⚠️ 免责声明： 本文所有测试均在家中完全属于本人的局域网、且设备均为本人所有的情况下进行。旨在研究智能设备的网络行为与防御机制，请勿在未经授权的网络环境尝试。

一、 背景

最近对家里的网络环境做了一次安全体检，起因是闲来无事，想看看家里的智能设备（天猫精灵/智能监控等）在局域网里到底是什么状态。以前用普通路由器看不出细节，这次干脆用Kali，从头到尾做一次“体检”和“抗压测试”。

二、 第一步：局域网摸底（ARP扫描）

首先，确认内网段。用 arp-scan 扫了一遍家里的IP，识别出了不少设备：

sudo arp-scan -l
踩坑记录：如果遇到 ieee-oui.txt: Permission denied 的报错，先查文件实际路径，然后用 --ouifile 参数强制指定：
sudo find / -name "ieee-oui.txt" 2>/dev/null
sudo arp-scan -l --ouifile=/usr/share/arp-scan/ieee-oui.txt
扫出来的结果里，除了路由器（192.168.2.1），还有几个未知设备。其中有一个天猫精灵的MAC地址是 d8:2f:e6:73:2c:3a，IP是 192.168.2.19。
三、 第二步：ARP欺骗测试（单设备隔离）
为了测试这个智能设备在网络层面的安全性，我用 arpspoof 对它做了一个隔离测试。注意：这里必须要指定具体的IP，不要做全网段欺骗，否则会影响家里其他设备的正常使用。
# 开启流量转发（可选，如果只想断网可以不开）
sudo sysctl -w net.ipv4.ip_forward=1

# 对目标设备进行ARP欺骗
sudo arpspoof -i wlan0 -t 192.168.2.19 192.168.2.1
测试结果：
指令敲下去后，终端疯狂刷屏，全是 arp reply 192.168.2.1 is-at [我的MAC]。此时去手机APP查看，那个设备的网络确实被切断了，处于离线状态。
体验小结：这种欺骗本质上是一种“中间人攻击”的基础操作。对于智能家居设备来说，一旦网关被欺骗，它们会直接处于断网状态。
四、 第三步：Wireshark抓包分析（观察设备行为）
等设备重新联网后，我想看看它平时到底在传输什么数据。在Kali里打开 wireshark，抓取 wlan0 接口的流量。
过滤条件：
因为直接抓全量太乱，可以在过滤器里输入 ip.addr == 192.168.2.19（注意等号两边要有空格，或者直接写 ip.addr==192.168.2.19，有时输入法问题会导致过滤器变红报错，删掉重敲即可）。
观察结论：
大部分流量都是通过 TCP 443 端口出去，说明是和云端服务器在进行 TLS加密通信。虽然抓不到包里的具体内容（加密了），但能清晰地看到设备在定时发送心跳包（Keep-Alive），维持与云端的连接。
五、 安全建议（给玩Kali的朋友）
玩这些测试，一定要在自己的内网。如果家里有老人正在看电视，或者你老婆在打游戏，你搞一下ARP欺骗，全家网络卡顿，后果很严重。
不要试图截取加密的明文。现在的智能家居设备全是HTTPS，抓到包也是乱码，毫无意义。
如果你真想禁止某个设备联网，不要用ARP欺骗这种“土办法”，直接登录路由器后台，把它拉黑，或者限制它的上行/下行带宽，这是最稳妥的方案。
六、 总结
通过这次简单的测试，我验证了智能家居设备在局域网内的基本网络行为。Kali很好用，但技术是一把双刃剑。只有了解攻击原理，才能更好地去防御。
大家有什么有趣的IoT设备安全测试经历，欢迎在评论区交流。

！能不能不要在说我实在骗人，证实图片没拍（如果想看下期给你们）

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。