尝试使用ettercap监听

局域网：vmware虚拟网卡下NAT模式。

代号	主机名	ip地址
主机A	Kali Linux 32位	192.168.233.129
主机B	Kali Linux 64位	192.168.233.131
攻击机C	Kali Linux 32位	192.168.233.130

（注意，攻击机C的ip是*.130，夹在A和B中间，不要搞混）

在攻击机终端上分别输入arp和ifconfig，查看本地局域网内mac地址映射关系。

其中192.168.233.1、192.168.233.2、192.168.233.254不用管。

仅需要注意红线标注的三个主机。

打开ettercap，初始界面的这些选项比较好理解，不需要修改，直接点右上角√。

点左上角Scan for hosts，扫描网卡eth0的局域网内主机如下。

将*.129主机A添加到Target1，将*.131主机B添加到Target2。

在Current Targets中查看Targets如下。

在右上角菜单MITM中找到ARP Poison，进行ARP欺骗。其中默认Sniff remote connections开启远程嗅探，让A和B的通信经过C。另外选项Only poison one-way表示只嗅探一边（例如：A的报文经过C发给B，B的回应直接发回A）。设置好后，点OK。

此时在A上输入arp，可以看到B和C的MAC地址都变成后缀为e4的地址（结合前面知道，e4是C的MAC地址）

为了实验是否能够成功嗅探，这里结合两个工具做验证：NetCat和wireshark。

在C上输入 nc -v -l，启动tcp监听，（参数-v表示打印信息，-l表示启动监听）

由下图可以看到，nc自动选择监听端口33461

在A上输入nc 192.168.233.131 33461 -v，连接主机B。两边终端上均显示连接成功。例如如下图，在B上看到，B连接到了A的端口40858上。

NetCat工具配置完成，这时，在C打开wireshark，选定eth0网卡。

在A、B任意机上发送信息，此时两边都能看到。如下图。

与此同时，C中wireshark也捕捉的到该报文。

但是，经过实验，如果不采用ARP嗅探方式（即A不经过C直接向B发送报文），C也是可以在wireshark中捕捉的到该信息。

ARP嗅探：

非ARP嗅探：

对比上面两张图，主要区别有二：

​ 1.

​ ARP嗅探，一个TCP过程有4个报文，包括发送消息{A->C，C->B}和响应{B->C，C->A}；

​ 非ARP嗅探，一个TCP过程有2个报文，包括发送消息A->B和响应B->A。

​ 2.

​ 相同的Source或Destination对应的MAC地址不同，如上面两图所示。

​ 非ARP嗅探，一个TCP过程有2个报文，包括发送消息A->B和响应B->A。

​ 2.

​ 相同的Source或Destination对应的MAC地址不同，如上面两图所示。