免责声明

本教程仅用于教育和网络安全研究目的，未经授权对任何网络或设备进行监控、嗅探或攻击是非法行为，请确保您仅在拥有明确授权的测试环境中使用这些技术，滥用这些工具可能导致严重的法律后果。

什么是 Ettercap？

Ettercap 是一款功能强大的网络嗅探工具，主要用于局域网，它不仅仅是一个简单的数据包嗅探器，更是一个“中间人攻击”（Man-in-the-Middle, MITM）平台。

它的核心功能包括：

1. 嗅探: 捕获流经局域网的数据包，并实时显示其内容。
2. 内容过滤: 可以修改、添加或删除数据包中的内容，例如在网页中插入恶意代码、替换图片等。
3. 主动/被动扫描: 主动或被动地发现局域网内的主机和开放的服务。
4. 中间人攻击: 这是 Ettercap 最强大的功能，它通过ARP 欺骗（ARP Spoofing）将网络中的两台或多台主机的通信流量重定向到你的机器上，从而实现监听和篡改。

工作原理：ARP 欺骗

为了理解 Ettercap 如何工作，你必须先了解 ARP 欺骗。

1. 正常通信: 在局域网中，主机 A 要和主机 B 通信，需要知道 B 的 MAC 地址，主机 A 会广播一个 ARP 请求：“谁是 IP 地址为 168.1.100 的主机？请告诉我你的 MAC 地址。” 主机 B 收到后会回复：“我的 MAC 地址是 aa:bb:cc:dd:ee:ff。” 主机 A 就会将这个 IP-MAC 对存入自己的 ARP 缓存表，后续通信直接发送给这个 MAC 地址。

2. ARP 欺骗:

   • 第一步：欺骗网关，Ettercap（运行在你的机器上，IP 为 168.1.10）会向局域网内的所有主机（包括网关 168.1.1）发送伪造的 ARP 响应，声称：“IP 地址为 168.1.1（网关）的 MAC 地址是 xx:xx:xx:xx:xx:xx（你的机器的 MAC 地址）。”
   • 第二步：欺骗目标主机，Ettercap 向目标主机（168.1.100）发送伪造的 ARP 响应，声称：“IP 地址为 168.1.100 的 MAC 地址是 xx:xx:xx:xx:xx:xx（你的机器的 MAC 地址）。”
   • 结果: 目标主机和网关都认为你是对方，当目标主机要访问互联网时，数据包会先发给你；当你收到数据包后，你可以选择：
     • 桥接: 将数据包原封不动地转发给真正的网关，目标主机毫无察觉，这是被动嗅探模式。
     • 篡改: 查看或修改数据包内容，然后再转发给网关，这是主动攻击模式。

环境准备

1. 操作系统: Linux 是 Ettercap 的最佳平台，特别是 Kali Linux 或 Parrot OS，它们预装了 Ettercap。

2. 安装 Ettercap:

   • 在 Kali/Debian/Ubuntu 上:

     sudo apt update
     sudo apt install ettercap-graphical

   • 这会安装带有图形界面的版本 (ettercap-graphical) 和命令行版本 (ettercap)。

3. 网络环境: 你需要与目标主机在同一个局域网内，例如连接到同一个 Wi-Fi 或使用网线连接到同一个路由器。

4. 权限: Ettercap 需要 root 权限才能运行，因为它需要操作网络接口和发送原始数据包。

   sudo ettercap -G

   ( -G 表示启动图形界面 GUI)

图形界面详细教程

这是最直观、最适合初学者的方式。

步骤 1: 启动并选择接口

1. 打开终端,输入 sudo ettercap -G 启动图形界面。
2. 启动后,会弹出一个窗口，你需要选择要监听的网络接口。
3. 点击菜单栏的 Sniff -> Unified sniffing。
4. 在弹出的窗口中,选择你当前正在使用的网络接口（通常是 eth0 以太网或 wlan0 Wi-Fi），然后点击 OK。

步骤 2: 扫描目标主机

1. 点击菜单栏的 Hosts -> Scan for hosts，Ettercap 会开始扫描当前局域网内的所有活动主机。
2. 扫描完成后,点击菜单栏的 Hosts -> Host list，你会看到一个列表，显示了所有在线的主机及其 IP 和 MAC 地址。
3. 识别目标: 在列表中，你需要识别出三个关键角色：
   • 你的网关: IP 是 168.1.1 或 0.0.1。
   • 你的目标: 你想攻击的特定主机（手机、电脑）。
   • 你自己: 你的 IP 地址。

步骤 3: 选择目标

1. 在 Host list 窗口中，按住 Ctrl 键，分别点击你的网关和你的目标主机，将它们都选中。
2. 点击 Add to Target 1 按钮，这会将这两个主机添加到目标列表 1 (Targets 1) 中。
   • 技巧: Ettercap 会自动将第一个选中的主机作为 Target 1，第二个作为 Target 2，在 ARP 欺骗中，顺序不重要，它会自动处理它们之间的通信。

步骤 4: 开始攻击

1. 点击菜单栏的 Mitm -> Start mitm attack。
2. 在弹出的攻击选项窗口中,选择 Arp poisoning，然后点击 OK。
3. Ettercap 开始执行 ARP 欺骗，你可以在底部的状态栏看到 Poisoning 的字样，说明攻击正在进行。

步骤 5: 选择嗅探/攻击插件

所有流经你选定目标之间的流量都会经过你的电脑,你可以选择如何处理这些流量。

1. 启用嗅探: 点击菜单栏的 View -> Connections，你会看到一个实时更新的连接列表，显示了源 IP、目标 IP 和端口，这就是最基本的嗅探。
2. 过滤（篡改网页）:
   • 这是 Ettercap 最酷的功能之一，点击菜单栏的 Plugins -> Manage the plugins。
   • 在左侧的插件列表中,找到 filter 插件，展开它。
   • 选择 dns_spoof，然后点击右侧的 Load 按钮，这个插件可以将所有 DNS 查询重定向到你指定的 IP（将 www.google.com 解析到你的 IP）。
   • 选择 content_inject，然后点击 Load，这个插件可以向网页中注入 HTML/JavaScript 代码。
   • 重要: 加载插件后，你需要去 Plugins -> Active plugins 中勾选它们，才能生效。
3. 启用密码收集:
   • Ettercap 内置了强大的密码嗅探功能。
   • 点击菜单栏的 Plugins -> Manage the plugins。
   • 在左侧的 captures 插件列表中，你可以看到各种协议的密码收集器，如 http (收集网页登录密码), ftp, telnet, smtp 等。
   • 选择你感兴趣的（如 http），点击 Load，然后在 Active plugins 中勾选它。
   • 所有收集到的密码会显示在 View -> Passwords 窗口中。

步骤 6: 停止攻击

完成测试后,务必停止攻击，否则会导致局域网内其他设备断网。

1. 点击菜单栏的 Mitm -> Stop mitm attack。
2. 为了恢复网络,可以再次点击 Mitm -> Arp poisoning，然后选择 Stop and clear，这会清除你发送的伪造 ARP 包，让网络恢复正常。

命令行界面 简介

对于高级用户,命令行界面更高效、更灵活。

基本命令

1. 启动并选择接口:

   sudo ettercap -T -q -i wlan0

   • -T: 使用文本界面。
   • -q: 安静模式，不打印冗余信息。
   • -i wlan0: 指定网络接口。

2. 扫描主机:

   // 扫描并显示主机列表
   ettercap // 在 ettercap 提示符下输入
   /scan
   /hosts

3. 选择目标:

   // 选择目标 1 和 目标 2
   /target 192.168.1.1
   /target 192.168.1.100
   // 或者使用范围
   /target 192.168.1.1/24

4. 开始嗅探:

   // 开始嗅探
   /start
   // 查看连接
   /connections

5. 开始 ARP 欺骗:

   /mitm arp

6. 使用插件:

   // 加载插件
   /load ettercap/elf/dns_spoof.so
   // 激活插件
   /activate dns_spoof

7. 停止并退出:

   /stop
   /quit

注意事项与最佳实践

1. 隐蔽性: Ettercap 的 ARP 欺骗很容易被防火墙或安全软件（如 Wireshark）检测到，一些高级用户会开启“静态 ARP 缓存”来防止攻击。
2. 影响网络: 如果你忘记停止攻击，整个局域网的通信都会中断，非常容易被发现。
3. 法律风险: 再次强调，绝对不要在未经授权的网络中使用。
4. 道德黑客: 在进行渗透测试时，应遵守客户的规则和范围。
5. 学习工具: 将 Ettercap 作为一个学习网络协议和攻击原理的工具，而不是破坏的工具。

Ettercap 是一个功能极其强大的网络分析工具，通过本教程，你应该已经掌握了它的基本工作原理和图形界面的使用方法，从简单的被动嗅探，到主动的中间人攻击和内容注入，Ettercap 展示了局域网安全的基本脆弱性。

请务必在合法、授权的环境下使用这些知识，并将其用于提升网络安全，而不是造成破坏。