Ettercap局域网嗅探实战：ARP欺骗与明文流量捕获

1. 局域网流量嗅探的项目背景与核心思路

1.1 这个项目到底在做什么

先把话说在前头：这篇文章讨论的是局域网安全测试与防御验证，所有操作都限定在自己拥有合法管理权限的封闭实验网络中，比如你自己搭的虚拟机实验环境、你负责运维的内部测试网段。任何未经授权对他人网络进行流量监听、账号窃取的行为，都是违法的，这一点没有任何商量余地。我写这篇东西的目的，是让你站在防守方视角，搞清楚"同一网段里别人到底能看到我多少东西"，从而知道该怎么保护自己。

标题里提到的 Ettercap，是一款老牌的中间人攻击（MITM）测试框架，常被安全从业者用来做局域网内的流量分析、协议嗅探和攻击模拟。它最经典的能力之一，就是在交换式局域网里通过 ARP 欺骗，把自己伪装成网关或目标主机，让原本点对点传输的数据流"绕道"经过你的机器，从而实现流量捕获。所谓"嗅探室友浏览的图片和账号密码"，本质上就是：在同一个局域网内，通过 ARP 欺骗把目标主机的流量牵引过来，再用 Ettercap 的协议解析能力，把 HTTP 明文流量里的图片、表单提交的账号密码提取出来。

这里有个关键前提必须讲清楚：能嗅探到的，只有明文传输的内容。如果目标访问的是 HTTPS 站点，你抓到的只是一堆加密后的乱码，除非配合证书伪造等手段，否则拿不到明文。所以这个项目的技术含量，一半在流量牵引，一半在协议解析，而它的"杀伤力"完全取决于目标是否使用了明文协议。

1.2 为什么选择 Ettercap 而不是别的工具

做局域网嗅探，可选的工具有不少，比如 Wireshark、Bettercap、dsniff 系列、Cain 等。我选 Ettercap 作为主线，主要基于几个实际考量。

第一是集成度高。Ettercap 把 ARP 欺骗、流量转发、协议解析、插件扩展这几件事打包在一个工具里，不用你手动开一堆 iptables 规则再配合别的抓包工具。它的"统一嗅探"模式（unified sniffing）能自动完成中间人位置抢占，省去大量手工配置。

第二是协议解析插件丰富。Ettercap 自带大量针对明文协议的解析插件，比如http、ftp、pop3、imap、telnet等，能直接从流量里把用户名密码、URL、图片这类内容"捞"出来，不需要你自己写解析脚本。对于验证"明文协议到底泄露了什么"这个目标来说，效率极高。

第三是跨平台且轻量。Linux 下基本一条命令就能装，Windows 下也有图形界面版本。相比之下，Bettercap 功能更强但学习曲线更陡，Wireshark 擅长分析但不擅长主动牵引流量。Ettercap 刚好卡在"够用且好上手"的位置。

当然它也有短板：对 HTTPS 无能为力（除非做证书欺骗）、对新协议支持一般、ARP 欺骗容易被静态绑定或 ARP 检测工具发现。这些短板恰恰是防守方要重点利用的地方，后面会展开讲。

1.3 实验环境的搭建原则

做这类测试，环境隔离是第一原则。我的做法是：用一台宿主机开三台虚拟机，全部桥接到同一个**仅主机模式（Host-Only）**的虚拟网卡上，形成一个与外界完全隔离的封闭网段。三台机器的角色分别是：

• 攻击机：装 Kali 或任意 Linux 发行版，安装 Ettercap，作为中间人。
• 目标机：模拟"室友"的电脑，装一个普通桌面系统，用来访问测试站点。
• 网关/服务器：模拟路由器和目标网站，可以用一台 Linux 同时扮演网关和 HTTP 服务器。

网段规划上，我用192.168.100.0/24这个私有网段，网关设为192.168.100.1，攻击机192.168.100.10，目标机192.168.100.20。这样规划的好处是地址清晰、便于记忆，出问题时排查也快。

注意：千万不要在公共 WiFi、公司办公网、学校宿舍网这类你无权管理的网络上做任何 ARP 欺骗测试。哪怕只是"试试看"，也可能导致整个网段断网，属于实打实的破坏行为。

2. 核心原理拆解：ARP 欺骗与流量牵引

2.1 交换式局域网为什么默认嗅探不到

很多人有个误区，以为"同一个 WiFi 下就能互相看到流量"。实际上，现代局域网几乎都是交换式网络，交换机（或无线 AP）会维护一张 MAC 地址表，记录每个 MAC 地址对应哪个物理端口。当主机 A 要给主机 B 发数据时，交换机会根据目标 MAC 地址，只把数据帧转发到 B 所在的那个端口，其他端口收不到。这就是所谓的端口隔离。

所以默认情况下，你在自己机器上抓包，只能看到广播包（比如 ARP 请求）和发给自己或从自己发出的单播包，看不到室友和网关之间的私密通信。想看到别人的流量，就必须想办法让数据"流经"你的网卡，这就是中间人攻击要解决的问题。

2.2 ARP 协议的设计缺陷

ARP（地址解析协议）的作用，是把 IP 地址翻译成 MAC 地址。它的工作方式非常"天真"：主机要发数据给某个 IP 时，先在局域网里广播一句"谁是 192.168.100.1？请把你的 MAC 地址告诉我"，然后对应主机单播回复"我是，我的 MAC 是 XX:XX:XX:XX:XX:XX"。收到回复后，主机会把这个 IP-MAC 对应关系存进本地的ARP 缓存表，后续通信直接查表，不再广播。

问题就出在这里：ARP 协议没有任何身份验证机制。任何主机都可以主动发送 ARP 应答包，声称"192.168.100.1 的 MAC 是 我的 MAC"，而收到这个包的主机不会去核实真假，直接更新自己的 ARP 缓存。这就是 ARP 欺骗的根源。

2.3 双向欺骗如何实现流量牵引

要让目标机的流量经过攻击机，需要做双向欺骗：

• 对目标机说："网关 192.168.100.1 的 MAC 是攻击机的 MAC。"
• 对网关说："目标机 192.168.100.20 的 MAC 是攻击机的 MAC。"

这样一来，目标机发给网关的数据，会先发到攻击机；网关发给目标机的数据，也会先发到攻击机。攻击机只要开启IP 转发功能，把收到的包原样转发给真正的目的地，整个通信就不会中断，目标机完全察觉不到异常。这就是"中间人"的完整形态。

用生活化的类比：原本 A 和 B 直接对话，现在攻击机分别告诉 A 和 B"以后有话先跟我说，我帮你们转达"，于是攻击机就成了传话筒，每句话都从它手里过一遍。

2.4 流量牵引后的数据流向

流量被牵引到攻击机后，数据流向大致是这样的：

1. 目标机发出 HTTP 请求，目标 MAC 是攻击机。
2. 攻击机网卡收到帧，内核根据 IP 转发规则，把包转发给真正的网关。
3. 网关收到请求，返回响应，目标 MAC 也是攻击机（因为被欺骗了）。
4. 攻击机收到响应，转发给目标机。
5. 与此同时，Ettercap 在网卡上抓取所有经过的包，交给协议解析插件处理。

这里有个细节：IP 转发必须开启，否则攻击机收到不属于自己的包会直接丢弃，目标机就断网了，很容易被发现。Linux 下通过sysctl开启，Windows 下则要在注册表里改IPEnableRouter。这一步是很多新手翻车的地方，后面实操部分会详细讲。

3. Ettercap 实操全流程

3.1 环境准备与安装

先确认攻击机的网卡名称和 IP。用ip addr或ifconfig查看，假设网卡是eth0，IP 是192.168.100.10。

安装 Ettercap，不同发行版命令不同：

# Debian/Ubuntu 系 sudo apt update sudo apt install ettercap-text-only ettercap-graphical -y # RHEL/CentOS 系 sudo yum install epel-release -y sudo yum install ettercap -y

我一般装ettercap-text-only做命令行操作，图形界面版在需要看实时内容时用。装完后用ettercap -v确认版本。

开启 IP 转发：

# 临时开启 sudo sysctl -w net.ipv4.ip_forward=1 # 永久生效，写入配置文件 echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf sudo sysctl -p

提示：如果忘了开 IP 转发，目标机会表现为"能连上但打不开网页"，这种半死不活的状态比直接断网更容易引起怀疑，务必先开转发再启动欺骗。

3.2 扫描网段，锁定目标

启动 Ettercap 前，先摸清网段里有哪些主机。用 Ettercap 自带的扫描功能：

sudo ettercap -T -i eth0 -M arp -q

不过更直观的方式是先用nmap或arp-scan扫一遍：

sudo arp-scan --interface=eth0 --localnet

输出会列出网段内所有活跃主机的 IP 和 MAC。假设我们锁定目标机192.168.100.20，网关192.168.100.1。记下它们的 MAC 地址，后面配置会用到。

3.3 启动 Ettercap 进行 ARP 欺骗

Ettercap 的启动参数比较多，我拆开讲。核心命令：

sudo ettercap -T -q -i eth0 -M arp:remote /192.168.100.20// /192.168.100.1//

参数含义：

• -T：文本模式（text-only），适合命令行操作。
• -q：安静模式，不打印多余的包信息，只显示插件抓到的内容。
• -i eth0：指定网卡。
• -M arp:remote：使用 ARP 欺骗插件，remote表示双向欺骗（同时欺骗目标和网关）。
• /192.168.100.20//：目标主机，两个斜杠之间留空表示匹配该 IP 的所有端口。
• /192.168.100.1//：网关。

如果你想同时欺骗多个目标，可以写成/192.168.100.20-30//这样的范围。启动后，Ettercap 会持续发送伪造的 ARP 应答包，维持欺骗状态。

3.4 加载协议解析插件

光有流量还不够，得让 Ettercap 把有用信息解析出来。Ettercap 的插件在启动时用-P加载，或者运行中按快捷键调用。常用的几个：

• http：解析 HTTP 请求，提取 URL、表单数据、图片。
• ftp：抓 FTP 用户名密码。
• pop3/imap：抓邮件账号密码。
• dns_spoof：DNS 欺骗（本项目不涉及，仅列出）。

启动时加载 http 插件：

sudo ettercap -T -q -i eth0 -P http -M arp:remote /192.168.100.20// /192.168.100.1//

运行中，Ettercap 会把抓到的 HTTP 请求实时打印在终端里，包括请求方法、Host、URL 路径。如果表单是 GET 提交，参数直接显示在 URL 里；如果是 POST，插件也能解析出表单字段。

3.5 图片嗅探的实现细节

图片嗅探稍微特殊一点。HTTP 图片通常以二进制流传输，Ettercap 的 http 插件默认只打印文本信息，不会把图片文件保存下来。想保存图片，有两个思路。

思路一：用 Ettercap 的-w参数把原始流量存成 pcap 文件，再用 Wireshark 或tcpflow提取。

sudo ettercap -T -q -i eth0 -w capture.pcap -M arp:remote /192.168.100.20// /192.168.100.1//

抓完后用tcpflow还原：

tcpflow -r capture.pcap -o output_dir

tcpflow会按 TCP 流把数据还原成文件，图片、HTML、CSS 都能分离出来，图片文件直接就能打开。

思路二：用 Ettercap 的remote_browser插件，它能把目标访问的 URL 记录下来，你事后根据 URL 去下载。不过这个插件在新版本里支持一般，我更推荐思路一的 pcap + tcpflow 组合，通用性最强。

实操心得：tcpflow 还原出来的文件没有扩展名，需要根据文件头判断类型。图片文件开头一般是FF D8（JPEG）或89 50 4E 47（PNG），用file命令批量识别一下就能分类。

3.6 账号密码嗅探的完整演示

账号密码嗅探是重点。假设目标机访问一个 HTTP 登录页面，提交表单。Ettercap 的 http 插件会打印类似这样的内容：

HTTP : 192.168.100.20:54321 -> 192.168.100.1:80 POST /login.php HTTP/1.1 Host: test.local ... username=admin&password=123456

POST 表单的字段和值会直接显示出来。如果是 GET 提交，参数在 URL 里，同样能看到。这就是明文 HTTP 的可怕之处：账号密码在网络里"裸奔"，任何能牵引流量的人都能看到。

对于 FTP，加载ftp插件后，登录时的USER和PASS命令会被直接打印。POP3、IMAP 同理。这些老协议默认都是明文，嗅探起来毫无难度。

3.7 停止欺骗与恢复网络

测试做完，一定要干净地停止，否则目标机的 ARP 缓存里还留着错误记录，会持续断网。Ettercap 正常退出（按q或 Ctrl+C）时会自动发送正确的 ARP 应答，把缓存"纠正"回来。如果异常退出没恢复，可以手动在目标机上清缓存，或者等 ARP 缓存超时（通常几分钟）。

Linux 下清 ARP 缓存：

sudo ip neigh flush all

Windows 下：

arp -d *

4. 常见问题与排查技巧实录

4.1 目标机断网或网速变慢

这是最常见的问题，九成是IP 转发没开。攻击机收到不属于自己的包，如果没开转发，内核直接丢弃，目标机的请求就石沉大海。检查方法：

cat /proc/sys/net/ipv4/ip_forward

返回1才是开启状态。另外，如果攻击机开了防火墙（iptables/nftables），可能把转发流量拦了，需要放行 FORWARD 链：

sudo iptables -P FORWARD ACCEPT

4.2 Ettercap 抓不到任何内容

排查顺序如下：

1. 确认欺骗是否生效。在目标机上执行arp -a，看网关的 MAC 是不是变成了攻击机的 MAC。如果不是，说明欺骗没成功，可能是目标机装了 ARP 防火墙或静态绑定。
2. 确认流量是否经过攻击机。在攻击机上用tcpdump -i eth0 host 192.168.100.20看有没有包。有包但 Ettercap 没解析，说明是插件问题；没包，说明牵引失败。
3. 确认协议是否明文。如果目标访问的全是 HTTPS，Ettercap 抓到的只是加密数据，http 插件自然解析不出东西。这是正常现象，不是工具坏了。

4.3 插件加载失败或报错

Ettercap 的插件依赖对应的库。比如 http 插件需要libpcap和libnet。如果启动时报Plugin not found，先确认插件文件在/usr/lib/ettercap/目录下，再检查依赖是否装全。Debian 系可以重装ettercap-common包补齐。

4.4 目标机使用 HTTPS 怎么办

HTTPS 流量在中间人视角下是加密的，Ettercap 拿不到明文。想突破，需要做证书伪造，让目标机信任攻击机的证书，然后攻击机再和真实服务器建立 TLS 连接，实现解密。这套流程叫 SSL 中间人，工具上可以用 Ettercap 配合sslstrip或mitmproxy。但要注意：现代浏览器对证书校验越来越严，HSTS 预加载列表也让 sslstrip 效果大打折扣。所以现实里，HTTPS 是防守方最有效的护城河。

4.5 常见问题速查表

现象	可能原因	排查方法	解决方式
目标机断网	IP 转发未开	cat /proc/sys/net/ipv4/ip_forward	开启转发，放行 FORWARD
抓不到包	ARP 欺骗未生效	目标机arp -a看网关 MAC	检查目标机是否有 ARP 防护
有包无内容	流量是 HTTPS	看目标访问的 URL 协议	属正常，HTTPS 无法直接解密
插件报错	依赖库缺失	查看启动日志	重装 ettercap-common
图片存不下来	插件不保存二进制	检查是否用了 -w 参数	用 pcap + tcpflow 还原
欺骗时断时续	ARP 缓存被刷新	观察 Ettercap 是否持续发包	保持 Ettercap 运行，勿中断

4.6 独家避坑经验

几个我踩过的坑，分享出来省得你重复。

第一，别在无线网卡上直接做。有些无线网卡驱动对混杂模式和 ARP 欺骗支持不好，会出现"欺骗成功但抓不到包"的诡异现象。有条件尽量用有线网卡，或者用支持监听模式的无线网卡。

第二，Ettercap 的图形界面和命令行别同时开。两个实例同时做 ARP 欺骗会互相打架，导致目标机 ARP 缓存反复横跳，网络时通时断，非常容易被发现。

第三，测试完记得检查目标机的 ARP 缓存。Ettercap 正常退出会恢复，但如果被 kill -9 强杀，恢复逻辑不执行，目标机可能一直断网。养成手动确认的习惯。

第四，抓包文件别存太大。长时间嗅探会产生巨大的 pcap 文件，几个 G 很常见。建议用-w配合时间限制，或者定期切割文件，避免把磁盘写满。

5. 从攻击视角看防御：怎么保护自己不被嗅探

5.1 为什么 HTTPS 是最有效的防线

前面反复强调，Ettercap 能嗅探的前提是明文传输。只要网站用了 HTTPS，账号密码、图片内容在传输过程中都是加密的，中间人抓到的只是密文。所以对普通用户来说，养成看地址栏锁图标的习惯，是最简单有效的自保手段。浏览器对 HTTP 站点会明确标注"不安全"，看到这个提示就要警惕，尤其涉及登录、支付时。

5.2 ARP 静态绑定与防护工具

针对 ARP 欺骗，最直接的防御是静态 ARP 绑定：手动把网关的 IP-MAC 对应关系写死，不接受动态更新。Linux 下：

sudo ip neigh add 192.168.100.1 lladdr <网关真实MAC> dev eth0 nud permanent

Windows 下用netsh interface ipv4 add neighbors添加静态邻居。这样即使攻击机发伪造 ARP 应答，本机也不会更新缓存。

另外可以装 ARP 防护工具，比如arpwatch、XArp，它们会监控 ARP 表变化，发现异常时告警。企业网络里，交换机上的DAI（动态 ARP 检测）功能能从源头拦截伪造 ARP 包，是最彻底的方案。

5.3 日常使用中的几个习惯

除了技术手段，习惯也很重要。公共 WiFi 下尽量不登录敏感账号；必须登录时，确认是 HTTPS；有条件的话用手机热点代替公共 WiFi；定期检查自己电脑的 ARP 缓存有没有异常条目。这些习惯看着简单，但能挡掉绝大多数局域网嗅探。

5.4 检测自己是否被中间人

如果你怀疑自己被 ARP 欺骗了，可以这样查：

1. 在命令行执行arp -a，看网关的 MAC 地址是否和路由器背面标注的一致。不一致，基本就是被欺骗了。
2. 用tracert（Windows）或traceroute（Linux）看第一跳的 IP，如果第一跳不是网关而是某个陌生内网 IP，说明流量被牵引了。
3. 观察网速是否异常变慢，中间人转发会引入延迟。

发现异常后，最快的处理方式是断开网络，改用手机热点，然后联系网络管理员排查。

6. 关于这类测试的边界与个人体会

写到这里，技术层面的东西基本讲完了。最后说几句掏心窝的话。这类局域网嗅探技术，本身是中性的，安全从业者用它做渗透测试、做防御验证，是正当的；但一旦越过授权边界，用它去窥探别人的隐私、窃取账号，性质就完全变了。我在实际做安全评估时，从来都是先拿到书面授权，明确测试范围和时间窗口，测试完第一时间提交报告并协助修复。这不是走形式，而是这个行业最基本的职业底线。

从防御角度看，这个项目最大的价值，是让普通人直观地看到"明文传输有多危险"。很多人觉得"我就连个 WiFi，能有什么事"，直到亲眼看到自己的账号密码在别人屏幕上明文滚动，才会真正重视起来。所以如果你拿这套东西做演示，我建议把重点放在"如何防御"上，而不是"如何攻击"上。技术是把双刃剑，用在哪一面，取决于握剑的人。

另外补充一个小技巧：如果你只是想验证自己家的网络是否安全，可以在自己两台设备之间做这个实验，一台当"攻击机"，一台当"目标机"，全程在自己掌控范围内。这样既能学到东西，又不会碰到任何法律和道德红线。实验做完，记得把 IP 转发关掉，把 ARP 缓存清干净，恢复原状。这个习惯，比技术本身更重要。