0x00 介绍

原理：是一个二层（数据链路层）的ARP发现工具，执行命令的时候可以通过Wireshark查看是基于arp协议的。在不使用DHCP的无线网络上非常有用。

作用：用于发现有线或无线网络上的主机，可以在网络上扫描IP地址。

分为两种模式，主动模式和被动模式。

0x01 常用参数

查看帮助文档：netdiscover -h

参数	作用
-i device	指定要监听的网卡设备，可以通过ifconfig查看
-r range	指定要扫描的ip地址范围，如 10.0.0.0/24
-l file	扫描包含在文件中的ip地址
-p（passive mode）	被动扫描，不发送任何内容，只发送嗅探针
-m file	扫描已知MAC地址和主机名的列表
-F filter	自定义pcap filter表达式(默认是’arp‘)
-s time	每个ARP请求之间的休眠时间(ms)
-c count	发送每个ARP请求的次数(对于丢失数据包的网络而言)
-n node	用于扫描的最后一个源IP八位字节(2-253)
-d	忽略自动扫描和快速模式的主配置文件
-f	启动快速模式扫描，节省大量时间，建议使用auto
-P	打印结果的格式适用于另一个程序的解析，并在活动扫描后停止
-L	类似于-P，但在活动扫描完成后继续监听
-N	不打印页眉，仅当启用-P或者-L时有效
-S	启用每个请求之间的休眠时间抑制(硬核模式)

0x02 常用方式

1. 主动模式

netdiscover如果不带任何参数，直接运行命令，默认模式是主动模式，默认范围是192.168.0.0/16。范围较大，比较耗时，并且利用arp去做主动发现，很容易被检测到封掉ip。

常用方式：用参数 -i 指定要监听的网卡，用参数 -r 指定要扫描的网段。

常用命令：netdiscover -i eth0 -r 192.168.1.0/24

2. 被动模式

利用arp去做主动发现，很容易被检测到封掉ip，所以可以考虑使用被动模式，使用参数 -p。

被动模式不进行任何扫描（主动发出特定的数据包，等待回应），仅仅是嗅探（被动的获取别人的数据包），当其他机器有arp请求时，netdiscover就会嗅探到。

被动模式（passive）的缺点是比较慢。