年9月特殊的ARP代理ARP向另一个网络发送ARP请求时，路由器主机返回自己的mac作为目的地址免费ARP发

6、给自己的ARP，一般发生在系统引导时，来获得网络接口的MAC地址。TCP/IP协议分析课件制作：邹延平2009年9月代理ARP两个物理网络通过代理ARP连接的例子TCP/IP协议分析课件制作：邹延平2009年9月免费ARP和重复的IP地址检测ARP可以被用来检测重复的IP地址，这是通过传送一种叫做免费ARP的ARP请求来完成的。免费ARP就是一个发往自己IP地址的ARP请求。在免费ARP中，SPA(发送者协议地址)和TPA(目标协议地址)被设置成同一个IP地址。如果节点发送一个发往自己IP地址的ARP请求，就不应

7、收到任何一个ARP回应帧，这样节点就可以判断没有其他节点使用跟它相同的IP地址。如果节点发送一个发往自己IP地址的ARP请求，结果收到ARP回应，这样此节点就可以判断有另外一个节点使用同样的IP地址。如果发送了3个免费ARP后，都没有收到ARP回应，IP就假定此IP地址在此网络段中是唯一的。TCP/IP协议分析课件制作：邹延平2009年9月ARP协议漏洞漏洞的根源就是ARP协议是无连接的没有ARP的请求也可以ARP回复,最致命的就是操作系统收到这个请求后就会更新ARP缓存。ARP请求也可以伪造。ARP主机的缓存中

8、毒！TCP/IP协议分析课件制作：邹延平2009年9月ARP攻击分析帧类型—0x0806ARP欺骗都是通过填写错误的MAC-IP对应关系来实现的ARP攻击利用ARP协议本身的缺陷来实现！可以利用帧类型来识别ARP报文TCP/IP协议分析课件制作：邹延平2009年9月ARP欺骗攻击——仿冒网关攻击者发送伪造的网关ARP报文，欺骗同网段内的其它主机。主机访问网关的流量，被重定