（1）硬件类型：指明发送方想知道的硬件接口类型，以太网的值为1；（2）协议类型：指明发送方提供的高层协议类型；它的值为 0x0800 即表示 IP地址。（3）硬件地址长度和协议长度： 指明硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用；对于以太网上IP地址的ARP请求或应答来说,它们的值分别为6和4。（4）op：操作字段用来表示这个报文的类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4；
ARP协议解析过程：(ARP协议只使用于局域网中)
> 局域网网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。> 在以太网中，主机与主机相互通信，必须要知道目标主机的MAC地址。要想获得目标主机的MAC地址，需要通过地址解析协议进行解析。 “地址解析”： 就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。> ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。> 点对点的连接是不需要ARP协议的
1. 每台主机都会有一个ARP缓冲区，该缓冲区记录了IP地址和MAC地址的对应关系，称为ARP高速缓存表。2. 当源主机将一个数据包发送到目的主机时，会先检查自己 ARP缓存表中是否存在该 IP地址对应的MAC地址，如果有﹐就直接将数据包发送到这个MAC地址； 如果没有，就以广播形式向本地网段发起一个ARP请求，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。3. 网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。 如果不相同就忽略此数据包； 如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP缓存表中， 如果ARP缓存表中已经存在该IP的信息，则将其覆盖更新，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址；4. 源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，利用此信息进行数据的传输。 如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。
Gratuitous ARP (免费ARP) 报文 免费ARP报文是一种特殊的ARP报文,该报文中携带的发送端IP地址和目标IP地址都是本机IP地址,报文源MAC地址是本机MAC,目的MAC地址是广播地址。开机或者更改了IP地址,会发送免费ARP。
免费ARP具有如下2个作用:（1）确定其它设备的 IP地址是否与本机 IP地址冲突。 当其它设备收到免费ARP报文后,如果发现报文中的IP地址和自己的IP地址相同,则给发送免费ARP报文的设备返回一个ARP应答,告知该设备IP地址冲突。（2）设备改变了硬件地址，通过发送免费ARP报文通知其它设备更新ARP表项.
如果我们伪造并发送恶意的Gratuitous ARP报文，通知其他主机更新ARP缓存记录，同时发送伪造的ARP响应数据包，使目标机器更新记录时与IP对应的MAC地址变成我们指定的MAC地址，就达到了欺骗的目的。
ARP攻击模式
下面分析一下进行ARP欺骗时的报文内容
正常 IP-MAC 对应关系
我们进行ARP欺骗的实验目标： 192.168.1.151 xxxx:50:96
本机IP-MAC： 192.168.1.150 xxxx:00:f4
我们进行ARP双向欺骗，然后查看ARP数据包情况
欺骗流程：发送恶意Gratuitous ARP报文，通知其他主机更新ARP缓存记录，同时发送伪造的ARP响应报文
下面就来看看用于欺骗的响应报文的内容（第一个和第二个报文）
(1)对目标主机192.168.1.151的欺骗报文（即图中的第一个报文）
该响应报文发送给我们要欺骗的目标主机192.168.1.151，告知它网关的MAC地址为 xxxx:00:f4（实际上这个MAC是攻击者的MAC）
(2)对网关的欺骗报文（即图中的第二个报文）
该响应报文发送给我们要欺骗的网关192.168.1.1，告知它主机192.168.1.151的MAC地址为 xxxx:00:f4（实际上这个MAC是攻击者的MAC）
实现ARP防护与检测
一. 防护
(1)绑定MAC
(2)使用ARP防火墙
ARP防火墙原理软件定期向网关发送Gratuitous ARP,以通告自己正确的ARP信息发送频率过高严重占用网络带宽发送频率过低则达不到防范目的
二. ARP攻击检测思路
(1)检测网络中是否出现大量Gratuitous ARP报文和ARP响应报文
(2)检查自己收到的ARP报文中 IP-MAC 对应关系是否与本地的记录发生变化
小方法：
nbtscan： 能直接扫描到PC的真实IP地址和MAC地址；
tracert -d： 发现第一条是本网段内的另外一台机器的IP，说明可能遭受了ARP攻击（正常情况下路由跟踪执行后的输出第一条就应该是默认网关地址）
转载于:https://www.cnblogs.com/ssooking/p/6159493.html
