使用Scapy作为IPS来拦截、选择和转发数据包

Question

我需要拦截网络流量(IPS模式)并根据特定需要丢弃选定的数据包。

我有两个以太网网卡eth0和eth1在混杂模式下，我需要从eth0检索数据包，相应地将一些数据包放到特定的规则中，并将选定的数据包转发给ethic。

我知道Snort这样的IPS系统允许拦截和过滤数据包，但我更喜欢使用Python程序，如果可能的话使用Scapy库。

如何使用Scapy在混杂模式下使用两个NIC拦截和转发网络流量？

Answer 1

您不能“拦截”来自Scapy的数据包。

当Snort这样做时，它就不再是一个IDS (嗅探网络)，而变成了一个IPS (基本上是一个防火墙，它查看应用层以及网络层来做出决定)。

要做您想做的事情，您需要Netfilter、Iptables的NFQUEUE目标和nfqueue的Python绑定 ( Debian发行版下的python包)。

Scapy可能只会帮助您剖析数据包(以“理解”它们并随意篡改它们)。

无论如何，这可能是非常的慢，所以除非您正在使用PoC，否则您可能希望使用Snort或Suricata。