当你给一个系统打补丁时，只是安全措施里的一个很基本的步骤而已。通常一个hacker要进入你的系统，他所要做的并不是你打补丁就可以避免的。象这些欺骗都要求你必须掌握相当的网络底层知识和合理安排物理布线才可阻止得了的，特别是多种手法混用的时候。特别要说明的是：有些人往往以为会使用某些工具入侵就觉得自己是个hacker，
其实这只是入门而已（有些是连门都找不到）。通过本文，我想让人们知道，一个hacker在真正入侵系统时，他并不是依靠别人写的什么软件的。更多是靠对系统和网络的深入了解来达到这个目的。
首先还是得说一下什么是ARP。如果你在UNIX Shell下输入 arp -a (9x下也是），你的输出看起来应该是这样的：
Interface: xxx.xxx.xxx.xxx
Internet Address Physical Address Type
xxx.xxx.xxx.xxx 00-00-93-64-48-d2 dynamic
xxx.xxx.xxx.xxx 00-00-b4-52-43-10 dynamic
...... ......... ....
这里第一列显示的是ip地址，第二列显示的是和ip地址对应的网络接口卡的硬件地址（MAC），第三列是该ip和mac的对应关系类型。
可见，arp是一种将ip转化成以ip对应的网卡的物理地址的一种协议，或者说ARP协议是一种将ip地址转化成MAC地址的一种协议。它靠维持在内存中保存的一张表来使ip得以在网络上被目标机器应答。
为什么要将ip转化成mac呢？简单的说，这是因为在tcp网络环境下，一个ip包走到哪里，要怎么走是靠路由表定义。但是，当ip包到达该网络后，哪台机器响应这个ip包却是靠该ip包中所包含的mac地址来识别。也就是说，只有机器的mac地址和该ip包中的mac地址相同的机器才会应答这个ip包。因为在网络中，每一台主机都会有发送ip包的时候。所以，在每台主机的内存中，都有一个
arp--> mac 的转换表。通常是动态的转换表（注意在路由中，该arp表可以被设置成静态）。也就是说，该对应表会被主机在需要的时候刷新。这是由于以太网在子网层上的传输是靠48位的mac地址而决定的。
通常主机在发送一个ip包之前，它要到该转换表中寻找和ip包对应的mac地址。如果没有找到，该主机就发送一个ARP广播包，看起来象这样子：
"我是主机xxx.xxx.xxx.xxx , mac是xxxxxxxxxxx ,ip为xxx.xxx.xxx.xx1的主机请告之你的mac来"
ip为xxx.xxx.xxx.xx1的主机响应这个广播，应答ARP广播为：
"我是xxx.xxx.xxx.xx1,我的mac为xxxxxxxxxx2"
于是，主机刷新自己的ARP缓存，然后发出该ip包。
|
