基于Linux的Python ARP攻击检测与防护软件设计

本文介绍如何使用Python和Scapy库开发一款运行于Linux平台的ARP攻击检测与防护软件。该软件具备以下功能：

扫描局域网，获取活动主机的MAC地址和IP地址。
实时检测ARP欺骗和ARP投毒攻击。
记录攻击源的MAC地址和IP地址等信息。
提供图形化界面，方便用户查看和分析攻击数据。

实现思路

获取局域网活动主机信息: 使用Python的Scapy库构造和解析ARP数据包，通过发送ARP请求获取局域网内活动主机的MAC地址和IP地址。
ARP攻击检测: 监听ARP协议数据包，对收到的ARP数据包进行解析和分析，检测是否存在ARP攻击行为，如ARP欺骗、ARP投毒等攻击。
攻击信息记录: 对检测到的ARP攻击行为进行记录和保存，包括攻击源的MAC地址、IP地址等信息。
图形化界面: 实现一个简单的图形化界面，实时显示ARP攻击源的MAC地址和IP地址，方便用户进行查看和分析。

模块设计

局域网主机扫描模块: 使用Scapy库构造和发送ARP请求包，解析响应包获取活动主机的MAC地址和IP地址。
ARP攻击检测模块: 使用Scapy库监听ARP数据包，分析数据包类型、源MAC地址、源IP地址等信息，判断是否存在ARP攻击行为。
攻击信息记录模块: 将检测到的ARP攻击信息，如攻击类型、攻击源MAC地址、攻击源IP地址等，记录到文件或数据库中。
图形化界面模块: 使用Tkinter等GUI库创建一个简单的界面，实时显示攻击信息记录模块中的攻击信息。

总体流程

程序启动后，首先进行局域网扫描，获取活动主机的MAC地址和IP地址，并存储到内存中。
启动ARP数据包监听线程，实时捕获并分析ARP数据包。
如果检测到ARP攻击行为，则记录攻击源信息，并更新图形化界面显示攻击信息。
用户可以通过图形化界面查看和分析攻击信息。

代码示例

以下代码展示了部分功能的实现，完整代码请参考项目仓库。

1. 获取局域网活动主机的MAC地址和IP地址:

from scapy.all import ARP, Ether, srp

def get_active_hosts(ip_range):
    active_hosts = []
    for ip in ip_range:
        arp = ARP(pdst=ip)
        ether = Ether(dst='ff:ff:ff:ff:ff:ff')
        packet = ether/arp
        result = srp(packet, timeout=3, verbose=0)[0]
        if len(result) > 0:
            active_hosts.append({'ip': result[0][1].psrc, 'mac': result[0][1].hwsrc})
    return active_hosts

2. 检测防护ARP攻击行为:

from scapy.all import ARP, sniff

def arp_sniffer_callback(packet):
    if ARP in packet and packet[ARP].op in (1, 2):
        arp_cache = {}
        arp_cache['src_mac'] = packet[ARP].hwsrc
        arp_cache['src_ip'] = packet[ARP].psrc
        arp_cache['dst_mac'] = packet[ARP].hwdst
        arp_cache['dst_ip'] = packet[ARP].pdst
        # 检测是否存在ARP攻击行为
        if arp_cache['src_mac'] != get_mac_by_ip(arp_cache['src_ip']):
            print('ARP欺骗攻击！攻击源MAC地址：', arp_cache['src_mac'], '攻击源IP地址：', arp_cache['src_ip'])
            save_arp_attack_info(arp_cache)
        if arp_cache['dst_mac'] != get_mac_by_ip(arp_cache['dst_ip']):
            print('ARP投毒攻击！攻击目标MAC地址：', arp_cache['dst_mac'], '攻击目标IP地址：', arp_cache['dst_ip'])
            save_arp_attack_info(arp_cache)

def arp_sniffer():
    sniff(prn=arp_sniffer_callback, filter='arp', store=0)

总结

本文介绍了如何使用Python和Scapy库开发一款简单的ARP攻击检测与防护软件。该软件能够有效地检测和防御常见的ARP攻击，提高局域网的安全性。