Ettercap最初设计为交换网上的sniffer

111

Ettercap最初设计为交换网上的sniffer，但是随着发展，它获得了越来越多的功能，成为一款有效的、灵活的中介攻击工具。它支持主动及被动的协议解析并包含了许多网络和主机特性（如OS指纹等）分析。

Ettercap有5种sniffing工作方式：

1、IPBASED

在基于IP地址的sniffing方式下，Ettercap将根据源IP-PORT和目的IP-PORT来捕获数据包。

2、MACBASED

在基于MAC地址的方式下，Ettercap将根据源MAC和目的MAC来捕获数据包（在捕获通过网关的数据包时，这种方式很有用）

3、ARPBASED

在基于ARP欺骗的方式下，Ettercap利用ARP欺骗在交换局域网内监听两个主机之间的通信（全双工）。

4、SMARTARP

在SMARTARP方式下，Ettercap利用ARP欺骗，监听交换网上某台主机与所有已知的其他主机（存在于主机表中的主机）之间的通信（全双工）。

5、PUBLICARP

在PUBLICARP方式下，Ettercap利用ARP欺骗，监听交换网上某台主机与所有其它主机之间的通信（半双工）。此方式以广播方式发送ARP响应，但是如果Ettercap已经拥有了完整的主机地址表（或在Ettercap启动时已经对LAN上的主机进行了扫描），Ettercap会自动选取

SMARTARP方式，而且ARP响应会发送给被监听主机之外的所有主机，以避免在Win2K上出现IP地址冲突的消息。

Ettercap中最常用的一些功能包括：

1、在已有连接中注入数据：你可以在维持原有连接不变的基础上向服务器或客户端注入数据，以达到模拟命令或响应的目的。

2、SSH1支持：你可以捕获SSH1连接上的User和PASS信息，甚至其他数据。Ettercap是第一个在全双工的条件下监听SSH连接的软件。

3、HTTPS支持：你可以监听http SSL连接上加密数据，甚至通过PROXY的连接。

111

4、监听通过GRE通道的远程通信：你可以通过监听来自远程cisco路由器的GRE通道的数据流，并对它进行中间人攻击。

5、Plug-in支持：你可以通过Ettercap的API创建自己的Plug-in。

6、口令收集：你可以收集以下协议的口令信息，TELNET、FTP、POP、RLOGIN、SSH1、ICQ、SMB、MySQL、HTTP、

NNTP、X11、NAPSTER、IRC、RIP、BGP、SOCK5、IMAP4、VNC、LDAP、NFS、SNMP、HALFLIFE、

QUAKE3、MSNYMSG（不久还会有新的协议获得支持）。

7、数据包过滤和丢弃：你可以建立一个查找特定字符串（甚至包括十六近制数）的过滤链，根据这个过滤链对TCP/UDP数据包进行过滤并用自己的数据替换这些数据包，或丢弃整个数据包。

8、被动的OS指纹提取：你可以被动地（不必主动发送数据包）获取局域网上计算机系统的详细信息，包括操作系统版本、运行的服务、打开的端口、IP地址、MAC地址和网卡的生产厂家等信息。

9、OS指纹：你可以提取被控主机的OS指纹以及它的网卡信息（利用NMAP Fyodor数据库）。

10、杀死一个连接：杀死当前连接表中的连接，甚至所有连接。

11、数据包生产：你可以创建和发送伪造的数据包。允许你伪造从以太报头到应用层的所有信息。

12、把捕获的数据流绑定到一个本地端口：你可以通过一个客户端软件连接到该端口上，进行进一步的协议解码或向其中注入数据（仅适用于基于 ARP的方式）。

Ettercap的优点在于：

1、它不需要libpcap、libnet等常用库的支持。

2、基于ARP欺骗的sniffing不需要把执行ettercap的主机的网卡设置为全收方式。

3、支持后台执行。

是不是很酷呀？！

Ettercap的选项说明：

<1> 监听方式：

111

-a,--arpsniff

基于ARP的sniffing。

指定监听交换网的方式，如果你想要采用中间人技术进行攻击，必须选用这个选项。如果这个参数与静音方式（-z选项）连用，你必须为ARPBASED方式指定两对IP-MAC地址（全双工），或者为PUBLICARP方式指定一个IP-MAC地址（半双工）。在PUBLICARP方式下，ARP响应是以广播方式发送的，但是，如果Ettercap拥有了完整的主机表（在启动时对局域网进行了扫描），Etercap会自动选择SMARTARP方式，ARP响应会发送给处被控主机以外的所有主机，并建立一个哈希表，以便以后在全双工条件下的中间人攻击中可以将数据包从监听主机发送给以这种方式截获的客户。

注释：如果你采用 SMARTARP方式的ARP欺骗，要在配置文件中设置网关的IP地址（GWIP选项），并通过-e选项加载这个文件。否则这个客户将无法连接到远程主机。需要进行包替换或包丢弃的数据包过滤功能仅仅可以在ARPBASED方式下使用，因为为了保持连接必须调整数据包的TCP序列号。

-s,--sniff

基于IP的监听。

这是最早的监听方式。它适用与HUB环境，但是在交换网下就没有作用了。你可以仅仅指定源或目的IP地址，可以指定也可以不指定端口，或者干脆什么也不指定，这样意味着监听网上的所有主机。可以用"ANY"来表示IP地址，它的意思是来自或去往每一个主机。

-m,-macsniff

基于MAC的监听

适用于监听远程的TCP通信。在HUB环境下，如果你想要监听通过网关的连接，仅仅指定欲监视主机的IP和网关的IP是不行的，因为数据包是从外部主机发送的，而不是从网关发送的，所以你不能采取指定IP地址的方法。为了达到监视内外通信的目的，你只要指定被监视主机的MAC地址和网关的MAC地址，这样就可以监视被监听主机的所有Internet通信。

<2> 脱机sniffing：

-T,--readpcapfile <FILE>

脱机sniffing。

如果使能了这个参数，Ettercap将监听一个pcap兼容文件中存储的网络数据包，而不是直接监听网络上的数据包。如果你有tcpdump或etereal转储的数据文件，并想对这些文件进行分析的时候，这个选项非常合适。

-Y,--writepcapfile <FILE>

把数据包转储到一个pcap格式的文件中。

如果你必须要在一个交换的局域网上使用主动sniffing（通过ARP欺骗）方式监听，但是又希望利用tcpdump或etereal对截获的数据包进行分析，可以选用这个选项。你可以利用这

111

个选项把监听到的数据包转储在一个文件中，然后加载到适当的应用程序中进行分析。

<3> 通用选项

-N,--simple

非交互方式。

如果你希望从一个脚本提交Ettercap，或者你已经了解一些目标信息，或者你想要在后台提交Ettercap，让它收集数据或口令信息（与-

quite选项连用）的时候，可以采用这个选项。在这种工作方式下，Ettercap的某些功能无法实现，如字符注入等需要交互式处理的功能。但其他功能仍得到全面支持，如过滤功能。所以可以让Ettercap对两个主机进行ARP欺骗（一台被监视主机和它的网关），并过滤它的所有在80端口的连接，并用一些字符串进行替换，那么它到Internet的所有通信都会按照你的要求而改变。

-z,--silent

以静音方式启动（在启动时没有ARP风暴）。

如果你希望以非攻击方式启动Ettercap（某些NIDS检测到过多的ARP请 …… 此处隐藏：8578字，全部文档内容请下载后查看。喜欢就下载吧 ……