ettercap

#ettercap局域网内DNS欺骗

http://www.3fwork.com/b506/000099MYM019924/

ARP欺骗

https://charlesreid1.com/wiki/Man_in_the_Middle/Wired/ARP_Poisoning_with_Ettercap
https://charlesreid1.com/wiki/Man_in_the_Middle/ARP_Poisoning

其他参考

http://www.91ri.org/4408.html
http://wenku.baidu.com/link?url=xmC_KUP9RRXeUrzHHmX9AS3XWEnw97XW8F7zpDmJzNDbCLFJwmJ_KR-1QVgtz5f_CweVIH1t-I4skNaDBKFXePGMC1N9XVMOj_KVlpPCtPC

http://www.thegeekstuff.com/2012/05/ettercap-tutorial/
http://www.hsmouc.com/2015/11/12/2015-11-12-ARP/

#ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。 当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和交换机，让所有上网的流量必须经过病毒主机。其他用户原来直接通过交换机上网转由通过病毒主机上网，切换的时候用户会断一次线

ARP_Poisoning的实际现象就是arp表被修改，IP地址指向攻击者的MAC地址，当网关的IP地址指向攻击者MAC时，所有的流量都会经过攻击者的机器

网络环境下共有3台机子：

.1为网关路由器 

.213为win7操作系统

.101为vmvare下使用ettercap的linux机器

#Vmvare下Wireshark会探测局域网内所有机器的流量（所有流量都会经过虚拟机的网卡？）

#关于Ettercap及实验

sniffer模式：

1. ettercap起初作用于局域网内

2. UNIFIED模式嗅探所有网线上的包 

3. options下有三个选项：

promisc（混杂模式）会自动转发包；

ip_forward被ettercap禁用，所以在网关上时选用unoffensive mode（即不禁用ip转发）

4.攻击具体步骤：

1. Options设置完成后，Unified sniffing... 进入主界面

2. Hosts扫描主机，添加Win7为Target1，路由为Target2

3. Mitm->ARP欺骗（单/双向）

4. 查看arp表，地址修改成功，欺骗完成

 dns欺骗类似，/etc/ettercap/ettercap.dns为替换DNS文件

配置文件：/etc/ettercap/etter.conf

如设置重定向？

保存日志的话需要修改权限，root启动后ettercap会把用户交给nobody，设置ec_uid

arp欺骗完成后，qq.com测试有效，其它数据未捕捉到

#arp欺骗应对：

绑定MAC与IP

http://www.freebuf.com/articles/system/5265.html

arp -s 写入自启bash脚本

arpwatch 写入日志观察变化设置处理

win7绑定？

http://jingyan.baidu.com/article/75ab0bcb037e78d6864db2f0.html

#arp欺骗原理：

攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目？

#发包测试：