MITM（中間人攻擊）原理及防範初探（一）
http://blog.csdn.net/dj1174232716/article/details/38377135
不知道大家是否還記得，去年一個名為TH4CK的組織擼翻了很多大論壇，時候大家紛紛對其技術使用猜想，有說0day的，有說dns劫持的，也有說C段神馬的，當然也有arp搞機房的，不管怎樣，今兒我們講的MITM其中一種手法就是arp欺騙（好吧，我承認這一段是我用來湊字數開頭的）
額，步驟什麼的網上都有，我就用我不太好的描述能力說說原理和防範吧，水平有限，還請大家多多指教
測試環境：
閘道器：172.16.1.1
測試主機：Ubuntu 12.04 LTS
IP：172.16.1.31
IP:172.16.1.11
一、利用ettercap進行arp欺騙及劫持明文口令
arp欺騙原理：
首先科普一下，arp欺騙是怎麼做到的？
假設在我的網段內
一個Hub接了3臺裝置
Host0 Host1 Host2 其中
Host0地址為：IP：172.16.1.1 MAC: AA-AA-AA-AA-AA-AA
Host1的地址為：IP：172.16.1.2 MAC: BB-BB-BB-BB-BB-BB
Host2的地址為：IP：172.16.1.3 MAC: CC-CC-CC-CC-CC-CC
在正常情況下，Host2的arp資訊如下：
Interface: 172.16.1.1 on Interface 0×1000003
Internet Address Physical Address Type
172.16.1.3 CC-CC-CC-CC-CC-CC dynamic
現在扯淡的Host1進行arp欺騙
Host1向Host0傳送一個自己偽造的ARP應答，而這個應答中的資料為傳送方IP地址是172.16.1.3（Host2的IP地址），MAC地址是SB-SB-SB-SB-SB-SB（Host2的MAC地址本來應該是CC-CC-CC-CC-CC-CC，這裡被偽造了）。當Host0接收到Host1偽造的ARP應答，就會更新本地的 ARP快取（Host0不明真相，不知道被偽造）。而且Host0不知道其實是從Host1傳送過來的，Host0這裡只有172.16.1.3（Host2的IP地址）和無效的SB-SB-SB-SB-SB-SB mac地址
毒化後，arp如下：
Interface: 172.16.1.1 on Interface 0×1000003
Internet Address Physical Address Type
172.16.1.3 SB-SB-SB-SB-SB-SB dynamic
這不是小事，這個假的mac提交到Host0後根本就ping不通Host2，當局域網內，一臺機子反覆的向一個地方發無效的arp應答包，如果這個機器是閘道器，那會怎樣？網路堵塞，還不指，如果我們欺騙的是目標主機我這臺機子是閘道器，那麼目標主機每每通過閘道器的包都會發到我這裡，嗯，邪惡的事情你就可以做了～
下面是我差不多演示一下～
開啟ettercap
開啟圖形介面後選sniff，選擇你的網絡卡狀態
在host選項卡中選scan，掃描後選host list列出主機，選擇你的目標主機（也就是前面說的Host2）
然後新增到target 1
然後選擇閘道器，新增到target2
這裡就是說，我和目標主機說，我是閘道器
然後在MITM選項卡中選擇arp poisoning然後選sniff
之後你就可以檢視一下目標主機的arp（我這裡手機不方便截圖。。。）
剛剛我們說了，還要做明文的劫聽～
選start選項卡中的start sniffing
文筆差，純屬科普，原理可能講述的不好，我之後的文章會盡力寫清爽