arp-scan - Онлайн в облаке

ПРОГРАММА:

ИМЯ

arp-scan - Сканер ARP

СИНТАКСИС

arp-сканирование [кредита] [хостов...]

Целевые хосты должны быть указаны в командной строке, если только --файл вариант дан, в
в этом случае цели читаются из указанного файла, или --localnet вариант
используется, и в этом случае цели генерируются из IP-адреса сетевого интерфейса и
маска сети.

Вам понадобится root, или arp-сканирование должен быть SUID root, чтобы запустить arp-сканирование, потому как
функции, которые он использует для чтения и записи пакетов, требуют привилегий root.

Целевые хосты могут быть указаны как IP-адреса или имена хостов. Вы также можете указать
цель как IP-сеть / бит (например, 192.168.1.0/24), чтобы указать все хосты в данной сети
(включая сетевой и широковещательный адреса), IPstart-IPend (например, 192.168.1.3-192.168.1.27)
чтобы указать все хосты в включающем диапазоне, или IP-сеть: NetMask (например
192.168.1.0:255.255.255.0), чтобы указать все хосты в данной сети и маску.

ОПИСАНИЕ

arp-сканирование отправляет пакеты ARP на узлы в локальной сети и отображает все ответы, которые
получены. Используемый сетевой интерфейс можно указать с помощью --интерфейс опцию.
Если эта опция отсутствует, arp-сканирование будет искать в списке интерфейсов системы
настроенный интерфейс с наименьшим номером (за исключением обратной связи). По умолчанию ARP
пакеты отправляются на широковещательный адрес Ethernet, ff: ff: ff: ff: ff: ff, но это может быть
изменилось с --destaddr опцию.

Целевые хосты для сканирования можно указать одним из трех способов: указав цели.
в командной строке; указав файл, содержащий цели, с --файл вариант;
или указав --localnet опция, которая вызывает все возможные хосты в сети
прикреплен к интерфейсу (как определено адресом интерфейса и маской) для сканирования.
Для хостов, указанных в командной строке, или с --файл вариант, вы можете использовать любой IP
адреса или имена хостов. Вы также можете использовать спецификации сети IP-сеть / бит, IPстарт-
IPendили IP-сеть: NetMask.

Список целевых хостов хранится в памяти. Каждый хост в этом списке использует 28 байтов
памяти, поэтому для сканирования сети класса B (65,536 1.75 хостов) требуется около XNUMX МБ памяти для
список, а сканирование класса A (16,777,216 448 XNUMX хостов) требует около XNUMX МБ.

arp-сканирование поддерживает беспроводные сети Ethernet и 802.11. Он также может поддерживать Token Ring
и FDDI, но они не тестировались. Он не поддерживает последовательные каналы, такие как PPP или
SLIP, потому что ARP на них не поддерживается.

Протокол ARP - это протокол уровня 2 (уровень канала передачи данных), который используется для определения хоста.
адрес уровня 2 с учетом его адреса уровня 3 (сетевого уровня). ARP был разработан для работы с
любой формат адреса уровня 2 и уровня 3, но чаще всего используется для сопоставления IP-адресов с
Аппаратные адреса Ethernet, и вот что arp-сканирование поддерживает. ARP работает только на
в локальной сети и не может быть маршрутизирован. Хотя протокол ARP использует IP-адреса,
это не протокол на основе IP и arp-сканирование может использоваться на интерфейсе, который не
настроен для IP.

ARP используется только хостами IPv4. IPv6 вместо этого использует NDP (протокол обнаружения соседей),
который является другим протоколом и не поддерживается arp-сканирование.

Для каждого целевого хоста отправляется один пакет ARP с адресом целевого протокола.
(поле ar $ tpa) установлен на IP-адрес этого хоста. Если хост не отвечает, то
пакет ARP будет отправлен еще раз. Максимальное количество попыток можно изменить
с --ретри вариант. Уменьшение количества повторных попыток сократит время сканирования при
возможный риск пропуска некоторых результатов из-за потери пакетов.

Вы можете указать пропускную способность, arp-сканирование будет использовать для исходящих пакетов ARP с
--пропускная способность вариант. По умолчанию он использует полосу пропускания 256000 бит в секунду. Увеличение
полоса пропускания сократит время сканирования, но установка слишком высокой полосы пропускания может привести к
в шторме ARP, который может нарушить работу сети. Кроме того, установка слишком высокой пропускной способности
может отправлять пакеты быстрее, чем сетевой интерфейс может их передавать, что будет
в конечном итоге заполните буфер передачи ядра, что приведет к сообщению об ошибке: Нет буфер
космосе доступен. Другой способ указать скорость исходящих пакетов ARP - использовать
--интервал вариант, который является альтернативным способом изменения того же базового параметра.

Время, затраченное на выполнение однопроходного сканирования (т. Е. С --retry = 1) дан кем-то:

время = п * я + т + о

где n количество хостов в списке, i это временной интервал между пакетами
(указано с --интервал, или рассчитывается из --пропускная способность), t это значение тайм-аута
(указано с - тайм-аут) и расширение o время, затрачиваемое на загрузку целей в
list и прочтите файлы сопоставления MAC / Vendor. Для небольших списков хостов значение тайм-аута
будет преобладать, но для больших списков интервал между пакетами является наиболее важным значением.

При 65,536 256,000 хостах пропускная способность по умолчанию XNUMX XNUMX бит / сек (что приводит к пакету
интервал 2 мс), тайм-аут по умолчанию 100 мс и один проход ( --retry = 1), а также расширение
предполагая накладные расходы в 1 секунду, сканирование займет 65536 * 0.002 + 0.1 + 1 = 132.172
секунд или около 2 минут 12 секунд.

Любая часть исходящего пакета ARP может быть изменена с помощью различных
--arpXXX параметры. Использование некоторых из этих опций может сделать исходящий пакет ARP некорректным.
RFC-совместимый. Различные операционные системы обрабатывают различные нестандартные пакеты ARP в
различными способами, и это может быть использовано для снятия отпечатков пальцев с этих систем. Видеть arp-отпечаток пальца(1)
для получения информации о скрипте, который использует эти параметры для отпечатка пальца цели
операционная система.

В таблице ниже перечислены параметры, которые изменяют исходящий пакет ARP. В этой таблице
Поиск в столбце указано имя поля пакета ARP из RFC 826, Биты указывает номер
бит в поле, Опция показывает arp-сканирование возможность изменить это поле, и Заметки
дает значение по умолчанию и любые другие примечания.

┌──────────────────────────────────────────────────── ──────────────┐
│ Исходящий ARP пакет Опции │
├───────┬──────┬──────────┬──────────────────────── ──────────────┤
│Поиск │ Биты │ Опция │ Заметки │
├───────┼──────┼──────────┼──────────────────────── ──────────────┤
│ar $ hrd │ 16 │ --arphrd │ По умолчанию 1 (ARPHRD_ETHER) │
│ar $ pro │ 16 │ --arppro │ По умолчанию 0x0800 │
│ar $ hln │ 8 │ --arphln │ По умолчанию 6 (ETH_ALEN) │
│ar $ pln │ 8 │ --arppln │ По умолчанию 4 (IPv4) │
│ar $ op │ 16 │ --arpop │ По умолчанию 1 (ARPOP_REQUEST) │
│ar $ sha │ 48 │ --arpsha │ По умолчанию - интерфейс ч / б адреса │
│ar $ spa │ 32 │ --arpspa │ По умолчанию - IP-адрес интерфейса │
│ar $ tha │ 48 │ --arptha │ По умолчанию ноль (00: 00: 00: 00: 00: 00) │
│ar $ tpa │ 32 │ Нет │ Установить на IP-адрес целевого хоста │
└───────┴──────┴──────────┴──────────────────────── ──────────────┘
Наиболее часто используемый вариант исходящего пакета ARP - --arpspa, который устанавливает исходный IP
адрес в пакете ARP. Эта опция позволяет исходящему пакету ARP использовать другой
исходный IP-адрес из исходящего адреса интерфейса. С помощью этой опции можно
использование arp-сканирование на интерфейсе без настроенного IP-адреса, что может быть полезно, если вы
хотите убедиться, что тестирующий хост не взаимодействует с тестируемой сетью.

Внимание! настройка ar $ spa в назначение IP адрес срывать некоторые операционный систем,
as предполагать там is an IP адрес столкновение if Получать an ARP запросить для их собственный
адрес.

Также можно изменить значения в заголовке кадра Ethernet, который предшествует
Пакет ARP в исходящих пакетах. В таблице ниже приведены параметры, которые меняют
значения в заголовке кадра Ethernet.

┌──────────────────────────────────────────────────── ───────────────────┐
│ Исходящий Ethernet Корзина Опции │
├───────────────┬───────┬─────────────┬───────────── ──────────────────
│Поиск │ Биты │ Опция │ Заметки │
├───────────────┼───────┼─────────────┼───────────── ──────────────────
│Dest Address │ 48 │ --destaddr │ По умолчанию ff: ff: ff: ff: ff: ff │
│Source Address │ 48 │ --srcaddr │ По умолчанию - адрес интерфейса │
│ Тип протокола │ 16 │ --prototype │ По умолчанию 0x0806 │
└───────────────┴───────┴─────────────┴───────────── ──────────────────
Наиболее часто используемый вариант исходящего кадра Ethernet - это --destaddr, который устанавливает
Ethernet-адрес назначения для пакета ARP. --прототип не часто используется, потому что
это приведет к интерпретации пакета как другого протокола Ethernet.

Все полученные ответы ARP отображаются в следующем формате:



где IP Адрес это IP-адрес отвечающей цели, Аппаратные средства Адрес является его
Аппаратный адрес Ethernet (также известный как MAC-адрес) и Производитель Подробнее являются
сведения о поставщике, декодированные из аппаратного адреса. Поля вывода разделены символом
одиночный символ табуляции.

Ответы отображаются в порядке их получения, что не всегда одинаково.
заказ, поскольку запросы были отправлены, потому что некоторые хосты могут отвечать быстрее, чем другие.

В декодировании поставщика используются файлы ieee-oui.txt, ieee-iab.txt и mac-vendor.txt, который
поставляются с arp-сканирование, ieee-oui.txt и ieee-iab.txt файлы создаются из
данные OUI и IAB на веб-сайте IEEE по адресу http://standards.ieee.org/regauth/oui/ieee-
oui.txt и http://standards.ieee.org/regauth/oui/iab.txt. Скрипты Perl Get-oui и
Get-iab, которые включены в arp-сканирование пакет, можно использовать для обновления этих файлов
с последними данными с веб-сайта IEEE. В mac-vendor.txt файл содержит другой MAC-адрес для
Сопоставления поставщиков, которые не охватываются файлами IEEE OUI и IAB и могут использоваться для добавления
настраиваемые сопоставления.

Почти все хосты, поддерживающие IP, будут отвечать на arp-сканирование если они получают пакет ARP
с адресом целевого протокола (ar $ tpa), установленным на их IP-адрес. Это включает
брандмауэры и другие хосты с IP-фильтрацией, которые исключают весь IP-трафик из тестирования
система. По этой причине, arp-сканирование полезный инструмент для быстрого определения всех активных IP
хосты в данном сегменте сети Ethernet.

ДОПОЛНИТЕЛЬНЫЕ УСЛУГИ, НЕ ВКЛЮЧЕННЫЕ В ПАКЕТ

Если опция принимает значение, это значение указывается буквой в угловых скобках. В
буква указывает тип ожидаемых данных:

Строка символов, например --file = hostlist.txt.

Целое число, которое можно указать как десятичное или шестнадцатеричное число.
если перед ним стоит 0x, например --arppro = 2048 или --arpro = 0x0800.

Десятичное число с плавающей запятой, например --backoff = 1.5.

MAC-адрес Ethernet, который можно указать в формате
01: 23: 45: 67: 89: ab или 01-23-45-67-89-ab. Буквенные шестнадцатеричные символы могут быть
либо в верхнем, либо в нижнем регистре. Например, --arpsha = 01: 23: 45: 67: 89: ab.

Адрес IPv4, например --arpspa = 10.0.0.1.

Двоичные данные, указанные в виде шестнадцатеричной строки, которая не должна включать начальную
0x. Буквенные шестнадцатеричные символы могут быть в верхнем или нижнем регистре. Например
--padding = ааааааааааа

Что-то другое. Подробности см. В описании опции.

--Помогите or -h
Отобразите это сообщение об использовании и выйдите.

--file = or -f
Считывать имена хостов или адреса из указанного файла, а не из команды
линия. Одно имя или IP-адрес в каждой строке. Используйте «-» для стандартного ввода.

--localnet or -l
Сгенерируйте адреса из конфигурации сетевого интерфейса. Используйте сетевой интерфейс
IP-адрес и маска сети для создания списка адресов целевого хоста. В
список будет включать сетевой и широковещательный адреса, поэтому адрес интерфейса
10.0.0.1 с сетевой маской 255.255.255.0 сгенерирует 256 целевых хостов из 10.0.0.0
до 10.0.0.255 включительно. Если вы используете эту опцию, вы не можете указать --file
или укажите любые целевые хосты в командной строке. Интерфейс
спецификации взяты из интерфейса, который будет использовать arp-scan, который может быть
изменено параметром --interface.

--retry = or -r
Установите общее количество попыток на хост

--timeout = or -t
Установите начальный тайм-аут для каждого хоста в
пакет отправлен на каждый хост. последующие тайм-ауты умножаются на коэффициент отсрочки
который устанавливается с помощью --backoff.

--interval = or -i
Установите минимальный интервал между пакетами на . Это контролирует использование исходящей полосы пропускания с помощью
ограничение скорости отправки пакетов. Пакетный интервал не будет
меньше этого числа. Если вы хотите использовать заданную полосу пропускания, тогда это
Вместо этого проще использовать параметр --bandwidth. Указанный интервал находится в
миллисекунды по умолчанию или микросекунды, если к значению добавляется «u».

--bandwidth = or -B
Установите желаемую исходящую пропускную способность на , по умолчанию = 256000. Значение в битах на
второй по умолчанию. Если вы добавите «K» к значению, то единицы измерения будут килобитами на
сек; и если вы добавите «M» к значению, единицы будут мегабитами в секунду. В
Суффиксы «K» и «M» представляют собой десятичные, а не двоичные числа. Итак, 64 КБ - это 64000,
а не 65536. Вы не можете указать одновременно --interval и --bandwidth, потому что они
просто разные способы изменить один и тот же базовый параметр.

--backoff = or -b
Установите коэффициент отсрочки тайм-аута на , по умолчанию = 1.50. Тайм-аут для каждого хоста
умножается на этот коэффициент после каждого тайм-аута. Итак, если количество повторных попыток равно 3,
начальный тайм-аут для каждого хоста составляет 500 мс, а коэффициент отсрочки составляет 1.5, затем первый
таймаут будет 500 мс, второй 750 мс и третий 1125 мс.

--подробный or -v
Отображение подробных сообщений о ходе выполнения. Используйте более одного раза для большего эффекта:

1 - Отображать сетевой адрес и маску, используемые, когда опция --localnet
указано, отображать любые ненулевые заполнители пакетов, отображать пакеты, полученные от
неизвестные хосты и показывают, когда завершается каждый проход по списку.

2 - Показать каждый отправленный и полученный пакет, когда записи удаляются из списка,
Строка фильтра pcap и количество записей сопоставления MAC / Vendor.

3 - Отобразите список хостов перед началом сканирования.

--версия or -V
Вывести версию программы и выйти.

--случайный or -R
Произведите случайный выбор списка хостов. Эта опция рандомизирует порядок хостов в хосте.
list, поэтому пакеты ARP отправляются на хосты в случайном порядке. Он использует Knuth
алгоритм перемешивания.

--числовой or -N
Только IP-адреса, без имен хостов. С этой опцией все хосты должны быть указаны как
IP-адреса. Имена хостов не разрешены. Поиск в DNS выполняться не будет.

--snap = or -n
Установите длину привязки pcap равной
длина. Эта длина включает заголовок канала данных. По умолчанию обычно
достаточно.

--interface = or -I
Используйте сетевой интерфейс . Если эта опция не указана, arp-scan будет искать
список системных интерфейсов для настроенного интерфейса с наименьшим номером
(за исключением петлевой). Указанный интерфейс должен поддерживать ARP.

--тихий or -q
Отображать только минимальный вывод. Если указана эта опция, то только минимальный
информация отображается. С этой опцией файлы OUI не используются.

- игнорирование or -g
Не отображайте повторяющиеся пакеты. По умолчанию отображаются повторяющиеся пакеты и
помечены как «(DUP: n)».

--ouifile = or -O
Использовать файл OUI , по умолчанию = / usr / local / share / arp-scan / ieee-oui.txt Этот файл предоставляет
сопоставление IEEE Ethernet OUI со строкой поставщика.

--iabfile = or -F
Использовать файл IAB , по умолчанию = / usr / local / share / arp-scan / ieee-iab.txt Этот файл предоставляет
сопоставление IEEE Ethernet IAB со строкой поставщика.

--macfile = or -m
Использовать файл MAC / Vendor , по умолчанию = / usr / local / share / arp-scan / mac-vendor.txt Этот файл
предоставляет настраиваемый MAC-адрес Ethernet для сопоставления строки поставщика.

--srcaddr = or -S
Установите MAC-адрес источника Ethernet на . Это устанавливает 48-битный аппаратный адрес.
в заголовке кадра Ethernet для исходящих пакетов ARP. Это не меняет
аппаратный адрес в пакете ARP, см. --arpsha, чтобы узнать, как это изменить.
адрес. По умолчанию это Ethernet-адрес исходящего интерфейса.

--destaddr = or -T
Отправьте пакеты на MAC-адрес Ethernet Это устанавливает 48-битный адресат
адрес в заголовке кадра Ethernet. По умолчанию - широковещательный адрес.
ff: ff: ff: ff: ff: ff. Большинство операционных систем также ответят на запрос ARP.
отправлено на их MAC-адрес или на адрес многоадресной рассылки, который они прослушивают.

--arpsha = or -u
Использовать в качестве адреса Ethernet источника ARP. Это устанавливает 48-битное поле ar $ sha в
Пакет ARP Не меняет аппаратный адрес в заголовке кадра, см.
--srcaddr, чтобы узнать, как изменить этот адрес. По умолчанию используется Ethernet.
адрес исходящего интерфейса.

--arptha = or -w
Использовать как целевой Ethernet-адрес ARP. Это устанавливает 48-битное поле ar $ tha в
Пакет ARP По умолчанию равен нулю, потому что это поле не используется для запроса ARP.
пакеты.

--prototype = or -y
Установите тип протокола Ethernet, по
поле типа протокола в заголовке кадра Ethernet. Установка не по умолчанию
значение приведет к тому, что целевой пакет будет проигнорирован или отправлен не тому
стек протоколов.

--arphrd = or -H
Используйте
пакет ARP. Нормальное значение - 1 (ARPHRD_ETHER). Большинство, но не все, действующие
системы также ответят на 6 (ARPHRD_IEEE802). Некоторые системы реагируют на любые
значения.

--arppro = or -p
Используйте
в ARP-пакете. Большинство операционных систем отвечают только на 0x0800 (IPv4), но
некоторые будут реагировать и на другие ценности.

--arphln = or -a
Установите длину аппаратного адреса
в ARP-пакете. Он устанавливает заявленную длину аппаратного адреса в
Пакет ARP. Установка любого значения, отличного от значения по умолчанию, сделает пакет не
RFC-совместимый. Однако некоторые операционные системы все еще могут реагировать на него. Обратите внимание, что
фактическая длина полей ar $ sha и ar $ tha в пакете ARP не
изменено этой опцией; он изменяет только поле ar $ hln.

--arppln = or -P
Установите длину адреса протокола равной
в ARP-пакете. Он устанавливает заявленную длину адреса протокола в
Пакет ARP. Установка любого значения, отличного от значения по умолчанию, сделает пакет не
RFC-совместимый. Однако некоторые операционные системы все еще могут реагировать на него. Обратите внимание, что
фактическая длина полей ar $ spa и ar $ tpa в пакете ARP не
изменено этой опцией; он изменяет только поле ar $ pln.

--arpop = or -o
Используйте
Пакет ARP. Большинство операционных систем будут реагировать только на значение 1
(ARPOP_REQUEST). Однако некоторые системы будут реагировать и на другие значения.

--arpspa = or -s
Использовать как исходный IP-адрес. Адрес должен быть указан в квадрате с точками.
формат; или буквальная строка "dest", которая устанавливает тот же адрес источника
в качестве адреса целевого хоста. Это устанавливает 32-битное поле ar $ spa в пакете ARP.
Некоторые операционные системы проверяют это и будут отвечать только в том случае, если исходный адрес
в сети принимающего интерфейса. Другим все равно, они ответят
на любой исходный адрес. По умолчанию используется исходящий адрес интерфейса.

ВНИМАНИЕ: установка ar $ spa на IP-адрес назначения может нарушить работу некоторых
системы, поскольку они предполагают, что существует конфликт IP-адресов, если они получают запрос ARP
по собственному адресу.

--padding = or -A
Укажите заполнение после пакетных данных. Установите данные заполнения в шестнадцатеричное значение . Этот
данные добавляются в конец пакета ARP после данных. Большинство, если не все,
операционные системы игнорируют любые дополнения. По умолчанию заполнение отсутствует, хотя
Драйвер Ethernet в отправляющей системе может дополнить пакет до минимального Ethernet.
длина рамы.

--ООО or -L
Используйте кадрирование RFC 1042 LLC с SNAP. Эта опция заставляет исходящие пакеты ARP
используйте кадрирование IEEE 802.2 с заголовком SNAP, как описано в RFC 1042. По умолчанию
использовать кадрирование Ethernet-II. arp-scan будет декодировать и отображать полученные пакеты ARP
в форматах Ethernet-II или IEEE 802.2 независимо от этой опции.

--vlan = or -Q
Используйте тегирование 802.1Q с идентификатором VLAN
использовать тегирование VLAN 802.1Q с идентификатором VLAN
4095 включительно. arp-scan всегда будет декодировать и отображать полученные пакеты ARP в
Формат 802.1Q независимо от этого параметра.

--pcapsavefile = or -W
Записать полученные пакеты в файл сохранения pcap . Эта опция вызывает полученный ARP
ответы должны быть записаны в указанный файл сохранения pcap, а также декодированы и
отображается. Этот файл сохранения можно проанализировать с помощью программ, которые понимают pcap.
формат файла, такой как "tcpdump" и "wirehark".

Используйте arp-scan онлайн с помощью сервисов onworks.net