前 ?? 言

?? ? ???? 首先要感謝網(wǎng)絡(luò)安全資深專家盧湖川博士以及 VC 網(wǎng)絡(luò)版的 limin 朋友提供的資料以及幫助 ^_^

經(jīng)常看到論壇有人問起關(guān)于數(shù)據(jù)包的截獲、分析等問題，幸好本人也對此略有所知，所以就想寫一系列的文章來詳細(xì)深入的探討關(guān)于數(shù)據(jù)包的知識，，我希望通過這一系列的文章，能使得關(guān)于數(shù)據(jù)包的知識得以普及，所以這系列的每一篇文章我都會有由淺入深的解釋、詳細(xì)的分析、以及編碼步驟，另外附上帶有詳細(xì)注釋的源碼 ( 為了照顧大多數(shù)朋友，我提供的都是 MFC 的源碼 ) 。

不過由于也是初學(xué)者，疏漏之處還望不吝指正。

本文凝聚著筆者心血，如要轉(zhuǎn)載，請指明原作者及出處，謝謝！ ^_^

?

OK,. Let’s go !? Have fun ！ ! q^_^p

?

第一篇 ????? ??? 手把手教你玩轉(zhuǎn) ARP 包

?? 目錄：

??? 一．??? 關(guān)于 ARP 協(xié)議的基礎(chǔ)知識

???? 1.??????? ARP 的工作原理

???? 2.??????? ARP 包的格式

作者：

??? CSDN? VC/MFC 網(wǎng)絡(luò)編程 PiggyXP ?^_^

?

一． ???????????? 關(guān)于 ARP 協(xié)議的基礎(chǔ)知識

1 ． ARP 的工作原理

本來我不想在此重復(fù)那些遍地都是的關(guān)于 ARP 的基本常識，但是為了保持文章的完整性以及照顧初學(xué)者，我就再啰嗦一些文字吧，資深讀者可以直接跳過此節(jié)。

?

我們都知道以太網(wǎng)設(shè)備比如網(wǎng)卡都有自己全球唯一的 MAC 地址，它們是以 MAC 地址來傳輸以太網(wǎng)數(shù)據(jù)包的，但是它們卻識別不了我們 IP 包中的 IP 地址，所以我們在以太網(wǎng)中進(jìn)行 IP 通信的時候就需要一個協(xié)議來建立 IP 地址與 MAC 地址的對應(yīng)關(guān)系，以使 IP 數(shù)據(jù)包能發(fā)到一個確定的地方去。這就是 ARP(Address Resolution Protocol ，地址解析協(xié)議 ) 。

?

講到此處，我們可以在命令行窗口中，輸入

???? arp –a

來看一下效果，類似于這樣的條目

210.118.45.100??? 00-0b-5f-e6-c5-d7??? dynamic

就是我們電腦里存儲的關(guān)于IP地址與MAC地址的對應(yīng)關(guān)系，dynamic表示是臨時存儲在ARP緩存中的條目，過一段時間就會超時被刪除(xp/2003系統(tǒng)是2分鐘)。

?

這樣一來，比如我們的電腦要和一臺機器比如210.118.45.1通信的時候，它會首先去檢查arp緩存，查找是否有對應(yīng)的arp條目，如果沒有，它就會給這個以太網(wǎng)絡(luò)發(fā)ARP請求包廣播詢問210.118.45.1的對應(yīng)MAC地址，當(dāng)然，網(wǎng)絡(luò)中每臺電腦都會收到這個請求包，但是它們發(fā)現(xiàn)210.118.45.1并非自己，就不會做出相應(yīng)，而210.118.45.1就會給我們的電腦回復(fù)一個ARP應(yīng)答包，告訴我們它的MAC地址是xx-xx-xx-xx-xx-xx,于是我們電腦的ARP緩存就會相應(yīng)刷新,多了這么一條：

210.118.45.1?? xx-xx-xx-xx-xx-xx?? dynamic

?

為什么要有這么一個ARP緩存呢，試想一下如果沒有緩存，我們每發(fā)一個IP包都要發(fā)個廣播查詢地址，豈不是又浪費帶寬又浪費資源？

? ?? 而且我們的網(wǎng)絡(luò)設(shè)備是無法識別ARP包的真?zhèn)蔚模绻覀儼凑?span lang="EN-US">ARP的格式來發(fā)送數(shù)據(jù)包，只要信息有效計算機就會根據(jù)包中的內(nèi)容做相應(yīng)的反應(yīng).

?

試想一下,如果我們按照ARP響應(yīng)包的相應(yīng)的內(nèi)容來刷新自己的ARP緩存中的列表，嘿嘿，那我們豈不是可以根據(jù)這點在沒有安全防范的網(wǎng)絡(luò)中玩些ARP包的小把戲了？在后面的文章里我就手把手來教你們?nèi)绾翁畛浒l(fā)送ARP包，不過先別急，我們再繼續(xù)學(xué)點基礎(chǔ)知識^_^

?

2 ．ARP包的格式

?

???? 既然我們要來做一個我們自己的ARP包，當(dāng)然首先要學(xué)習(xí)一下ARP包的格式。

?

???? 從網(wǎng)絡(luò)底層看來，一個ARP包是分為兩個部分的， 前面一個是物理幀頭，后面一個才是 ARP 幀。

???????? 首先，物理幀頭，它將存在于任何一個協(xié)議數(shù)據(jù)包的前面，我們稱之為 DLC Header ，因為這個幀頭是在數(shù)據(jù)鏈路層構(gòu)造的，并且其主要內(nèi)容為收發(fā)雙方的物理地址，以便硬件設(shè)備識別。 ?

DLC Header
字段	長度(Byte)	默認(rèn)值	備注
接收方MAC	6	?	廣播時,為 ff-ff-ff-ff-ff-ff
發(fā)送方MAC	6	?	?
Ethertype	2	0x0806	0x0806 是ARP幀的類型值

?????????????????????????? 圖1 物理幀頭格式

?

???? 圖1是需要我們填充的物理幀頭的格式,我們可以看到需要我們填充的僅僅是發(fā)送端和接收端的物理地址罷了,是不是很簡單呢?

? ???? 接下來我們看一下ARP幀的格式. ?

ARP Frame
字段	長度(Byte)	默認(rèn)值	備注
硬件類型	2	0x1	以太網(wǎng)類型值
上層協(xié)議類型	2	0x0800	上層協(xié)議為IP協(xié)議
MAC 地址長度	1	0x6	以太網(wǎng)MAC地址長度為 6
IP 地址長度	1	0x4	IP 地址長度為 4
操作碼	2	?	0x1 表示ARP請求包,0x2表示應(yīng)答包
發(fā)送方MAC	6	?	?
發(fā)送方IP	4	?	?
接收方MAC	6	?	?
接收方IP	4	?	?
填充數(shù)據(jù)	18	?	因為物理幀最小長度為64字節(jié),前面的42字節(jié)再加上4個CRC校驗字節(jié),還差18個字節(jié)

???????????????????????????? 圖2 ARP幀格式

?

我們可以看到需要我們填充的同樣也只是MAC,IP,再加上一個1或2的操作碼而已。