Linux怎么编写脚本实现自动发现内网新增IP并尝试进行端口指纹识别-LINUX-PHP中文网

不能靠轮询全网扫描实时发现新增ip；应监听/proc/net/arp变化，用comm比对前后快照识别新ip/mac，再针对性轻量nmap探测，并加限频、脱敏、日志收敛等防护措施。

linux怎么编写脚本实现自动发现内网新增ip并尝试进行端口指纹识别

如何用 bash + nmap 实现内网 IP 变化监听

直接结论：不能靠“轮询全网段扫描”来“实时发现新增 IP”，那太重、太慢、还容易被防火墙拦截；真正可行的方案是监听本地 ARP 表变化 + 辅以轻量探测，再对新出现的 MAC/IP 组合做针对性端口指纹识别。

Linux 内核会自动维护 /proc/net/arp，只要设备跟本机发生过二层通信（比如响应 ping、DHCP 请求、SMB 浏览、甚至只是发了广播包），就会留下记录。这是最轻量、最隐蔽、也最贴近真实“接入”的信号源。

不要用 nmap -sn 192.168.1.0/24 每 10 秒扫一遍——ARP 表更新延迟通常在秒级，而全网 ping 扫描至少要 2–5 秒，还可能触发 IDS 告警
优先读取 /proc/net/arp，过滤掉 00:00:00:00:00:00（无效）和 incomplete（未解析）条目
用 awk '{print $1,$4}' 提取 IP 和 MAC，配合 comm 或临时文件做前后快照比对
注意：某些交换机端口安全策略或静态 ARP 配置会导致新设备不进 ARP 表，此时需 fallback 到 DHCP 日志或镜像流量分析（那是另一套方案）

怎么写一个带状态记忆的增量发现脚本

核心难点不是扫描，而是“记住上次看到哪些 IP/MAC”，只输出新增项。别用 date 命名临时文件，用固定路径 + stat 时间戳判断更稳。

示例关键逻辑：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

#!/bin/bash
ARP_FILE="/tmp/last_arp"
CURRENT="/tmp/current_arp"
<p>awk '$4 != "00:00:00:00:00:00" && $5 != "incomplete" {print $1 "\t" $4}' /proc/net/arp | sort > "$CURRENT"</p><p>if [[ -f "$ARP_FILE" ]]; then
comm -13 "$ARP_FILE" "$CURRENT" | while IFS=$'\t' read -r ip mac; do
echo "NEW: $ip ($mac)"</p><h1>后续调用 nmap</h1><pre class="brush:php;toolbar:false;">    nmap -sS -sV -p- --min-rate=1000 --max-retries=1 -T4 "$ip" -oG "/tmp/nmap_$ip.gnmap" 2>/dev/null &
done

fi mv "$CURRENT" "$ARP_FILE"

comm -13 表示只输出 $CURRENT 中有但 $ARP_FILE 中没有的行（即新增）
nmap -sS -sV -p- 是高风险组合，实际中应限制端口范围，比如 -p21,22,23,25,53,80,443,3389,8080
--min-rate=1000 容易被丢包干扰，内网建议改用 --min-parallelism=50 更稳
务必加 & 后台执行，否则多个新 IP 会串行阻塞

nmap 端口指纹识别时为什么常返回 “tcpwrapped” 或空服务

这不是脚本写错了，是目标服务主动拒绝或中间设备干扰的结果。常见原因有三个：

目标开了 TCP Wrapper（/etc/hosts.allow 限制），nmap 连上就断，返回 tcpwrapped —— 此时 nmap --script banner 也拿不到任何信息
交换机或终端设备启用了端口安全（Port Security），对非白名单 MAC 的 SYN 包静默丢弃，nmap 显示 filtered，根本到不了服务层
目标系统禁用了 ICMP 且设置了 SYN Cookies，导致 nmap 默认探测超时；可加 --max-scan-delay 10 或换用 -sT（完整三次握手）
某些 IoT 设备（如摄像头、打印机）只在特定端口开放 HTTP，但返回的是自定义协议头，nmap -sV 无法识别，需配合 --script http-title 或手动 curl -I

生产环境必须加的防护和收敛措施

这个脚本一旦跑起来，很容易演变成内网扫描器，引发运维告警甚至权限回收。上线前必须做三件事：

限定网段：硬编码 grep "192\.168\.1\." /proc/net/arp，别留 /24 口子
限频：用 sleep 30 控制检查间隔，别设成 5 秒；新增 IP 的 nmap 扫描加 --host-timeout 30s
日志脱敏：MAC 地址可保留，但 IP 若涉及敏感子网（如财务 VLAN），应在输出前做哈希或掩码处理，例如 echo "$ip" | awk -F. '{print $1"."$2".0.0"}'
别把结果直接写进 /var/log —— 改用 logger -t arpwatch 走 syslog，方便统一审计和切割