https://zhuanlan.zhihu.com/p/574465369

Kali渗透-ARP断网攻击与监听

演示如何借助Kali Linux系统内置的 nmap、arpspoof、driftnet、ettercap 等渗透测试工具对局域网内(同WIFI下)同一网段的PC主机、手机进行 ARP 欺骗 和 流量监听，实现对目标主机/手机的 断网攻击、图片窃取、密码监听 等攻击目的。


使用工具：ARP欺骗、图片捕获、抓包

	arpspoof
	ARP欺骗的工具，可毒化受害者ARP缓存，将网关MAC替换为攻击者MAC

	driftnet
	图片捕获工具，用于监听网络流量并从它观察到的TCP流中提取图像的程序

	ettercap
	网络抓包工具，利用ARP协议的缺陷进行中间人攻击，嗅探局域网数据流量


使用Nmap扫描局域网中存活的主机的信息（也可以使用 Kali 内置的 Nmap 图形化界面软件 Zenmap 扫描，结果是一样的）

在Kali终端执行 arpspoof 命令：

	arpspoof -i en0 -t 192.168.0.106(目标IP) 192.168.0.1(网关IP)

	开始进行 ARP 断网攻击，攻击目标为 Win 10 物理主机
	此时 Win 10 主机已经无法正常连接互联网
	在 Kali 的终端中按下键盘 Ctrl+Z 组合键中断欺骗，物理机就可以恢复正常访问互联网了

		可通过jobs命令查看被挂起的进程号
		#jobs ，通过fg命令可以恢复进程到前台执行、bg命令恢复进程到后台执行。
		#jobs -l
		fg %1
		https://www.cnblogs.com/iFrank/p/14459232.html


图片窃取
你以为Kali能做的仅仅是让局域网中主机断网这么简单？
单纯截断受害者的数据流量可没多大意思，
我们何不自己充当中间人将其数据流量转发出去，然后监听、获取受害者的数据流量呢（疯狂暗示）……

端口转发
在对受害者实施以上ARP欺骗实现断网攻击后，
如果攻击者将自己的网卡开启流量转发，
将截获的数据包传到真正网关，则可让受害主机不断网，
同时可以监听到受害者主机的数据流量的内容。
1、编辑 Kali Linux 虚拟机/etc/sysctl.conf 配置文件，
将net.ipv4.ip_forward配置项取消掉“#”注释符号，
并将其值由 0 改为 1 即可开启端口转发：

接着在 Kali 终端重新执行 arpspoof 命令（注意网关IP和主机IP顺序此时需要对换一下）：
arpspoof -i en0 -t 192.168.0.1(网关IP) 192.168.0.106(目标IP)
重新对 Win 10 主机发动 ARP 欺骗攻击，此时其仍能正常联网，端口转发成功
......