网络报文抓包分析——ARP

通过wireshark 和 tcpdump 分别在 win 和 linux环境对ICMP报文进行抓包分析

以太网协议

报文格式

ARP协议

ARP（Address Resolution Protocol）即地址解析协议， 用于实现从 IP 地址到 MAC 地址的映射，即询问目标IP对应的MAC地址。源主机发出ARP请求, 并将这个请求广播到本地网段(以太网帧首部的硬件地址填FF:FF:FF:FF:FF:FF表示广播)，目的主机接收到广播的ARP请求,发现其中的IP地址与本机相符,则发送一个ARP应答数据包给源主机,将自己的硬件地址填写在应答包中，每台主机都维护一个ARP缓存表,可以用arp -a命令查看。缓存表中的表项有过期时间(一般为20分钟),如果20分钟内没有再次使用某个表项,则该表项失效,下次还要发ARP请求来获得目的主机的硬件地址。

简单地说，ARP 是借助 ARP 请求与 ARP 响应两种类型的包确定 MAC 地址的。

• 简主机会通过广播发送 ARP 请求，这个包中包含了想要知道的 MAC 地址的主机 IP 地址。
• 当同个链路中的所有设备收到 ARP 请求时，会去拆开 ARP 请求包里的内容，如果 ARP 请求包中的目标 IP 地址与自己的 IP 地址一致，那么这个设备就将自己的 MAC 地址塞入 ARP 响应包返回给主机。

wireshark抓包

在wireshark过滤器上筛选ARP报文

tcpdump抓包

tcpdump
-e 在每列倾倒资料上显示连接层级的文件头；
-n 不把主机的网络地址转换成名字；
-t 在每列倾倒资料上不显示时间戳记；
-c 抓包的数目
arp 表示只抓arp协议的包