ettercap做arp欺骗和dns欺骗—–详细教程

大家好，又见面了，我是你们的朋友全栈君。

本教程仅供学习使用，不得用于非法途径，我概不负责！！！！！！

一年前玩过ettercap做arp欺骗和dns欺骗的实验，都忘记怎么操作的了，哈哈，现在重新整理下资料，方便小伙伴学习。

工具介绍：

Ettercap：刚开始只是作为一个网络嗅探器，但在开发过程中，它获得了越来越多的功能，在中间的攻击人方面，是一个强大而又灵活的工具。它支持很多种协议（即使是加密的），包括网络和主机产品特征分析，还有dns欺骗等等。

wget ：非常强大的站点拷贝工具和httrack类似，linux一般都自带wget，说白了我就是用它克隆别人的网站，把别人网站源代码和网站的文件拷贝下来自己用，其他功能自行科普。

HTTrack：是一个免费并易于使用的线下浏览器工具，它能够让你从互联网上下载整个网站进行线下浏览。浏览线下站点和线上并没有什么不同。HTTrack同样可以进行线下线上站点同步，支持断点续传。HTTrack是一个可全面配置并包括全面的帮助系统的工具。

nmap ：一是探测一组主机是否在线；其次是扫描主机端口，嗅探所提供的网络服务；还可以推断主机所用的操作系统。如果只是探测存活主机，用个shell脚本就可以实现，点击我的shell脚本。

原理讲解（不看可跳过，看后面实例）

arp欺骗：

arp欺骗讲解：B（192.168.1.10）主机发送数据到哪里都是根据本机arp表和路由表判定的，比如向局域网内或局域网外发送数据，都会通过自己的默认网关转发数据，本地arp表会不定时的刷新ip–mac关系，在本地arp表没有网关192.168.1.1的mac信息时，会发送广播问谁的ip地址是192.168.1.1，这个时候局域网所有主机都会收到这条信息，正常情况下应该是192.168.1.1将mac地址回应给主机B刷新arp表，但是这时候主机A（192.168.1.5）回应说自己就是192.168.1.1，并将mac返回给主机B刷新B的arp表，主机B的arp里对应信息为这样 192.168.1.1——-主机B（192.168.1.5）的mac，得到了网关的mac后就开始传输真正的数据了，数据包封装上源（主机B）mac 目的为网关mac（实际是主机A的mac），交换机是这样转发：交换机有个CAM表，存放交换机物理端口和mac对应关系，拆解数据包，看该数据包的目的mac是谁，然后根据cam表转发到对应的端口，由于封装的目的mac是主机A的mac，所以本来发给网关的数据，现在发给了主机A，这就是一个欺骗。主机A不仅仅欺骗主机A，它还会欺骗网关，说自己就是主机B。

简单原理：

主机A说自己是网关，骗将发给网关的数据发给主机A，然后由主机A发送给真正的网关。

主机A告诉网关它就是主机B，骗将发给B的数据发给主机A，然后由A转发给主机B。

如何防止arp欺骗：

划分vlan和绑定静态的arp表，静态arp表有个弊端就是，如果你绑定的那台旧主机拆走了，接进来另外一台新主机，而你的arp表存的旧主机的mac，这样数据包就转发不出去了，很坑吧，哈哈。

DNS欺骗：

其实DNS欺骗不能叫欺骗，为什么这么说，因为dns解析采取就近原则，意思是说谁能先帮我解析我就听谁的。给你解析一个假的ip就是欺骗。例如本来www.baidu.com 对应ip是202.16.25.78 ，你在本地架设一个dns服务器将www.baidu.com 解析为192.168.100.2 , 这不就等于骗了别人吗。

dns解析过程是这样的：先通过本机的host文件解析，如果不能解析，就让最近的dns服务器解析。其实dns解析还分为递归解析和迭代解析。这里不解释。

如何防止dns欺骗：

直接修改自己的host文件，将你访问的域名和ip地址直接写到里面，这样就不用通过dns服务器了，也就无法被骗。