arp-scan 无法探测混杂模式嗅探节点，因其仅发送标准ARP请求并依赖正常协议栈响应；检测需构造非标准目的MAC的ARP包，利用旧系统内核误判行为，但现代环境普遍失效。
arp-scan 无法直接探测处于混杂模式（promiscuous mode）的嗅探节点。
arp-scan 的能力边界
arp-scan 是一个标准 ARP 主机发现工具，它只发送符合规范的目的 MAC 地址（如广播
ff:ff:ff:ff:ff:ff
或单播目标 MAC）的 ARP 请求，并等待目标设备协议栈的正常应答。而混杂模式是否启用，
不影响设备对合法 ARP 请求的响应逻辑
：只要 IP 匹配，内核就会回复；不匹配，网卡硬件就丢弃，根本不会交到内核处理。因此，arp-scan 扫出的活跃主机列表，和是否存在嗅探器完全无关。
检测混杂模式的真实原理
真正可行的方法是构造**非标准目的 MAC 地址的 ARP 包**（例如
ff:ff:ff:ff:ff:fe
），利用部分操作系统（尤其是旧版 Windows）内核对这类“近似广播”地址的误判行为——在混杂模式下，网卡会把本该被硬件过滤的包交给内核，而某些内核会错误地将其当作广播并触发 ARP 回应。
Docker Desktop（linux）
当前 Docker 最新稳定版本之一，主要针对稳定性和兼容性进行了修复优化，适合生产环境与日常开发使用。该版本继续强化 AI 开发支持、容器日志管理以及 Docker Engine 的安全能力，对 Windows/macOS/Linux 平台兼容性进行了进一步优化。
下载
Linux 内核一般不响应此类畸形 MAC，现代系统（如 Win11、启用了 eBPF 过滤的环境）基本已修复该行为
该方法在云环境、容器网络、SDN 架构中普遍失效
响应 ≠ 确凿证据，需排除目标是否手动配置了该 MAC 或存在驱动缺陷
更实用的操作方式（不用 arp-scan）
用
scapy
手动构造并分析响应：
必须使用
srp()
（二层发送），不能用
sr()
（三层）
关键判断依据是收到
ARP Reply（op==2）
，而非单纯收到包
推荐先对单个可疑 IP 测试，避免全网广播引发误报或干扰
更现实的替代方向
比起徒劳扫描混杂模式，实际运维中建议关注可观察的异常行为：
持续监控 ARP 表变化（如频繁出现未知 MAC 对应同一 IP）
检查交换机端口流量突增、无业务时段仍有大量广播包
部署网络 IDS（如 Snort）识别常见嗅探工具特征流量
结合
arp-scan --localnet
建立基线，定期比对新增/消失的 MAC 地址
from scapy.all import *
ans, unans = srp(Ether(dst="ff:ff:ff:ff:ff:fe")/ARP(pdst="192.168.1.50"), timeout=2, iface="eth0")
for s, r in ans:
if r.haslayer(ARP) and r[ARP].op == 2:
print("Host responded to malformed broadcast MAC → likely promiscuous")