ettercap是执行ARP欺骗嗅探的工具，通常用它来施行中间人攻击。

我还介绍过另一个arp欺骗工具-arpspoof
我使用的是Kali Linux 2.0；在开始使用ettercap之前，先配置一下：

编辑配置文件/etc/ettercap/etter.conf：

# vim /etc/ettercap/etter.conf

找到privs一段，改为：

ec_uid = 0                # nobody is the default
ec_gid = 0                # nobody is the default

在176行”if you use iptables”，去掉注释：

 redir_command_on = "iptables -t nat -A PREROUTING -i %iface -p tcp --dpor    t %port -j REDIRECT --to-port %rport"
 redir_command_off = "iptables -t nat -D PREROUTING -i %iface -p tcp --dpo    rt %port -j REDIRECT --to-port %rport"

保存退出。

如果你没有打开端口转发，打开方法：

# echo "1" > /proc/sys/net/ipv4/ip_forward

ettercap图形用户界面：Applications->Sniffing & Spoofing->ettercap-graphical：

Options菜单里确保选择Promisc mode；

Sniff菜单中选择Unified sniffing：选择使用的网络接口，我使用wlan0；如果你使用有线，选择eth0；

Host->Scan for hosts，扫描当前网络中的所有主机。

Host->Host list，扫描到的主机列表：

然后我们就可以选择要攻击的目标了，例如，选择192.168.0.105的IP地址，点击Add to Target 1（添加到目标1）,然后选择网关的IP地址192.168.0.1，点击Add to Target 2（添加到目标2）。所有从192.168.0.105发送的数据都会经过Kali Linux。

如果还要截获发送给192.168.0.105的数据，把192.168.0.1添加到Target 1，192.168.0.105添加到Target 2，这实现双向监听数据。

可以添加多个主机。

查看添加的攻击目标：Targets->Current targets：

再次确保已开启端口转发，有时会自己关上，不知道为什么：

# echo "1" > /proc/sys/net/ipv4/ip_forward

开始攻击：Mitm->ARP Poisoning，选择参数，Sniff remote connections。

这个时候目标主机的所有流量都是通过攻击者的主机出去的，想抓啥就抓啥。

和Wireshark配合使用

ettercap命令行工具就不解释了。看man手册就成了。