ARP：
地址解析協議，根據IP地址查詢MAC物理地址，以便進行物理網絡通信。
ARP原理：
A電腦192.168.1.2想與B電腦192.168.1.3通信，網絡通信必需知道對方的MAC物理地址纔可以傳輸數據，所以A電腦在網絡上廣播說：IP地址是192.168.1.3是誰，把你的MAC物理地址告訴我。不是B的電腦收到廣播後發現跟自己無關，就不回話，只有B電腦進行回話告訴A自己的MAC物理地址。
ARP欺騙原理：
C電腦192.168.1.7，MAC地址爲xx.xx在網絡上廣播撒謊說：我的IP是192.168.1.1，我的MAC物理地址是xx.xx，收到消息的電腦都記住了這種假信息（存留在ARP緩存表裏），從此以後發送給192.168.1.1的數據都會發給MAC地址xx.xx（192.168.1.7）C電腦了。
攻擊原理：一般家庭裏電腦上網都會將數據發送給網關（路由器），如果讓目標靶機電腦上的ARP緩存錯誤的存爲攻擊機的信息，攻擊機就可以僞裝成網關，這樣目標靶機所有數據都會發給攻擊機，實現劫持。
網關：192.168.1.1 （路由器）
靶機：192.168.1.8 （Windows XP）
攻擊機：192.168.1.7（Linux）
查看靶機ARP緩存信息：
C:\Documents and Settings\Administrator>arp -a
Interface: 192.168.1.8 --- 0x2
Internet Address Physical Address Type
192.168.1.1 ec-xx-xx-xx-xx-3f dynamic
開機攻擊：
- 在攻擊機上打開ettercap，點擊Sniff->Unified sniffing->eth0
- Hosts->Scan for hosts
- Hosts->Host list
- 選擇192.168.1.8靶機IP，點擊Add to Target1,選擇192.168.1.1網關點擊Add to Target2
- Mitm->ARP poisoning->勾選Sniff remote connections，此時就已經對靶機進行了欺騙，到靶機上查看ARP緩存，發現192.168.1.1網關IP的MAC地址變成了攻擊的MAC地址，這樣發給網關的數據就會發送給攻擊機了。
C:\Documents and Settings\Administrator>arp -a
Interface: 192.168.1.8 --- 0x2
Internet Address Physical Address Type
192.168.1.1 08-xx-xx-xx-xx-5e dynamic
192.168.1.7 08-xx-xx-xx-xx-5e dynamic
到查看靶機的圖片
- 在攻擊機上打開driftnet，執行命令driftnet -i eth0
- 此時，靶機瀏覽圖片，在攻擊機上可以查看到圖片內容。
- 使用driftnet -i eth0 -d /root/Pictures -a可以將圖片保存到指定目標
- 關掉ettercap停止嗅探，再查看靶機ARP緩存會發現又變回原來的信息了
C:\Documents and Settings\Administrator>arp -a
Interface: 192.168.1.8 --- 0x2
Internet Address Physical Address Type
192.168.1.1 ec-xx-xx-xx-xx-3f dynamic