← retour aux outils back to tools

# arp-scan

Outil de scan ARP pour la découverte d'hôtes sur les réseaux locaux. Envoie des requêtes ARP pour déterminer avec une grande fiabilité les hôtes actifs, les adresses MAC et les OUI constructeur. ARP scanning tool for host discovery on local networks. Sends ARP requests to determine live hosts, MAC addresses, and vendor OUIs with high reliability.

↗ https://github.com/royhills/arp-scan

## Overview

arp-scan discovers hosts on local network segments using ARP. It’s more reliable than ICMP-based scanners for LAN discovery because ARP works at Layer 2 and hosts can’t ignore it. It identifies IP/MAC pairs and vendor information for discovered devices.

## Basic Usage

    # Scan local network (auto-detects interface and subnet)
    sudo arp-scan --localnet
    sudo arp-scan -l

Scan specific network

    sudo arp-scan 10.10.10.0/24

Scan with specific interface

    sudo arp-scan -I eth0 10.10.10.0/24

Scan a range

    sudo arp-scan 10.10.10.1-10.10.10.254

Scan from file

    sudo arp-scan -f targets.txt

## Output Format

    # Default output:
    # Interface: eth0, type: EN10MB, MAC: 00:11:22:33:44:55, IPv4: 10.10.10.100
    # Starting arp-scan 1.9.7 with 256 hosts

    # 10.10.10.1    00:50:56:c0:00:01    VMware, Inc.
    # 10.10.10.5    de:ad:be:ef:00:01    (Unknown)
    # 10.10.10.10   00:0c:29:ab:cd:ef    VMware, Inc.

## Options

Show duplicate ARP replies (detects ARP spoofing)

    sudo arp-scan -l --ignoredups=false

Custom retry count (default: 2)

    sudo arp-scan -l --retry=3

Custom timeout (milliseconds, default: 500ms)

    sudo arp-scan -l --timeout=1000

Custom bandwidth (packets/sec)

    sudo arp-scan -l --bandwidth=1000000

Verbose output

    sudo arp-scan -l -v

Show interface information

    sudo arp-scan -l --verbose

## Tips

- ARP scanning requires root — raw sockets are needed
- ARP only works within the same Layer 2 segment (broadcast domain)
- Duplicate MAC addresses may indicate ARP spoofing or a MITM attack
- Vendor OUI information helps identify device types (Cisco, VMware, Apple, etc.)

Help / Man page

    arp-scan [options] [hosts...]

    Target specification:
      -l, --localnet         Scan local network
      -f, --file=FILE        Read hosts from file
      CIDR, range, or individual IPs

    Interface:
      -I, --interface=IF     Network interface

    Performance:
      -r, --retry=N          Retries (default: 2)
      -t, --timeout=N        Timeout ms per host (default: 500)
      -b, --bandwidth=N      Bandwidth in bits/sec

    Output:
      -v, --verbose          Verbose output
      -q, --quiet            Only print found hosts
      -x, --format=FORMAT    Output format
      -o, --outfile=FILE     Output to file

    ARP options:
      --arpspa=IP    Source protocol address
      --arpsha=MAC   Source hardware address
      --arptpa=IP    Target protocol address
      --aritha=MAC   Target hardware address

## Vue d’ensemble

arp-scan découvre les hôtes des segments de réseau local en utilisant l’ARP. Il est plus fiable que les scanners basés sur l’ICMP pour la découverte LAN, car l’ARP fonctionne en couche 2 et les hôtes ne peuvent pas l’ignorer. Il identifie les paires IP/MAC et les informations constructeur des appareils découverts.

## Utilisation de base

    # Scanner le réseau local (détecte automatiquement l'interface et le sous-réseau)
    sudo arp-scan --localnet
    sudo arp-scan -l

    # Scanner un réseau spécifique
    sudo arp-scan 10.10.10.0/24

    # Scanner avec une interface spécifique
    sudo arp-scan -I eth0 10.10.10.0/24

    # Scanner une plage
    sudo arp-scan 10.10.10.1-10.10.10.254

    # Scanner depuis un fichier
    sudo arp-scan -f targets.txt

## Format de sortie

    # Sortie par défaut :
    # Interface: eth0, type: EN10MB, MAC: 00:11:22:33:44:55, IPv4: 10.10.10.100
    # Starting arp-scan 1.9.7 with 256 hosts

    # 10.10.10.1    00:50:56:c0:00:01    VMware, Inc.
    # 10.10.10.5    de:ad:be:ef:00:01    (Unknown)
    # 10.10.10.10   00:0c:29:ab:cd:ef    VMware, Inc.

## Options

    # Afficher les réponses ARP en double (détecte l'ARP spoofing)
    sudo arp-scan -l --ignoredups=false

    # Nombre de tentatives personnalisé (défaut : 2)
    sudo arp-scan -l --retry=3

    # Timeout personnalisé (millisecondes, défaut : 500ms)
    sudo arp-scan -l --timeout=1000

    # Bande passante personnalisée (paquets/sec)
    sudo arp-scan -l --bandwidth=1000000

    # Sortie verbeuse
    sudo arp-scan -l -v

    # Afficher les informations d'interface
    sudo arp-scan -l --verbose

## Conseils

- Le scan ARP nécessite le root : des raw sockets sont requis
- L’ARP ne fonctionne qu’au sein du même segment de couche 2 (domaine de broadcast)
- Des adresses MAC en double peuvent indiquer de l’ARP spoofing ou une attaque MITM
- Les informations d’OUI constructeur aident à identifier les types d’appareils (Cisco, VMware, Apple, etc.)

Aide / Page de manuel

    arp-scan [options] [hosts...]

    Target specification:
      -l, --localnet         Scan local network
      -f, --file=FILE        Read hosts from file
      CIDR, range, or individual IPs

    Interface:
      -I, --interface=IF     Network interface

    Performance:
      -r, --retry=N          Retries (default: 2)
      -t, --timeout=N        Timeout ms per host (default: 500)
      -b, --bandwidth=N      Bandwidth in bits/sec

    Output:
      -v, --verbose          Verbose output
      -q, --quiet            Only print found hosts
      -x, --format=FORMAT    Output format
      -o, --outfile=FILE     Output to file

    ARP options:
      --arpspa=IP    Source protocol address
      --arpsha=MAC   Source hardware address
      --arptpa=IP    Target protocol address
      --aritha=MAC   Target hardware address