中间人攻击框架 bettercap 笔记

from：http://www.1990day.com/bettercap-mitm-framework/

Mac os x

git clone https://github.com/evilsocket/bettercap cd bettercap gem build bettercap.gemspec sudo gem install bettercap*.gem brew install libtins

如果出现了

Unable to resolve dependencies: bettercap requires colorize (~> 0.7.5), packetfu (~> 1.1.10), pcaprub (~> 0.12.0)

那么表示是依赖没有安装好.那么换源继续安装

gem sources —remove https://rubygems.org/ gem sources -a https://ruby.taobao.org/ gem sources -l sudo gem install colorize sudo gem install pcaprub sudo gem install packetfu

Linux

安装Ruby

sudo apt-get install ruby-dev libpcap-dev

安装bettercap

git clone https://github.com/evilsocket/bettercap cd bettercap gem build bettercap.gemspec sudo gem install bettercap*.gem

用法

-I, --interface IFACE 指定Network interface name，默认eth0 -S, --spoofer NAME 指定欺骗模块，此参数默认为ARP，目前仅支持ARP，新版本会添加更多选项 -T, --target ADDRESS 指定单一ip，如果未设置，则代表所有子网，子网所有主机自动扫描，简单高效，十分推荐 -O, --log LOG_FILE 日志功能 -D, --debug 调试功能，会将每一步操作详细记录，便于调试 -L, --local 解析流经本机的所有数据包（此操作会开启嗅探器），此参数默认为关闭 -X, --sniffer 开启嗅探器. --sniffer-pcap FILE 将数据包保存为PCAP文件，可用Wireshark打开（此操作会开启嗅探器） --sniffer-filter EXPRESSION 配置嗅探器使用BPF过滤器（此操作会开启嗅探器） -P, --parsers PARSERS 指定数据包（此操作会开启嗅探器），支持NTLMSS, IRC, POST, URL, FTP, HTTPS, HTTPAUTH, MAIL，此参数默认为所有 --no-discovery 只使用当前的ARP缓存，不去扫描其他主机，此参数默认为关闭 --no-spoofing 关闭欺骗模块，也可以使用参数--spoofer NONE代替 --proxy 启用HTTP代理并且重定向所有HTTP请求至本机，此参数默认为关闭 --proxy-port PORT 设置HTTP代理端口，此参数默认为8080 --proxy-module MODULE 指定加载的Ruby模块 --httpd 开启HTTP服务器，此参数默认为关闭 --httpd-port PORT 指定HTTP server port, 此参数默认为8081. --httpd-path PATH 指定HTTP server path,此参数默认为 ./. -h, --help 英文帮助

示例

默认模式，启用所有功能进行内网Arp欺骗

sudo bettercap -X

截取指定数据包

sudo bettercap -X -P "FTP,HTTPAUTH,MAIL,NTLMSS"

嗅探HTTP通信并保存为pcap文件

sudo bettercap --sniffer --sniffer-pcap=http.pcap --sniffer-filter "tcp and dst port 80"

启用所有功能进行嗅探，并保存为pcap文件

sudo bettercap --sniffer --sniffer-pcap=http.pcap --sniffer-filter "tcp and dst port 80"

本文始发于微信公众号（关注安全技术）：中间人攻击框架 bettercap 笔记