ettercap/ettercapProjeto Ettercap
Copyright 2001-Atual The Ettercap Dev Team
O Ettercap é um conjunto completo de ferramentas para ataques man-in-the-middle. Ele oferece sniffing de conexões ativas, filtragem de conteúdo em tempo real e muitas outras técnicas interessantes. Suporta dissecação ativa e passiva de vários protocolos e inclui muitos recursos para análise de rede e host.
[!NOTE] Aoccdrnig to rscheearch at an Elingsh uinervtisy, it deosn't mttaer in waht oredr the ltteers in a wrod are, the olny iprmoetnt tihng is taht the frist and lsat ltteer are in the rghit pclae. The rset can be a toatl mses and you can sitll raed it wouthit a porbelm. Tihs is bcuseae we do not raed ervey lteter by it slef but the wrod as a wlohe and the biran fguiers it out aynawy.
... então, por favor, desculpe-nos por qualquer erro de digitação na documentação, páginas de manual ou código, a propósito, correções e patches são bem-vindos.
[!TIP] Se você não quiser habilitar o plugin SSLStrip, deve desativá-lo. (mais informações sobre como desativar um plugin no arquivo README.GIT)
libbsdgrofflibltdl (parte do libtool)libpcrencurses >= 5.3Glib >= 2.2.2Gtk+3 >= 3.12.0 (recomendado >= 3.22.0)Atk >= 1.2.4Pango >= 1.2.3[!TIP] Se você estiver usando Debian ou qualquer distribuição baseada em Debian, pode instalar as dependências necessárias executando:
apt-get install build-essential debhelper bison check cmake flex groff libbsd-dev \ libcurl4-openssl-dev libmaxminddb-dev libgtk-3-dev libltdl-dev libluajit-5.1-dev \ libncurses5-dev libnet1-dev libpcap-dev libpcre2-dev libssl-dev
veja o arquivo LICENSE para detalhes...
A maneira mais fácil de compilar o ettercap é da seguinte forma:
mkdir build && cd build
cmake ..
[!TIP] Use
ccmake .para alterar opções como desabilitar suporte a IPv6, adicionar suporte a plugins, etc).
sudo make install
[!NOTE] Leia INSTALL para mais detalhes... e README.PLATFORMS para qualquer problema relacionado ao seu sistema operacional.
Você pode escolher entre 3 Interfaces de Usuário: Modo Texto, Curses, GTK.
Por favor, leia as páginas de manual ettercap(8) e ettercap_curses(8) para aprender como usar o ettercap.
Enviando uma REQUISIÇÃO ARP para cada ip na lan (observando o ip atual e a máscara de rede), é possível obter as RESPOSTAS ARP e então fazer a lista dos hosts que estão respondendo na lan. Com este método, mesmo hosts Windows respondem ao call-for-reply (eles não respondem a broadcast-ping). Tenha muito cuidado se a máscara de rede for classe B (255.255.0.0) porque o ettercap enviará 255*255 = 65025 requisições arp (o atraso padrão entre duas requisições é de 1 milissegundo, pode ser configurado no etter.conf)
O Ettercap NG usa o método de sniffing unificado que é a base para todos os ataques. O encaminhamento de IP do kernel está sempre desabilitado e esta tarefa é realizada pelo próprio ettercap. Pacotes que precisam ser encaminhados são pacotes com endereço MAC de destino igual ao do atacante, mas com endereço IP diferente. Esses pacotes são reenviados de volta ao fio para o destino real. Desta forma, você pode aplicar vários ataques mitm ao mesmo tempo. Você pode até usar atacantes/envenenadores externos, eles só precisam redirecionar pacotes para o host do ettercap e o jogo acabou ;)
Usa duas interfaces de rede e encaminha o tráfego entre elas enquanto realiza sniffing e filtragem de conteúdo. Este método de sniffing é muito furtivo, pois não há como detectar que alguém está no meio. Você pode ver isso como um ataque de camada um. Não use em gateways ou transformará seu gateway em uma ponte.
DICA: Você pode usar o mecanismo de filtragem de conteúdo para descartar pacotes que não deveriam passar. Desta forma, o ettercap funcionará como um IPS inline ;)
Quando você seleciona este método, o ettercap envenenará o cache ARP dos dois hosts, identificando-se como o outro host respectivamente (veja a próxima seção para isso). Uma vez que os caches ARP estão envenenados, os dois hosts iniciam a conexão, mas seus pacotes serão enviados para nós, e nós os gravaremos e, em seguida, encaminharemos para o lado correto da conexão. Portanto, a conexão é transparente para as vítimas, sem que elas saibam que estão sendo espionadas. O único método para descobrir que há um homem-no-meio em sua conexão é olhar para o cache ARP e verificar se há dois hosts com o mesmo endereço MAC! É assim que descobrimos se há outros envenenando o cache ARP em nossa LAN, sendo assim avisados que nosso tráfego está sob controle! =)
HOST 1 - - - - - - - - - - - - - - - - - - - -> HOST 2
(envenenado) (envenenado)
| ^
| |
------------> HOST ATACANTE -------------------
( ettercap )
Legenda:
- - - -> a conexão lógica
-------> a conexão real
O protocolo ARP tem uma insegurança intrínseca. Para reduzir o tráfego no cabo, ele insere uma entrada no cache ARP mesmo que não tenha sido solicitada. Em outras palavras, TODA resposta ARP que passa pelo fio será inserida na tabela ARP. Portanto, aproveitamos essa "característica", enviando respostas ARP falsas para os dois hosts que vamos espionar. Nesta resposta, diremos que o endereço MAC do segundo host é o codificado em nossa placa de rede. Este host agora enviará pacotes que deveriam ir para o primeiro host, para nós, porque ele carrega nosso endereço MAC. O mesmo processo é feito para o primeiro host, de forma inversa, então temos uma conexão perfeita de homem-no-meio entre os dois hosts, recebendo legalmente seus pacotes!!
Exemplo:
HOST 1: mac: 01:01:01:01:01:01 HOST ATACANTE:
ip: 192.168.0.1 mac: 03:03:03:03:03:03
ip: 192.168.0.3
HOST 2: mac: 02:02:02:02:02:02
ip: 192.168.0.2
enviamos respostas arp para: