前言

在使用nmap時(shí)可以使用-PR指令，通過(guò)發(fā)送ARP請(qǐng)求包進(jìn)行主機(jī)存活探測(cè)。

那么這一過(guò)程的原理是什么呢？

在了解什么是ARP協(xié)議后，問(wèn)題就迎刃而解了。

概念

地址解析協(xié)議，即ARP（Address Resolution Protocol），是根據(jù)IP地址獲取物理地址的一個(gè)TCP/IP協(xié)議。

在網(wǎng)絡(luò)中各個(gè)主機(jī)相互信任的基礎(chǔ)上，局域網(wǎng)絡(luò)上的主機(jī)可以自主發(fā)送ARP應(yīng)答消息。

主機(jī)A發(fā)送信息時(shí)將包含目標(biāo)IP地址的ARP請(qǐng)求廣播到局域網(wǎng)絡(luò)上的所有主機(jī)，目標(biāo)主機(jī)將發(fā)送返回信息，A收到返回消息后將該IP地址和物理地址存入本機(jī)ARP緩存中并保留一定時(shí)間，當(dāng)下次A請(qǐng)求該目標(biāo)主機(jī)時(shí)，直接查詢ARP緩存即可，不再需要廣播，這可以節(jié)約資源。

然而，正是由于網(wǎng)絡(luò)中各個(gè)主機(jī)相互信任，導(dǎo)致攻擊者可以向某一主機(jī)發(fā)送偽ARP應(yīng)答報(bào)文，使其發(fā)送的信息無(wú)法到達(dá)預(yù)期的主機(jī)或到達(dá)錯(cuò)誤的主機(jī)，這就構(gòu)成了一個(gè)ARP欺騙。

ARP欺騙

ARP欺騙（Address Resolution Protocol spoofing），也被稱為ARP中毒，是一種網(wǎng)絡(luò)攻擊方式。攻擊者會(huì)發(fā)送偽造的ARP消息給局域網(wǎng)內(nèi)的其他設(shè)備，以欺騙它們將通信發(fā)送到錯(cuò)誤的位置，從而實(shí)現(xiàn)竊取數(shù)據(jù)、監(jiān)視流量或攔截通信等目的。

假設(shè)有三臺(tái)計(jì)算機(jī)A、B和C，它們都連接到同一個(gè)局域網(wǎng)上。攻擊者D位于同一局域網(wǎng)中，并想竊取A和B之間的通信。攻擊者D可以進(jìn)行以下步驟來(lái)實(shí)現(xiàn)ARP欺騙攻擊：

1.攻擊者D發(fā)送一個(gè)ARP響應(yīng)消息給計(jì)算機(jī)A，聲稱自己的MAC地址與B的IP地址相關(guān)聯(lián)。

2.計(jì)算機(jī)A收到了這個(gè)偽造的ARP響應(yīng)并更新了其ARP緩存，將攻擊者D的MAC地址與B的IP地址相關(guān)聯(lián)。

3.當(dāng)計(jì)算機(jī)A想要向計(jì)算機(jī)B發(fā)送通信時(shí)，它會(huì)使用之前更新過(guò)的ARP緩存，將通信發(fā)送到攻擊者D的MAC地址。

4.攻擊者D可以捕獲這些通信并查看其中的敏感信息，如用戶名和密碼等。

ARP命令

ARP命令用于顯示和修改系統(tǒng)的 ARP（地址解析協(xié)議）緩存表，該表存儲(chǔ)了IP地址與MAC地址之間的映射關(guān)系。

1.顯示當(dāng)前系統(tǒng)的ARP表：

arp -a

2.添加靜態(tài)ARP條目：

arp -s <IP地址> <MAC地址>

3.刪除ARP條目：

arp -d <IP地址>

4.清空ARP緩存表：

arp -d -a

優(yōu)勢(shì)

通過(guò)發(fā)送ARP請(qǐng)求包進(jìn)行主機(jī)存活探測(cè)的好處是，它可以在局域網(wǎng)中快速發(fā)現(xiàn)存活的主機(jī)，而無(wú)需與每臺(tái)主機(jī)建立TCP或UDP連接。這種方法比較高效，并且不會(huì)產(chǎn)生網(wǎng)絡(luò)流量和日志記錄，因?yàn)锳RP請(qǐng)求和響應(yīng)都是在數(shù)據(jù)鏈路層完成的，不需要上層協(xié)議的參與。

需要注意的是，使用ARP進(jìn)行主機(jī)存活探測(cè)只適用于局域網(wǎng)環(huán)境，因?yàn)锳RP消息無(wú)法跨越路由器。如果需要在廣域網(wǎng)或互聯(lián)網(wǎng)中進(jìn)行主機(jī)存活探測(cè)，可以考慮使用其他方法，如ICMP Echo請(qǐng)求（ping）或TCP SYN掃描等。

承接前言

回到開(kāi)頭的問(wèn)題，我們就可以給出答案了。

當(dāng)發(fā)送ARP請(qǐng)求包進(jìn)行主機(jī)存活探測(cè)時(shí)，nmap會(huì)向目標(biāo)網(wǎng)絡(luò)廣播一個(gè)ARP請(qǐng)求消息，其中包含要探測(cè)的IP地址。

目標(biāo)網(wǎng)絡(luò)上的所有主機(jī)都會(huì)收到這個(gè)ARP請(qǐng)求消息。根據(jù)ARP協(xié)議的規(guī)定，只有匹配請(qǐng)求中IP地址的主機(jī)才會(huì)響應(yīng)，其他主機(jī)會(huì)忽略該請(qǐng)求。

如果目標(biāo)網(wǎng)絡(luò)上的主機(jī)存活，則會(huì)向nmap發(fā)送一個(gè)ARP響應(yīng)消息，其中包含主機(jī)的MAC地址。

nmap通過(guò)捕獲并分析這些ARP響應(yīng)消息，確定了哪些主機(jī)處于存活狀態(tài)，并獲取了相應(yīng)主機(jī)的MAC地址，如文章開(kāi)頭的圖片。文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-765819.html

到了這里，關(guān)于【網(wǎng)安 | 網(wǎng)絡(luò)協(xié)議】ARP協(xié)議（地址解析協(xié)議）的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！