基于Linux的ARP攻击检测Python实现

基于Linux的ARP攻击检测Python实现

本文介绍如何使用Python和Scapy库开发ARP攻击检测软件，帮助你识别网络中的ARP攻击行为。

检测规则

该检测软件基于以下规则识别ARP攻击：

1. 同一IP地址对应多个MAC地址
2. 多个IP地址对应同一个MAC地址
3. 大量的ARP请求或响应包
4. ARP包中的源MAC地址和目标MAC地址不匹配

一旦满足两种或以上规则，就判定为遭受ARP攻击。

Python代码实现

以下Python代码使用Scapy库捕获和分析ARP数据包：

import argparse
from scapy.all import *

def arp_detect(packet):
    if packet.haslayer(ARP):
        arp = packet[ARP]
        if arp.op == 1: # ARP Request
            if arp.psrc in arp_table:
                if arp_table[arp.psrc] != arp.hwsrc:
                    print('[!] 检测到ARP攻击: 同一IP地址对应不同MAC地址')
                    return True
            else:
                arp_table[arp.psrc] = arp.hwsrc
        elif arp.op == 2: # ARP Reply
            if arp.hwsrc in mac_table:
                if mac_table[arp.hwsrc] != arp.psrc:
                    print('[!] 检测到ARP攻击: 同一MAC地址对应不同IP地址')
                    return True
            else:
                mac_table[arp.hwsrc] = arp.psrc
        if len(arp_table) > 10:
            print('[!] 检测到ARP攻击: ARP请求数量过多')
            return True
    return False

if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='ARP攻击检测工具')
    parser.add_argument('-i', '--interface', help='需要监听的网络接口名称')
    args = parser.parse_args()
    arp_table = {}
    mac_table = {}
    if args.interface:
        print('[*] 开始在接口 ' + args.interface + ' 上进行ARP攻击检测')
        sniff(filter='arp', prn=arp_detect, iface=args.interface)
    else:
        print('[!] 请使用 -i 参数指定需要监听的网络接口')

代码说明

1. 使用 scapy.all 库中的 sniff() 函数捕获网络数据包，并指定过滤器为 arp 只捕获ARP数据包。
2. arp_detect() 函数分析每个捕获到的ARP数据包，检查是否满足预设的攻击规则。
3. 使用字典 arp_table 和 mac_table 存储IP地址与MAC地址的对应关系，用于检测同一IP对应多个MAC或同一MAC对应多个IP的情况。
4. 通过 argparse 模块获取命令行参数，指定需要监听的网络接口。

使用方法

1. 安装Scapy库： pip install scapy
2. 保存代码为 arp_detect.py 文件。
3. 在终端中运行脚本，并指定需要监听的网络接口名称： python arp_detect.py -i eth0 (将 eth0 替换为实际的网络接口名称)。

总结

本文介绍了如何使用Python和Scapy库开发ARP攻击检测软件，并提供了详细的代码示例和使用方法。你可以根据实际需求修改和完善代码，增强网络安全防护能力。