以太网帧
目前的局域网大多数是以太网，在以太网中传输的数据叫做以太网帧。我们抓包后发现数据都包裹在一个以太网帧头和帧尾之间。通过该协议把数据从源MAC主机发送到目标MAC主机。
?ethernet帧历史
1980年：由DEC，Intel，Xerox联合公布了Ethernet 1的标准；
1982年：DEC，Intel，Xerox又公布了Ethernet 2的标准；
1983年：Novell公布的专用以太网标准帧格式RAW 802.3；
1985年：IEEE公布了Ethernet 802.3的SAP版本以太网帧格式；
1985年：IEEE为解决Ethernet2与802.3帧格式的兼容问题，推出折中的Ethernet SNAP格式。
以上以太网帧格式多达5种，这是历史原因造成的，如今以太网事实标准是Ethernet2的标准格式。
Ethernet帧格式
| 7字节 | 1字节 | 6字节 | 6字节 | 2字节 | 46-1500字节 | 4字节 |
| 前导码 | 界定符 | 目的MAC | 源MAC地址 | 类型 | 其他层数据 | 校验码 |
前导码：使目的主机接收器时钟与源主机发送器时钟同步，用于同步计时，也包含标记定时信息结束的定界符。
界定符：如果为10101011，则表明为帧的开始
类型：上层协议，表示网络层使用的协议
? ? ? ? 常见的类型：
? ? ? ? 0x0800 网络协议(IP 协议)
? ? ? ? 0x0806 ARP协议
? ? ? ? 0x0835 RARP协议
校验码：数据帧校验码序列，用于确定数据包在传输过程中是否损坏。
ARP协议
ARP（Address Resolution Protocol）地址解析协议位于数据链路层，是根据IP地址获取MAC地址的一个协议。
当网络层想把数据发送到另外一台主机上去时，需要依靠数据链路层来传递数据，而数据链路层需要依靠MAC地址来确定目标主机。这个时候发起通讯的计算机在检查自己的ARP缓存中不存在目标IP对应的mac地址时，它将往广播地址FF:FF:FF:FF:FF:FF发送一个ARP广播请求包。作为一个广播数据包，他会被这个特定的广播域上的每台计算机接收。这个请求包问道“某某IP地址的MAC地址是什么”？
不匹配的IP的计算机会简单的选择丢弃这个请求包，而目标IP主机会选择答复这个数据包，通过ARP应答告知它的MAC地址。此时，发起通讯的计算机就获取来数据链路层的寻址信息，构建好以太网头部后，便能让数据链路层完成通讯了。
ARP查看指令
ARP -a 显示所有接口的当前ARP缓存表
ARP -d 删除指定的IP地址项
ARP -s 添加静态IP-MAC映射记录
ARP缓存中毒（ARP欺骗）
使用ARP协议将IP地址解析为MAC地址的过程叫地址解析，协议规定只使用两种数据包，ARP请求包和ARP响应包。
主机并不能很好的检查收到的响应是否正确，一律会把这个MAC地址记录ARP缓存中，以便下次使用。ARP欺骗就是通过发送含有虚假MAC地址的ARP应答消息来完成的。（ARP响应可以直接主动发送来更新其他网络主机缓存中的IP-MAC地址映射）
ARP欺骗属于一种中间人攻击（man-in-the-middle，MITM）方法，攻击者重定向两台主机间的流量，试图在传输过程中对流量进行拦截或者修改。MITM攻击形式有多种，包括会话劫持，DNS欺骗，以及SSL劫持。
ARP欺骗之所以有效，是因为特意构造的ARP数据包使两台主机相信它们是在相互通讯，而实际上它们是在与一个中间转发数据包的第三方通讯。
| 地址解析协议 | ||
| 偏移位 | 0-7 | 8-15 |
| 0 | 硬件类型 | |
| 16 | 协议类型 | |
| 32 | 硬件地址长度 | 协议地址长度 |
| 48 | 操作 | |
| 64-111 | 发送方硬件地址 | |
| 112-143 | 发送方协议地址 | |
| 144-191 | 目标硬件地址 | |
| 192-215 | 目标协议地址 | |
硬件类型：数据链路层使用的类型数据，大多数情况下，这个类型是以太网
协议类型：ARP请求正在使用的高层协议
硬件地址长度：正在使用的物理地址长度（字节）
协议地址长度：正在使用的逻辑地址长度（字节）
操作：ARP数据包功能，1表示请求，2表示响应
发送方硬件地址：发送方物理地址
发送方协议地址：发送方协议地址
目标方硬件地址：接收方物理地址（广播arp请求中接收者的物理地址为0）
目标方协议地址：接收者的协议地址