1. 局域网流量嗅探的项目背景与核心思路1.1 这个项目到底在做什么先把话说在前头这篇文章讨论的是局域网安全测试与防御验证所有操作都限定在自己拥有合法管理权限的封闭实验网络中比如你自己搭的虚拟机实验环境、你负责运维的内部测试网段。任何未经授权对他人网络进行流量监听、账号窃取的行为都是违法的这一点没有任何商量余地。我写这篇东西的目的是让你站在防守方视角搞清楚同一网段里别人到底能看到我多少东西从而知道该怎么保护自己。标题里提到的 Ettercap是一款老牌的中间人攻击MITM测试框架常被安全从业者用来做局域网内的流量分析、协议嗅探和攻击模拟。它最经典的能力之一就是在交换式局域网里通过 ARP 欺骗把自己伪装成网关或目标主机让原本点对点传输的数据流绕道经过你的机器从而实现流量捕获。所谓嗅探室友浏览的图片和账号密码本质上就是在同一个局域网内通过 ARP 欺骗把目标主机的流量牵引过来再用 Ettercap 的协议解析能力把 HTTP 明文流量里的图片、表单提交的账号密码提取出来。这里有个关键前提必须讲清楚能嗅探到的只有明文传输的内容。如果目标访问的是 HTTPS 站点你抓到的只是一堆加密后的乱码除非配合证书伪造等手段否则拿不到明文。所以这个项目的技术含量一半在流量牵引一半在协议解析而它的杀伤力完全取决于目标是否使用了明文协议。1.2 为什么选择 Ettercap 而不是别的工具做局域网嗅探可选的工具有不少比如 Wireshark、Bettercap、dsniff 系列、Cain 等。我选 Ettercap 作为主线主要基于几个实际考量。第一是集成度高。Ettercap 把 ARP 欺骗、流量转发、协议解析、插件扩展这几件事打包在一个工具里不用你手动开一堆 iptables 规则再配合别的抓包工具。它的统一嗅探模式unified sniffing能自动完成中间人位置抢占省去大量手工配置。第二是协议解析插件丰富。Ettercap 自带大量针对明文协议的解析插件比如http、ftp、pop3、imap、telnet等能直接从流量里把用户名密码、URL、图片这类内容捞出来不需要你自己写解析脚本。对于验证明文协议到底泄露了什么这个目标来说效率极高。第三是跨平台且轻量。Linux 下基本一条命令就能装Windows 下也有图形界面版本。相比之下Bettercap 功能更强但学习曲线更陡Wireshark 擅长分析但不擅长主动牵引流量。Ettercap 刚好卡在够用且好上手的位置。当然它也有短板对 HTTPS 无能为力除非做证书欺骗、对新协议支持一般、ARP 欺骗容易被静态绑定或 ARP 检测工具发现。这些短板恰恰是防守方要重点利用的地方后面会展开讲。1.3 实验环境的搭建原则做这类测试环境隔离是第一原则。我的做法是用一台宿主机开三台虚拟机全部桥接到同一个**仅主机模式Host-Only**的虚拟网卡上形成一个与外界完全隔离的封闭网段。三台机器的角色分别是攻击机装 Kali 或任意 Linux 发行版安装 Ettercap作为中间人。目标机模拟室友的电脑装一个普通桌面系统用来访问测试站点。网关/服务器模拟路由器和目标网站可以用一台 Linux 同时扮演网关和 HTTP 服务器。网段规划上我用192.168.100.0/24这个私有网段网关设为192.168.100.1攻击机192.168.100.10目标机192.168.100.20。这样规划的好处是地址清晰、便于记忆出问题时排查也快。注意千万不要在公共 WiFi、公司办公网、学校宿舍网这类你无权管理的网络上做任何 ARP 欺骗测试。哪怕只是试试看也可能导致整个网段断网属于实打实的破坏行为。2. 核心原理拆解ARP 欺骗与流量牵引2.1 交换式局域网为什么默认嗅探不到很多人有个误区以为同一个 WiFi 下就能互相看到流量。实际上现代局域网几乎都是交换式网络交换机或无线 AP会维护一张 MAC 地址表记录每个 MAC 地址对应哪个物理端口。当主机 A 要给主机 B 发数据时交换机会根据目标 MAC 地址只把数据帧转发到 B 所在的那个端口其他端口收不到。这就是所谓的端口隔离。所以默认情况下你在自己机器上抓包只能看到广播包比如 ARP 请求和发给自己或从自己发出的单播包看不到室友和网关之间的私密通信。想看到别人的流量就必须想办法让数据流经你的网卡这就是中间人攻击要解决的问题。2.2 ARP 协议的设计缺陷ARP地址解析协议的作用是把 IP 地址翻译成 MAC 地址。它的工作方式非常天真主机要发数据给某个 IP 时先在局域网里广播一句谁是 192.168.100.1请把你的 MAC 地址告诉我然后对应主机单播回复我是我的 MAC 是 XX:XX:XX:XX:XX:XX。收到回复后主机会把这个 IP-MAC 对应关系存进本地的ARP 缓存表后续通信直接查表不再广播。问题就出在这里ARP 协议没有任何身份验证机制。任何主机都可以主动发送 ARP 应答包声称192.168.100.1 的 MAC 是 我的 MAC而收到这个包的主机不会去核实真假直接更新自己的 ARP 缓存。这就是 ARP 欺骗的根源。2.3 双向欺骗如何实现流量牵引要让目标机的流量经过攻击机需要做双向欺骗对目标机说网关 192.168.100.1 的 MAC 是攻击机的 MAC。对网关说目标机 192.168.100.20 的 MAC 是攻击机的 MAC。这样一来目标机发给网关的数据会先发到攻击机网关发给目标机的数据也会先发到攻击机。攻击机只要开启IP 转发功能把收到的包原样转发给真正的目的地整个通信就不会中断目标机完全察觉不到异常。这就是中间人的完整形态。用生活化的类比原本 A 和 B 直接对话现在攻击机分别告诉 A 和 B以后有话先跟我说我帮你们转达于是攻击机就成了传话筒每句话都从它手里过一遍。2.4 流量牵引后的数据流向流量被牵引到攻击机后数据流向大致是这样的目标机发出 HTTP 请求目标 MAC 是攻击机。攻击机网卡收到帧内核根据 IP 转发规则把包转发给真正的网关。网关收到请求返回响应目标 MAC 也是攻击机因为被欺骗了。攻击机收到响应转发给目标机。与此同时Ettercap 在网卡上抓取所有经过的包交给协议解析插件处理。这里有个细节IP 转发必须开启否则攻击机收到不属于自己的包会直接丢弃目标机就断网了很容易被发现。Linux 下通过sysctl开启Windows 下则要在注册表里改IPEnableRouter。这一步是很多新手翻车的地方后面实操部分会详细讲。3. Ettercap 实操全流程3.1 环境准备与安装先确认攻击机的网卡名称和 IP。用ip addr或ifconfig查看假设网卡是eth0IP 是192.168.100.10。安装 Ettercap不同发行版命令不同# Debian/Ubuntu 系 sudo apt update sudo apt install ettercap-text-only ettercap-graphical -y # RHEL/CentOS 系 sudo yum install epel-release -y sudo yum install ettercap -y我一般装ettercap-text-only做命令行操作图形界面版在需要看实时内容时用。装完后用ettercap -v确认版本。开启 IP 转发# 临时开启 sudo sysctl -w net.ipv4.ip_forward1 # 永久生效写入配置文件 echo net.ipv4.ip_forward1 | sudo tee -a /etc/sysctl.conf sudo sysctl -p提示如果忘了开 IP 转发目标机会表现为能连上但打不开网页这种半死不活的状态比直接断网更容易引起怀疑务必先开转发再启动欺骗。3.2 扫描网段锁定目标启动 Ettercap 前先摸清网段里有哪些主机。用 Ettercap 自带的扫描功能sudo ettercap -T -i eth0 -M arp -q不过更直观的方式是先用nmap或arp-scan扫一遍sudo arp-scan --interfaceeth0 --localnet输出会列出网段内所有活跃主机的 IP 和 MAC。假设我们锁定目标机192.168.100.20网关192.168.100.1。记下它们的 MAC 地址后面配置会用到。3.3 启动 Ettercap 进行 ARP 欺骗Ettercap 的启动参数比较多我拆开讲。核心命令sudo ettercap -T -q -i eth0 -M arp:remote /192.168.100.20// /192.168.100.1//参数含义-T文本模式text-only适合命令行操作。-q安静模式不打印多余的包信息只显示插件抓到的内容。-i eth0指定网卡。-M arp:remote使用 ARP 欺骗插件remote表示双向欺骗同时欺骗目标和网关。/192.168.100.20//目标主机两个斜杠之间留空表示匹配该 IP 的所有端口。/192.168.100.1//网关。如果你想同时欺骗多个目标可以写成/192.168.100.20-30//这样的范围。启动后Ettercap 会持续发送伪造的 ARP 应答包维持欺骗状态。3.4 加载协议解析插件光有流量还不够得让 Ettercap 把有用信息解析出来。Ettercap 的插件在启动时用-P加载或者运行中按快捷键调用。常用的几个http解析 HTTP 请求提取 URL、表单数据、图片。ftp抓 FTP 用户名密码。pop3/imap抓邮件账号密码。dns_spoofDNS 欺骗本项目不涉及仅列出。启动时加载 http 插件sudo ettercap -T -q -i eth0 -P http -M arp:remote /192.168.100.20// /192.168.100.1//运行中Ettercap 会把抓到的 HTTP 请求实时打印在终端里包括请求方法、Host、URL 路径。如果表单是 GET 提交参数直接显示在 URL 里如果是 POST插件也能解析出表单字段。3.5 图片嗅探的实现细节图片嗅探稍微特殊一点。HTTP 图片通常以二进制流传输Ettercap 的 http 插件默认只打印文本信息不会把图片文件保存下来。想保存图片有两个思路。思路一用 Ettercap 的-w参数把原始流量存成 pcap 文件再用 Wireshark 或tcpflow提取。sudo ettercap -T -q -i eth0 -w capture.pcap -M arp:remote /192.168.100.20// /192.168.100.1//抓完后用tcpflow还原tcpflow -r capture.pcap -o output_dirtcpflow会按 TCP 流把数据还原成文件图片、HTML、CSS 都能分离出来图片文件直接就能打开。思路二用 Ettercap 的remote_browser插件它能把目标访问的 URL 记录下来你事后根据 URL 去下载。不过这个插件在新版本里支持一般我更推荐思路一的 pcap tcpflow 组合通用性最强。实操心得tcpflow 还原出来的文件没有扩展名需要根据文件头判断类型。图片文件开头一般是FF D8JPEG或89 50 4E 47PNG用file命令批量识别一下就能分类。3.6 账号密码嗅探的完整演示账号密码嗅探是重点。假设目标机访问一个 HTTP 登录页面提交表单。Ettercap 的 http 插件会打印类似这样的内容HTTP : 192.168.100.20:54321 - 192.168.100.1:80 POST /login.php HTTP/1.1 Host: test.local ... usernameadminpassword123456POST 表单的字段和值会直接显示出来。如果是 GET 提交参数在 URL 里同样能看到。这就是明文 HTTP 的可怕之处账号密码在网络里裸奔任何能牵引流量的人都能看到。对于 FTP加载ftp插件后登录时的USER和PASS命令会被直接打印。POP3、IMAP 同理。这些老协议默认都是明文嗅探起来毫无难度。3.7 停止欺骗与恢复网络测试做完一定要干净地停止否则目标机的 ARP 缓存里还留着错误记录会持续断网。Ettercap 正常退出按q或 CtrlC时会自动发送正确的 ARP 应答把缓存纠正回来。如果异常退出没恢复可以手动在目标机上清缓存或者等 ARP 缓存超时通常几分钟。Linux 下清 ARP 缓存sudo ip neigh flush allWindows 下arp -d *4. 常见问题与排查技巧实录4.1 目标机断网或网速变慢这是最常见的问题九成是IP 转发没开。攻击机收到不属于自己的包如果没开转发内核直接丢弃目标机的请求就石沉大海。检查方法cat /proc/sys/net/ipv4/ip_forward返回1才是开启状态。另外如果攻击机开了防火墙iptables/nftables可能把转发流量拦了需要放行 FORWARD 链sudo iptables -P FORWARD ACCEPT4.2 Ettercap 抓不到任何内容排查顺序如下确认欺骗是否生效。在目标机上执行arp -a看网关的 MAC 是不是变成了攻击机的 MAC。如果不是说明欺骗没成功可能是目标机装了 ARP 防火墙或静态绑定。确认流量是否经过攻击机。在攻击机上用tcpdump -i eth0 host 192.168.100.20看有没有包。有包但 Ettercap 没解析说明是插件问题没包说明牵引失败。确认协议是否明文。如果目标访问的全是 HTTPSEttercap 抓到的只是加密数据http 插件自然解析不出东西。这是正常现象不是工具坏了。4.3 插件加载失败或报错Ettercap 的插件依赖对应的库。比如 http 插件需要libpcap和libnet。如果启动时报Plugin not found先确认插件文件在/usr/lib/ettercap/目录下再检查依赖是否装全。Debian 系可以重装ettercap-common包补齐。4.4 目标机使用 HTTPS 怎么办HTTPS 流量在中间人视角下是加密的Ettercap 拿不到明文。想突破需要做证书伪造让目标机信任攻击机的证书然后攻击机再和真实服务器建立 TLS 连接实现解密。这套流程叫 SSL 中间人工具上可以用 Ettercap 配合sslstrip或mitmproxy。但要注意现代浏览器对证书校验越来越严HSTS 预加载列表也让 sslstrip 效果大打折扣。所以现实里HTTPS 是防守方最有效的护城河。4.5 常见问题速查表现象可能原因排查方法解决方式目标机断网IP 转发未开cat /proc/sys/net/ipv4/ip_forward开启转发放行 FORWARD抓不到包ARP 欺骗未生效目标机arp -a看网关 MAC检查目标机是否有 ARP 防护有包无内容流量是 HTTPS看目标访问的 URL 协议属正常HTTPS 无法直接解密插件报错依赖库缺失查看启动日志重装 ettercap-common图片存不下来插件不保存二进制检查是否用了 -w 参数用 pcap tcpflow 还原欺骗时断时续ARP 缓存被刷新观察 Ettercap 是否持续发包保持 Ettercap 运行勿中断4.6 独家避坑经验几个我踩过的坑分享出来省得你重复。第一别在无线网卡上直接做。有些无线网卡驱动对混杂模式和 ARP 欺骗支持不好会出现欺骗成功但抓不到包的诡异现象。有条件尽量用有线网卡或者用支持监听模式的无线网卡。第二Ettercap 的图形界面和命令行别同时开。两个实例同时做 ARP 欺骗会互相打架导致目标机 ARP 缓存反复横跳网络时通时断非常容易被发现。第三测试完记得检查目标机的 ARP 缓存。Ettercap 正常退出会恢复但如果被 kill -9 强杀恢复逻辑不执行目标机可能一直断网。养成手动确认的习惯。第四抓包文件别存太大。长时间嗅探会产生巨大的 pcap 文件几个 G 很常见。建议用-w配合时间限制或者定期切割文件避免把磁盘写满。5. 从攻击视角看防御怎么保护自己不被嗅探5.1 为什么 HTTPS 是最有效的防线前面反复强调Ettercap 能嗅探的前提是明文传输。只要网站用了 HTTPS账号密码、图片内容在传输过程中都是加密的中间人抓到的只是密文。所以对普通用户来说养成看地址栏锁图标的习惯是最简单有效的自保手段。浏览器对 HTTP 站点会明确标注不安全看到这个提示就要警惕尤其涉及登录、支付时。5.2 ARP 静态绑定与防护工具针对 ARP 欺骗最直接的防御是静态 ARP 绑定手动把网关的 IP-MAC 对应关系写死不接受动态更新。Linux 下sudo ip neigh add 192.168.100.1 lladdr 网关真实MAC dev eth0 nud permanentWindows 下用netsh interface ipv4 add neighbors添加静态邻居。这样即使攻击机发伪造 ARP 应答本机也不会更新缓存。另外可以装 ARP 防护工具比如arpwatch、XArp它们会监控 ARP 表变化发现异常时告警。企业网络里交换机上的DAI动态 ARP 检测功能能从源头拦截伪造 ARP 包是最彻底的方案。5.3 日常使用中的几个习惯除了技术手段习惯也很重要。公共 WiFi 下尽量不登录敏感账号必须登录时确认是 HTTPS有条件的话用手机热点代替公共 WiFi定期检查自己电脑的 ARP 缓存有没有异常条目。这些习惯看着简单但能挡掉绝大多数局域网嗅探。5.4 检测自己是否被中间人如果你怀疑自己被 ARP 欺骗了可以这样查在命令行执行arp -a看网关的 MAC 地址是否和路由器背面标注的一致。不一致基本就是被欺骗了。用tracertWindows或tracerouteLinux看第一跳的 IP如果第一跳不是网关而是某个陌生内网 IP说明流量被牵引了。观察网速是否异常变慢中间人转发会引入延迟。发现异常后最快的处理方式是断开网络改用手机热点然后联系网络管理员排查。6. 关于这类测试的边界与个人体会写到这里技术层面的东西基本讲完了。最后说几句掏心窝的话。这类局域网嗅探技术本身是中性的安全从业者用它做渗透测试、做防御验证是正当的但一旦越过授权边界用它去窥探别人的隐私、窃取账号性质就完全变了。我在实际做安全评估时从来都是先拿到书面授权明确测试范围和时间窗口测试完第一时间提交报告并协助修复。这不是走形式而是这个行业最基本的职业底线。从防御角度看这个项目最大的价值是让普通人直观地看到明文传输有多危险。很多人觉得我就连个 WiFi能有什么事直到亲眼看到自己的账号密码在别人屏幕上明文滚动才会真正重视起来。所以如果你拿这套东西做演示我建议把重点放在如何防御上而不是如何攻击上。技术是把双刃剑用在哪一面取决于握剑的人。另外补充一个小技巧如果你只是想验证自己家的网络是否安全可以在自己两台设备之间做这个实验一台当攻击机一台当目标机全程在自己掌控范围内。这样既能学到东西又不会碰到任何法律和道德红线。实验做完记得把 IP 转发关掉把 ARP 缓存清干净恢复原状。这个习惯比技术本身更重要。
