arp-scan - онлайн у хмарі

ПРОГРАМА:

ІМ'Я

arp-scan - ARP-сканер

СИНТАКСИС

arp-сканування [опції] [хостів...]

Цільові хости повинні бути вказані в командному рядку, якщо не --файл надано варіант, в
у цьому випадку цілі зчитуються із зазначеного файлу замість цього, або --локальна мережа варіант
використовується, у цьому випадку цілі генеруються з IP-адреси мережевого інтерфейсу та
мережева маска.

Вам потрібно бути root, або arp-сканування для запуску має бути SUID root arp-сканування, Так як
функції, які він використовує для читання та запису пакетів, вимагають привілеїв root.

Цільові хости можна вказати як IP-адреси або імена хостів. Ви також можете вказати
ціль як IP-мережа/біти (наприклад, 192.168.1.0/24), щоб вказати всі хости в даній мережі
(адреси мережі та трансляції включені), IPstart-IPend (наприклад, 192.168.1.3-192.168.1.27)
щоб вказати всі хости у включному діапазоні, або IP-мережа: маска мережі (напр
192.168.1.0:255.255.255.0), щоб вказати всі хости в даній мережі та маску.

ОПИС

arp-сканування надсилає ARP-пакети хостам у локальній мережі та відображає будь-які відповіді
отримуються. Мережевий інтерфейс для використання можна вказати за допомогою --інтерфейс варіант.
Якщо цієї опції немає, arp-сканування здійснить пошук у списку системного інтерфейсу для
найнижчий номер, налаштований інтерфейс (за винятком петлі). За замовчуванням ARP
пакети надсилаються на широкомовну адресу Ethernet, ff:ff:ff:ff:ff:ff, але це може бути
змінився з --destaddr варіант.

Цільові хости для сканування можна вказати одним із трьох способів: вказавши цілі
в командному рядку; вказавши файл, що містить цілі з --файл варіант;
або вказавши --локальна мережа параметр, який викликає всі можливі хости в мережі
підключений до інтерфейсу (як визначено адресою інтерфейсу та маскою), який потрібно сканувати.
Для хостів, зазначених у командному рядку, або за допомогою --файл варіант, ви можете використовувати будь-який IP
адреси або імена хостів. Ви також можете використовувати специфікації мережі IP-мережа/біти, IPstart-
IPendабо IP-мережа: маска мережі.

Список цільових хостів зберігається в пам'яті. Кожен хост у цьому списку використовує 28 байт
пам’яті, тому для сканування мережі класу B (65,536 1.75 хостів) потрібно близько XNUMX МБ пам’яті для
список, а для сканування класу A (16,777,216 448 XNUMX хостів) потрібно близько XNUMX МБ.

arp-сканування підтримує Ethernet та бездротові мережі 802.11. Він також може підтримувати token ring
і FDDI, але вони не були перевірені. Він не підтримує послідовні посилання, такі як PPP або
SLIP, тому що ARP на них не підтримується.

Протокол ARP — це протокол рівня 2 (рівень каналу передачі даних), який використовується для визначення хоста
адреса рівня 2, задана адресою рівня 3 (мережевий рівень). ARP був розроблений для роботи з
будь-який формат адреси рівня 2 та рівня 3, але найпоширенішим є відображення IP-адрес
Адреси обладнання Ethernet, і ось що arp-сканування підтримує. ARP працює лише на
локальну мережу, і не може бути маршрутизований. Хоча протокол ARP використовує IP-адреси,
це не IP-протокол і arp-сканування можна використовувати в інтерфейсі, який не є таким
налаштовано на IP.

ARP використовується лише хостами IPv4. Натомість IPv6 використовує NDP (протокол виявлення сусідів),
який є іншим протоколом і не підтримується arp-сканування.

Для кожного цільового хоста надсилається один пакет ARP з адресою цільового протоколу
(поле ar$tpa) встановлено на IP-адресу цього хоста. Якщо хост не відповідає, то
пакет ARP буде надіслано ще раз. Максимальну кількість повторів можна змінити
з --повторіть спробу варіант. Зменшення кількості повторних спроб зменшить час сканування на
можливий ризик пропустити деякі результати через втрату пакетів.

Ви можете вказати пропускну здатність arp-сканування використовуватиме для вихідних пакетів ARP з
--пропускна здатність варіант. За замовчуванням він використовує пропускну здатність 256000 біт на секунду. Збільшення
пропускна здатність зменшить час сканування, але це може призвести до встановлення занадто високої пропускної здатності
під час шторму ARP, який може порушити роботу мережі. Крім того, установіть занадто високу пропускну здатність
може надсилати пакети швидше, ніж мережевий інтерфейс може їх передавати, що буде
зрештою заповнити буфер передачі ядра, що приведе до повідомлення про помилку: Немає буфера
простір доступний. Іншим способом вказати швидкість вихідних пакетів ARP є за допомогою
--інтервал параметр, який є альтернативним способом змінити той самий базовий параметр.

Час, необхідний для виконання сканування за один прохід (тобто з --повторна спроба=1) дається:

час = n*i + t + o

де n - кількість хостів у списку, i - інтервал часу між пакетами
(вказано з --інтервал, або обчислюється з --пропускна здатність), t це значення тайм-ауту
(вказано з --час вийшов) і o – це накладний час, необхідний для завантаження цілей у
список та прочитайте файли зіставлення MAC/Vendor. Для невеликих списків хостів значення тайм-ауту
буде домінувати, але для великих списків інтервал пакетів є найважливішим значенням.

З 65,536 256,000 хостами пропускна спроможність за замовчуванням становить XNUMX XNUMX біт/с (що призводить до пакету
інтервал 2 мс), тайм-аут за замовчуванням 100 мс і один прохід ( --повторна спроба=1), А також
припускаючи накладні витрати в 1 секунду, сканування займе 65536*0.002 + 0.1 + 1 = 132.172
секунд, або приблизно 2 хвилини 12 секунд.

Будь-яка частина вихідного пакету ARP може бути змінена за допомогою різних
--arpXXX варіанти. Використання деяких з цих параметрів може зробити вихідний пакет ARP недійсним
Сумісний з RFC. Різні операційні системи обробляють різні нестандартні пакети ARP
різними способами, і це може бути використано для відбитків пальців цих систем. Подивитися arp-відбиток пальця(1)
для отримання інформації про сценарій, який використовує ці параметри для відбитків пальців цілі
операційна система.

У таблиці нижче наведено параметри, які змінюють вихідний пакет ARP. У цій таблиці
Поле стовпець містить назву поля пакету ARP з RFC 826, біти вказує номер
бітів у полі, варіант показує arp-сканування можливість змінити це поле та примітки
надає значення за замовчуванням та будь-які інші примітки.

┌───────────────────────────────────────────────── ───────────────┐
│ Вихідний ARP Пакет Опції │
├───────┬──────┬───────────┬────────────────────── ───────────────┤
│Поле │ біти │ варіант │ примітки │
├───────┼──────┼───────────┼────────────────────── ───────────────┤
│ar$hrd │ 16 │ --arphrd │ За умовчанням 1 (ARPHRD_ETHER) │
│ar$pro │ 16 │ --arppro │ За замовчуванням 0x0800 │
│ar$hln │ 8 │ --arphln │ За замовчуванням – 6 (ETH_ALEN) │
│ar$pln │ 8 │ --arppln │ За замовчуванням 4 (IPv4) │
│ar$op │ 16 │ --arpop │ За замовчуванням 1 (ARPOP_REQUEST) │
│ar$sha │ 48 │ --arpsha │ За замовчуванням є адреса h/w інтерфейсу │
│ar$spa │ 32 │ --arpspa │ За замовчуванням є IP-адреса інтерфейсу │
│ar$tha │ 48 │ --arptha │ За замовчуванням нульовий (00:00:00:00:00:00) │
│ar$tpa │ 32 │ Немає │ Встановити цільову IP-адресу хоста │
└───────┴──────┴───────────┴────────────────────── ───────────────┘
Найпоширенішим варіантом вихідного пакету ARP є --arpspa, який встановлює вихідну IP-адресу
адресу в пакеті ARP. Цей параметр дозволяє вихідному пакету ARP використовувати інший
вихідна IP-адреса з адреси вихідного інтерфейсу. За допомогою цієї опції це можливо
використання arp-сканування на інтерфейсі без налаштованої IP-адреси, що може бути корисно, якщо ви
хочете переконатися, що тестовий хост не взаємодіє з мережею, що тестується.

Увага! Установка ар$спа до призначення IP адреса може порушити деякі операційний системи,
as вони припустити там is an IP адреса зіткнення if вони отримати an ARP запросити та цінності їх власний
адреса

Також можна змінити значення в заголовку кадру Ethernet, що передує
ARP-пакет у вихідних пакетах. У таблиці нижче наведено варіанти, які змінюються
значення в заголовку кадру Ethernet.

┌───────────────────────────────────────────────── ────────────────────┐
│ Вихідний Ethernet Кадр Опції │
├───────────────┬──────┬──────────────┬─────────── ────────────────────┤
│Поле │ біти │ варіант │ примітки │
├────────────────┼──────┼──────────────┼──────────── ────────────────────┤
│Цільова адреса │ 48 │ --destaddr │ За замовчуванням ff:ff:ff:ff:ff:ff │
│Адреса джерела │ 48 │ --srcaddr │ За замовчуванням є адреса інтерфейсу │
│Тип протоколу │ 16 │ --прототип │ За замовчуванням 0x0806 │
└───────────────┴──────┴──────────────┴──────────── ────────────────────┘
Найпоширенішим варіантом вихідного кадру Ethernet є --destaddr, який встановлює
адреса Ethernet призначення для пакету ARP. --прототип не часто використовується, тому що
це призведе до того, що пакет буде інтерпретовано як інший протокол Ethernet.

Будь-які отримані відповіді ARP відображаються в такому форматі:



де IP адреса - це IP-адреса відповідної цілі, апаратні засоби адреса є його
Апаратна адреса Ethernet (також відома як MAC-адреса) і Продавець ПОДРОБИЦІ є
відомості про постачальника, декодовані з апаратної адреси. Поля виводу розділені символом a
один символ табуляції.

Відповіді відображаються в порядку їх отримання, який не завжди однаковий
порядку, оскільки запити були надіслані, оскільки деякі хости можуть відповідати швидше, ніж інші.

Декодування постачальника використовує файли ieee-oui.txt, ieee-iab.txt та mac-vendor.txt, Яка
постачаються з arp-сканування, ieee-oui.txt та ieee-iab.txt файли генеруються з
дані OUI та IAB на веб-сайті IEEE за адресою http://standards.ieee.org/regauth/oui/ieee-
oui.txt та http://standards.ieee.org/regauth/oui/iab.txt. Скрипти Perl get-oui та
get-iab, які включені до arp-сканування пакет, можна використовувати для оновлення цих файлів
з останніми даними з веб-сайту IEEE. The mac-vendor.txt файл містить інші MAC до
Зіставлення постачальників, які не охоплені файлами IEEE OUI та IAB, і можуть бути використані для додавання
користувацькі відображення.

Майже всі хости, які підтримують IP, відповідатимуть arp-сканування якщо вони отримають пакет ARP
з адресою цільового протоколу (ar$tpa) встановленою їх IP-адресу. Це включає
брандмауери та інші хости з фільтрацією IP, які вилучають весь IP-трафік із тестування
системи. З цієї причини, arp-сканування є корисним інструментом для швидкого визначення всіх активних IP-адрес
хости в заданому сегменті мережі Ethernet.

ВАРІАНТИ

Якщо параметр приймає значення, це значення вказується як літера в кутових дужках. The
буква вказує тип даних, які очікуються:

Рядок символів, наприклад --file=hostlist.txt.

Ціле число, яке можна вказати як десяткове чи шістнадцяткове число
якщо передує 0x, наприклад --arppro=2048 або --arpro=0x0800.

Десяткове число з плаваючою комою, наприклад --backoff=1.5.

MAC-адреса Ethernet, яку можна вказати у форматі
01:23:45:67:89:ab або як 01-23-45-67-89-ab. Шістнадцяткові символи алфавіту можуть бути
або верхній або нижній регістр. Наприклад, --arpsha=01:23:45:67:89:ab.

<a> Адреса IPv4, наприклад --arpspa=10.0.0.1

Двійкові дані вказуються як шістнадцятковий рядок, який не повинен включати початок
0x. Шістнадцяткові символи алфавіту можуть бути як верхніми, так і малими. напр
--padding=aaaaaaaaaaaa

Щось ще. Подробиці дивіться в описі опції.

--допомога or -h
Відобразіть це повідомлення про використання та вийдіть.

--file= or -f
Читайте імена хостів або адреси із зазначеного файлу, а не з команди
лінія. Одне ім'я або IP-адреса на рядок. Використовуйте «-» для стандартного введення.

--локальна мережа or -l
Згенеруйте адреси з конфігурації мережевого інтерфейсу. Використовуйте мережевий інтерфейс
IP-адреса та маска мережі для створення списку цільових адрес хостів. The
Список буде включати адреси мережі та широкомовної адреси, тому адреса інтерфейсу
10.0.0.1 з маскою мережі 255.255.255.0 створить 256 цільових хостів з 10.0.0.0
до 10.0.0.255 включно. Якщо ви використовуєте цей параметр, ви не можете вказати --file
або вкажіть будь-які цільові хости в командному рядку. Інтерфейс
специфікації взяті з інтерфейсу, який буде використовувати arp-scan, що може бути
змінено за допомогою параметра --interface.

--повторити= or -r
Установіть загальну кількість спроб на хост на

--тайм-аут= or -t
Встановити початковий час очікування хоста на
пакет, надісланий кожному хосту. наступні тайм-аути помножуються на коефіцієнт відставання
який встановлюється за допомогою --backoff.

--інтервал= or -i
Встановіть мінімальний інтервал пакетів . Це контролює використання вихідної пропускної здатності
обмеження швидкості, з якою пакети можуть бути відправлені. Інтервал пакетів буде ні
менше цього числа. Якщо ви хочете використовувати до заданої пропускної здатності, то це так
простіше використовувати опцію --bandwidth. Вказаний інтервал у
мілісекунд за замовчуванням або в мікросекундах, якщо до значення додається «u».

--bandwidth= or -B
Встановіть бажану вихідну пропускну здатність , за замовчуванням=256000. Значення в бітах на
другий за замовчуванням. Якщо ви додаєте «K» до значення, то одиницями стануть кілобіти на
сек; і якщо ви додаєте «M» до значення, одиниці виміру – мегабіти на секунду. The
Суфікси «K» і «M» представляють десяткові, а не двійкові, кратні. Отже, 64К це 64000,
не 65536. Ви не можете вказати обидва --interval і --bandwidth, оскільки вони є
просто різні способи зміни одного і того ж базового параметра.

--backoff= or -b
Встановити коефіцієнт тайм-ауту , за замовчуванням=1.50. Час очікування для кожного хоста становить
помножити на цей коефіцієнт після кожного тайм-ауту. Отже, якщо кількість повторів дорівнює 3,
початковий тайм-аут для кожного хоста становить 500 мс, а коефіцієнт відставання становить 1.5, потім перший
тайм-аут становитиме 500 мс, другий 750 мс і третій 1125 мс.

-багатослівний or -v
Відображати докладні повідомлення про прогрес. Для більшого ефекту використовуйте кілька разів:

1 – Відобразити мережеву адресу та маску, які використовуються, коли є параметр --localnet
зазначено, відображати будь-які ненульові заповнення пакетів, відображати отримані пакети
невідомі хости та показувати, коли кожен проход через список завершується.

2 - Показати кожен надісланий та отриманий пакет, коли записи видаляються зі списку,
рядок фільтра pcap і кількість записів зіставлення MAC/Vendor.

3 - Відобразити список хостів перед початком сканування.

-- версія or -V
Відобразити версію програми та вийти.

--випадковий or -R
Вибір списку хостів у випадковому порядку. Ця опція рандомізує порядок хостів у хості
список, тому ARP-пакети надсилаються хостам у випадковому порядку. Він використовує Кнут
алгоритм перемішування.

--числові or -N
Тільки IP-адреси, без імен хостів. За допомогою цього параметра всі хости мають бути вказані як
IP-адреси. Імена хостів заборонені. Пошуки DNS не виконуватимуться.

--snap= or -n
Встановіть довжину прив’язки pcap на
довжина. Ця довжина включає заголовок каналу передачі даних. За замовчуванням зазвичай
достатній.

--interface= or -I
Використовуйте мережевий інтерфейс . Якщо цей параметр не вказано, arp-scan здійснить пошук
список системних інтерфейсів для інтерфейсу з найнижчим номером, налаштованого до кінця
(без урахування петлі). Вказаний інтерфейс повинен підтримувати ARP.

--спокійно or -q
Відображати лише мінімальний вихід. Якщо вказана ця опція, то тільки мінімальна
відображається інформація. За допомогою цієї опції файли OUI не використовуються.

--ігноровані or -g
Не відображайте дублікати пакетів. За замовчуванням відображаються дублікати пакетів і
позначені прапорцем "(DUP: n)".

--ouifile= or -O
Використовуйте файл OUI , за замовчуванням=/usr/local/share/arp-scan/ieee-oui.txt Цей файл містить
IEEE Ethernet OUI зіставлення рядків постачальника.

--iabfile= or -F
Використовуйте файл IAB , за замовчуванням=/usr/local/share/arp-scan/ieee-iab.txt Цей файл містить
зіставлення рядків IEEE Ethernet IAB до постачальника.

--macfile= or -m
Використовуйте файл MAC/Vendor , за замовчуванням=/usr/local/share/arp-scan/mac-vendor.txt Цей файл
надає користувацьке відображення рядків Ethernet MAC до постачальника.

--srcaddr= or -S
Встановіть вихідну MAC-адресу Ethernet на . Це встановлює 48-бітну апаратну адресу
у заголовку кадру Ethernet для вихідних пакетів ARP. Це не змінює
апаратну адресу в пакеті ARP, див. --arpsha, щоб дізнатися більше про те, як це змінити
адреса. За замовчуванням є адреса Ethernet вихідного інтерфейсу.

--destaddr= or -T
Надсилайте пакети на MAC-адресу Ethernet Це встановлює 48-бітове призначення
адресу в заголовку кадру Ethernet. За замовчуванням є адреса широкомовної передачі
ff:ff:ff:ff:ff:ff. Більшість операційних систем також відповість на запит ARP
надіслані на їх MAC-адресу або на багатоадресну адресу, яку вони прослуховують.

--arpsha= or -u
Використовуйте як вихідна Ethernet-адреса ARP. Це встановлює 48-бітове поле ar$sha в
ARP-пакет Він не змінює апаратну адресу в заголовку кадру, див
--srcaddr, щоб дізнатися, як змінити цю адресу. За замовчуванням є Ethernet
адреса вихідного інтерфейсу.

--arptha= or -w
Використовуйте як цільова Ethernet-адреса ARP. Це встановлює 48-бітове поле ar$tha в
ARP-пакет За замовчуванням дорівнює нулю, оскільки це поле не використовується для запиту ARP
пакети.

--прототип= or -y
Встановіть тип протоколу Ethernet на
поле типу протоколу в заголовку кадру Ethernet. Установити для цього значення не за замовчуванням
значення призведе до того, що ціль буде проігнорувати пакет або надіслати його неправильно
стек протоколів.

--arphrd= or -H
Використовуйте
пакет ARP. Нормальне значення — 1 (ARPHRD_ETHER). Більшість, але не всі, діючі
системи також відповідатимуть на 6 (ARPHRD_IEEE802). Кілька систем реагують на будь-яку
value.

--arppro= or -p
Використовуйте
поле в пакеті ARP. Більшість операційних систем реагують лише на 0x0800 (IPv4), але
деякі реагують і на інші цінності.

--arphln= or -a
Встановіть довжину апаратної адреси
поле в пакеті ARP. Він встановлює заявлену довжину апаратної адреси в
ARP пакет. Якщо встановити будь-яке значення, відмінне від значення за замовчуванням, пакет не буде
Сумісний з RFC. Однак деякі операційні системи все ще можуть реагувати на це. Зауважте, що
фактична довжина полів ar$sha та ar$tha в пакеті ARP не є
змінено цим параметром; він змінює лише поле ar$hln.

--arppln= or -P
Встановіть довжину адреси протоколу на
поле в пакеті ARP. Він встановлює заявлену довжину адреси протоколу в
ARP пакет. Якщо встановити будь-яке значення, відмінне від значення за замовчуванням, пакет не буде
Сумісний з RFC. Однак деякі операційні системи все ще можуть реагувати на це. Зауважте, що
фактична довжина полів ar$spa і ar$tpa в пакеті ARP не є
змінено цим параметром; він змінює лише поле ar$pln.

--arpop= or -o
Використовуйте
ARP пакет. Більшість операційних систем реагують лише на значення 1
(ARPOP_REQUEST). Однак деякі системи будуть реагувати і на інші значення.

--arpspa= or -s <a>
Використовувати як вихідну IP-адресу. Адресу потрібно вказати в квадраті з крапками
формат; або рядок літералу "dest", який встановлює таку ж адресу джерела
як цільову адресу хоста. Це встановлює 32-розрядне поле ar$spa в пакеті ARP.
Деякі операційні системи перевіряють це і відповідатимуть, лише якщо адреса джерела є
в мережі інтерфейсу прийому. Іншим байдуже, і вони відповідатимуть
на будь-яку адресу джерела. За замовчуванням використовується вихідна адреса інтерфейсу.

ПОПЕРЕДЖЕННЯ. Установлення ar$spa на IP-адресу призначення може порушити деякі дії
системах, оскільки вони припускають, що при отриманні запиту ARP виникає зіткнення IP-адрес
за власною адресою.

--padding= or -A
Вкажіть заповнення після пакетних даних. Встановіть для даних заповнення шістнадцяткове значення . Це
дані додаються в кінець пакета ARP після даних. Більшість, якщо не всі,
операційні системи ігноруватимуть будь-які заповнення. За замовчуванням немає заповнення, хоча
Драйвер Ethernet в системі відправлення може підключити пакет до мінімального Ethernet
довжина рамки.

--ТОВ or -L
Використовуйте кадрування RFC 1042 LLC із SNAP. Цей параметр спричиняє вихід вихідних пакетів ARP
використовуйте кадрування IEEE 802.2 із заголовком SNAP, як описано в RFC 1042. За замовчуванням
використовувати кадрування Ethernet-II. arp-scan розкодує та відобразить отримані ARP-пакети
у форматах Ethernet-II або IEEE 802.2 незалежно від цієї опції.

--vlan= or -Q
Використовуйте теги 802.1Q з ідентифікатором VLAN
використовувати тегування 802.1Q VLAN з ідентифікатором VLAN
4095 включно. arp-scan завжди декодує та відображатиме отримані ARP-пакети
Формат 802.1Q незалежно від цієї опції.

--pcapsavefile= or -W
Записуйте отримані пакети до pcap savefile . Ця опція викликає отриманий ARP
відповіді, які будуть записані до вказаного файлу збереження pcap, а також декодуватися і
відображається. Цей файл збереження можна проаналізувати за допомогою програм, які розуміють pcap
формат файлу, наприклад "tcpdump" і "wireshark".

Використовуйте arp-scan онлайн за допомогою служб onworks.net