假設一個只有三臺電腦組成的局域網，該局域網由交換機(Switch)連接。其中一個電腦名叫A，代表攻擊方；一臺電腦叫S，代表源主機，即發(fā)送數據的電腦；令一臺電腦名叫D，代表目的主機，即接收數據的電腦。這三臺電腦的IP地址分別為192.168.0.2，192.168.0.3，192.168.0.4。MAC地址分別為MAC_A，MAC_S，MAC_D。其網絡拓撲環(huán)境如圖3。
圖3 網絡拓撲
現在，S電腦要給D電腦發(fā)送數據了，在S電腦內部，上層的TCP和UDP的數據包已經傳送到了最底層的網絡接口層，數據包即將要發(fā)送出去，但這時還不知道目的主機D電腦的MAC地址MAC_D。這時候，S電腦要先查詢自身的ARP緩存表，查看里面是否有192.168.0.4這臺電腦的MAC地址，如果有，那很好辦，就將 封裝在數據包的外面。直接發(fā)送出去即可。如果沒有，這時S電腦要向全網絡發(fā)送一個ARP廣播包，大聲詢問：“我的IP是192.168.0.3，硬件地址是MAC_S，我想知道IP地址為192.168.0.4的主機的硬件地址是多少？” 這時，全網絡的電腦都收到該ARP廣播包了，包括A電腦和D電腦。A電腦一看其要查詢的IP地址不是自己的，就將該數據包丟棄不予理會。而D電腦一看IP地址是自己的，則回答S電腦：“我的IP地址是192.168.0.4，我的硬件地址是MAC_D”需要注意的是，這條信息是單獨回答的，即D電腦單獨向S電腦發(fā)送的，并非剛才的廣播?，F在S電腦已經知道目的電腦D的MAC地址了，它可以將要發(fā)送的數據包上貼上目的地址MAC_D，發(fā)送出去了。同時它還會動態(tài)更新自身的ARP緩存表，將192.168.0.4－MAC_D這一條記錄添加進去，這樣，等S電腦下次再給D電腦發(fā)送數據的時候，就不用大聲詢問發(fā)送ARP廣播包了。這就是正常情況下的數據包發(fā)送過程。
這樣的機制看上去很完美，似乎整個局域網也天下太平，相安無事。但是，上述數據發(fā)送機制有一個致命的缺陷，即它是建立在對局域網中電腦全部信任的基礎上的，也就是說它的假設前提是：無論局域網中那臺電腦，其發(fā)送的ARP數據包都是正確的。那么這樣就很危險了！因為局域網中并非所有的電腦都安分守己，往往有非法者的存在。比如在上述數據發(fā)送中，當S電腦向全網詢問“我想知道IP地址為192.168.0.4的主機的硬件地址是多少？”后，D電腦也回應了自己的正確MAC地址。但是當此時，一向沉默寡言的A電腦也回話了：“我的IP地址是192.168.0.4，我的硬件地址是MAC_A” ，注意，此時它竟然冒充自己是D電腦的IP地址，而MAC地址竟然寫成自己的！由于A電腦不停地發(fā)送這樣的應答數據包，本來S電腦的ARP緩存表中已經保存了正確的記錄：192.168.0.4－MAC_D，但是由于A電腦的不停應答，這時S電腦并不知道A電腦發(fā)送的數據包是偽造的，導致S電腦又重新動態(tài)更新自身的ARP緩存表，這回記錄成：192.168.0.4－MAC_A，很顯然，這是一個錯誤的記錄（這步也叫ARP緩存表中毒），這樣就導致以后凡是S電腦要發(fā)送給D電腦，也就是IP地址為192.168.0.4這臺主機的數據，都將會發(fā)送給MAC地址為MAC_A的主機，這樣，在光天化日之下，A電腦竟然劫持了由S電腦發(fā)送給D電腦的數據！這就是ARP欺騙的過程。
如果A這臺電腦再做的“過分”一些，它不冒充D電腦，而是冒充網關，那后果會怎么樣呢？我們大家都知道，如果一個局域網中的電腦要連接外網，也就是登陸互聯(lián)網的時候，都要經過局域網中的網關轉發(fā)一下，所有收發(fā)的數據都要先經過網關，再由網關發(fā)向互聯(lián)網。在局域網中，網關的IP地址一般為192.168.0.1。如果A這臺電腦向全網不停的發(fā)送ARP欺騙廣播，大聲說：“我的IP地址是192.168.0.1，我的硬件地址是MAC_A”這時局域網中的其它電腦并沒有察覺到什么，因為局域網通信的前提條件是信任任何電腦發(fā)送的ARP廣播包。這樣局域網中的其它電腦都會更新自身的ARP緩存表，記錄下192.168.0.1－MAC_A這樣的記錄，這樣，當它們發(fā)送給網關，也就是IP地址為192.168.0.1這臺電腦的數據，結果都會發(fā)送到MAC_A這臺電腦中！這樣，A電腦就將會監(jiān)聽整個局域網發(fā)送給互聯(lián)網的數據包！
實際上，這種病毒早就出現過，這就是ARP地址欺騙類病毒。一些傳奇木馬（Trojan/PSW.LMir）具有這樣的特性，該木馬一般通過傳奇外掛、網頁木馬等方式使局域網中的某臺電腦中毒，這樣中毒電腦便可嗅探到整個局域網發(fā)送的所有數據包，該木馬破解了《傳奇》游戲的數據包加密算法，通過截獲局域網中的數據包，分析數據包中的用戶隱私信息，盜取用戶的游戲賬號和密碼。在解析這些封包之后，再將它們發(fā)送到真正的網關。這樣的病毒有一個令網吧游戲玩家聞之色變的名字：“傳奇網吧殺手”
