ARP（ Address Resolution Protocol，地址解析協(xié)議）是一個(gè)位于TCP/IP協(xié)議棧中的底層協(xié)議，對(duì)應(yīng)于數(shù)據(jù)鏈路層，基本功能就是將網(wǎng)絡(luò)層（ IP層，也就是相當(dāng)于OSI的第三層）地址解析為數(shù)據(jù)連接層（ MAC層，也就是相當(dāng)于OSI的第二層）的MAC地址，以保證通信的進(jìn)行 。
工作過(guò)程如下：
(1) 當(dāng)網(wǎng)絡(luò)節(jié)點(diǎn)需要解析一個(gè)IP 地址對(duì)應(yīng)的MAC 地址時(shí)，會(huì)廣播發(fā)送ARP 請(qǐng)求報(bào)文。
(2) 其他網(wǎng)絡(luò)節(jié)點(diǎn)接收到ARP請(qǐng)求后，會(huì)進(jìn)行ARP應(yīng)答。同時(shí)，根據(jù)請(qǐng)求發(fā)送者的IP地址
和 MAC地址的對(duì)應(yīng)關(guān)系建立 ARP表項(xiàng)，以便后續(xù)查ARP表進(jìn)行報(bào)文轉(zhuǎn)發(fā)。
(3) 發(fā)起請(qǐng)求的網(wǎng)絡(luò)節(jié)點(diǎn)接收到ARP應(yīng)答后，同樣會(huì)將ARP應(yīng)答報(bào)文中發(fā)送者的IP 地址和
MAC 地址的映射關(guān)系記錄下來(lái)，生成ARP表項(xiàng)，以便后續(xù)查ARP表進(jìn)行報(bào)文轉(zhuǎn)發(fā)。
ARP 攻擊原理
ARP工作機(jī)制可以看出， ARP協(xié)議簡(jiǎn)單易用，沒(méi)有任何安全機(jī)制，攻擊者可以發(fā)送偽造ARP
報(bào)文對(duì)網(wǎng)絡(luò)進(jìn)行攻擊。
ARP攻擊就是通過(guò)偽造IP地址和MAC地址實(shí)現(xiàn)ARP欺騙，攻擊者只要持續(xù)不斷的發(fā)出偽造
的ARP響應(yīng)包就能更改目標(biāo)主機(jī)ARP表中的條目，造成網(wǎng)絡(luò)中斷或中間人攻擊。 同時(shí)， 能夠通
過(guò)在網(wǎng)絡(luò)中產(chǎn)生大量的ARP通信量， 使網(wǎng)絡(luò)阻塞。
ARP 攻擊類型
常見(jiàn)的ARP攻擊包括ARP欺騙、 洪泛攻擊。
ARP欺騙指攻擊者通過(guò)發(fā)送偽造的ARP報(bào)文，惡意修改設(shè)備或網(wǎng)絡(luò)內(nèi)其他主機(jī)的ARP表項(xiàng)，
造成用戶或網(wǎng)絡(luò)的報(bào)文轉(zhuǎn)發(fā)異常。
ARP洪泛攻擊也叫拒絕服務(wù)攻擊，攻擊者向設(shè)備發(fā)送大量虛假的ARP請(qǐng)求報(bào)文或免費(fèi)ARP報(bào)
文，造成設(shè)備上的ARP表項(xiàng)超過(guò)規(guī)格，表項(xiàng)溢出，無(wú)法緩存正常用戶的ARP表項(xiàng)， 或者ARP處理
協(xié)議通道阻塞等， 從而阻礙正常的報(bào)文轉(zhuǎn)發(fā)。
綜上所述， ARP攻擊方式有如下 2大類 5小類：
ARP欺騙
根據(jù)仿冒的網(wǎng)絡(luò)節(jié)點(diǎn)的不同，又可以細(xì)分為
仿冒用戶主機(jī)
仿冒網(wǎng)關(guān)
ARP泛洪攻擊
根據(jù)攻擊目標(biāo)的不同，又可以細(xì)分為
拒絕服務(wù)攻擊
緩存溢出攻擊
掃描攻擊
ARP 欺騙 - 仿冒用戶主機(jī)
原理
一個(gè)典型的用戶主機(jī)仿冒流程如下：
1.信息節(jié)點(diǎn)比如網(wǎng)關(guān)廣播ARP請(qǐng)求，詢問(wèn)用戶A的地址
2.用戶A回應(yīng)自己的地址
3.建立合法用戶A的ARP表項(xiàng)
4.用戶B發(fā)出仿冒的ARP回應(yīng)，可以是自己的MAC地址，也可以是網(wǎng)絡(luò)中其他用戶地址甚至
是不存在的地址
5. 合法的ARP表項(xiàng)被修改為仿冒的ARP表項(xiàng)
6. 給用戶A的流量被轉(zhuǎn)發(fā)到用戶B，如果仿冒的是其他用戶的地址，則流量被轉(zhuǎn)發(fā)到其他
用戶，如果仿冒的是不存在的地址，則流量在網(wǎng)絡(luò)中被阻斷。
危害
如果用戶B仿冒時(shí)用的是自己的地址，當(dāng)流量返回時(shí)，就可以從流量中獲取信息，從而形
成中間人攻擊
如果用戶B仿冒時(shí)用的是其他用戶地址，當(dāng)流量返回時(shí)，就可以對(duì)其他用戶進(jìn)行流量攻擊
如果用戶B仿冒是用的是網(wǎng)絡(luò)中不存在的地址，則流量被阻斷
用戶A的流量轉(zhuǎn)發(fā)異常， 要么被竊聽(tīng)而泄密，要么被阻斷而業(yè)務(wù)中斷。
ARP 欺騙 - 仿冒網(wǎng)關(guān)攻擊
原理
一個(gè)典型的網(wǎng)關(guān)仿冒流程如下：
1.用戶A廣播ARP請(qǐng)求，詢問(wèn)網(wǎng)關(guān)的MAC地址
2.網(wǎng)關(guān)回應(yīng)自己的MAC地址
3.用戶A主機(jī)建立合法網(wǎng)關(guān)的ARP表項(xiàng)
4.用戶B發(fā)出仿冒的網(wǎng)關(guān)ARP表項(xiàng)，可以是自己的MAC地址，也可以是網(wǎng)絡(luò)中其他用戶地址
甚至是不存在的地址
5. 用戶A主機(jī)合法網(wǎng)關(guān)的ARP表項(xiàng)被修改為仿冒的ARP表項(xiàng)
6. 用戶A的流量轉(zhuǎn)發(fā)到用戶B，如果仿冒的是其他用戶的地址，則流量被轉(zhuǎn)發(fā)到其他用戶，
如果仿冒的是不存在的地址，則流量在網(wǎng)絡(luò)中被阻斷
危害
如果用戶B仿冒時(shí)用的是自己的地址， 則用戶A所有信息都會(huì)轉(zhuǎn)發(fā)給用戶B， 從而形成中間
人攻擊
如果用戶B仿冒時(shí)用的是其他用戶地址，就可以對(duì)其他用戶進(jìn)行流量攻擊
如果用戶B仿冒是用的是網(wǎng)絡(luò)中不存在的地址，則流量被阻斷
用戶A的流量轉(zhuǎn)發(fā)異常，要么被竊聽(tīng)而泄密，要么被阻斷而業(yè)務(wù)中斷。
ARP 泛洪攻擊 - 拒絕服務(wù)攻擊
原理
一個(gè)典型的拒絕服務(wù)流程如下：
1.用戶B主動(dòng)（黑客）或被動(dòng)（中病毒、木馬、惡意軟件等） 發(fā)送大量偽造的ARP 請(qǐng)求、
應(yīng)答報(bào)文或其他能夠觸發(fā)網(wǎng)絡(luò)設(shè)備ARP 處理的報(bào)文，造成網(wǎng)絡(luò)設(shè)備的計(jì)算資源長(zhǎng)期忙于ARP
處理，影響其他業(yè)務(wù)的處理，從而阻礙正常的報(bào)文轉(zhuǎn)發(fā)。
2.正常用戶請(qǐng)求ARP或者其他業(yè)務(wù)報(bào)文被阻塞，從而導(dǎo)致業(yè)務(wù)中斷。
危害
網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力下降甚至拒絕服務(wù)，導(dǎo)致網(wǎng)絡(luò)中流量中斷 。
ARP 泛洪攻擊 - 緩存溢出攻擊
原理
一個(gè)典型的緩存溢出流程如下：
1.用戶B主動(dòng)（黑客）或被動(dòng)（中病毒、木馬、惡意軟件等） 發(fā)送向網(wǎng)絡(luò)設(shè)備發(fā)送大量虛
假的ARP 請(qǐng)求報(bào)文和免費(fèi)ARP報(bào)文， 超出網(wǎng)絡(luò)設(shè)備ARP表項(xiàng)存儲(chǔ)規(guī)格， 造成網(wǎng)絡(luò)設(shè)備上ARP緩存
表溢出，無(wú)法緩存正常的ARP 表項(xiàng)，從而阻礙正常的報(bào)文轉(zhuǎn)發(fā)。
2.正常用戶ARP表項(xiàng)被偽造ARP表項(xiàng)覆蓋，從而導(dǎo)致業(yè)務(wù)流量中斷
危害
網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力下降甚至拒絕服務(wù)，導(dǎo)致網(wǎng)絡(luò)中流量中斷
ARP 泛洪攻擊 - 掃描攻擊
原理
一個(gè)典型的掃描攻擊流程如下：
1.用戶B主動(dòng)（黑客）或被動(dòng)（中病毒、木馬、惡意軟件等） 掃描本網(wǎng)段或者跨網(wǎng)段主機(jī)
時(shí)， 網(wǎng)絡(luò)設(shè)備在發(fā)送回應(yīng)報(bào)文前，會(huì)查找ARP表項(xiàng)，如果目的IP 地址的MAC 地址不存在，那
么必然會(huì)導(dǎo)致網(wǎng)絡(luò)設(shè)備向上層軟件發(fā)送消息，要求上層軟件發(fā)送ARP 請(qǐng)求報(bào)文到其他網(wǎng)段以
獲得目的端的MAC 地址。大量的掃描報(bào)文會(huì)導(dǎo)致大量的消息，導(dǎo)致網(wǎng)絡(luò)設(shè)備的資源浪費(fèi)，影
響對(duì)其他業(yè)務(wù)的處理， 從而阻礙正常的報(bào)文轉(zhuǎn)發(fā)。
2.正常用戶請(qǐng)求ARP或者其他業(yè)務(wù)報(bào)文被阻塞，從而導(dǎo)致業(yè)務(wù)中斷
危害
網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力下降甚至拒絕服務(wù)，導(dǎo)致網(wǎng)絡(luò)中流量中斷
聯(lián)系客服
