与电话电路不同，计算机网络是共享通讯通道的。支持每对通讯计算机独占通道的交换机/集线器仍然过于昂贵。共享意味着计算机能够接收到发送给其它计算机的信息。捕获在网络中传输的数据信息就称为sniffing（窃听）。
　　
　　以太网是现在应用最广泛的计算机连网方式。以太网协议是在同一回路向所有主机发送数据包信息。数据包头包含有目标主机的正确地址。一般情况下只有具有该地址的主机会接受这个数据包。如果一台主机能够接收所有数据包，而不理会数据包头内容，这种方式通常称为"混杂"模式。
　　
　　由于在一个普通的网络环境中，帐号和口令信息以明文方式在以太网中传输，一旦入侵者获得其中一台主机的root权限，并将其置于混杂模式以窃听网络数据，从而有可能入侵网络中的所有计算机。
　　
　　哪里可以得到sniffer
　　
　　Sniffer是黑客们最常用的入侵手段之一。例如Esniff.c，是一个小巧的工具，运行在SunOS平台，可捕获所有telnet、ftp、rloing会话的前300个字节内容。这个由Phrack开发的程序已成为在黑客中传播最广泛的工具之一。
　　
　　你可以在经过允许的网络中运行Esniff.c，了解它是如何有效地危及本地机器安全。
　　
　　以下是一些也被广泛用于调试网络故障的sniffer工具：
　　
　　* Etherfind on SunOs
　　
　　* Snoop on Solaris 2.x and SunOs
　　
　　* Tcpdump
　　
　　* Packetman, Interman, Etherman, Loadman
　　
　　商用sniffer：
　　
　　* Network General.
　　
　　Network General开发了多种产品。最重要的是Expert Sniffer，它不仅仅可以sniff，还能够通过高性能的专门系统发送/接收数据包，帮助诊断故障。还有一个增强产品"Distrbuted Sniffer System"可以将UNIX工作站作为sniffer控制台，而将sniffer agents（代理）分布到远程主机上。
　　
　　* Microsoft's Net Monitor
　　
　　对于某些商业站点，可能同时需要运行多种协议--NetBEUI、IPX/SPX、TCP/IP、802.3和SNA等。这时很难找到一种sniffer帮助解决网络问题，因为许多sniffer往往将某些正确的协议数据包当成了错误数据包。Microsoft的Net Monitor（以前叫Bloodhound）可以解决这个难题。它能够正确区分诸如Netware控制数据包、NT NetBios名字服务广
　　
　　播等独特的数据包。（etherfind只会将这些数据包标识为类型0000的广播数据包。）这个工具运行在MS Windows平台上。它甚至能够按MAC地址（或主机名）进行网络统计和会话信息监视。只需简单地单击某个会话即可获得tcpdump标准的输出。
　　
　　过滤器设置也是最为简单的，只要在一个对话框中单击需要监视的主机即可。
　　
　　如何监测主机正在窃听（sniffed）
　　
　　要监测只采集数据而不对任何信息进行响应的窃听设备，需要逐个仔细检查以太网上所有物理连接。
　　
　　不可能通过远程发送数据包或ping就可以检查计算机是否正在窃听。
　　
　　一个主机上的sniffer会将网络接口置为混杂模式以接收所有数据包。对于某些UNIX系统，通过监测到混杂模式的网络接口。虽然可以在非混杂模式下运行sniffer，但这样将只能捕获本机会话。入侵者也可能通过在诸如sh、telnet、login、in.telnetd等
　　
　　程序中捕获会话，并将用户操作记录到其它文件中。这些都可能通过监视tty和kmem等设备轻易发现。只有混杂模式下的sniffing才能捕获以太网中的所有会话，其它模式只能捕获本机会话。
　　
　　对于SunOS、NetBSD和其它BSD Unix系统，如下命令：
　　
　　"ifconfig -a"
　　
　　会显示所有网络接口信息和是否在混杂模式。DEC OSF/1和IRIX等系统需要指定设备。要找到系统中有什么网络接口，可以运行如下命令：
　　
　　# netstat -r
　　Routing tables
　　Internet:
　　Destination Gateway Flags Refs Use Interface
　　default iss.net UG 1 24949 le0
　　localhost localhost UH 2 83 lo0
　　
　　
　　
　　然后通过如下命令检查每个网络接口：
　　
　　#ifconfig le0
　　le0: flags=8863
　　inet 127.0.0.1 netmask 0xffffff00 broadcast 255.0.0.1
　　
　　
　　
　　入侵者经常会替换ifconfig等命令来避开检查，因此一定要检查命令程序的校验值。
　　
　　在ftp.cert.org:/pub/tools/的cpm程序（SunOS平台）可以检查接口是否有混杂模式标记。
　　
　　对于Ultrix系统，使用pfstat和pfconfig命令也可能监测是否有sniffer运行。
　　
　　pfconfig指定谁有权限运行sniffer。
　　
　　pfstat显示网络接口是否处于混杂模式。
　　
　　这些命令只在sniffer与内核存在链接时有效。而在缺省情况，sniffer是没有与内核链接的。大多数的Unix系统，例如Irix、Solaris、SCO等，都没有任何标记来指示是否处于混杂模式，因此入侵

Sniffer含义及工作原理 端口基础常识大全贴

评论 (0) All