Networking 使用跟踪路由检测ARP欺骗

我正在制作一个可以阻止arp欺骗的应用程序：]

我的想法是，若子网中有攻击者，并且他试图使用arp中毒进行MITM，那个么我将跟踪路由执行到默认网关（或者更改了arp缓存条目，无论什么）

因为我所有的数据包都会通过攻击者的PC，所以traceroute会显示一些标志

---

我的想法有什么问题吗？这合适吗？是否？

检测arp欺骗的正确方法是使用以下软件

arpwatch

将看到两台机器在争夺同一IP地址，并通知您

Nov 10 15:59:34 debian arpwatch: changed station 192.168.1.2 0:17:9a:b:f6:f6
(0:17:9a:a:f6:44)

如果您在IP地址中看到类似的条目，那么请开始查找产生问题中的恶意mac地址的switchport

---

作为对您问题的一般回答，

traceroute

是错误的检测方法。只需监视arp并维护mac地址到IP映射表。

检测arp欺骗的正确方法是使用类似的软件

arpwatch

将看到两台机器在争夺同一IP地址，并通知您

Nov 10 15:59:34 debian arpwatch: changed station 192.168.1.2 0:17:9a:b:f6:f6
(0:17:9a:a:f6:44)

如果您在IP地址中看到类似的条目，那么请开始查找产生问题中的恶意mac地址的switchport

---

作为对您问题的一般回答，

traceroute

是错误的检测方法。只需监视ARP并维护一个mac地址到IP映射的表。

不清楚您的想法是什么。“某个符号”是什么意思？不清楚你的想法是什么。“某些标志”是什么意思？