ARP中間人攻擊

ARP中間人攻擊也稱ARP緩存攻擊。為了捕獲那些本來不應該被kali本機看到的流量數據，我們需要想辦法把不屬于kali的數據包截獲發送到kali本地系統上，也叫攔截其他主機收發的數據，然后再把原有數據轉發給原本的收發雙方，從而實現流量捕獲（不同于上節課的kali本機流量捕獲?。?。換言之，這是業內普片采用的地址解析協議（ARP）緩存攻擊，也稱ARP欺騙攻擊。

ARP演示

計算機數據收發原理：

比如ubuntu（192.168.31.178）發送數據到xp（192.168.31.50）。一個數據包在發送之前，ubuntu會確定xp目標主機的ip地址以及mac地址，一旦確定，才會進行發送數據包。

而這個過程是：

如果ubuntu的ARP緩存條目列表中沒有xp的ip和MAC地址。Ubuntu就會騷動起來，拿著喇叭在本地網絡上廣播，相當于在那喊（誰的ip地址是192.168.31.50，我要送你一封情書，嘿嘿?。?，然后本地網絡中某個妹子（xp）聽到了，騷動的回答（你妹的，我的ip是192.168.31.50，另外我的mac地址是00:0c:29:a9:ce:92，發我這來）。

如果ubuntu的ARP緩存已經存在xp的ip和MAC地址（之前連接過）。Ubuntu此時就不會在本地網絡大聲喊麥了（不用廣播），而是直接拿起存好的xp電話號碼（已經在ARP緩存中存好的ip），進行聯系，實現發送數據包。

但不管怎樣，數據包的收發都需要目標設備的ip地址和對應的MAC地址。

那么我們來個第三者kali，使用ip轉發，開啟ARP緩存攻擊，就會將ubuntu上ARP中xp的ip和mac變成kali的ip和mac；同時也會將xp中ARP緩存的列表ubuntu修改成kali的ip和mac。這樣就實現了kali截獲ubuntu發往xp，或者xp發往ubuntu的數據流量。

ARP緩存攻擊與Arpspoof

測試案例：ubuntu靶機登錄xp靶機的Filezilla的ftp服務，使用ARP緩存攻擊來截獲登錄信息！

路由轉發

在誘使ubuntu靶機把流量發送到我們kali之前，需要打開kali的路由轉發：

echo 1 > /proc/sys/net/ipv4/ip_forward

如果沒有進行路由轉發，整個本地網絡就會出現Dos拒絕服務，導致ubuntu無法正確發送數據，xp也無法接收數據。我們不是來破壞網絡，而是默默的在中間截取他們之間的情話，然后黯然欣喜即可！

使用arpspoof工具將kali偽裝成xp

Kali終端輸入：

arpspoof -i eth0 -t 192.168.31.178 192.168.31.50

解釋：-i設置本地網絡接口、-t靶機發送方ubuntu、靶機接收方xp（其實是kali偽裝的），kali在這里充當中間人，偽裝成xp接收方，使用我們的mac作為xp接收方的mac，實現截獲！

上面的arpspoof（kali）立即開始向ubuntu發送方發送arp（偽裝成xp）應答，

現在繼續開啟一個arpspoof實例，kali新終端輸入：

arpspoof -i eth0 -t 192.168.31.50 192.168.31.178

解釋：kali繼續充當中間人，-t靶機發送方xp，靶機接收方ubuntu（其實是kali偽裝的），告訴xp我們kali就是接收方Ubuntu，此處使用我們kali的mac來充當接收方ubuntu的mac，實現截獲！

查看ubuntu上的ARP緩存列表

之前kali、xp都和ubuntu通信過，這樣才會在ubuntu的ARP緩存中存儲kali、xp本身的ip和MAC地址?？梢圆扇≡趚p、kali終端中 ping ubuntu的ip實現通信（ping 192.168.31.178）

Ubuntu終端輸入：

arp -a

發現kali（192.168.31.206）的MAC地址（00:0c:29:1a:7f:b9）和xp（192.168.31.50）的mac是一模一樣的！這就意味著ubuntu發完xp的數據會先發給kali主機，然后kali主機又將數據轉發給xp，這個過程中，kali就使用wireshark將流量捕獲、分析！