• 日期: 2026-05-09
  • 标签: 常规

基于 Linux 的 ARP 攻击检测与防护软件：原理、代码实现及可视化界面

本文将深入探讨基于 Linux 的 ARP 攻击检测与防护软件的设计与实现。该软件包含多个独立模块，分别负责 ICMP Flood、TCP 攻击和 ARP 欺骗攻击检测。此外，它还能够扫描局域网内的活动主机，记录攻击源的 IP 地址和 MAC 地址，并通过可视化界面展示攻击日志。

软件功能

  • ICMP Flood、TCP 攻击和 ARP 欺骗攻击检测： 通过分析网络流量和 ARP 缓存，实时检测并识别不同类型的网络攻击。
  • 局域网内活动主机扫描： 定期扫描局域网，记录活动主机的 IP 地址和 MAC 地址，用于识别异常连接。
  • 攻击日志记录： 将检测到的攻击事件，包括攻击类型、时间、源 IP 地址、MAC 地址等信息记录到本地文件。
  • 可视化界面： 提供中文按钮操作的界面，方便用户查看攻击日志和系统状态。

代码实现

以下是基于 Linux 的 ARP 攻击检测防护软件的 Python 代码实现：

import os
import sys
import time
import subprocess
import threading

# 定义常量
ICMP_FLOOD_THRESHOLD = 5000  # ICMP Flood攻击阈值，单位：个/秒
TCP_THRESHOLD = 5000  # TCP攻击阈值，单位：个/秒
ARP_CACHE_FILE = '/proc/net/arp'  # ARP缓存文件路径
IP_MAC_MAP = {}  # IP地址和MAC地址的映射表
ATTACK_LOG_FILE = './attack.log'  # 攻击日志文件路径

# ICMP Flood攻击检测函数
def icmp_flood_detect():
    while True:
        # 获取当前时间
        current_time = int(time.time())
        # 统计ICMP包数量
        icmp_count = 0
        # 执行tcpdump命令捕获ICMP包
        tcpdump_cmd = 'tcpdump -i any icmp -c 1000 -w /tmp/icmp.pcap'
        subprocess.Popen(tcpdump_cmd, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
        time.sleep(1)
        # 读取捕获的ICMP包，并统计数量
        with open('/tmp/icmp.pcap', 'rb') as f:
            data = f.read()
            icmp_count = data.count(b'\x08\x00')
        # 删除临时文件
        os.remove('/tmp/icmp.pcap')
        # 判断是否发生ICMP Flood攻击
        if icmp_count > ICMP_FLOOD_THRESHOLD:
            # 记录攻击日志
            with open(ATTACK_LOG_FILE, 'a') as f:
                f.write('[ICMP Flood Attack] Time: %s, Count: %d\n' % (current_time, icmp_count))
            print('[ICMP Flood Attack] Time: %s, Count: %d' % (current_time, icmp_count))
        else:
            print('No ICMP Flood Attack')

# TCP攻击检测函数
def tcp_detect():
    while True:
        # 获取当前时间
        current_time = int(time.time())
        # 统计TCP连接数量
        tcp_count = 0
        # 执行netstat命令获取TCP连接数
        netstat_cmd = 'netstat -an | grep -i tcp | wc -l'
        output = subprocess.check_output(netstat_cmd, shell=True)
        tcp_count = int(output.strip())
        # 判断是否发生TCP攻击
        if tcp_count > TCP_THRESHOLD:
            # 记录攻击日志
            with open(ATTACK_LOG_FILE, 'a') as f:
                f.write('[TCP Attack] Time: %s, Count: %d\n' % (current_time, tcp_count))
            print('[TCP Attack] Time: %s, Count: %d' % (current_time, tcp_count))
        else:
            print('No TCP Attack')

# ARP欺骗攻击检测函数
def arp_detect():
    while True:
        # 获取当前时间
        current_time = int(time.time())
        # 读取ARP缓存文件
        with open(ARP_CACHE_FILE, 'r') as f:
            lines = f.readlines()[1:]
            # 遍历每一行记录，更新IP地址和MAC地址的映射表
            for line in lines:
                parts = line.split()
                ip_address = parts[0]
                mac_address = parts[3]
                if ip_address not in IP_MAC_MAP:
                    IP_MAC_MAP[ip_address] = mac_address
                else:
                    if IP_MAC_MAP[ip_address] != mac_address:
                        # 发生ARP欺骗攻击
                        # 记录攻击日志
                        with open(ATTACK_LOG_FILE, 'a') as f:
                            f.write('[ARP Attack] Time: %s, IP Address: %s, MAC Address: %s\n' % (current_time, ip_address, mac_address))
                        print('[ARP Attack] Time: %s, IP Address: %s, MAC Address: %s' % (current_time, ip_address, mac_address))
                        # 更新IP地址和MAC地址的映射表
                        IP_MAC_MAP[ip_address] = mac_address

# 扫描局域网内活动主机的IP地址和MAC地址
def scan_network():
    while True:
        # 获取当前时间
        current_time = int(time.time())
        # 执行arp命令获取局域网内活动主机的IP地址和MAC地址
        arp_cmd = 'arp -a'
        output = subprocess.check_output(arp_cmd, shell=True)
        lines = output.splitlines()
        # 遍历每一行记录，更新IP地址和MAC地址的映射表
        for line in lines:
            parts = line.split()
            ip_address = parts[1][1:-1]
            mac_address = parts[3]
            if ip_address not in IP_MAC_MAP:
                IP_MAC_MAP[ip_address] = mac_address
                # 记录扫描日志
                with open(ATTACK_LOG_FILE, 'a') as f:
                    f.write('[Scan] Time: %s, IP Address: %s, MAC Address: %s\n' % (current_time, ip_address, mac_address))
                print('[Scan] Time: %s, IP Address: %s, MAC Address: %s' % (current_time, ip_address, mac_address))
        # 每隔10秒扫描一次
        time.sleep(10)

# 启动检测和扫描线程
icmp_flood_thread = threading.Thread(target=icmp_flood_detect)
icmp_flood_thread.start()

tcp_thread = threading.Thread(target=tcp_detect)
tcp_thread.start()

ar_thread = threading.Thread(target=arp_detect)
ar_thread.start()

scan_thread = threading.Thread(target=scan_network)
scan_thread.start()

# 等待线程结束
icmp_flood_thread.join()
tcp_thread.join()
ar_thread.join()
scan_thread.join()

可视化界面

为了方便用户使用，该软件可以开发一个可视化界面。界面可以使用 Python 的 GUI 库，例如 Tkinter 或 PyQt。界面主要包括以下几个部分：

  • 攻击日志展示区域： 用于显示检测到的攻击事件信息，例如攻击时间、类型、源 IP 地址、MAC 地址等。
  • 系统状态显示区域： 用于显示当前系统状态，例如扫描到的活动主机数量、攻击日志文件大小等。
  • 中文按钮： 提供中文按钮，例如“开始扫描”、“停止扫描”、“清空日志”等，方便用户操作。

未来展望

该软件可以进一步改进，例如：

  • 增加更多攻击检测模块： 扩展对其他类型攻击的检测能力，例如 DNS 攻击、SYN Flood 攻击等。
  • 实现主动防御机制： 除了检测攻击，还可以采取一些措施主动防御攻击，例如阻止攻击源的 IP 地址访问网络。
  • 集成到网络管理系统： 将该软件集成到网络管理系统中，实现统一的网络安全管理。

总结

本文介绍了基于 Linux 的 ARP 攻击检测与防护软件的设计与实现，并提供了 Python 代码示例。该软件能够有效地检测和防护 ARP 攻击，并通过可视化界面方便用户进行操作。希望本文能够帮助读者了解 ARP 攻击检测与防护的原理和实现方法。

Linux ARP 攻击检测与防护软件：原理、代码实现及可视化界面

原文地址: https://www.cveoy.top/t/topic/jnf3 著作权归作者所有。请勿转载和采集!

免费AI点我,无需注册和登录