Ettercap 入门

Ettercap 入门

syntax

ettercap [options] [target1] [target2]

没有目标地址或是源地址之分, 因为通信是双向的

如果接口支持IPv6，target 以这样的形式 MAC/IPs/IPv6/Ports否则以MAC/IPs/Ports的形式。

/10.0.0.1/表示所有mac地址，所有端口，只要ip地址是10.0.0.1

//表示所有mac地址，所有ip，所有端口

也可以指定范围

/10.0.0.1-5;10.0.1.33/

sniffing option

unified

入侵式的嗅探局域网, 如果需要嗅探网关最好设置为unoffensive mode 。可以施实中间攻击

briged

嗅探两台主机之间的数据包，需要手动添加IP，不能施实MITM，但是可以和unified一起使用。

MITM

-M --mitm <METHOD:ARGS>

arp([remote],[oneway])

欺骗目标机的arp缓存，将mac地址解析成攻击机

• remote：如果想要嗅探与当前使用的接口不在同一网段的IP需要指明该参数。可以同时欺骗目标机和网关

• oneway：target1 to target2 单向欺骗。target1的会受影响，但是target2不会。一般用于让网关正常转发

如果没有指定target将嗅探整个局域网

ettercap -T -i eth0 -M arp 

当目标机使用arp /d就会失效

icmp

将局域网真实的IP的Mac地址做为参数，其他用户会将信息发送给攻击机，攻击机然后将信息传送给网关。需要设置gw mac地址和gw ip

ettercap -T -i eth0 -M icmp:00:11:22:33:44:55/10.0.0.1 /// ///

dhcp

将攻击机伪装成DHCP服务器，可以强制目标机接收攻击机的回应。需要指定dhcp pool，dns服务器子网掩码，dns服务器ip。当关闭ettercap时，受害机还是持有被指定IP，只有当租期过期时才会失效。可以不提供dhcp pool这样也就不会应答dhcp offer。无需提供有效的真实IP

ettercap -T -i eth0 -M dhcp:192.168.30.100/255.255.255.0/192.168.30.1 ///  ///

目标机可以主动使用ipconig /release && ipconfig /renew重新生成ip。下图是在攻击中抓取的dhcp packets

• -o --only-mitm

  只使用mitm，不抓取流量。可以让wireshark抓取流量。需要开启ip forward

  具体查看https://www.linuxprobe.com/ubuntu-ip-forward.html

• -B

  需要双网卡，ettercap会将一个接口的流量转到另外一个。目标机无法有效的直接通过物物理层查看攻击机，但是不能使用mitm。会抓取攻击机的两张网卡对应LAN的所有流量

  graph TD b(proxy interface) -->a(true attacker interface) c(target1) & d(target2)-->b

ettercap -T -i eth0 -B eth1

offline sniffing

• -r, --read <FILE>

  从pcap file中读取数据包并嗅探

• -w --write <FILE>

  将嗅探到数据包写入pcap文件，之后可以使用wireshark分析数据包

user interfaces option

• -T, --text

  使用控制台模式开启ettercap

• -C --curses

  使用基本图形化窗口

• -G --gtk

  使用GTK2 interface

• -q --quiet

  只能在控制台模式下使用，ettercap将不打印出数据包

• -D --daemonize

  以守护线程的模式用于后台记录日志

General options

• -i --iface <IFACE>

  指定攻击机的接口

• -I --iflist

  列出能使用的接口

• -A --address <ADRESS>

  当接口有多个IP时，通过该参数指定IP

• -z --silent

  不扫描当前局域网，需要手动指定target IP

• -p --nopromisc

  ettercap默认会嗅探指定网段的所有流量，通过该参数可以只嗅探被引导到攻击的流量

• -u --unoffensive

  ettercap通过自己转发流量，当想开启多个实例时，需要设置该参数

• -k --save-hosts <FILENAME>

  如果不想让ettercap每次启动时都引起广播风暴，可以使用该参数将这次扫描的host写入到指定文件。需要修改/etc/ettercap/etter.conf，将ec_uid 和 ec_gid 置为用户id。

  参考：https://github.com/Ettercap/ettercap/issues/752

• -j --load-hosts <FILENAME>

  加载通过-k参数生成的host文件

  ettercap -T -j filename -M arp
  

• -P --plugin <PLUGIN>

  加载指定插件，可以通过ettercap -P list查看所有插件

logging options

• -L --log <LOGFILE>

  将所有的数据包保存到指定文件，生成eci(保存数据包)和ecp(保存信息)文件

• -l --log-info <LOGFILE>

  只保留账号和密码

• -m --log-msg <LOGFILE>

  保存所有被ettercap打印的信息