网络协议分析获取并解析ARP

成绩:

网络协议分析

报告题目：

获取并解析网络中的ARP数据包

学院：计算机科学与技术学院

专业:计算机科学与技术

班级：0411203

学号：2012211699

姓名:李传根

一、要求及功能

编程序，获取网络中的ARP数据包,解析数据包的内容，将结果显示在标准输出上，并同时写入日志文件.

运行格式：程序名 日志文件

二、原理及方法

2.0什么是ARP

地址解析协议(Address Resolution Protocol，ARP）是在仅知道主机的IP地址时确定其物理地址的一种协议。因IPv4和以太网的广泛应用，其主要用作将IP地址翻译为以太网的MAC地址，但其也能在ATM和FDDIIP网络中使用.从IP地址到物理地址的映射有两种方式:表格方式和非表格方式。ARP具体说来就是将网络层(IP层,也就是相当于OSI的第三层）地址解析为数据连接层(MAC层，也就是相当于OSI的第二层）的MAC地址。

在以太网协议中规定，同一局域网中的一台主机要和另一台主机进行直接通信，必须要知道目标主机的MAC地址.而在TCP/IP协议栈中，网络层和传输层只关心目标主机的IP地址。这就导致在以太网中使用IP协议时，数据链路层的以太网协议接到上层IP协议提供的数据中，只包含目的主机的IP地址。于是需要一种方法,根据目的主机的IP地址，获得其MAC地址.这就是ARP协议要做的事情。所谓地址解析（address resolution）就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。

另外，当发送主机和目的主机不在同一个局域网中时，即便知道目的主机的MAC地址，两者也不能直接通信，必须经过路由转发才可以。所以此时，发送主机通过ARP协议获得的将不是目的主机的真实MAC地址，而是一台可以通往局域网外的路由器的某个端口的MAC地址。于是此后发送主机发往目的主机的所有帧,都将发往该路由器，通过它向外发送。这种情况称为ARP代理（ARP Proxy)。

2.1、ARP协议及工作原理

ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中,一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢?它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC

地址，以保证通信的顺利进行。

ARP的基本运行过程：

1、主机A希望发送数据分组给主机B，但不知道B的物理地址。

2、A发送广播报文,要求B主机用用他的物理地址来响应。

3、网站上所有的主机都接收到这个分组。

4、B识别自己的IP地址，发送响应报文，告诉A自己的物理地址。

2.2、ARP 的分组格式

物理帧头（14B)

ARP帧结构（28B)

填充数据（18B）

CRC（4B)

图一 ARP分组格式

目的MAC（6B） 源MAC（6B）

图二 物理帧头

0 8 16 24 32

类型（2B）

硬件类型（Ethernet:0x1)

硬件地址长度(0x6)

IP地址长度（0x4）

上层协议类型（IP：0x0800）

操作（请求：0x1；应答:0x2）

源MAC地址

源MAC地址

源IP地址

目的MAC地址

源IP地址

目的MAC地址

目的IP地址

图三 ARP帧结构

2。3工作原理

源主机在传输数据前，首先要对数据进行封装，在该过程中会把目的主机的IP地址和MAC地址封装进去。在通信的初始阶段，我们能够知道目的主机的IP地址，而MAC地址是不知道的。这时如果目的主机和源主机在同一网络内，源主机会以第二层广播的方式发送ARP请求报文。ARP请求报文中含有源主机的IP地址和MAC地址，以及目的主机的IP地址。当报文通过广播的方式到达目的主机时，目的主机会响应请求报文,并返回ARP响应报文，从而源主机就可以获得目的主机的MAC地址，同样目的主机也可以获得源主机的MAC地址。如果目的主机和源主机地址不在同一个网络中，源主机发送的IP数据包会送到交换机的默认网关,而默认网关的MAC地址同样可以通过ARP协议获取。经过ARP协议解析IP地址之后,主机会在缓存中保存IP地址和MAC地址的映射条目，此后再进行数据交换只要从缓存中读取映射条目即可。

2.4 ARP包的填充

将命令行的参数作适当的转换后填到ARP分组结构的个字段中即可.

要注意的是，填充请求包时，因为包要在Ethernet上广播,所以，物理帧头的“目的MAC”字段要填充为FFFFFFFFFFFF；而ARP帧结构中的目的MAC可填充任意值，因为它此时不起作用.“填充数据"字段要填充为0。

三、源程序核心函数说明

＃include

＃include〈fstream。h〉

＃include

＃include”pcap。h"

#include〈winsock2.h>

＃pragma comment(lib，”ws2_"）

#pragma comment(lib，”wpcap。lib”）

//定义ARP包数据

struct arppkt

｛

unsigned short hdtyp; //硬件类型

unsigned short protyp； //协议类型

unsigned char hdsize; //硬件地址长度

unsigned char prosize； //协议地址长度

unsigned short op； //（操作类型)操作值： ARP/RARP

u_char smac［6]； //源MAC地址

u_char sip[4]; //源IP地址

u_char dmac[6］； //目的MAC地址

u_char dip［4]； //目的IP地址

｝;

void packet_handler（const pcap_pkthdr ＊header，const u_char ＊pkt_data,ostream＆ out)

{

//从ARP包中找到头部位置

arppkt* arph = （arppkt ＊)(pkt_data +14)；

//输出源IP地址

for(int i=0；i<3;i++)

out〈sip[i])〈<’。’；

（ios::left)；

out<

out。unsetf(ios::left);

//输出源MAC地址

char oldfillchar=(’0');

(ios::uppercase);

for(i=0;i<5;i++）

out<smac[i]）〈〈’-’；

out<〈hex<〈setw(2）〈〈int(arph-〉smac[5]）〈〈” ”；

out。fill(oldfillchar）；

(ios：:hex|ios::uppercase）;

//输出目的IP地址

for(i=0；i<3；i++)

out<

（ios：：left);

out〈dip［3]）<〈’ '；

（ios：:left）;

//输出目的MAC地址

out。fill（’0’）；

out。setf（ios：：uppercase）；

for(i=0；i<5；i++)

out〈dmac［i]）<<'-’；

out〈〈hex<〈setw（2）<dmac[5])<〈" ";

（oldfillchar);

out。unsetf(ios:：hex|ios：：uppercase）；

//输出操作类型

out〈op)〈〈" ”;

//输出操作时间

struct tm *ltime;

ltime=localtime(&header->ts。tv_sec）；

(’0’）;

out<〈ltime—>tm_hour<<’:’<〈setw（2)〈

(oldfillchar);

out〈〈endl;

｝

void main(int argc，char *argv[ ])//命令行参数

{

//检查输入命令格式

if(argc！=2)

｛

}

//初始化网络设备相关参数

cout〈〈”Please input command： ParseArp output_file"〈

return;

pcap_if_t ＊alldevs；

pcap_if_t *d；

pcap_t ＊adhandle；

char errbuf［PCAP_ERRBUF_SIZE］；

u_int netmask;

char packet_filter［]=”ether proto arp";

struct bpf_program fcode；

struct pcap_pkthdr ＊header；

const u_char *pkt_data；

//获取网络设备列表

if（pcap_findalldevs（&alldevs,errbuf）==-1)

｛

}

//选取一个Ethernet网卡

for（d=alldevs；d;d=d-〉next)

{

// 网卡设为混杂模式,接收所有帧

cout<<"Error in pcap_find all devs："〈〈errbuf；

return；

if（(adhandle=pcap_open_live(d->name,1000,1,300,errbuf))==NULL）

｛

cout<〈"nUnable to open the adapter.";

pcap_freealldevs(alldevs）;

}

}

return；

//检查数据链路是否为Ethernet

if(pcap_datalink(adhandle）==DLT_EN10MB&＆d-〉addresses！=NULL）

break；

if（d==NULL）

{

cout<<”nNo interfaces found! Make sure Winpcap is installed。n”；

return；

｝

//获得子网掩码

netmask=((sockaddr_in ＊）（d—〉addresses-〉netmask）)—〉sin_addr.S_un。S_addr;

//编译过滤器，只捕获ARP包

if(pcap_compile（adhandle，&fcode，packet_filter，1，netmask）〈0）

｛ cout〈〈"nUnable to compile the packet the syntax。n"；

pcap_freealldevs(alldevs)；

return;

}

//设置过滤器

if（pcap_setfilter(adhandle,＆fcode)〈0)

{ cout<〈”nError setting the filter。n"；

pcap_freealldevs(alldevs);

return；

｝

//显示提示信息及每项含义

cout<<”listening on "<〈d-〉description〈〈"..。”<〈endl〈〈endl;

ofstream fout(argv［1],ios:：app）; //日志记录文件

//为了查看日志时的方便，其中加入了日期记录

time_t t;

time(＆t）;

fout。seekp（0，ios::end);

if(()！=0）

fout〈〈endl;

fout<〈"ttARP request（1)/reply（2） on"〈〈ctime(＆t）;

cout〈<"Sour Ip Addr”〈<” ”<〈”Sour MAC Address” 〈<" "<〈"Des

Ip Addr"<〈” ”<<"Des MAC Address"<<” ”〈<"OP"<<" ”〈<"Time”〈

fout<〈”Sour Ip Addr"〈〈” ”〈〈”Sour MAC Address” 〈<" "〈〈”Des Ip Addr"<〈” ”〈<"Des MAC Address" 〈<" "〈<”OP"<<” ”<〈"Time”〈〈endl；

//释放设备列表

pcap_freealldevs(alldevs）；

//开始截获ARP包

int result；

while（（result=pcap_next_ex（adhandle，&header,&pkt_data））〉=0）

{ //循环解析ARP数据包

if(result==0)

continue;

//解析ARP包，结果输出到屏幕与文件

packet_handler（header,pkt_data,cout）；

packet_handler(header,pkt_data,fout);

｝

}

四、实验环境及平台搭建

操作系统：windows 8

运行环境：Microsoft Visual C++ 6。0

开发包：wincap SDK，以及最新platform SDK的一些库文件

1.把wincap SDK里面的库文件以及lib包含到源程序中，避免包含wincap头文件时出现找不到头文件的错误

具体方法：在菜单栏中-〉工具->选项—〉目录,然后选择include要包含的库的路径

2.下载最新platform SDK里面的部分库文件strsafe.h，然后添加到vc6。0安装目录里面的include文件夹里面，源程序需要用到这个头文件，但是vc6.0里面没有这个

开发语言：C语言，C++

五、实验结果及分析

实验结果：

相关扩展与分析：

算法和代码提示：

调用socket（）打开协议簇为PF_PACKET的原始套接字,这样我们就可以收到数据链路帧:

int fd = socket（PF_PACKET,SOCK_RAM,htons（ETH_P_ALL)）;

对打开的套接字调用ioct1（)，将网卡设置为混杂模式，这样我们就可以接受到局域网中所有的包(包括目的地址不是本机的帧）：

struct ifreq req;

memset (＆req,0，sizeof(req）)；

strncpy(req。ifr_name，"eth0”，strlen(“eth0”）+1)；

ioctl（fd，SIOCGIFFLAS,＆req）;

_flags|=IFF_PROMISC; //设置为混杂模式

icotl（fd， SIOCGIFFLAGS,&req)；

利用recvfrom（）接收包：

recvform(fd,buffer,sizeof（buffer)，0,（struct sockaddr ＊)&from,＆from_len);

接收到包后,判断是否为ARP包，若是ARP包则进行处理,否则丢弃。

If( （ntohs(eth_header->ether_type)==0x0806）

&&（ntohs(arp_header->ar_hrd)==0x0001）

&＆（ntohs（arp_header—〉ar_pro)==0x0800)

＆&(arp_header-〉ar_hln==0x06）

＆＆（arp_header—>ar_pln==0x04)

&&( （ntohs（arp_header->ar_op)==0x01)｜｜

（ntohs（arp_header—〉ar_op)==0x02)）)

｛

对ARP数据包进行分析并打印｝

算法在3、4步之间进行循环，直到强行退出为止。

六、感想

要做好这个课程作业设计,得先对计算机网络相关有更多的了解，首先对之前学习的课程进行了回顾和扩展,找了很多相关资料。通过阅读相关资料，我大致掌握了ARP协议的详细过程。在网际协议中定义的是因特网的IP地址,但在实际进行通信时，物理层不能识别IP地址只能识别物理地址。因此，需在IP地址与物理地址之间建立映射关系，地址之间的这种映射称为地址解析。ARP地址解析协议就是实现地址之间的这种映射关系的。ARP地址解析协议的整个运作过程我简单的理解为：源主机广播一个ARP请求报文,请求目的主机回答其物理地址。网上所有主机都能收到该ARP请求，并将本机IP地址与请求的IP地址比较，目的主机识别出自己的地址IP，并作出回应，通报自己的物理地址。源主机收到这个ARP回应包后,就可以与目的主机进行通信。了解APR协议的过程,是编写程序的基本要求。

通过本次课程设计,使我们对网络方面的知识有了更深入的认识.深刻体会了ARP协议的帧结构及运作过程，让我们把网络课上学到得书面的知识在实践中加以运用，深入理解。

课程设计过程中,遇到过很多问题，通过从网上查找解决问题的方法，不断的思考和调试运行,最后终于运行成功了，提升了自己解决问题的能力。另外,在课程设计过程中，自己的编程能力也得到了巩固和提高.