Python ARP 攻击检测与日志记录

以下 Python 代码示例展示了如何检测 ARP 攻击并记录攻击源地址：

def detect_attack():
    with open('clients.txt', 'r') as f:
        clients = f.readlines()
        for client in clients:
            ip = client.split()[0]
            mac = client.split()[1]
            sniff_filter = 'arp and src host ' + ip
            sniff_timeout = 10
            sniff_count = 0
            sniff_packets = sniff(filter=sniff_filter, timeout=sniff_timeout)
            for packet in sniff_packets:
                sniff_count += 1
            if sniff_count > 100:
                messagebox.showwarning('警告', '检测到攻击源IP地址为' + ip + '，MAC地址为' + mac + '！')
                with open('detection_log.txt', 'a') as f:
                    f.write('警告' + '检测到攻击源IP地址为' + ip + '，MAC地址为' + mac + '！\n')
            else:
                messagebox.showinfo('提示', '未检测到攻击源！')
                with open('detection_log.txt', 'a') as f:
                    f.write('提示' + '未检测到攻击源！\n')
            return

如何记录攻击源地址

代码中已经实现了记录攻击源地址的功能，通过以下步骤完成：

获取攻击源 IP 和 MAC 地址：从 clients.txt 文件中读取客户端信息，解析出 IP 和 MAC 地址。
在警告信息中显示攻击源地址：使用 messagebox.showwarning() 函数显示警告信息，并包含攻击源 IP 和 MAC 地址。
将攻击源地址写入日志文件：使用 open('detection_log.txt', 'a') 以追加模式打开日志文件，并写入警告信息和攻击源地址。

为什么 ARP 欺骗攻击记录不到地址

ARP 欺骗攻击是一种欺骗技术，攻击者会伪造源 MAC 地址和目的 MAC 地址，使得攻击流量看起来像是合法的流量，难以追溯到真正的攻击源。这主要是因为 ARP 协议本身没有安全机制，攻击者可以轻松伪造 ARP 响应，从而欺骗其他设备。

因此，想要完全防范 ARP 欺骗攻击，需要采取其他方法，例如使用安全协议（如 802.1x）、配置静态 ARP 表项、使用入侵检测系统（IDS）等。