CentOS下安装dsniff，ettercap进行入侵检测

系统环境

Linux：2.6.32-220.el6.x86_64（CentOS 6.2）

安装工具：ettercap、dsniff

说明：这里只是进行安装的说明，对于如果使用请问度娘和谷哥。废话不说了开始吧。

一、安装Ettercap

下载地址：wgethttp://down1.chinaunix.net/distfiles/ettercap-NG-0.7.3.tar.gz

http://ettercap.sourceforge.net

安装步骤

(1).libnet-1.1.2.1.tar.gz

(2)libpcap-1.0.0.tar.gz

(3)ettercap-NG-0.7.3.tar.gz

(4)更新gtk2： yum install curl-devel gtk2-devel boost-devel

（不然报错Package requirements (gtk+-2.0 >= 2.0.0 pango >= 1.0 atk >= 1.）

二、安装dsniff

今天要安装dsniff进行一项测试，比较郁闷的是搞了一上午都没有把dsniff给安装上。那叫一个郁闷啊啊啊啊

主要是参考网上：http://www.myhack58.com/Article/html/3/8/2011/30957.htm

进行源码安装，发现编译安装过程中存在一些问。

还好CentOS与Redhat出自一个地方，好了，有办法了。如果源码安装失败，那就走个捷径吧，安装RPM包。

（1）安装libpcap（相当与Windows下的wincap）

下载地址：http://pan.baidu.com/s/1qvCR9

文件名：libpcap-0.9.4-15.el5.x86_64.rpm，下载上传到一个目录下

或者：

wget http://mirror.centos.org/centos/5/os/x86_64/CentOS/libpcap-0.9.4-15.el5.x86_64.rpm

强制安装，因为手动源码编译的时候安装了其他版本

安装命令：

#rpm --force -ivh libpcap-0.9.4-15.el5.x86_64.rpm

（2）安装dsniff

下载地址：http://pan.baidu.com/s/1qvCR9

文件名：dsniff-2.4-0.1.b1.el5.rf.i386.rpm

或者在线下载：wget -c http://apt.sw.be/redhat/el5/en/x86_64/rpmforge/RPMS/dsniff-2.4-0.1.b1.el5.rf.x86_64.rpm  

安装命令：

#rpm -Uvh dsniff-2.4-0.1.b1.el5.rf.x86_64.rpm  

如果不成功，出现如下提示

[root@Jie sbin]# rpm -Uvh dsniff-2.4-0.1.b1.el5.rf.x86_64.rpm  

warning: dsniff-2.4-0.1.b1.el5.rf.x86_64.rpm: Header V3 DSA/SHA1 Signature, key ID 6b8d79e6: NOKEY

error: Failed dependencies:

       libXmu.so.6()(64bit) is needed by dsniff-2.4-0.1.b1.el5.rf.x86_64

       libcrypto.so.6()(64bit) is needed by dsniff-2.4-0.1.b1.el5.rf.x86_64

       libdb-4.3.so()(64bit) is needed by dsniff-2.4-0.1.b1.el5.rf.x86_64

       libssl.so.6()(64bit) is needed by dsniff-2.4-0.1.b1.el5.rf.x86_64

请使用如下命令：

[root@root sbin]# yum install dsniff-2.4-0.1.b1.el5.rf.x86_64.rpm

到处安装完成。具体使用请百度。

三、其他补充

Ettercap简介

http://download.chinaunix.net/download/0003000/2802.shtml

LINUX下用ettercap的嗅探,Ettercap提供了五种监听模式：IP BASED、MAC BASED、ARP BASED、PUBLICARP 和SMARTARP。正确理解这五种模式是有效使用Ettercap的前提。从实现原理来说，本质上不同监听模式只有两种：通过网卡全收方式的监听和通过ARP欺骗的监听。前者与传统的sniffing方式是一样的，通过共享网络环境接收我们感兴趣的数据流；后者则依赖于上面介绍的ARP欺骗技术，把想要监听的网络数据流引导到我们这里。

参考资料

帮助最大的官方手册：
http://linux.die.net/man/8/ettercap
http://linux.die.net/man/8/etterlog
http://linux.die.net/man/8/etterfilter

Ettercap : Filter规则大发送
http://fuzzexp.org/ettercap-filter-rules-send.html
利用sslstrip和ettercap突破ssl嗅探密码
http://www.freebuf.com/articles/web/5929.html
针对SSL的中间人攻击演示和防范
http://www.linuxde.net/2011/11/2522.html
Ettercap :更多的欺骗规则 更多的攻击方式
http://fuzzexp.org/ettercap-zai-nei-wang-zhong-di-bao-fa.html
中间人攻击-ARP毒化，双向arp欺骗

dsniff简介

http://blog.chinaunix.net/uid-2469966-id-2595315.html

网络监听 (sniffer)技术出现了新的重要特征。传统的sniffer技术是被动地监听网络通信、用户名和口令。而新的sniffer技术出现了主动地控制通信数据的特点，把sniffer技术扩展到了一个新的领域。Dug Song写的Dsniff的工具是第一批扩展了传统的sniffer概念的监听工具。 Dsniff制造数据包注入到网络，并将通信数据重定向到攻击者的机器。在这种方式下，Dsniff允许攻击者在交换环境的网络内窃听数据，甚至在攻击者和攻击目标不在同一个Lan(局域网)的情况下，也能使攻击者收集到他想要的数据。

　　这是一个口令嗅探器，可以处理的协议类型包括：  
　　FTP，Telnet，SMTP，HTTP，POP，NNTP，IMAP，SNMP，LDAP，Rlogin，RIP，OSPF，PPTP，MS- CHAP，NFS，VRRP，YP/NIS，SOCKS，X11，CVS，IRC，AIM，ICQ，Napster，ostgreSQL， Meeting Maker，　　Citrix ICA，Symantec，pcAnywhere，NA  

　　I Sniffer，Microsoft SMB，Oracle QL*Net，Sybase及Microsoft SQL认证信息  

dsniff是一套在局域网环境下面的桥接欺骗工具。

arpspoof有以下三个缺点：

1。不支持双向欺骗，要实现，只能启动两个进程。

2。不支持多个ip，要不就是整个网段（除非也启动多个进程）

3。不支持mac地址伪造。