macos或类linux 系统安装ettercap + gtk3 抓取并分析邻居数据包
最近邻居夜生活猖獗，打游戏“砸键盘”、搞直播弹琴唱歌以及各种与人视频聊天，每天半夜十二点以后，笑声、骂声、弹琴声、唱歌声轮番上阵，先前公用路由是我控制的，密码只有我一人知道，还能限个速。这两天这哥们找个了人把路由器初始化，然后自己设置了管理密码，更疯狂的猖獗的闹腾了。好吧，你有张良计，我有过墙梯。
"Ettercap是一款强大的可以被称为神器的工具，同类型软件中的佼佼者。Ettercap是开源企且跨平台 的，Ettercap在某些方面和dsniff有相似之处，同样可以很方便的工作在交换机环境下，当然，Ettercap最初的设计初衷和定位，就是一款 基于交换网上的sniffer，但随着版本更迭，它具备越来越多的功能，成为一款强大的、有效的、灵活的软件。它支持主动及被动的协议解析并包含了许多网 络和主机特性分析。"
----摘自网络
一、平台与软件工具
工具：mbp一台，i7+8G+256Gssd
需要安装的软件：
1、homebrew Mac OSX上的软件包管理工具，类似于centos上的yum，ubuntu上的apt-get。
2、Xcode 运行在操作系统Mac OS X上的集成开发工具（IDE)。
3、libtiff tiff是一种灵活的位图格式，主要用来存储包括照片和艺术图在内的图像，libtiff是tiff的标准实现，有了libtiff才可以安装gtk+3,有了gtk，ettercap才可以以窗口形式展示。
4、gtk+3 是一套源码以LGPL许可协议分发、跨平台的图形工具包
5、ettercap 上文介绍了，是一款强大的可以被称为神器的工具。
二、安装软件
1、homebrew 安装
homebrew的安装非常简单，打开终端执行一下命令：
~ ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"
已经安装过homebrew的需要执行：
~ sudo brew update/brew update
旧版homebrew是需要sudo的，而新版。。。具体我也不知道在哪一版，取消了sudo，可以先不加sudo更新，如果失败再加上。更新后安装软件可能会报错，需要检查/Users/$(whoami)/Library/Logs/Homebrew和/Users/$(whoami)/Library/Logs/Homebrew两目录权限是否是root，如果目录和文件权限是root，需要执行以下命令修改权限，否则使用sudo执行会报权限太大，不使用sudo又报权限不足。
2、Xcode在app store中可以搜索到，免费安装。
3、安装libtiff
安装libtiff有两种方法，但不保证哪种能成功，一个是brew install 一个是编译安装，编译安装会有make all的报错，brew 很大可能会被墙掉，brew可以多试试或者找vpn连一下，实在不行就研究一下编译安装。
~ brew install libtiff
或者
~ wget ~ tar xvzf tiff-4.0.6.tar.gz ~ cd tiff-4.0.6 ~ ./configure --prefix=/usr/local ~ make ~ make clean
4、安装gtk+3
~ brew install gtk+3
5、安装ettercap
~ brew install ettercap --with-gtk+
不加--with-gtk+ 就不能以ettercap -G形式启动，也就是不能以窗口图形化形式启动，只能使用指令行或者伪图形界面（例如下图：）
三、
安装完后以ettercap -G形式启动（！！！记得加sudo）：
sudo ettercap -G
上面的步骤是:
1、选择unified sniffing (统一嗅探器？？) 。
2、在弹出的窗口选择网卡，一般是连wifi那张，可以在终端使用ifconfig查看。
3、选择后可看到上面的信息，正在程序就开始监听选定的网卡了。
4、选择scan for hosts 即可列出除本机外的所有局域网内所有客户端的ip地址。
5、再次点击hosts选择hosts list即可查看此列表。
6、点击想要监控的ip地址，点击Add to Target 添加到Target 1，可添加多个。
7、点击网关地址，再点击Add to Target2添加到target2，需要根据实际情况来，可使用如下指令查看：
netstat -rn | grep default | grep -e ‘[0-9]\{1,3\}.[0-9]\{1,3\}.‘我们其实就是要插入到target1和target2，做一个转发工作，并把数据包拷贝一份记录到本机。
也可以点击targets选项卡，点击current targets，在弹出框中设置，例如想要的ip一直刷不出来。
但是就是确定有这个ip。
8、选择日志文件，填上文件名，程序会自动创建，我一般就选/tmp 目录，因为很多目录都没有权限，我也没研究这个。。。总之很坑，没权限就直接退出。
9、点击Mitm下的ARP poisoning。如此，就开始ARP欺骗了，不不。。是代理网关。。但是如果你自己做测试，你会发现受监控的机器是不能上网的，这是因为mac没有打开路由转发功能。
打开：
sudo sysctl -w net.inet.ip.forwarding=1
关闭：
sudo sysctl -w net.inet.ip.forwarding=0
也就是这个功能，可以做个定时任务，五分钟关闭一次，过半分钟再打开。呵呵，，我让你半宿直播。。。
10、tail -f 查看日志的更新情况
此时查看的是乱码，这个日志后缀名是.ecp ，我刚才设置了/tmp/test.log，那他就是/tmp/test.log.ecp。对于这种日志格式，ettercap有自己的查看工具：etterlog。
etterlog test.log.ecp
如上两张图，第一张是抓到的http的header信息，通过访问改hostdoman+url可以下载到一个视频，原来是我的手机查看的微博视频。其他的一些获取header、session、url、host甚至是一些加密的数据包还是需要各自努力实现吧，chrome的EditThisCookie和postman也是很不过的工具哦。
本文出自 “11403817” 博客，请务必保留此出处http://11413817.blog.51cto.com/11403817/1953668