arp-scan: en línea en la nube

PROGRAMA:

NOMBRE

arp-scan: el escáner ARP

SINOPSIS

escaneo arp [opciones] [anfitriones...]

Los hosts de destino deben especificarse en la línea de comando a menos que el --expediente se da la opción, en
en cuyo caso, los objetivos se leen del archivo especificado en su lugar, o el --localnet opción
se utiliza, en cuyo caso los destinos se generan a partir de la dirección IP de la interfaz de red y
máscara de red.

Necesitarás ser root, o escaneo arp debe ser raíz SUID, para poder ejecutar escaneo arp, porque
las funciones que utiliza para leer y escribir paquetes requieren privilegios de root.

Los hosts de destino se pueden especificar como direcciones IP o nombres de host. También puede especificar el
apuntar como IPnetwork / bits (por ejemplo, 192.168.1.0/24) para especificar todos los hosts en la red dada
(direcciones de red y difusión incluidas), IPstart-IPend (por ejemplo, 192.168.1.3-192.168.1.27)
para especificar todos los hosts en el rango inclusivo, o Red IP: NetMask (p.ej
192.168.1.0:255.255.255.0) para especificar todos los hosts en la red y máscara dadas.

DESCRIPCIÓN

escaneo arp envía paquetes ARP a los hosts en la red local y muestra las respuestas que
se reciben. La interfaz de red a utilizar se puede especificar con el --interfaz .
Si esta opción no está presente, escaneo arp buscará en la lista de interfaces del sistema el
interfaz configurada con el número más bajo (excluyendo loopback). Por defecto, el ARP
Los paquetes se envían a la dirección de transmisión Ethernet, ff: ff: ff: ff: ff: ff, pero eso puede ser
cambiado con el --destaddr .

Los hosts de destino para escanear se pueden especificar de una de estas tres formas: especificando los destinos
en la línea de comando; especificando un archivo que contiene los objetivos con el --expediente opción;
o especificando el --localnet opción que hace que todos los hosts posibles en la red
adjunto a la interfaz (según lo definido por la dirección y la máscara de la interfaz) que se va a escanear.
Para los hosts especificados en la línea de comando o con la --expediente opción, puede utilizar cualquier IP
direcciones o nombres de host. También puede utilizar especificaciones de red IPnetwork / bits, IPstart-
Pendienteo Red IP: NetMask.

La lista de hosts de destino se almacena en la memoria. Cada host de esta lista utiliza 28 bytes de
memoria, por lo que escanear una red de clase B (65,536 hosts) requiere aproximadamente 1.75 MB de memoria para
la lista y escanear una clase A (16,777,216 hosts) requiere aproximadamente 448 MB.

escaneo arp admite redes inalámbricas Ethernet y 802.11. También podría soportar token ring
y FDDI, pero no han sido probados. No admite enlaces seriales como PPP o
SLIP, porque ARP no es compatible con ellos.

El protocolo ARP es un protocolo de capa 2 (capa de enlace de datos) que se utiliza para determinar la
dirección de capa 2 dada su dirección de capa 3 (capa de red). ARP fue diseñado para trabajar con
cualquier formato de dirección de capa 2 y capa 3, pero el uso más común es asignar direcciones IP a
Direcciones de hardware Ethernet, y esto es lo que escaneo arp apoyos. ARP solo opera en el
red local y no se puede enrutar. Aunque el protocolo ARP utiliza direcciones IP,
no es un protocolo basado en IP y escaneo arp se puede utilizar en una interfaz que no es
configurado para IP.

ARP solo lo utilizan los hosts IPv4. En su lugar, IPv6 usa NDP (protocolo de descubrimiento de vecinos),
que es un protocolo diferente y no es compatible con escaneo arp.

Se envía un paquete ARP para cada uno de los hosts de destino, con la dirección del protocolo de destino
(el campo ar $ tpa) establecido en la dirección IP de este host. Si un anfitrión no responde, entonces
el paquete ARP se reenviará una vez más. Se puede cambiar el número máximo de reintentos
con el --rever opción. Reducir el número de reintentos reducirá el tiempo de escaneo en
el posible riesgo de perder algunos resultados debido a la pérdida de paquetes.

Puede especificar el ancho de banda que escaneo arp utilizará para los paquetes ARP salientes con el
--banda ancha opción. De forma predeterminada, utiliza un ancho de banda de 256000 bits por segundo. Creciente
el ancho de banda reducirá el tiempo de escaneo, pero configurar el ancho de banda demasiado alto puede resultar
en una tormenta ARP que puede interrumpir el funcionamiento de la red. Además, configurar el ancho de banda demasiado alto
puede enviar paquetes más rápido de lo que la interfaz de red puede transmitirlos, lo que
eventualmente llene el búfer de transmisión del kernel dando como resultado el mensaje de error: No buffer
espacio Hoy Disponibles. Otra forma de especificar la velocidad de los paquetes ARP salientes es con el
--intervalo opción, que es una forma alternativa de modificar el mismo parámetro subyacente.

El tiempo necesario para realizar un escaneo de una sola pasada (es decir, con --reintentar = 1) es dado por:

tiempo = n * i + t + o

Dónde n es el número de hosts en la lista, i es el intervalo de tiempo entre paquetes
(especificado con --intervalo, o calculado a partir de --banda ancha), t es el valor del tiempo de espera
(especificado con --se acabó el tiempo) y o es el tiempo de sobrecarga necesario para cargar los objetivos en el
lista y lea los archivos de mapeo MAC / Vendor. Para listas pequeñas de hosts, el valor de tiempo de espera
dominará, pero para listas grandes, el intervalo de paquetes es el valor más importante.

Con 65,536 hosts, el ancho de banda predeterminado de 256,000 bits / segundo (que da como resultado un paquete
intervalo de 2 ms), el tiempo de espera predeterminado de 100 ms y una sola pasada ( --reintentar = 1), o
asumiendo una sobrecarga de 1 segundo, el escaneo tomaría 65536 * 0.002 + 0.1 + 1 = 132.172
segundos, o aproximadamente 2 minutos 12 segundos.

Cualquier parte del paquete ARP saliente puede modificarse mediante el uso de varios
--arpXXX opciones. El uso de algunas de estas opciones puede hacer que el paquete ARP saliente no
Compatible con RFC. Los diferentes sistemas operativos manejan los diversos paquetes ARP no estándar en
de diferentes formas, y esto puede usarse para tomar huellas dactilares de estos sistemas. Ver arp-huella digital(1)
para obtener información sobre un script que utiliza estas opciones para realizar una huella digital en el objetivo
sistema operativo.

La siguiente tabla resume las opciones que cambian el paquete ARP saliente. En esta mesa,
de la forma más Campo columna da el nombre del campo del paquete ARP de RFC 826, Bits especifica el número
de bits en el campo, Opción muestra el escaneo arp opción para modificar este campo, y Notas
da el valor predeterminado y cualquier otra nota.

┌───────────────────────────────────────────────── ──────────────┐
│ saliente ARP Paquete De Seguros │
├───────┬──────┬──────────┬─────────────────────── ──────────────┤
│Campo │ Bits │ Opción │ Notas │
├───────┼──────┼──────────┼─────────────────────── ──────────────┤
│ar $ hrd │ 16 │ --arphrd │ El valor predeterminado es 1 (ARPHRD_ETHER) │
│ar $ pro │ 16 │ --arppro │ El valor predeterminado es 0x0800 │
│ar $ hln │ 8 │ --arphln │ El valor predeterminado es 6 (ETH_ALEN) │
│ar $ pln │ 8 │ --arppln │ El valor predeterminado es 4 (IPv4) │
│ar $ op │ 16 │ --arpop │ El valor predeterminado es 1 (ARPOP_REQUEST) │
│ar $ sha │ 48 │ --arpsha │ El valor predeterminado es la dirección de h / w de la interfaz │
│ar $ spa │ 32 │ --arpspa │ El valor predeterminado es la dirección IP de la interfaz │
│ar $ tha │ 48 │ --arptha │ El valor predeterminado es cero (00: 00: 00: 00: 00: 00) │
│ar $ tpa │ 32 │ Ninguno │ Establecer en la dirección IP del host de destino │
└───────┴──────┴──────────┴─────────────────────── ──────────────┘
La opción de paquete ARP saliente más utilizada es --arpspa, que establece la IP de origen
dirección en el paquete ARP. Esta opción permite que el paquete ARP saliente utilice un
dirección IP de origen de la dirección de interfaz saliente. Con esta opción es posible
use escaneo arp en una interfaz sin dirección IP configurada, lo que puede ser útil si
desea asegurarse de que el host de prueba no interactúe con la red que se está probando.

Advertencia: Fijar ar $ spa a de la forma más destino IP dirección can interrumpir some funcionamiento sistemas,
as they asumir there is an IP dirección choque if they recepción an ARP solicita for their propia
dirección.

También es posible cambiar los valores en el encabezado de la trama Ethernet que precede al
Paquete ARP en los paquetes salientes. La siguiente tabla resume las opciones que cambian
valores en el encabezado de la trama de Ethernet.

┌───────────────────────────────────────────────── ──────────────────┐
│ saliente Ethernet Cuadro De Seguros │
├───────────────┬──────┬─────────────┬──────────── ──────────────────┤
│Campo │ Bits │ Opción │ Notas │
├───────────────┼──────┼─────────────┼──────────── ──────────────────┤
│Dest Address │ 48 │ --destaddr │ El valor predeterminado es ff: ff: ff: ff: ff: ff │
│ Dirección de origen │ 48 │ --srcaddr │ El valor predeterminado es la dirección de interfaz │
│Tipo de protocolo │ 16 │ --prototipo │ El valor predeterminado es 0x0806 │
└───────────────┴──────┴─────────────┴──────────── ──────────────────┘
La opción de trama Ethernet saliente más utilizada es --destaddr, que establece el
dirección Ethernet de destino para el paquete ARP. --prototipo no se usa a menudo, porque
hará que el paquete se interprete como un protocolo Ethernet diferente.

Todas las respuestas ARP que se reciben se muestran en el siguiente formato:



Dónde IP Address es la dirección IP del objetivo que responde, Ferretería Address es su
Dirección de hardware Ethernet (también conocida como dirección MAC) y Proveedor Detalles son el
detalles del proveedor, decodificados a partir de la dirección del hardware. Los campos de salida están separados por un
carácter de una sola pestaña.

Las respuestas se muestran en el orden en que se reciben, que no siempre es el mismo
orden a medida que se enviaron las solicitudes porque algunos hosts pueden responder más rápido que otros.

La decodificación del proveedor usa los archivos ieee-oui.txt, ieee-iab.txt y mac-proveedor.txt, cual
se suministran con escaneo arp. ieee-oui.txt y ieee-iab.txt los archivos se generan a partir de
los datos de OUI e IAB en el sitio web de IEEE en http://standards.ieee.org/regauth/oui/ieee-
oui.txt y http://standards.ieee.org/regauth/oui/iab.txt. Los guiones de Perl conseguir-oui y
conseguir-iab, que se incluyen en el escaneo arp paquete, se puede utilizar para actualizar estos archivos
con los datos más recientes del sitio web de IEEE. los mac-proveedor.txt archivo contiene otro MAC para
Asignaciones de proveedores que no están cubiertas por los archivos IEEE OUI e IAB y que se pueden usar para agregar
asignaciones personalizadas.

Casi todos los hosts que admiten IP responderán a escaneo arp si reciben un paquete ARP
con la dirección de protocolo de destino (ar $ tpa) establecida en su dirección IP. Esto incluye
firewalls y otros hosts con filtrado de IP que eliminan todo el tráfico de IP de la prueba
sistema. Por esta razón, escaneo arp es una herramienta útil para determinar rápidamente todas las IP activas
hosts en un segmento de red Ethernet determinado.

OPCIONES

Cuando una opción toma un valor, ese valor se especifica como una letra entre corchetes angulares. los
La letra indica el tipo de datos que se esperan:

Una cadena de caracteres, por ejemplo, --file = hostlist.txt.

Un número entero, que se puede especificar como un número decimal o como un número hexadecimal
si va precedido de 0x, por ejemplo, --arppro = 2048 o --arpro = 0x0800.

Un número decimal de coma flotante, por ejemplo, --backoff = 1.5.

Una dirección MAC de Ethernet, que se puede especificar en el formato
01: 23: 45: 67: 89: ab, o como 01-23-45-67-89-ab. Los caracteres alfabéticos hexadecimales pueden ser
ya sea en mayúsculas o minúsculas. Por ejemplo, --arpsha = 01: 23: 45: 67: 89: ab.

Una dirección IPv4, por ejemplo, --arpspa = 10.0.0.1

Datos binarios especificados como una cadena hexadecimal, que no debe incluir un encabezado
0x. Los caracteres alfabéticos hexadecimales pueden ser mayúsculas o minúsculas. P.ej
--padding = aaaaaaaaaaaa

Algo más. Consulte la descripción de la opción para obtener más detalles.

--ayuda or -h
Muestre este mensaje de uso y salga.

--file = or -f
Leer nombres de host o direcciones del archivo especificado en lugar del comando
línea. Un nombre o dirección IP por línea. Utilice "-" para la entrada estándar.

--localnet or -l
Genere direcciones a partir de la configuración de la interfaz de red. Utilice la interfaz de red
Dirección IP y máscara de red para generar la lista de direcciones de host de destino. los
La lista incluirá las direcciones de red y difusión, por lo que una dirección de interfaz de
10.0.0.1 con la máscara de red 255.255.255.0 generaría 256 hosts de destino a partir de 10.0.0.0
a 10.0.0.255 inclusive. Si usa esta opción, no puede especificar el archivo --file
opción o especificar cualquier host de destino en la línea de comando. La interfaz
Las especificaciones se toman de la interfaz que utilizará arp-scan, que puede
cambiado con la opción --interface.

--retry = or -r
Establezca el número total de intentos por host en

--timeout = or -t
Establezca el tiempo de espera inicial por host en
paquete enviado a cada host. los tiempos de espera posteriores se multiplican por el factor de retroceso
que se establece con --backoff.

--intervalo = or -i
Establezca el intervalo mínimo de paquetes en . Esto controla el uso de ancho de banda saliente por
limitar la velocidad a la que se pueden enviar los paquetes. El intervalo de paquetes no será
menor que este número. Si desea utilizar hasta un determinado ancho de banda, entonces es
más fácil de usar la opción --bandwidth en su lugar. El intervalo especificado está en
milisegundos de forma predeterminada, o en microsegundos si se agrega "u" al valor.

--bandwidth = or -B
Establezca el ancho de banda de salida deseado en , predeterminado = 256000. El valor está en bits por
segundo por defecto. Si agrega "K" al valor, las unidades son kilobits por
segundo; y si agrega "M" al valor, las unidades son megabits por segundo. los
Los sufijos "K" y "M" representan los múltiplos decimales, no binarios. Entonces 64K es 64000,
no 65536. No puede especificar tanto --interval como --bandwidth porque son
solo diferentes formas de cambiar el mismo parámetro subyacente.

--backoff = or -b
Establezca el factor de retraso del tiempo de espera en , predeterminado = 1.50. El tiempo de espera por host es
multiplicado por este factor después de cada tiempo de espera. Entonces, si el número de reintentos es 3,
el tiempo de espera inicial por host es de 500 ms y el factor de retroceso es 1.5, luego el primer
El tiempo de espera será de 500 ms, el segundo de 750 ms y el tercero de 1125 ms.

--verboso or -v
Muestra mensajes de progreso detallados. Úselo más de una vez para un mayor efecto:

1 - Muestra la dirección de red y la máscara utilizadas cuando la opción --localnet está
especificado, muestra cualquier relleno de paquete distinto de cero, muestra los paquetes recibidos de
hosts desconocidos y muestra cuándo se completa cada paso a través de la lista.

2 - Muestra cada paquete enviado y recibido, cuando las entradas se eliminan de la lista, el
cadena de filtro pcap y recuentos de entradas de mapeo MAC / Vendor.

3: muestra la lista de hosts antes de que comience el escaneo.

--versión or -V
Muestra la versión del programa y sale.

--aleatorio or -R
Aleatorizar la lista de hosts. Esta opción aleatoriza el orden de los hosts en el host.
lista, por lo que los paquetes ARP se envían a los hosts en un orden aleatorio. Utiliza el Knuth
algoritmo de reproducción aleatoria.

--numérico or -N
Solo direcciones IP, sin nombres de host. Con esta opción, todos los hosts deben especificarse como
Direcciones IP. No se permiten nombres de host. No se realizarán búsquedas de DNS.

--snap = or -n
Establezca la longitud de ajuste de pcap en
largo. Esta longitud incluye el encabezado del enlace de datos. El valor predeterminado es normalmente
suficiente.

--interface = or -I
Utilice la interfaz de red . Si no se especifica esta opción, arp-scan buscará
la lista de interfaces del sistema para la interfaz configurada con el número más bajo
(excluyendo loopback). La interfaz especificada debe admitir ARP.

--tranquilo or -q
Muestra solo una salida mínima. Si se especifica esta opción, solo el mínimo
se muestra la información. Con esta opción, los archivos OUI no se utilizan.

--ignorados or -g
No muestre paquetes duplicados. De forma predeterminada, los paquetes duplicados se muestran y
están marcados con "(DUP: n)".

--ouifile = or -O
Use el archivo OUI , predeterminado = / usr / local / share / arp-scan / ieee-oui.txt Este archivo proporciona
el OUI de IEEE Ethernet al mapeo de cadenas de proveedores.

--iabfile = or -F
Use el archivo IAB , predeterminado = / usr / local / share / arp-scan / ieee-iab.txt Este archivo proporciona
el IAB de IEEE Ethernet al mapeo de cadenas de proveedores.

--macfile = or -m
Utilice el archivo MAC / Vendor , predeterminado = / usr / local / share / arp-scan / mac-vendor.txt Este archivo
proporciona el MAC de Ethernet personalizado al mapeo de cadenas del proveedor.

--srcaddr = or -S
Establezca la dirección MAC de Ethernet de origen en . Esto establece la dirección de hardware de 48 bits
en el encabezado de la trama Ethernet para paquetes ARP salientes. No cambia el
dirección de hardware en el paquete ARP, consulte --arpsha para obtener detalles sobre cómo cambiar eso
Dirección. El valor predeterminado es la dirección Ethernet de la interfaz de salida.

--destaddr = or -T
Envíe los paquetes a la dirección MAC de Ethernet Esto establece el destino de 48 bits
dirección en el encabezado de la trama de Ethernet. El valor predeterminado es la dirección de transmisión.
ff: ff: ff: ff: ff: ff. La mayoría de los sistemas operativos también responderán si la solicitud de ARP es
enviado a su dirección MAC, oa una dirección de multidifusión en la que están escuchando.

--arpsha = or -u
Usar como la dirección Ethernet de origen ARP Esto establece el campo ar $ sha de 48 bits en el
Paquete ARP No cambia la dirección de hardware en el encabezado de la trama, consulte
--srcaddr para obtener detalles sobre cómo cambiar esa dirección. El predeterminado es Ethernet
dirección de la interfaz de salida.

--arptha = or -w
Usar como la dirección Ethernet de destino ARP Esto establece el campo ar $ tha de 48 bits en el
Paquete ARP El valor predeterminado es cero, porque este campo no se usa para la solicitud ARP
paquetes.

--prototype = or -y
Establezca el tipo de protocolo Ethernet en
campo de tipo de protocolo en el encabezado de la trama de Ethernet. Establecer esto en un valor no predeterminado
El valor resultará en que el paquete sea ignorado por el objetivo o enviado a la dirección incorrecta.
pila de protocolos.

--arphrd = or -H
Se usa
el paquete ARP. El valor normal es 1 (ARPHRD_ETHER). La mayoría, pero no todos, operando
Los sistemas también responderán a 6 (ARPHRD_IEEE802). Algunos sistemas responden a cualquier
.

--arppro = or -p
Se utiliza
campo en el paquete ARP. La mayoría de los sistemas operativos solo responden a 0x0800 (IPv4) pero
algunos también responderán a otros valores.

--arphln = or -a
Establezca la longitud de la dirección de hardware en
campo en el paquete ARP. Establece la longitud reclamada de la dirección de hardware en el
Paquete ARP. Establecerlo en cualquier valor que no sea el predeterminado hará que el paquete no
Compatible con RFC. Sin embargo, es posible que algunos sistemas operativos aún respondan. Tenga en cuenta que
las longitudes reales de los campos ar $ sha y ar $ tha en el paquete ARP no son
cambiado por esta opción; solo cambia el campo ar $ hln.

--arppln = or -P
Establezca la longitud de la dirección del protocolo en
campo en el paquete ARP. Establece la longitud reclamada de la dirección de protocolo en el
Paquete ARP. Establecerlo en cualquier valor que no sea el predeterminado hará que el paquete no
Compatible con RFC. Sin embargo, es posible que algunos sistemas operativos aún respondan. Tenga en cuenta que
las longitudes reales de los campos ar $ spa y ar $ tpa en el paquete ARP no son
cambiado por esta opción; solo cambia el campo ar $ pln.

--arpop = or -o
Úselo
Paquete ARP. La mayoría de los sistemas operativos solo responderán al valor 1
(ARPOP_REQUEST). Sin embargo, algunos sistemas también responderán a otros valores.

--arpspa = or -s
Utilizar como dirección IP de origen. La dirección debe especificarse en un cuadrante punteado
formato; o la cadena literal "dest", que establece que la dirección de origen sea la misma
como la dirección de host de destino. Esto establece el campo ar $ spa de 32 bits en el paquete ARP.
Algunos sistemas operativos comprueban esto y solo responderán si la dirección de origen es
dentro de la red de la interfaz receptora. A otros no les importa y responderán
a cualquier dirección de origen. De forma predeterminada, se utiliza la dirección de interfaz saliente.

ADVERTENCIA: La configuración de ar $ spa en la dirección IP de destino puede interrumpir algunos
sistemas, ya que asumen que hay un conflicto de direcciones IP si reciben una solicitud ARP
para su propia dirección.

--padding = or -A
Especifique el relleno después de los datos del paquete. Establecer los datos de relleno en valor hexadecimal . Esta
los datos se agregan al final del paquete ARP, después de los datos. La mayoría, si no todos,
los sistemas operativos ignorarán cualquier relleno. El valor predeterminado es sin relleno, aunque el
El controlador de Ethernet en el sistema de envío puede rellenar el paquete al mínimo de Ethernet
longitud del cuadro.

--LLC or -L
Utilice el encuadre RFC 1042 LLC con SNAP. Esta opción hace que los paquetes ARP salientes
utilice el entramado IEEE 802.2 con un encabezado SNAP como se describe en RFC 1042. El valor predeterminado es
para utilizar el entramado Ethernet-II. arp-scan decodificará y mostrará los paquetes ARP recibidos
en formatos Ethernet-II o IEEE 802.2 independientemente de esta opción.

--vlan = or -Q
Utilice el etiquetado 802.1Q con la identificación de VLAN
para usar el etiquetado VLAN 802.1Q con un ID de VLAN de
4095 inclusive. arp-scan siempre decodificará y mostrará los paquetes ARP recibidos en
Formato 802.1Q independientemente de esta opción.

--pcapsavefile = or -W
Escriba los paquetes recibidos en pcap savefile . Esta opción causa ARP recibido
respuestas que se escribirán en el archivo de guardado pcap especificado, así como se decodificarán y
desplegado. Este archivo guardado se puede analizar con programas que entiendan el pcap
formato de archivo, como "tcpdump" y "wirehark".

Utilice arp-scan en línea utilizando los servicios de onworks.net